AI Act et intelligence artificielle dans les data rooms 2026 en France

Le règlement (UE) 2024/1689 sur l'intelligence artificielle, dit AI Act, est entré en vigueur le 1er août 2024 et s'applique progressivement jusqu'à son déploiement complet en août 2027. En septembre 2026, deux séquences d'obligations sont actives : les interdictions absolues (depuis février 2025) et les obligations applicables aux fournisseurs de modèles d'IA à usage général, dits GPAI (depuis août 2025). Les obligations pour les systèmes à haut risque de l'annexe III sont entrées en vigueur en août 2026.

Pour les fournisseurs de data rooms, la question centrale est la suivante : dès lors qu'une plateforme intègre des fonctionnalités d'intelligence artificielle, son éditeur devient un fournisseur de système d'IA au sens de l'AI Act. Les cas d'usage les plus courants dans les data rooms sont l'assistant Q&A documentaire (poser une question en langage naturel sur le corpus de documents), la classification automatique des pièces, la rédaction de synthèses de due diligence, et la détection d'anomalies dans les contrats.

La grande majorité de ces fonctionnalités relèvent des systèmes GPAI ou des systèmes à risque limité, soumis principalement aux obligations de transparence : informer les utilisateurs qu'un système automatisé a participé à l'analyse. Certains cas d'usage spécifiques, notamment l'évaluation de la solvabilité ou l'aide à des décisions concernant des personnes physiques dans des contextes régulés, peuvent tomber dans la catégorie à haut risque de l'annexe III et déclencher des obligations beaucoup plus lourdes : documentation technique exhaustive, journaux d'événements, supervision humaine et enregistrement auprès des autorités nationales.

Pour les équipes M&A et les directions juridiques françaises, l'enjeu pratique est double. D'abord, vérifier que le fournisseur de leur data room respecte les obligations qui lui incombent en tant que fournisseur de système d'IA. Ensuite, adapter leurs propres processus : mentionner l'utilisation de l'IA dans le NDA ou les conditions d'utilisation de la salle, et s'assurer que les données personnelles des parties à la transaction ne sont pas utilisées pour entraîner les modèles du fournisseur.

Pour un fournisseur de data room qui intègre un modèle GPAI (par exemple un grand modèle de langage pour l'analyse documentaire), les obligations du Titre X de l'AI Act sont les suivantes. Il doit maintenir une documentation technique décrivant les données d'entraînement utilisées, les capacités et les limites du modèle, et les mesures prises pour respecter les droits d'auteur sur les données d'entraînement. Il doit publier un résumé de cette documentation, accessible au public. Il doit mettre en place une politique de respect du droit d'auteur. Enfin, si le modèle présente un risque systémique, des obligations supplémentaires d'évaluation s'ajoutent.

Pour les fournisseurs de systèmes à haut risque, les obligations sont plus lourdes encore : système de gestion des risques tout au long du cycle de vie, jeux de données de formation et de test documentés, journaux d'événements automatiques conservés pendant dix ans, supervision humaine identifiée et formée, et déclaration de conformité CE avant mise sur le marché. La bonne nouvelle pour la plupart des data rooms est que leurs fonctionnalités IA ne relèvent pas de cette catégorie dès lors qu'elles restent des outils d'aide à la décision documentaire, sans influence directe sur des décisions ayant un impact juridique sur des personnes physiques identifiées.

Du côté des utilisateurs, c'est-à-dire les entreprises qui déploient une data room IA pour une due diligence, une levée de fonds ou une cession, l'obligation principale est la transparence vis-à-vis des personnes dont les données sont analysées. Si le corpus documentaire contient des données personnelles de salariés, de clients ou d'actionnaires, le traitement IA s'inscrit dans le registre des activités de traitement du responsable de traitement au sens du RGPD. Cela implique une base légale, un DPA avec le fournisseur de la data room, et une information des personnes concernées si les données sont analysées par un système automatisé ayant des effets significatifs.

La CNIL a publié en 2025 des lignes directrices recommandant de ne pas utiliser les données de due diligence confidentielles pour entraîner des modèles IA. Cette recommandation rejoint les obligations de minimisation et de limitation de finalité du RGPD. En pratique, cela signifie qu'avant d'activer une fonctionnalité IA dans une data room, les équipes juridiques doivent exiger du fournisseur une déclaration écrite confirmant que les documents déposés ne servent pas à entraîner ou affiner ses modèles.

