Charte IA d’AI Maker

Charte IA d’AI Maker

Apprendre, fabriquer et partager. Garder la maîtrise.

MVP consolidé · Édition du 19 octobre 2026 · Texte finalisé pour adoption

1. Préambule et objet

AI Maker se définit comme le système d’exploitation de la maîtrise humaine. L’intelligence artificielle soutient l’apprentissage, la fabrication et le partage sous la responsabilité de personnes identifiées. La présente charte encadre ses usages internes, les services qu’AI Maker met à disposition et la gouvernance des serveurs qui l’adoptent.

Elle protège les personnes, les données et le savoir-faire. Elle organise un pouvoir d’agir partagé : comprendre ce qui nous affecte, participer aux décisions selon notre rôle, maîtriser les outils utilisés et répondre des conséquences de nos actions.

Le socle MVP couvre l’assistance, la fabrication de contenus et de MakerApps, la gestion documentaire et les actions expressément validées. Les usages soumis à des obligations renforcées disposent d’un dossier spécifique avant activation. Une fonction dont les protections indispensables sont absentes reste désactivée.

2. Cadre juridique de référence

Le cadre applicable comprend le règlement européen sur l’IA dans sa version en vigueur, le RGPD, la loi Informatique et Libertés et les règles françaises relatives au travail, à la propriété intellectuelle, à la vie privée, au secret des affaires et à la loyauté commerciale. Les activités conduites dans un autre pays respectent aussi les règles locales applicables. La charte ne remplace ni les contrats requis ni les analyses propres à chaque usage. [R1–R10]

La qualification d’un système et ses obligations sont vérifiées avant sa mise en service et à chaque changement important. Les échéances évolutives sont suivies dans l’annexe B ; les engagements de protection adoptés par AI Maker s’appliquent sans attendre ces échéances.

Base : « Charte IA d’AI Maker », 5 octobre 2026, 17 pages [S0]. Les 13 rubriques sont conservées ; les ajouts de gouvernance et les choix opérationnels sont identifiés dans la notice de consolidation. Ce document fixe des exigences : il n’atteste pas de fonctions déjà déployées ni d’une conformité certifiée.

Périmètre et principes

3. Champ d’application et définitions

La charte concerne les dirigeants, collaborateurs, stagiaires, alternants, prestataires, formateurs, partenaires et apporteurs d’affaires intervenant pour AI Maker. Elle engage les propriétaires de serveurs, les membres de groupes et les utilisateurs de MakerApps selon leur contrat, leurs droits et l’acte d’adoption applicable.

4. Principes directeurs

1. Maîtrise humaine. Une personne identifiée assume l’usage opérationnel de chaque livrable. Elle peut corriger, refuser, arrêter et reprendre le travail.

2. Décision humaine sur les personnes. AI Maker exige une décision humaine effective pour les décisions à effet juridique ou significatif. Cet engagement propre complète les garanties de l’article 22 du RGPD. [R4]

3. Transparence. L’intervention de l’IA, ses limites et les responsabilités sont compréhensibles pour les personnes concernées.

4. Traçabilité. Les actions engageantes sont rattachées à un mandat, des sources ou entrées utiles, une version, une validation et un résultat vérifiable.

5. Loyauté. Les capacités réelles, les dépendances, le prix et les options sont présentés distinctement.

6. Protection. Les données et les permissions sont limitées au nécessaire. La confidentialité de la vie personnelle est préservée.

7. Équité. Les résultats sont examinés pour détecter et corriger les biais préjudiciables. Les personnes affectées disposent d’un recours.

8. Sobriété et temps choisi. Le modèle, les ressources et l’automatisation sont proportionnés au besoin. La délégation sert la maîtrise du travail.

9. Souveraineté et pouvoir d’agir partagé. Les règles et décisions qui engagent le collectif sont accessibles aux personnes concernées ; les espaces privés bénéficient d’une protection distincte.

