Pour garantir une utilisation sûre de l’intelligence artificielle dans une entreprise en Espagne en 2026, 5 choses sont nécessaires : savoir quels outils votre équipe utilise déjà, choisir un fournisseur qui offre un contrat entreprise et des garanties sur vos données, établir une charte d’utilisation, former chacun selon son rôle et tout revoir une fois par an. Le règlement européen sur l’IA (l’« AI Act ») et le RGPD sont déjà en vigueur.
Dans ce guide, nous expliquons ce qu’il faut pour chacun d’eux, ce qui a été reporté et comment le mettre en place en 90 jours.
Comment l’IA est utilisée dans les entreprises en Espagne en 2026
33,6 % des entreprises espagnoles de 10 salariés ou plus utilisent déjà l’IA. C’est ce qu’indiquent les données du premier trimestre 2026 de l’INE, l’institut national de la statistique espagnol. Au premier trimestre 2025, c’était 21,1 %. Dans les entreprises de moins de 10 salariés, c’est 21,4 %.
Pourtant, la réalité dépasse les chiffres officiels. Dans une étude d’OpenAI auprès de 1 000 PME espagnoles, 70 % des dirigeants déclarent que leurs salariés utilisent déjà l’IA de leur propre initiative, souvent avec des comptes personnels. 39 % de ces PME n’ont toujours pas de règles sur ce qui est permis et ce qui ne l’est pas. Selon notre estimation, plus de 90 % des PME n’ont probablement pas de charte.
C’est le point de départ de presque toutes les entreprises : l’IA est déjà là, sans contrat, sans règles et sans savoir quelles données sont sorties de l’entreprise.
Ce que l’IA peut faire dans votre entreprise, et ce qu’elle ne peut pas faire
L’IA générative est très douée pour rédiger, résumer, traduire, classer et chercher dans des documents. Elle est de plus en plus capable d’enchaîner des tâches en plusieurs étapes avec les outils de l’entreprise. En revanche, elle ne peut pas garantir qu’une information est vraie. Elle peut inventer avec un aplomb total. C’est pourquoi, pour chaque usage, il faut une personne qui relise le résultat avant qu’il ne sorte de l’entreprise.
| Domaine | Usages qui fonctionnent aujourd’hui | Ce qu’il faut vérifier |
|---|---|---|
| Marketing | Premiers jets de textes et d’annonces, adaptation d’une campagne à chaque canal, analyse des commentaires clients | Ton de la marque, faits et promesses sur le produit, droit à l’image |
| Ventes | Préparer les rendez-vous, rédiger des propositions, mettre à jour le CRM à partir des e-mails et des appels | Prix et conditions avant tout envoi |
| Service client | Réponses suggérées, résumés de dossiers, FAQ | Qu’elle ne promette pas ce que l’entreprise n’offre pas ; dire aux gens qu’ils parlent à une IA |
| Opérations et produit | Cahiers des charges, comparatifs de fournisseurs, rapports hebdomadaires, suivi des tâches | Chiffres et engagements envers des tiers |
| Finance et administration | Classer factures et notes de frais, rapprochements, projets de rapports | Tout montant qui finit dans la comptabilité |
| Ressources humaines | Offres d’emploi, plans de formation, réponses aux questions internes | Ne pas laisser l’IA décider à propos de personnes (voir plus bas) |
Pour voir jusqu’où cela peut aller, lisez comment un agent d’IA a été notre chef de produit pendant neuf mois et ce que font différemment les entreprises nativement IA.
Ce que dit la loi : l’AI Act en 2026
L’AI Act s’applique directement en Espagne, par étapes. La plupart des entreprises ne développent pas d’IA, elles l’utilisent. Le règlement les appelle déployeurs. Leurs obligations sont peu nombreuses, mais déjà en vigueur.
L’omnibus numérique, le règlement (UE) 2026/1744, en vigueur depuis le 27 juillet 2026, a reporté les obligations des systèmes à haut risque et assoupli l’obligation de formation. Le reste du calendrier n’a pas changé.
| À partir du | Ce qui s’applique | Cela concerne-t-il une entreprise qui utilise l’IA ? |
|---|---|---|
| 2 février 2025 | Pratiques interdites, comme reconnaître les émotions des salariés au travail ou la notation sociale | Oui : ne pas les pratiquer |
| 2 février 2025 | Maîtrise de l’IA (article 4), reformulée en juillet 2026 comme une obligation de prendre des mesures | Oui : formation et traçabilité |
| 2 août 2025 | Obligations des fournisseurs de modèles à usage général (OpenAI, Google, Anthropic…) | Pas directement |
| 2 août 2026 | Transparence (article 50) | Oui, si vous publiez des contenus générés par IA ou avez un chatbot ouvert au public |
| 2 décembre 2027 | Systèmes à haut risque de l’annexe III (auparavant août 2026) | Seulement si vous utilisez l’IA dans ces domaines |
| 2 août 2028 | IA à haut risque dans les produits réglementés (annexe I) | Seulement pour les fabricants de ces produits |
Le calendrier complet, les sanctions et ce que chaque obligation implique en pratique sont dans notre guide de l’AI Act en 2026.
