Réponses · Transferts hors UE & IA

Des réponses directes, pas des définitions.

Le Data Privacy Framework, les TIA, les CCT, la conformité de ChatGPT : chaque page répond en une phrase, puis détaille.

• Transferts hors UE

  Le Data Privacy Framework est-il toujours valable ?

• Conformité IA

  Puis-je continuer à utiliser ChatGPT en entreprise en 2026 ?

• Méthode

  Qu’est-ce qu’une TIA et comment la réaliser ?

• Plan de repli

  Faut-il signer des CCT si le fournisseur est certifié DPF ?

• Idée reçue

  Un hébergement en Europe suffit-il à éviter un transfert ?

• Chaîne de sous-traitance

  Mon fournisseur d’IA est français : suis-je à l’abri ?

• Base légale

  Peut-on utiliser le consentement des salariés pour un transfert ?

• Mesures EDPB

  Quelles mesures supplémentaires pour sécuriser un transfert IA ?

• Ne pas confondre

  Quelle différence entre une TIA et une AIPD ?

• Étape 1

  Comment cartographier les flux de données de ses systèmes d’IA ?

• FRIA · article 27

  Qui doit réaliser une FRIA ?

• FRIA · calendrier

  La FRIA est-elle reportée à décembre 2027 ?

• FRIA · articulation

  FRIA ou AIPD : quelle différence et faut-il faire les deux ?

• FRIA · contenu

  Que doit contenir une FRIA ? Les six éléments de l’article 27

• FRIA · collectivités

  Une commune de moins de 5 000 habitants est-elle concernée par l’AI Act ?

• FRIA · logement social

  Un bailleur social doit-il faire une FRIA ?

• FRIA · notification

  À qui notifier une FRIA et sous quelle forme ?

• FRIA · commande publique

  Marchés publics et IA : quelles clauses inscrire au CCTP ?

• FRIA · classification

  Quels usages publics de l’IA relèvent du haut risque (annexe III) ?

• FRIA · méthode

  Par où commencer la conformité AI Act en collectivité ?

• IA & RH

  L’IA de recrutement est-elle légale en France ?

• IA & RH

  Comment savoir si mon ATS est un système à haut risque ?

• IA & RH

  La reconnaissance des émotions est-elle interdite au travail ?

• IA & RH

  Faut-il consulter le CSE avant de déployer une IA RH ?

• IA & RH

  Une AIPD est-elle obligatoire pour un outil d’IA RH ?

• IA & RH

  Le report de l’AI Act protège-t-il les DRH ?

• IA & RH

  Peut-on surveiller la productivité des salariés avec l’IA ?

• IA & RH

  Qui est responsable en cas d’IA de recrutement non conforme ?

• IA & RH

  Comment se préparer à un contrôle CNIL sur le recrutement ?

• IA & RH

  Quelle différence entre AIPD, FRIA et registre pour l’IA RH ?

• AI literacy

  Qu’impose l’article 4 de l’AI Act ?

• Calendrier AI Act

  Que se passe-t-il le 2 août 2026 pour l’AI Act ?

• Digital Omnibus

  Le Digital Omnibus supprime-t-il l’obligation de formation IA ?

• Preuve

  Comment prouver qu’on respecte l’article 4 de l’AI Act ?

• Inventaire

  Faut-il un inventaire des usages d’IA pour la formation article 4 ?

• Périmètre

  Qui doit être formé à l’IA dans l’entreprise ?

• Sanctions

  Quelles sanctions pour non-respect de l’article 4 ?

• Mise en œuvre

  Quel format de formation IA l’AI Act impose-t-il ?

• Conservation

  Combien de temps conserver les preuves de formation IA ?

• Articulation

  Article 4 et RGPD : quel lien pour la formation IA ?

• Calendrier AI Act

  L’AI Act est-il reporté à 2027 ?

• Calendrier AI Act

  Qu’est-ce qui change le 2 août 2026 avec l’AI Act ?

• Sanctions

  Quelles amendes prévoit l’AI Act en 2026 ?

• IA & RH

  Le tri de CV par IA est-il autorisé en 2026 ?

• Transparence

  Dois-je étiqueter les contenus générés par IA ?

• Digital Omnibus

  Qu’est-ce que le Digital Omnibus ?

• FRIA · calendrier

  La FRIA est-elle encore obligatoire ?

• Transparence

  Quelles obligations AI Act pour un chatbot ?

• Périmètre

  Comment savoir si mon entreprise est concernée par l’AI Act ?