Outils autorisés et délégation

5. Outils autorisés, usages encadrés et usages interdits

Catalogue. Chaque serveur tient une liste des outils, modèles et connecteurs autorisés. Elle précise le fournisseur et l’offre, les versions connues, les finalités, les flux et lieux de traitement, les accès distants, la conservation, les conditions d’entraînement et le niveau maximal de données. L’autorité de gouvernance approuve le catalogue ; l’administrateur applique les restrictions techniques. Un groupe peut les renforcer. [R7]

Usages ordinaires. La rédaction, la traduction, la synthèse documentaire, la fabrication de contenus et le code sont possibles avec les outils et données autorisés. Un brouillon reste un brouillon jusqu’à sa validation pour un usage déterminé.

Usages encadrés. Le traitement de données personnelles, la représentation d’une personne réelle, la prospection automatisée, la publication sur un sujet d’intérêt général et toute aide à une décision concernant une personne exigent une fiche d’usage approuvée. L’évaluation d’apprenants ou de salariés et les usages réglementés restent hors du socle MVP tant que leur qualification et leurs garanties ne sont pas établies.

Interdictions. Les pratiques prohibées par le règlement sur l’IA sont exclues. AI Maker exclut aussi toute génération de contenus intimes non consentis, toute exploitation abusive des vulnérabilités, toute surveillance clandestine, tout contournement des accès, toute divulgation non autorisée et toute usurpation destinée à tromper. La reconnaissance d’émotions au travail ou en formation est exclue du MVP. [S0]

Les données professionnelles passent par le catalogue du serveur et les comptes habilités. Les droits d’auteur, les licences et les droits de la personnalité s’appliquent aux entrées comme aux sorties. Une œuvre ou une marque peut être réutilisée lorsque les droits ou une exception applicable le permettent ; l’accès public ne vaut pas autorisation générale. [R9]

5 bis. Mandat des agents et des MakerApps capables d’agir

Réglage initial : assistance sans exécution externe. Une IA prépare une proposition. L’envoi, la publication, la dépense, la suppression ou la modification de droits requiert une validation humaine préalable de l’action ou d’un lot précisément défini.

Toute délégation indique le mandant, le responsable de suivi, l’objectif, les destinataires, les données, les outils, les actions permises, la durée, les limites de coût ou de volume et les critères d’arrêt. Une autorisation permanente et illimitée ne constitue pas un mandat valable dans le MVP.

Les permissions sont imposées par le système. Une instruction présente dans une source, un courriel ou une page consultée n’accorde aucun droit supplémentaire. L’agent ne modifie pas son mandat et ne délègue pas à un autre agent sans autorisation. [R8]

La validation porte sur une version figée de l’action : destinataires, contenu, montant et ressources touchées. Toute modification engageante impose une nouvelle validation. Une reprise après erreur vérifie le résultat réel pour éviter les doubles envois ou doubles dépenses.

Protéger, partager, capitaliser

6. Données personnelles, confidentialité et secret des affaires

Rôles et licéité. Les rôles de responsable de traitement, de sous-traitant ou de responsables conjoints sont déterminés selon les finalités et moyens réels, puis contractualisés. Pour chaque traitement : finalité, base légale, données nécessaires, destinataires et durée sont documentés. Les catégories particulières nécessitent aussi une condition de l’article 9 ; l’accord du référent et une analyse d’impact ne remplacent pas ces fondements. [R3, R5]

Cette classification de sécurité est distincte des catégories juridiques du RGPD. Un serveur dédié ne signifie pas que tous les traitements sont locaux : les appels d’API, les journaux et l’assistance distante figurent dans la cartographie des flux. [R3, R7]

DIY vers DIT. L’espace DIY est non partagé par défaut. Tout partage précise la destination, les personnes ou groupes, les droits, la version et la durée éventuelle. Partager un résultat ne partage pas automatiquement ses sources, ses conversations de fabrication ou les données qui ont servi à le produire. La publication et le partage vers un autre serveur font l’objet d’une autorisation distincte.

