Une trentaine de questions, sourcées article par article, pour cartographier précisément votre conformité RGPD et AI Act — avec un module spécifique selon votre secteur (santé, RH, finance, e-commerce, éducation) et une classification réglementaire de vos usages IA. Pressé ? La version express couvre l'essentiel en 8 à 10 minutes.
Classés par niveau de risque, avec la référence légale et le domaine concerné — vous pouvez transmettre cette liste telle quelle à votre expert-comptable, DPO ou avocat.
Priorisé automatiquement à partir de vos réponses : sévérité du risque, effort estimé, impact attendu.
| # | Action | Effort | Impact | Délai |
|---|
Mise à jour du 11 août 2026 : le calendrier AI Act de ce diagnostic reflète le Règlement (UE) 2026/1744 (« Digital Omnibus on AI »), adopté par le Parlement le 16 juin 2026 et par le Conseil le 29 juin 2026, en vigueur depuis le 27 juillet 2026. Il reporte les obligations « haut risque » de l'Annexe III au 2 décembre 2027 (au lieu du 2 août 2026) et celles de l'Annexe I au 2 août 2028, ajoute deux pratiques interdites au 2 décembre 2026, et assouplit l'art. 4 (AI literacy) en obligation de moyens. L'art. 50 (transparence) n'est pas concerné. Détail complet dans les sources ci-dessous.
Les citations à côté de chaque point de vigilance (ci-dessus dans vos résultats) sont elles-mêmes cliquables et ouvrent directement la bonne page du texte officiel dans un nouvel onglet, quand le document est disponible.
| Obligation | Échéance | Statut |
|---|---|---|
| Art. 5 — pratiques interdites (liste initiale) ; art. 4 — AI literacy | 2 février 2025 | En vigueur |
| Art. 51–55 — obligations des fournisseurs de modèles GPAI | 2 août 2025 | En vigueur |
| Art. 50 — transparence (interaction IA, contenus générés) ; supervision GPAI par l'AI Office | 2 août 2026 | En vigueur |
| Marquage machine-readable du contenu généré (systèmes déjà sur le marché avant le 2 août 2026) ; 2 nouvelles interdictions art. 5 (deepfakes intimes, CSAM par IA) | 2 décembre 2026 | À venir |
| Sandboxes réglementaires nationales opérationnelles | 2 août 2027 | À venir |
| Annexe III — systèmes à haut risque autonomes (recrutement, crédit, éducation…) | 2 décembre 2027 | À venir |
| Annexe I — systèmes à haut risque intégrés à un produit régulé (dispositifs médicaux, machines…) | 2 août 2028 | À venir |
Source : Règlement (UE) 2026/1744, texte intégral, et communiqué du Conseil de l'UE du 29 juin 2026. Ces dates concernent l'AI Act ; elles n'affectent ni le RGPD ni l'ePrivacy.
Ce diagnostic reste déclaratif — voici ce que contrôle réellement la CNIL, d'après son rapport annuel 2025. Le RGPD et l'ePrivacy y sont largement documentés ; l'AI Act est trop récent pour y figurer — le rapport ne recense encore aucune sanction ni contrôle spécifique à ce texte.
Rare, mais pas aléatoire. Rapportées aux ~5,8 millions d'entreprises actives en France (Insee, 2023), les 83 sanctions de la CNIL en 2025 représentent une chance sur ~70 000 par an, tous secteurs et toutes tailles confondus — plus rare que de gagner un Quinté+ dans le désordre (environ 1 sur 10 000 à 15 000), même si très loin du 6 au Loto (environ 1 sur 19 millions). Deux façons de se représenter concrètement ce chiffre : obtenir exactement 16 « pile » d'affilée en lançant une pièce (2¹⁶ = 1 chance sur 65 536) — ou remplir le Stade de France (80 698 places en configuration sportive) et n'en contrôler qu'une seule personne, tirée au sort. Même les 323 contrôles ne représentent qu'une entreprise sur ~18 000.