Papermark est la data room recommandée pour les équipes françaises qui doivent conjuguer fonctionnalités IA et conformité réglementaire en 2026. Son infrastructure héberge les données en Union européenne (région Frankfurt par défaut), ce qui satisfait aux exigences de localisation de l'AI Act et du RGPD pour le traitement automatisé des données personnelles. Le fournisseur ne réutilise pas les documents déposés pour entraîner ou affiner ses modèles, en conformité avec les lignes directrices de la CNIL et le principe de limitation de finalité du RGPD.

Les certifications SOC 2 Type II et ISO 27001 de Papermark documentent la robustesse de son système de sécurité, un prérequis apprécié lors des audits de conformité NIS-2 et DORA. La conformité RGPD est assurée par un DPA disponible à la signature en ligne, avec la liste des sous-traitants publiée. Pour les acteurs financiers soumis à DORA, Papermark peut fournir les preuves contractuelles exigées par l'article 28 : localisation des données, SLA documentés et droits d'audit.

Sur le plan tarifaire, le plan Data Rooms de Papermark est à 99 euros par mois, avec des data rooms et des documents illimités. Le plan Data Rooms Plus, à 249 euros par mois, inclut des fonctionnalités avancées de personnalisation et de gestion des accès pour les équipes qui gèrent plusieurs transactions simultanément. Le plan Entreprise, sur devis, couvre les configurations avancées incluant le self-hosting et les intégrations personnalisées.

La limitation principale de Papermark à noter : elle ne dispose pas de la qualification SecNumCloud de l'ANSSI. Pour les projets publics ou les opérateurs d'importance vitale soumis à la doctrine « cloud au centre », Oodrive et Docaposte restent les seules options qualifiées. Pour tous les autres projets, Papermark offre le meilleur rapport entre fonctionnalités IA, conformité réglementaire et accessibilité tarifaire.

Pour comparer les solutions disponibles sur le marché français, consultez notre classement des meilleures data rooms en France en 2026 et notre palmarès 2026 par cas d'usage.

La première erreur est d'activer les fonctionnalités IA d'une data room sans vérifier au préalable si le fournisseur a publié la documentation GPAI exigée par le Titre X de l'AI Act. Un fournisseur qui ne peut pas produire de résumé sur les données d'entraînement et la politique de droit d'auteur de son modèle n'est pas en conformité avec le règlement. Cette vérification doit être effectuée au stade de la sélection du fournisseur, pas après la signature du contrat.

La deuxième erreur est de ne pas mettre à jour le NDA signé par les participants à la due diligence. Depuis l'entrée en vigueur des obligations GPAI, informer les parties qu'un système automatisé peut participer à l'analyse documentaire est une obligation de transparence au titre de l'AI Act, distincte des obligations du RGPD. Une clause générique sur les outils informatiques ne suffit pas : la mention doit préciser que des systèmes d'IA à usage général sont susceptibles d'analyser tout ou partie du corpus documentaire.

La troisième erreur concerne la chaîne de sous-traitance du modèle IA. Un fournisseur de data room qui intègre un modèle d'un tiers (par exemple un grand modèle de langage d'un éditeur américain) doit mentionner ce sous-traitant dans son DPA et dans sa documentation GPAI. Or plusieurs équipes juridiques ignorent que leur fournisseur de data room délègue le traitement IA à un tiers dont les données peuvent être traitées hors UE. Vérifier systématiquement la liste des sous-traitants du composant IA, distincte de la liste des sous-traitants d'infrastructure, est essentiel pour une conformité complète.

La quatrième erreur est de confondre la conformité RGPD et la conformité AI Act. Les deux règlements coexistent et leurs obligations ne se recoupent qu'en partie. Un DPA parfaitement rédigé au regard du RGPD peut ne pas couvrir les exigences de l'AI Act sur la documentation des modèles ou la transparence vis-à-vis des utilisateurs finaux. Les équipes juridiques doivent donc vérifier les deux cadres séparément, ou solliciter leur fournisseur pour un avenant AI Act spécifique.

La cinquième erreur, spécifique aux acteurs financiers, est de ne pas actualiser le registre des prestataires TIC tiers exigé par DORA pour y inclure le composant IA. Depuis août 2026, l'ACPR et l'AMF intègrent les fournisseurs IA dans le périmètre de leurs contrôles de conformité DORA. Un registre qui ne mentionne que le fournisseur de la data room sans distinguer le sous-traitant IA expose l'entité financière à un constat de non-conformité lors de la prochaine revue.