Les restrictions s’appliquent aux documents, aux titres, aux recherches, aux réponses enrichies par les sources, aux index, aux caches et aux exports. Le retrait d’un partage ferme les accès futurs et déclenche la purge des copies techniques contrôlées. Les limites concernant les copies déjà exportées sont expliquées.

Mémoire et Skills. Chaque objet utile conserve sa provenance, son responsable, ses droits, sa date, sa version et son statut. Les faits sourcés, analyses, hypothèses, contenus générés et décisions validées restent identifiables. La promotion en connaissance opérationnelle ou en Skill nécessite une validation humaine, des tests et une échéance de révision.

Les statuts « Idée », « Actif », « À réviser » et « Archivé » décrivent l’organisation du travail. Ils ne valent pas validation de fiabilité. Archiver ne signifie pas supprimer. Une source corrigée ou retirée déclenche l’examen des résultats et Skills qui en dépendent.

Réutilisation et droits. Le dépôt ne transfère pas les droits à AI Maker. Le partage DIT n’autorise ni l’entraînement d’un modèle ni la réutilisation pour un autre client. Ces opérations exigent une autorisation distincte et des droits suffisants. Les demandes de droits, la conservation, l’export et la suppression suivent les annexes C et D. [R4]

Transparence et transmission

7. Transparence envers clients et utilisateurs

Dialogue. Mía et tout assistant se présentent comme une IA dès l’entrée dans l’échange. L’utilisateur accède à la finalité, aux limites, aux informations sur ses données et à un contact humain. Les réponses instantanées ne sont pas présentées comme déjà validées par une personne.

Livrable. Tout contenu destiné à être remis, publié ou utilisé de manière engageante indique son responsable et son statut de validation. AI Maker ajoute une indication intelligible de l’intervention de l’IA et des outils significatifs. Une réponse exploratoire n’est pas confondue avec un avis professionnel ou une décision.

Contenu artificiel. L’information visible, le marquage lisible par machine et la responsabilité éditoriale sont traités séparément. Les exigences de l’article 50 sont appliquées selon le rôle et le contenu concernés. Les marquages sont testés après transformation et export ; un marquage fourni par le modèle ne suffit pas à présumer leur conservation. [R2]

La représentation synthétique d’une personne réelle exige, comme règle AI Maker, son autorisation écrite couvrant l’usage et la diffusion, ainsi qu’une signalisation appropriée. Le responsable éditorial vérifie les publications d’intérêt général. Les interfaces et informations sont compréhensibles et adaptées aux publics, aux langues et aux besoins d’accessibilité.

8. Maîtrise de l’IA

Chaque personne reçoit, avant le premier usage professionnel, une présentation de la charte, des risques d’erreur, des limites de délégation, du partage et du signalement. Les concepteurs sont formés aux tests, aux droits d’accès, aux données et à la sécurité. Les formateurs accompagnent le jugement et l’autonomie des apprenants.

Le parcours associe pratique, vérification et transmission : comprendre, construire, personnaliser, gouverner, transmettre. La personne montre qu’elle sait vérifier un résultat, reconnaître une incertitude et reprendre la main. Le registre de maîtrise consigne l’action, la date, le profil concerné et la preuve adaptée, sans noter clandestinement la personne.

Une actualisation est organisée chaque année et après une évolution majeure. Le FabMaker facilite l’apprentissage réciproque entre expérience métier et maîtrise des outils ; il n’est ni un contrôleur général des espaces personnels ni le décideur de substitution.

9. Propriété intellectuelle et contributions collectives

Les contrats et licences précisent les droits sur les sources, les créations, le code, les Skills et les MakerApps. Le déposant doit disposer des droits utiles au traitement envisagé. Une autorisation de lecture ou de fouille documentaire ne vaut pas autorisation générale de republier, céder ou entraîner. [R9]

Le carnet de fabrication conserve les choix humains significatifs : intention, sélection, correction, assemblage et validation. La protection ou l’exclusivité d’un contenu produit avec l’IA n’est pas garantie automatiquement. Le code fait l’objet d’une revue et d’une vérification des licences.