Mais ce chiffre seul est trompeur : la CNIL choisit ses contrôles notamment « en fonction des plaintes reçues », pas au hasard — et elle en a reçu 20 150 en 2025. Le vrai facteur de risque n'est donc pas une loterie administrative : c'est un événement déclencheur — un salarié en conflit qui exerce ses droits, un candidat évincé, un client mécontent, une fuite de données qui devient publique, un fournisseur qui se retourne contre vous. Ce sont ces moments-là, pas un tirage au sort, qui transforment une entreprise invisible en dossier CNIL.
Et c'est précisément là que « couvrir l'essentiel » change la donne — pas en réduisant la probabilité d'un contrôle, mais sa gravité s'il survient. L'échelle CNIL 2025 : 31 rappels simples, 143 mises en demeure (un correctif à délai, pas une amende), et 83 sanctions au bout de la chaîne seulement — la plupart des dossiers s'arrêtent avant la sanction. Sur la sécurité HTTPS par exemple, la CNIL constate qu'environ 90 % des sites mis en demeure se sont mis en conformité, évitant ainsi la sanction. Ne pas être irréprochable n'entraîne donc pas automatiquement une amende — mais laisser les points les plus visibles sans réponse (registre absent, mentions légales muettes, cookies non consentis, données de candidats ou salariés mal traitées) transforme une simple mise en demeure en sanction publique.
| Indicateur | 2025 |
|---|---|
| Effectifs / budget | 303 agents · 30,2 M€ |
| Plaintes reçues | 20 150 (+10 % sur un an, après déjà +8 % en 2024) |
| Notifications de violations de données | 6 167 |
| Contrôles menés | 323 (165 sur place, 126 en ligne, 27 sur pièces, 5 sur audition) |
| Mises en demeure | 143 |
| Sanctions prononcées | 83 (78 amendes, dont 27 avec astreinte) |
| Montant cumulé des amendes | 486,8 M€ (contre 55,2 M€ en 2024 — ×8,8) |
Les deux tiers de ce montant tiennent à deux dossiers cookies : Google (325 M€) et Shein (150 M€), sanctionnés le même jour (1er septembre 2025) pour dépôt de traceurs sans consentement valable. Ce n'est pas un cas isolé — 21 organismes ont été sanctionnés en 2025 pour des manquements aux règles cookies/traceurs (dépôt sans consentement, information insuffisante, refus non respecté), le sujet exact des questions EP1/EP2 de ce diagnostic.
Ce qui recoupe directement le reste du questionnaire : 10 sanctions pour manquements liés à la prospection commerciale ou politique (→ EP3/EP4) ; 16 organismes sanctionnés pour vidéosurveillance excessive des salariés ; 14 sanctions pour sécurité insuffisante — mots de passe faibles, comptes partagés (→ A8) ; 14 pour non-réponse aux demandes de la CNIL et 14 pour non prise en compte de demandes d'effacement/opposition/accès (→ A7a/A7b).
Répartition sectorielle des plaintes 2025 : télécoms/internet/réseaux sociaux 29 % · travail 23 % · commerce/immobilier 19 % · régalien 9 % · santé 6 % · banque/finance/crédit 5 % · libertés publiques 3 % · social 2 % · assurance 1 % · éducation 1 % · transports 1 %.
Et au-delà de la CNIL ? Le Conseil d'État a confirmé 97,5 % des décisions de la CNIL contestées en 2025 (80 décisions sur 89 recours) — ses sanctions résistent très largement au contrôle du juge. Décision notable : le 30 janvier 2026, il a validé l'interdiction faite à une commune d'analyser automatiquement des images de vidéosurveillance aux abords d'écoles, même à des fins de sécurité — un rappel utile à l'heure de l'IA de vidéosurveillance. Indépendamment de la CNIL, la Cour de cassation (18 juin 2025, n°23-19.022) a jugé que les emails professionnels d'un salarié sont des données personnelles au sens du RGPD, et qu'un employeur refusant sans justification d'y donner accès s'expose à indemnisation — rappel que le RGPD se joue aussi devant les tribunaux civils, pas seulement devant la CNIL. Nuance importante, confirmée par cet arrêt : depuis la jurisprudence de la CJUE, une simple violation du RGPD n'ouvre pas automatiquement droit à réparation — il faut démontrer un préjudice réel, matériel ou moral, et un lien de causalité.