• Annexe III

  Que faire avant le 2 décembre 2027 pour les systèmes à haut risque ?

• Souveraineté · niveaux

  Un cloud « hébergé en France » est-il souverain ?

• EUCS

  La certification EUCS garantit-elle un cloud souverain ?

• Architecture

  Comment héberger un modèle de langage de façon souveraine ?

• SecNumCloud

  SecNumCloud est-il obligatoire pour l’IA ?

• Périmètre

  Quelle différence entre souveraineté d’hébergement et conformité RGPD ?

• Achat

  Comment vérifier qu’un fournisseur cloud est vraiment souverain ?

• Extraterritorialité

  Qu’est-ce que le CLOUD Act et menace-t-il mes données d’IA ?

• Contrat

  Quelles clauses mettre dans un contrat d’hébergement IA souverain ?

• Réversibilité

  La réversibilité fait-elle partie de la souveraineté ?

• Arbitrage

  Peut-on faire de l’IA souveraine sans perdre en performance ?

• Définition

  Qu’est-ce qu’un incident grave au sens de l’AI Act ?

• Délais

  Quels sont les délais pour déclarer un incident IA ?

• Autorités

  À qui déclarer un incident impliquant un système d’IA en France ?

• Calendrier

  L’article 73 de l’AI Act est-il déjà applicable ?

• RGPD

  Un incident IA doit-il aussi être notifié à la CNIL ?

• Multi-régimes

  Comment articuler AI Act, NIS2 et DORA pour un incident IA ?

• Sanctions

  Quelle sanction si je ne déclare pas un incident IA ?

• Rôles

  Qui, dans l’entreprise, gère un incident IA ?

• Méthode

  Comment se préparer à l’article 73 concrètement ?

• Articles 72 & 73

  Quelle différence entre surveillance post-marché (art. 72) et déclaration d’incident (art. 73) ?

• Agents IA

  Qu’est-ce qu’un agent IA autonome ?

• Shadow Agents

  Qu’est-ce qu’un « Shadow Agent » ?

• Découverte

  Comment détecter les agents IA dans mon entreprise ?

• CERTFR-2026-ACT-016

  Que dit l’ANSSI sur les agents IA autonomes ?

• Note du 20 juillet 2026

  Que disent la CNIL et le CIANum sur l’IA agentique ?

• Champ d’application

  Les agents IA sont-ils soumis à l’AI Act ?

• Méthode

  Comment gouverner un agent IA en entreprise ?

• RGPD article 35

  Faut-il une AIPD pour un agent IA autonome ?

• Risque

  Quelles sanctions en cas de mauvaise gouvernance des agents IA ?

• Connecteurs IA

  Qu’est-ce qu’un serveur MCP et pourquoi est-ce un risque de sécurité ?

• Shadow Connectors

  Qu’est-ce qu’un « Shadow Connector » ?

• Inventaire

  Comment inventorier les serveurs MCP de mon entreprise ?

• Menaces MCP

  Qu’est-ce que l’empoisonnement d’outil (tool poisoning) ?

• Spécification

  MCP est-il sécurisé depuis la nouvelle spécification ?

• Chaîne d’approvisionnement

  Qu’est-ce que la faille « MCP By Design » ?

• Cadre juridique

  Que vous imposent l’AI Act et le RGPD sur vos connecteurs MCP ?

• CERTFR-2026-ACT-016

  Que recommande le CERT-FR sur les connecteurs et agents IA ?

• Authentification

  Comment authentifier un serveur MCP avec OAuth 2.1 ?

• Playbook

  Comment sécuriser ses connecteurs MCP en 90 jours ?

• Banque & assurance

  Le scoring de crédit est-il à haut risque selon l’AI Act ?

• Banque & assurance

  La tarification en assurance est-elle concernée par l’AI Act ?

• Banque & assurance

  Le report à 2027 dispense-t-il les banques et assureurs de se préparer ?

• Banque & assurance

  Qu’a jugé la CJUE dans l’affaire SCHUFA, et pourquoi cela concerne ma banque ?

• Banque & assurance

  Quel est le rôle de l’ACPR dans l’encadrement de l’IA ?

• Banque & assurance

  Quel lien entre DORA et l’intelligence artificielle en finance ?

• Banque & assurance

  Ma banque est-elle « fournisseur » ou « déployeur » d’IA au sens de l’AI Act ?

• Banque & assurance

  Faut-il une AIPD pour un moteur de scoring de crédit ?