Avant contribution DIT, les règles indiquent l’attribution, les permissions de modification et de réutilisation, la licence éventuelle et le devenir des contributions au départ d’un membre. Son départ ferme ses accès ; les contributions déjà partagées restent régies par les droits accordés et les obligations applicables.

Qualifier, tester, superviser

10. Qualification des systèmes d’IA d’AI Maker

Chaque système est qualifié selon ses fonctions, sa finalité et son contexte réel. Une application fabriquée avec l’IA n’est pas nécessairement elle-même un système d’IA. Les rôles d’AI Maker, du créateur et du propriétaire sont documentés ; le client n’est pas automatiquement déployeur dans toutes les situations. [R1]

Le classement comme « risque minimal » n’est jamais déduit du seul nom d’une MakerApp. L’absence de certification délivrée, la présence d’un humain ou l’appellation « autoévaluation » ne suffisent pas à écarter le haut risque lorsque l’usage réel évalue ou oriente des personnes. Les exceptions sont justifiées par écrit. [R1b]

Le socle MVP privilégie les usages d’assistance et d’entraînement personnel. Les usages d’emploi, d’éducation, de santé, de crédit ou d’accès à un service qui appellent une analyse renforcée sont désactivés jusqu’à validation de leur dossier et de leurs obligations. Une simple autoévaluation reste destinée à la personne ; sa réutilisation par un employeur est une nouvelle finalité à examiner.

La prospection requiert une vérification du public, de la provenance des contacts, de la base légale et des règles applicables au canal. Une opposition bloque les relances concernées. Aucune autorisation générale de prospecter ne résulte de cette charte. [R4, R11]

11. Gouvernance, signalement et contrôle

Autorité. Le propriétaire du serveur ou l’organe désigné par la communauté fixe les règles et les délégations. AI Maker conserve ses responsabilités de fournisseur et ses contraintes légales et contractuelles. L’administration technique n’accorde pas, à elle seule, un pouvoir sur les activités ou les personnes. Les rôles sont précisés en annexe A.

Référent. La direction d’AI Maker désigne son référent et son suppléant. Chaque serveur identifie son responsable local et publie un contact de signalement. Jusqu’à désignation d’un responsable local distinct, le propriétaire ou son représentant assume la coordination ; toute ouverture est conditionnée à son identification effective.

Sécurité. Les droits minimaux, l’authentification renforcée des administrateurs, la protection des clés, les sauvegardes et les mises à jour sont vérifiés. Les tests portent sur la fuite entre espaces, les instructions malveillantes, les erreurs de résultat et les actions externes. Une évolution importante du modèle, des sources, du Skill ou d’un connecteur déclenche une réévaluation. [R8]

Mise en service. L’annexe B rassemble le responsable, les tests, les preuves et la décision datée. L’activité dispose d’une procédure d’arrêt, de retour de version et de fonctionnement dégradé. Un changement automatique de fournisseur respecte les mêmes garanties ; à défaut, l’exécution s’arrête.

Incident et recours. Chacun peut signaler immédiatement un incident, une erreur livrée, un biais ou une action non autorisée, sans attendre un dossier complet. Les alertes de bonne foi sont protégées. Toute personne affectée peut demander explication, correction et réexamen humain selon l’annexe D.

Contrôle. Les contrôles sont annoncés, proportionnés et limités aux finalités prévues. Les journaux sont accessibles aux seuls rôles habilités. Ils retracent les éléments utiles à la décision, non une prétendue lecture du raisonnement interne du modèle. Les accès et les incidents sont revus trimestriellement ; le référent rend compte à la gouvernance chaque semestre.

Un texte stable, des décisions tracées

12. Portée juridique, mesures et révision

Adoption. La présente version entre en application à la date inscrite dans l’acte d’adoption de l’autorité compétente. Sa date d’édition ne vaut ni adoption, ni signature, ni autorisation de mise en service. Les contrats et instruments applicables précisent son opposabilité.

