Le cadre normatif applicable aux entreprises a subi en 2024 des mutations structurelles sur trois fronts simultanés : gouvernance de l’intelligence artificielle, transparence fiscale des grands groupes et articulation entre le règlement européen sur l’IA et le RGPD. Nous revenons sur les points techniques qui modifient concrètement les obligations des directions juridiques et financières.
Articulation entre le règlement européen sur l’IA et le RGPD : une double conformité à organiser
Le règlement (UE) 2024/1689 sur l’intelligence artificielle ne se substitue pas au RGPD. Les deux cadres doivent être appliqués conjointement, ce qui impose aux entreprises de maintenir deux grilles d’analyse distinctes pour un même traitement algorithmique.
Concrètement, un système d’IA classé à haut risque au sens du règlement européen reste soumis aux exigences de licéité, de minimisation et de sécurité du RGPD. La gouvernance interne doit donc prévoir une cartographie croisée : chaque cas d’usage algorithmique fait l’objet d’une évaluation au titre du règlement IA (niveau de risque, obligations de documentation, contrôle humain) et d’une analyse au titre du RGPD (base légale, durée de conservation, droits des personnes concernées).
Pour les entreprises qui souhaitent consulter la rubrique juridique de Développement Entreprise, cette double exigence fait partie des sujets à suivre de près tout au long de l’année.
La difficulté réside dans les zones de chevauchement. Un audit de conformité IA qui néglige le volet données personnelles expose l’entreprise à des sanctions sur les deux tableaux. Nous recommandons de désigner un référent unique chargé de la cohérence entre les deux corpus, plutôt que de cloisonner les fonctions compliance et data protection.
Cadrage CNIL de l’IA générative : obligations pratiques depuis juillet 2024
La CNIL a publié le 18 juillet 2024 ses questions-réponses sur l’utilisation de l’IA générative en entreprise. Ce document dépasse le rappel de principes généraux et entre dans le détail opérationnel.
Trois obligations concrètes ressortent de ce cadrage :
- Définir formellement les usages autorisés et les usages interdits de l’IA générative au sein de l’organisation, par une politique interne documentée et opposable aux collaborateurs.
- Choisir le mode de déploiement (API, solution hébergée, modèle local) en fonction du niveau de sensibilité des données traitées, en particulier les données clients, RH ou contractuelles.
- Évaluer la nécessité d’une analyse d’impact relative à la protection des données (AIPD) avant tout déploiement impliquant des données personnelles à grande échelle.
Le point le plus sous-estimé concerne la gestion des prompts contenant des données sensibles. Un salarié qui soumet un contrat client à un modèle hébergé hors UE déclenche potentiellement un transfert de données hors cadre. La politique interne doit anticiper ce scénario et prévoir des garde-fous techniques (filtrage des entrées, journalisation).
Reporting fiscal pays par pays : seuil et calendrier d’application
Depuis le 22 juin 2024, les groupes dont le chiffre d’affaires consolidé atteint 750 millions d’euros sont soumis à l’obligation de publication d’un reporting fiscal pays par pays (CbCR public). Cette transposition en droit français modifie la donne pour les directions juridiques et fiscales concernées.
Le CbCR public ne se confond pas avec les déclarations fiscales existantes. Il impose une publication accessible au grand public, contenant la répartition des bénéfices, des impôts acquittés et des effectifs par juridiction. La portée reputationnelle de cette obligation dépasse le périmètre fiscal classique.
Pour les groupes proches du seuil, la question de la consolidation du chiffre d’affaires sur plusieurs exercices mérite une attention particulière. Un franchissement ponctuel du seuil peut déclencher l’obligation sans possibilité de régularisation a posteriori. La direction juridique doit donc intégrer un suivi prévisionnel du chiffre d’affaires consolidé dans ses tableaux de bord.
Points de vigilance sur le périmètre
Les filiales situées dans des juridictions non coopératives au sens de l’UE font l’objet d’une attention renforcée dans le reporting. L’absence d’activité substantielle dans un pays mentionné peut générer des questions de la part d’investisseurs ou d’ONG, même si la conformité formelle est respectée.
Simplification du droit des sociétés : ce que les textes changent en pratique
La démarche de simplification normative engagée par le ministère de la Justice touche directement le droit des sociétés. Les chantiers de « droit clair » visent la révision ou l’abrogation de textes obsolètes, avec un objectif affiché : réduire la charge administrative sans fragiliser la sécurité juridique.
Parmi les évolutions concrètes, la dématérialisation des titres financiers et la création du guichet unique pour les formalités de création d’entreprise modifient les processus internes. Les directions juridiques qui géraient encore des registres papier ou des procédures multi-guichets doivent adapter leurs outils.
Le groupe de travail sur la simplification du droit des entreprises en difficulté, composé de onze experts, travaille à rendre les procédures collectives plus lisibles. Pour les PME et ETI, la clarification des seuils de déclenchement des procédures de prévention (mandat ad hoc, conciliation) pourrait modifier le calendrier d’intervention des conseils juridiques.
Formalités et registre unique des entreprises
Le passage au registre unique concentre les démarches déclaratives auparavant réparties entre plusieurs organismes. Ce changement réduit les délais mais impose une maîtrise technique du nouveau portail, dont les dysfonctionnements initiaux ont été documentés par les greffes des tribunaux de commerce.
L’année 2024 a donc posé des jalons normatifs dont les effets se déploieront sur plusieurs exercices. La conformité simultanée au règlement européen sur l’IA, au RGPD, aux nouvelles règles de transparence fiscale et aux réformes du droit des sociétés exige une coordination transversale entre les fonctions juridique, fiscale et IT. Les entreprises qui cloisonnent encore ces sujets s’exposent à des angles morts réglementaires difficiles à rattraper une fois les contrôles engagés.
