// Le relevé · RGPD & IA Act
Depuis le 2 août 2026, si ce n'est pas un humain, il faut le dire. La règle tient en une phrase. Ce qu'elle vous coûte, en revanche, dépend d'un paragraphe que presque personne ne cite.
Une demi-journée · 100 % à distance · un relevé écrit, pas un certificat
Quatre situations, et rien d'autre. Le reste de ce qu'on vous raconte est du commentaire.
01
Le robot du site, l'assistant du standard, l'agent qui prend les rendez-vous. La personne doit savoir qu'elle ne parle pas à un humain. Sauf si c'est évident, et « évident » ne veut pas dire écrit en gris clair dans les conditions générales.
02
Image, son, vidéo, texte. Le contenu doit porter un marquage lisible par une machine. C'est le seul point dont l'échéance a bougé, et seulement pour les systèmes déjà en service.
03
Reconnaissance d'émotions, catégorisation biométrique. Les personnes exposées doivent être informées, et c'est au déployeur de le faire, pas au fournisseur du modèle.
04
Un contenu qui imite une personne réelle, ou un texte publié pour informer le public, doit être signalé. Une exception existe : la relecture humaine véritable, avec une personne identifiable qui assume la responsabilité éditoriale. Une validation de forme ne suffit pas.
L'article 99 fixe l'amende à 15 millions d'euros ou 3 % du chiffre d'affaires mondial, le plus élevé des deux. C'est ce chiffre que tout le monde brandit.
Le même article a un paragraphe 6. Pour les PME et les jeunes entreprises, on retient le plus BAS des deux. L'inverse exact. Ce n'est pas une faveur laissée aux États, c'est une obligation.
Une entreprise à 2 millions d'euros de chiffre d'affaires ne risque pas 15 millions. Elle risque 3 % de 2 millions, soit 60 000 €. C'est une très mauvaise nouvelle. Ce n'est pas la même conversation avec votre comité de direction.
Règlement (UE) 2024/1689, art. 99(6). Le palier à 35 millions vise les pratiques interdites de l’article 5, pas la transparence.
C'est la seule question vraiment difficile du texte, et c'est celle qu'on traite le plus vite.
Fournisseur : vous développez le système, ou vous le mettez sur le marché sous votre nom. Brancher une API sur votre produit et le vendre sous votre marque vous fait basculer ici, sans que personne ne vous prévienne.
Déployeur : vous utilisez le système dans votre activité. C'est le cas de la plupart des entreprises, et leurs obligations sont bien plus légères.
La réponse ne se devine pas. Elle s'écrit dans le contrat, et c'est là qu'un relevé sert à quelque chose.
Un agent qui garde une mémoire d'une session à l'autre et qui accède à plusieurs outils ne pose pas le même problème qu'un chatbot. La CNIL l'a écrit le 20 juillet 2026 : avec l'IA agentique, le risque change d'échelle, pas seulement de degré.
Base légale, durée de conservation, sous-traitants en cascade, transferts hors UE : ce sont les mêmes questions qu'en 2018, posées à une machine qui n'oublie plus.
Un prestataire qui vous vend la conformité vous vend une chose qu'il ne peut pas livrer.
Ce relevé décrit vos systèmes et ce que le règlement leur demande. Il ne remplace pas un conseil juridique, et sur les cas limites je vous dirai d'en voir un.
Personne n'en délivre pour l'article 50, et une icône européenne collée sur un site n'établit pas la conformité. Ce que vous obtenez est un document daté, opposable à vous-même.
Si vos systèmes sont en règle, le relevé le dira en une page et vous aurez payé une demi-journée pour dormir tranquille. C'est un résultat, pas un échec commercial.
État du droit au 3 septembre 2026. Article 50 applicable depuis le 2 août 2026. Le report au 2 décembre 2026 ne porte que sur le marquage lisible par machine des systèmes déjà en service, côté fournisseurs : il ne dispense de rien d’autre.