Pour les salariés, l’intégration respecte les formalités du Code du travail, notamment celles relatives au règlement intérieur, aux notes de service et à l’information ou la consultation des représentants du personnel lorsqu’elles sont requises. Une signature de lecture ne remplace pas ces formalités. [R6]

Pour les stagiaires, prestataires, partenaires, clients et membres de communautés, le renvoi à la charte et l’accès à la version applicable figurent dans la convention, le contrat, les conditions d’utilisation ou l’acte d’adhésion approprié.

Mesures. Une violation peut entraîner correction, suspension préventive d’accès ou mesure proportionnée selon le contrat et le droit applicable. Les personnes disposent d’une procédure contradictoire et d’un recours. L’urgence de protection peut justifier une suspension immédiate, expliquée et réexaminée rapidement. Les sanctions disciplinaires relèvent de la procédure légale ; aucune sanction pécuniaire disciplinaire n’est instaurée par la charte. [S0, R6b]

Révision. Le référent organise une revue annuelle et après une évolution juridique, un incident majeur ou un changement important de finalité. Chaque version mentionne son numéro, sa date, les changements et l’autorité d’adoption. Les modifications engageant les droits ou obligations sont communiquées avant leur application, sous réserve des mesures urgentes de protection.

13. Engagement individuel et annexes

La prise de connaissance est conservée pour la version concernée. Elle ne vaut ni consentement global au traitement des données, ni cession générale de droits, ni renonciation à un recours.

L’enregistrement comporte l’identité, le rôle, le serveur ou l’organisation, la version, la date et la preuve de prise de connaissance. L’acte d’adoption identifie séparément l’autorité habilitée et la date d’effet.

Les fiches décrivent les informations à enregistrer dans le serveur ou dans un registre contrôlé. Aucune personne, signature, validation ou fonction technique n’est déclarée existante par la seule publication de ce document. Une relecture juridique du contexte d’adoption demeure nécessaire avant opposabilité.

Qui décide et qui accède ?

Fiche du serveur. Identifiant ; propriétaire et représentant ; autorité de gouvernance ; référent et suppléant ; administrateurs ; contact de signalement ; version de charte ; date d’effet ; régime de décision ; contrats applicables. La fiche doit être complète avant l’ouverture aux utilisateurs.

Permissions minimales

DIY. L’auteur accède à ses contenus et exerce les droits accordés : lire, créer, modifier, exporter, partager et supprimer dans les limites applicables. Le badge « Master DIY » renvoie à ces droits ; il ne donne aucun pouvoir sur les autres espaces.

DIT. Le lecteur consulte ; le contributeur propose et modifie dans son périmètre ; le validateur approuve pour un usage ; le responsable de groupe gère les membres et autorisations déléguées. La publication externe constitue une permission séparée. Toute permission reste limitée aux objets concernés.

Accès exceptionnel. L’intervention d’administration identifie le motif, le périmètre, l’autorisation, la durée et les opérations. La personne est informée, sauf restriction légale ou impératif documenté de protection ; l’information est alors différée et réexaminée.

Régime de décision du MVP

Le propriétaire décide, ou applique le régime adopté par la communauté. Les personnes concernées peuvent proposer et commenter ; un vote est consultatif sauf délégation explicite de pouvoir. Toute règle collective de vote indique les membres habilités, le quorum, la majorité, les délais et le recours. Un conflit d’intérêts entraîne une déclaration et un réexamen indépendant adapté.

Chaque décision engageante conserve : objet, auteur, personnes consultées, autorité, justification, date, effets, voies de recours et échéance de révision. Au départ d’un membre, les accès et jetons sont révoqués et ses responsabilités transférées. Les décisions communes restent consultables selon les droits, avec occultation des données protégées.

Une fiche par système et finalité

Six conditions cumulatives de mise en service

A. Responsabilité. Propriétaire, référent, administrateur et contact humain sont identifiés. La charte a été adoptée dans le cadre applicable.