Former votre équipe (article 4)
Toute entreprise qui utilise l’IA doit prendre des mesures pour que son équipe sache s’en servir : ses limites, ses risques et les règles de l’entreprise. Il n’existe ni certificat officiel ni nombre d’heures minimum, mais vous devez pouvoir montrer quelle formation vous avez dispensée et à qui. Nous l’expliquons en détail dans le guide de l’article 4.
Transparence (article 50)
Depuis août 2026, quiconque publie une image, un son ou une vidéo générés ou manipulés par IA qui semblent réels (un « deepfake ») doit indiquer qu’ils sont artificiels. Il en va de même pour les textes générés par IA publiés pour informer le public sur des questions d’intérêt public, sauf si une personne les a relus et que quelqu’un en assume la responsabilité éditoriale. Et un chatbot qui parle aux clients doit indiquer clairement qu’il s’agit d’une IA ; cette obligation incombe au fournisseur du système, mais si vous en installez un sur votre site, mieux vaut le vérifier.
Haut risque : là où il faut être vigilant
Le règlement considère comme à haut risque, entre autres, les systèmes utilisés pour recruter, évaluer ou promouvoir des salariés, décider de licenciements ou répartir les tâches selon le comportement de chacun, ainsi que ceux qui évaluent la solvabilité des particuliers. Leurs obligations s’appliquent à partir du 2 décembre 2027. Demander à l’IA de rédiger une offre d’emploi n’est pas à haut risque ; la laisser trier les candidats, si.
Qui contrôle en Espagne
L’autorité espagnole de contrôle de l’IA est l’AESIA (Agencia Española de Supervisión de la Inteligencia Artificial), basée à La Corogne. L’AEPD reste l’autorité compétente pour tout ce qui touche aux données personnelles.
Le projet de loi organique qui devait fixer le régime espagnol de sanctions et répartir les compétences entre autorités est devenu caduc le 6 octobre 2026, lors de la dissolution des Cortes en vue des élections générales. Un nouveau gouvernement devra présenter un nouveau texte. Cela ne suspend rien : le règlement européen s’applique quoi qu’il arrive, avec des amendes maximales de 35 millions d’euros ou 7 % du chiffre d’affaires mondial pour les pratiques interdites, et de 15 millions d’euros ou 3 % pour les autres obligations. Pour une PME, c’est le plus bas des deux qui s’applique.
RGPD : ce qui s’appliquait déjà, et s’applique toujours
Dès que quelqu’un colle dans un outil d’IA l’e-mail d’un client, un CV ou un tableur contenant des noms, l’entreprise traite des données personnelles, et le RGPD s’applique comme à tout autre traitement. En pratique, cela signifie :
- Un accord de traitement des données avec le fournisseur (article 28 du RGPD). Les comptes personnels et gratuits n’en ont pas ; les offres entreprise, si.
- Une base légale pour chaque usage impliquant des données personnelles, et l’information des personnes concernées lorsque c’est nécessaire.
- De la prudence avec les catégories particulières de données (santé, opinions politiques, origine ethnique, données biométriques) : la règle la plus simple est de ne pas les saisir dans des outils d’IA, sauf si l’usage a été analysé et autorisé.
- Les transferts internationaux. Si le fournisseur traite des données hors de l’Espace économique européen, le transfert doit être encadré par une garantie. Pour les États-Unis, le cadre de protection des données UE–États-Unis est toujours en vigueur : le Tribunal de l’UE l’a validé en septembre 2025, même si le pourvoi devant la Cour de justice est toujours pendant. Sachez sur quelle garantie s’appuie votre fournisseur, et ayez un plan si ce cadre tombe, comme sont tombés les deux précédents.
- Une analyse d’impact relative à la protection des données lorsque l’usage peut présenter un risque élevé pour les personnes, par exemple pour analyser des salariés ou des clients à grande échelle.
- Ne pas laisser l’IA décider seule à propos de personnes lorsque la décision les affecte de manière significative (article 22).
En novembre 2025, l’AEPD a publié sa propre politique interne d’utilisation de l’IA générative. Elle a été écrite pour l’agence, pas pour les entreprises, mais c’est un bon modèle des questions auxquelles répondre par écrit. Et si vous vous inquiétez de ce que votre équipe fait avec les outils qu’elle utilise déjà, lisez pourquoi tant d’équipes ne font pas confiance à l’IA d’entreprise.
Comment choisir un fournisseur d’IA : huit questions
La question n’est pas de savoir quel modèle est « le meilleur » (cela change tous les quelques mois), mais quelles garanties le fournisseur vous donne sur vos données et combien il vous en coûte de changer de modèle. Avant de signer, demandez des réponses écrites à ces huit questions :
- S’agit-il d’une offre entreprise, avec un administrateur et des comptes de l’entreprise ? Si chacun utilise son propre compte, l’entreprise ne contrôle rien.
