Deux textes, deux objets : ne pas les confondre

On les mélange en permanence, et cette confusion mène à croire qu'on est en règle alors qu'on ne l'est que d'un côté.

Le RGPD protège les personnes

Il s'applique dès qu'il y a des données personnelles : un nom, un courriel, un identifiant. Il vous demande une base légale, une finalité, une durée de conservation, et il donne des droits aux personnes concernées. C'est le sujet du cours précédent.

Le règlement IA encadre les systèmes

Il s'applique aux systèmes d'intelligence artificielle eux-mêmes, indépendamment des données personnelles. Un outil qui trie des candidatures est concerné même s'il ne traitait que des numéros anonymes : ce qui est encadré, c'est l'usage qu'on en fait et ce qu'il décide.

La conséquence pratique

Les deux se cumulent. Un outil de tri de CV relève du RGPD (données de candidats) et du règlement IA (usage sensible en matière d'emploi). Être en règle sur l'un ne dit rien de l'autre.

Ce qui compte, c'est votre rôle

Le texte distingue celui qui fabrique un système et celui qui l'utilise. Une PME qui se sert d'outils du commerce est presque toujours utilisatrice, et les obligations d'un utilisateur sont sans commune mesure avec celles d'un fabricant.

Attention toutefois : si vous prenez un outil existant et que vous le modifiez substantiellement ou le commercialisez sous votre marque, vous pouvez basculer du côté fabricant. C'est le seul point qui mérite un avis si vous êtes concerné.