• Banque & assurance

  Que devons-nous pouvoir prouver à un contrôleur (ACPR, CNIL) ?

• Banque & assurance

  Par où commencer pour mettre en conformité nos systèmes d’IA de décision ?

• IA & marketing

  Le marketing est-il concerné par l’AI Act ?

• Marquage des contenus

  Quelle est l’échéance du 2 décembre 2026 pour les contenus IA ?

• Transparence

  Un chatbot doit-il indiquer qu’il est une IA ?

• Contenus de synthèse

  Faut-il marquer les images générées par IA en publicité ?

• Pratiques interdites

  Qu’est-ce que l’article 5 de l’AI Act interdit au marketing ?

• Profilage

  Le scoring de leads relève-t-il de l’AI Act ou du RGPD ?

• Angle mort

  Qu’est-ce que le Shadow AI marketing ?

• Deepfakes

  Deepfake en publicité : que dit la loi en 2026 ?

• Méthode

  Comment rendre mon marketing IA conforme ?

• Sanctions

  Quelles sanctions pour un marketing IA non conforme ?

• Article 25

  Une DSI peut-elle devenir fournisseur au sens de l’AI Act ?

• Calendrier

  Le report du haut risque à 2027 dispense-t-il la DSI de toute obligation ?

• Copilotes de code

  Un copilote de code est-il concerné par l’AI Act ?

• NIS2

  NIS2 est-elle applicable en France ?

• Sanctions

  Quelles sanctions prévoit NIS2 pour une entreprise ?

• DORA

  Un moteur d’IA compte-t-il comme prestataire TIC sous DORA ?

• Article 50

  Le système d’information doit-il marquer les contenus qu’il génère ?

• Article 5

  Une IA qui surveille les salariés est-elle autorisée ?

• Rôles

  Qui, entre DSI, RSSI et DPO, est responsable de l’IA du SI ?

• Méthode

  Par où une DSI doit-elle commencer sa conformité IA ?

• Applicatif

  Qu’est-ce que la réversibilité applicative ?

• Cloud

  Comment organiser la réversibilité d’un service cloud ?

• Portabilité

  Réversibilité et portabilité RGPD, est-ce la même chose ?

• Modèle affiné

  Peut-on récupérer un modèle d’IA affiné en quittant son fournisseur ?

• Journaux

  Que deviennent les journaux d’une IA quand on change de fournisseur ?

• Test

  Comment tester un plan de réversibilité ?

• Décision automatisée

  Une validation humaine suffit-elle à sortir de l’article 22 du RGPD ?

• Décision automatisée

  Comment prouver que la supervision humaine d’une décision est réelle ?

• Décision automatisée

  L’article 22 du RGPD est-il supprimé par le Digital Omnibus ?

• Décision automatisée

  Quelle différence entre profilage et décision automatisée ?

• Banque & assurance

  Un moteur d’IA entre-t-il dans le registre DORA des prestataires TIC ?

• DORA

  Quelle différence entre le registre DORA et le registre des usages IA ?

• DORA

  DORA a-t-il été reporté comme l’AI Act ?

• DORA

  Quelles clauses DORA doivent figurer dans un contrat d’IA ?

• DORA

  Qu’est-ce qu’un incident majeur pour un système d’IA au sens de DORA ?

• DORA

  Je vends de l’IA, DORA me concerne-t-il ?

• DORA

  Comment mesurer le risque de concentration sur ses fournisseurs d’IA ?

• DORA

  DORA ou NIS2 : lequel s’applique à mon organisation ?

• Data Act, article 29

  Mon fournisseur cloud peut-il encore me facturer ma sortie ?

• Rétention

  Comment vérifier qu’une solution d’IA applique vraiment une politique de zéro rétention ?

• Détection

  Comment détecter le Shadow AI sans installer d’agent sur les postes ?

• Outillage

  Tableur ou logiciel pour le registre des usages d’IA : comment choisir ?

• Décision automatisée

  Un chatbot IA relève-t-il de l’article 22 du RGPD ?

• RGPD · Agent conversationnel

  Quelles sont les obligations RGPD d’un chatbot ?

• AI Act art. 50(2)

  Faut-il marquer le texte généré par IA ?

• Lignes directrices · 20 juillet 2026

  Un agent IA doit-il dire pour qui il agit ?

• Chatbot interne

  Un chatbot interne pour les salariés est-il concerné par l’AI Act ?

• Fournisseur / déployeur

  L’attestation de mon éditeur de chatbot suffit-elle ?