- Entraîne-t-il des modèles avec nos données ? Dans les offres entreprise des grands fournisseurs, la réponse par défaut est non ; dans les comptes personnels, cela dépend des réglages de chacun.
- Où les données sont-elles stockées ? Plusieurs fournisseurs permettent désormais de les stocker en Europe. OpenAI, par exemple, le propose pour les nouveaux espaces ChatGPT Enterprise et Edu.
- Où le modèle s’exécute-t-il ? Ce n’est pas la même question que la précédente. Les données peuvent être stockées en Europe et envoyées dans un autre pays pour générer chaque réponse. Posez les deux questions séparément.
- Y a-t-il un accord de traitement des données, et qui sont les sous-traitants ultérieurs ? Demandez la liste et les garanties de chaque transfert.
- Combien de temps les données sont-elles conservées, et comment sont-elles supprimées ? Y compris les fichiers que l’équipe téléverse.
- Puis-je utiliser plusieurs modèles, ou suis-je lié à un seul ? Chaque modèle est meilleur pour certaines tâches, et les prix et conditions changent. Dépendre d’un seul fournisseur est un risque pour l’activité.
- Qui m’aide à le déployer, et dans quelle langue ? Un outil que l’équipe n’adopte pas est un coût, pas un investissement.
Un plan sur 90 jours pour une PME
Inutile d’en faire un grand projet. Un plan réaliste pour une entreprise de 10 à 200 personnes :
| Semaines | Que faire | Résultat |
|---|---|---|
| 1 et 2 | Inventaire : quels outils d’IA chaque équipe utilise, avec quels comptes et quelles données | Une liste, sans chercher de coupables |
| 3 et 4 | Choisir l’outil autorisé à l’aide des huit questions ci-dessus, et signer l’accord de traitement des données | Un fournisseur et un contrat |
| 4 et 5 | Rédiger la charte IA : outils autorisés, données interdites, qui relit quoi | Une charte de deux ou trois pages |
| 5 et 6 | Formation par profil, et registre des personnes formées | L’article 4 respecté, et démontrable |
| 6 à 10 | Deux ou trois pilotes avec un indicateur chacun : heures gagnées, délai de réponse, propositions envoyées | Savoir ce qui fonctionne, chiffres à l’appui |
| 11 à 13 | Étendre ce qui fonctionne, arrêter ce qui ne fonctionne pas, et nommer un responsable pour chaque processus | Un usage réel, avec un responsable |
Ensuite, revoyez la charte et la formation une fois par an, et chaque fois que les outils changent.
Erreurs fréquentes
- Interdire l’IA. L’équipe continue de l’utiliser depuis son téléphone et des comptes personnels, et l’entreprise perd le contrôle de ses données.
- Penser que l’AI Act ne concerne que ceux qui développent de l’IA. La formation et la transparence s’appliquent à ceux qui l’utilisent.
- Confondre l’endroit où les données sont stockées et celui où le modèle s’exécute. Ce sont deux questions différentes, et il faut poser les deux.
- Mesurer l’usage plutôt que les résultats. Le nombre de conversations ne dit rien ; les heures gagnées ou les clients servis, si.
- Laisser l’IA décider à propos de personnes, pour un recrutement, une évaluation ou un crédit, sans qu’une personne relise chaque décision.
La place de P30
P30 est un espace de travail IA pour les entreprises : Claude, GPT, Gemini et Grok au même endroit, avec une mémoire commune de l’entreprise, des rôles et des permissions. Vos données sont hébergées dans l’UE et ne servent jamais à entraîner des modèles, et notre équipe vous aide à le déployer, en anglais ou en espagnol. Découvrez comment nous traitons les données sur notre page sécurité et dans notre accord de traitement des données, ou parlez-nous.
Sources
- Règlement (UE) 2024/1689 (AI Act) : articles 3, 4, 5, 50, 99 et 113, et annexe III.
- Règlement (UE) 2026/1744 (omnibus numérique), qui reporte les obligations du haut risque et modifie l’article 4.
- Règlement (UE) 2016/679 (RGPD) : articles 9, 22, 28 et 35, et chapitre V.
- INE : enquête sur l’usage des TIC et du commerce électronique dans les entreprises, premier trimestre 2026, publiée le 22 octobre 2026, et celle du premier trimestre 2025 (en espagnol).
- Étude d’OpenAI auprès de 1 000 dirigeants de PME espagnoles, rapportée par Europa Press le 17 septembre 2026.
- Congrès des députés : projet de loi 121/000096 sur le bon usage et la gouvernance de l’IA, caduc depuis le 6 octobre 2026, et le décret royal 806/2026 de dissolution des Cortes.
- AESIA, agence espagnole de contrôle de l’IA.
- AEPD : politique interne d’utilisation de l’IA générative, novembre 2025 (en espagnol).
- Tribunal de l’Union européenne, affaire T-553/23, Latombe contre Commission, arrêt du 3 septembre 2025 ; pourvoi C-703/25 P.
- OpenAI : résidence des données en Europe.