B. Usage. Finalité, qualification et public sont documentés. Les usages exclus restent bloqués.

C. Données. Droits d’utilisation, base légale si nécessaire, catalogue, flux, contrats et durées sont approuvés.

D. Sécurité. Les droits DIY/DIT, les permissions d’agent, les accès administrateurs et les protections testées fonctionnent réellement.

E. Maîtrise. Information, validation humaine, journal, arrêt, export et reprise ont une preuve de fonctionnement.

F. Décision. Une personne habilitée prononce et date la mise en service, sur la base des preuves. Une case cochée sans preuve n’est pas une validation.

Veille des échéances

Le registre de veille conserve la source officielle, la règle, les systèmes concernés, l’échéance et la preuve de traitement. Au 19 octobre 2026, les sources institutionnelles indiquent le 2 décembre 2026 pour le délai transitoire de marquage des systèmes concernés déjà sur le marché, le 2 décembre 2027 pour le haut risque de l’annexe III et le 2 août 2028 pour le haut risque intégré aux produits concernés. Le report de marquage n’est pas un report général de la transparence. [R10, R10b]

Ces dates n’autorisent pas l’usage d’un système interdit ou non conforme aux autres règles applicables. Aucun système de la charte source n’est prévalidé par reprise automatique de son nom dans ce registre.

Des durées connues, une sortie praticable

Fiche de traitement. Finalité ; rôle des parties ; base légale ; catégories de données et personnes ; droits sur les sources ; fournisseurs et sous-traitants ; lieux de stockage, calcul, journalisation et support ; mécanisme de transfert ; destinataires ; mesures de sécurité ; durées ; responsable et contact de droits. [R3, R5, R7]

Durées de référence du MVP

Paramètres de gouvernance de cette version, et non délais légaux universels. L’acte d’adoption les confirme ou retient des durées plus courtes. Toute durée différente doit être justifiée par la finalité ou une obligation, documentée et communiquée.

Un gel de preuve identifie le motif, le périmètre, les personnes autorisées et une échéance de revue. Les obligations légales et contractuelles de conservation sont traitées séparément. Les journaux ne contiennent ni mots de passe ni clés d’API.

Export, fin de service et test de retrait

Le propriétaire récupère les contenus et éléments auxquels il a droit : documents, données structurées, Skills, versions, configurations et traces utiles. Les formats privilégient les originaux et des formats ouverts usuels, par exemple CSV, JSON et Markdown. Les limites liées aux licences, dépendances et services tiers sont annoncées.

Le contrat fixe les délais et coûts d’export avant engagement. La sortie organise la vérification de l’export, la révocation des comptes et connecteurs, la suppression des systèmes actifs et l’expiration des sauvegardes. Une preuve de réalisation est conservée sans promettre l’effacement de copies hors contrôle.

Au moins une fois par an, et après changement majeur, un test démontre que les données sont récupérables, les fonctions essentielles documentées et la reprise humaine praticable. Les obligations ne sont pas présentées comme réalisées tant que la preuve correspondante manque.

Signaler, protéger, corriger, reprendre

Point d’entrée et responsabilité

Le serveur affiche, avant ouverture, le nom ou la fonction joignable du référent, le suppléant et un canal effectif de signalement. En cas d’indisponibilité, le propriétaire ou son représentant reçoit l’alerte. Les demandes concernant une prestation AI Maker sont également adressées au contact contractuel du fournisseur.

Notifications de violations de données

Lorsqu’il agit comme sous-traitant, AI Maker alerte le responsable de traitement sans délai indu après prise de connaissance. Le responsable notifie l’autorité compétente, si les critères du RGPD sont réunis, dans les 72 heures après prise de connaissance ; un retard est expliqué. En cas de risque élevé, les personnes concernées sont informées sans délai indu, sous réserve des exceptions applicables. Toutes les violations sont documentées, y compris celles non notifiées. [R5]

Le référent vérifie séparément les éventuels signalements sectoriels, contractuels ou relatifs à un incident d’IA. Un incident d’IA peut nécessiter une action même sans violation de données.