Ce que la jurisprudence a déjà jugé absurde. À Chypre, la Commissaire à la protection des données a ordonné le retrait de caméras de vidéosurveillance au motif qu'un salarié subordonné ne peut pas donner un consentement réellement libre à être filmé, et a rappelé que ces caméras ne peuvent filmer que des objets, jamais des personnes (décision documentée sur GDPRhub). Le même régulateur aurait, selon la presse chypriote, jugé irrecevables des photos de véhicules mal garés au nom de la protection des données du contrevenant (Cyprus Mail — éditorial, décision précise non retrouvée, à prendre avec cette réserve). En Irlande, l'ex-commissaire à la protection des données Helen Dixon a publiquement regretté que le RGPD soit invoqué dans des litiges de voisinage sur la vidéosurveillance ou des différends de golf-clubs (Law Society of Ireland Gazette) plutôt que pour ce qu'il devait protéger. Le miroir inverse existe aussi, et il est plus documenté : en 2016, une enquête de terrain de l'UFC-Que Choisir a trouvé que 81 % des agences immobilières visitées demandaient encore au moins un document interdit par le décret ALUR (RIB, livret de famille, casier judiciaire…) — la partie la plus faible, le candidat locataire, n'osant simplement pas refuser.
Pourquoi « full RGPD » sur un simple site HTML est plus dur qu'il n'y paraît. Un bandeau de consentement affiché ne garantit rien : beaucoup de sites qui se croient en règle continuent de charger, avant toute réponse au bandeau, des éléments qui transmettent des données à des tiers hors UE. Exemple documenté : en janvier 2022, un tribunal de Munich a condamné l'éditeur d'un site à 100 € de dommages-intérêts pour avoir chargé des polices Google Fonts depuis les serveurs de Google — ce qui transmet l'adresse IP du visiteur sans base légale valable, ce que des millions de sites reproduisent encore aujourd'hui sans le savoir (swissprivacy.law). Autre angle mort classique : une vidéo YouTube intégrée, même en mode « nocookie », continue de transmettre des données à Google dès sa lecture — un consentement préalable reste nécessaire ; la CNIL masque d'ailleurs ses propres vidéos YouTube derrière un message d'information tant qu'il n'a pas été donné (méthode documentée ici). Mesure d'audience mal configurée, logs techniques conservés sans durée définie, polices ou vidéos tierces chargées par défaut : sur un site HTML classique, la conformité ePrivacy se joue autant dans le code que dans la politique de confidentialité affichée.
Ce diagnostic s'appuie sur les textes officiels du RGPD, de l'AI Act et les référentiels de la CNIL : il vise à vous donner une évaluation argumentée et sourcée de votre exposition réglementaire. Il reste toutefois un outil d'auto-évaluation déclaratif — la fiabilité du résultat dépend de l'exactitude de vos réponses — et certaines situations complexes nécessitent l'avis d'un professionnel du droit ou d'un DPO avant toute décision. La note obtenue ne préjuge en rien de ce que des agents de contrôle (CNIL, autorités de surveillance du marché) pourraient constater sur place au regard des pièces justificatives et éléments de preuve disponibles. Ce diagnostic ne constitue ni un audit juridique ni un avis juridique au sens de la loi, et son éditeur ne saurait être tenu responsable des décisions prises sur son seul fondement. Vos réponses restent sur le terminal que vous utilisez : rien n'est envoyé ni enregistré sur un serveur.