Réexamen humain et retour au demandeur

Pour une réclamation ordinaire, l’objectif de service du MVP est un accusé de réception sous 2 jours ouvrés et une réponse motivée sous 15 jours ouvrés, ou l’annonce d’un délai justifié. Ces objectifs ne retardent ni une protection urgente ni un délai légal plus court. Les demandes RGPD font l’objet d’une réponse en principe sous un mois, avec prolongation encadrée lorsque ses conditions sont réunies. [R4]

La personne chargée du réexamen dispose du pouvoir de corriger, suspendre ou faire réviser la décision. Un conflit d’intérêts entraîne une réattribution à une personne ou une instance non impliquée dans la décision contestée. La réponse distingue faits, incertitudes, mesures prises et voies de recours.

Origine du texte et choix de cette version

La base documentaire

[S0] Charte IA d’AI Maker, datée du 5 octobre 2026, 17 pages, fournie dans la conversation. Les 13 rubriques, la maîtrise humaine, la classification des données, le catalogue, la transparence, la formation, la propriété intellectuelle, la qualification et le signalement constituent la base de la consolidation.

La capture du tableau de bord fourni éclaire les termes DIY, groupes, régimes et statuts de dossiers. Elle n’est pas une preuve de contrôle d’accès, de journalisation, de validation ou de sécurité effective.

Les apports de la version 1.0

Ajouts de gouvernance. Définitions canoniques, souveraineté du propriétaire, pouvoirs limités des administrateurs, séparation DIY/DIT, partage explicite, cycle de vie de la mémoire, mandat d’agent, recours et réversibilité. Ils prolongent l’audit discuté dans la conversation ; ils ne sont pas présentés comme des fonctions constatées.

Choix de MVP. Assistance par défaut, validation préalable des actions engageantes, activation conditionnée aux six preuves de l’annexe B, durées de référence de l’annexe C et objectifs de réponse de l’annexe D. Ce sont des règles de cette édition, non des prescriptions légales universelles ni des décisions déjà adoptées.

Clarifications juridiques. Qualification par usage ; séparation des droits sur les contenus et de leur dépôt ; distinction de la catégorie interne « Sensible » et de l’article 9 ; validation humaine effective ; formalités d’opposabilité ; notifications et transparence selon leurs champs propres.

Références externes consultées le 19 octobre 2026

[R1] Commission européenne — AI Act Service Desk, article 3 : rôles et définitions. Source officielle ↗

[R1b] Commission européenne — AI Act, article 6 : critères du haut risque. Source officielle ↗

[R2] Commission européenne — AI Act, article 50 : transparence. Source officielle ↗

[R3] CNIL — RGPD, chapitre II : finalités, bases légales et catégories particulières. Source officielle ↗

[R4] CNIL — RGPD, chapitre III : information, droits et décisions automatisées. Source officielle ↗

[R5] CNIL — RGPD, chapitre IV : sous-traitance, sécurité, violations et analyse d’impact. Source officielle ↗

[R6] Légifrance — Code du travail, article L1321-5 : notes de service et règlement intérieur. Source officielle ↗

[R6b] Légifrance — Code du travail, article L1332-1 : garanties de procédure. Source officielle ↗

[R7] CNIL — Questions-réponses sur l’utilisation d’un système d’IA générative. Source officielle ↗

[R8] ANSSI — Recommandations de sécurité pour un système d’IA générative. Source officielle ↗

[R9] Légifrance — Code de la propriété intellectuelle : droits, licences et exceptions. Source officielle ↗

[R10] Commission européenne — AI Omnibus, entrée en vigueur et échéances. Source officielle ↗

[R10b] Conseil de l’UE — Chronologie du règlement sur l’IA, dispositions transitoires. Source officielle ↗

[R11] CNIL — La prospection commerciale par courrier électronique. Source officielle ↗

Les références légales étayent les points qui les citent. Les autres clauses expriment le cadre opérationnel défini pour AI Maker dans cette consolidation. En cas de divergence, le texte légal applicable prévaut. La relecture juridique porte notamment sur le contexte d’adoption, les contrats, les publics et les traitements réellement activés.