Le RGPD ou le règlement sur l'IA s'appliquent-ils à mon entreprise américaine ?

Une entreprise américaine de SaaS qui vend des licences à un client à Berlin, une boutique Shopify qui livre en France, un éditeur de HR-tech dont l'outil de notation des candidats est utilisé par un employeur néerlandais : aucune de ces trois entreprises n'a de bureau dans l'UE, de compte bancaire européen ni d'entité enregistrée dans l'UE. Toutes les trois peuvent pourtant relever pleinement du RGPD, du règlement sur l'IA, ou des deux. Ce qui déclenche l'application n'est pas le lieu d'immatriculation de votre entreprise. C'est l'endroit où se trouvent vos clients, la cible de votre marketing, et l'endroit où finit par être utilisé le résultat produit par votre système d'IA. C'est une question différente de celle que se posent la plupart des entreprises américaines, généralement une variante de « nous sommes une entreprise américaine, pourquoi le droit de l'UE nous concernerait-il ? ».

Le test RGPD : ciblez-vous des personnes dans l'UE, ou surveillez-vous leur comportement

Le champ d'application territorial du RGPD, article 3(2) du règlement (UE) 2016/679, ne se préoccupe pas du lieu d'immatriculation. Il s'applique à une entreprise non européenne dès qu'elle offre des biens ou des services à des personnes dans l'UE — même gratuitement — ou surveille leur comportement. Les régulateurs regardent l'intention de cibler, pas la simple accessibilité : votre site affiche-t-il des prix en euros, propose-t-il des versions linguistiques pour les marchés de l'UE, diffuse-t-il des publicités géolocalisées vers des audiences européennes, mentionne-t-il des clients ou témoignages européens, livre-t-il physiquement à des adresses de l'UE, ou utilise-t-il un domaine national comme .fr ou .de ? Une entreprise américaine dont le site est accessible depuis Bruxelles parce qu'Internet est mondial n'entre pas automatiquement dans le champ d'application. Une entreprise américaine avec un tunnel de paiement en euros, des pages en français et en allemand, et des publicités géociblées sur Paris et Berlin, c'est une autre affaire, quel que soit l'emplacement de ses serveurs ou de son siège. La « surveillance du comportement » vise un tout autre groupe : cookies, outils d'analyse et pixels publicitaires qui suivent les visiteurs de l'UE, même sur un site qui n'a jamais explicitement ciblé les ventes européennes.

Le test du règlement sur l'IA : peu importe où se trouve votre entreprise, seul compte l'endroit où arrive le résultat

Le règlement sur l'IA, règlement (UE) 2024/1689, tend un filet encore plus large pour les fournisseurs américains d'IA. L'article 2(1)(c) s'applique aux fournisseurs et déployeurs situés dans un pays tiers dès que le résultat produit par leur système d'IA est utilisé dans l'UE. C'est un test fondé sur le résultat, pas sur l'établissement, et il ne suppose aucune vente dans l'UE. Une entreprise américaine de HR-tech dont l'outil de notation des candidats est utilisé par un seul employeur néerlandais entre dans le champ d'application, même si l'entreprise américaine elle-même n'a aucun client, contrat ou marketing dans l'UE. Le 2 août 2026, les obligations relatives aux systèmes à haut risque de l'annexe III et les obligations de transparence de l'article 50 sont entrées en vigueur pour tout fournisseur et déployeur dont le résultat atteint l'UE, y compris les fournisseurs de pays tiers — une échéance désormais bien réelle, plus théorique.

L'obligation que presque toutes les entreprises américaines oublient : désigner un représentant dans l'UE

Si le RGPD vous est applicable en vertu de l'article 3(2), l'article 27 vous impose de désigner un représentant établi dans un État membre de l'UE — un point de contact formel pour les autorités de contrôle et les personnes concernées, distinct de tout avocat que vous auriez déjà mandaté. Oublier cela n'est pas une formalité que les régulateurs ignorent : l'article 83 fixe l'amende pour absence de représentant désigné jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires mondial, en plus de toute amende applicable au traitement sous-jacent. Le règlement sur l'IA impose une obligation parallèle aux fournisseurs non européens de systèmes à haut risque, qui doivent désigner leur propre mandataire établi dans l'UE avant de mettre ce système sur le marché européen. Ces deux obligations existent précisément parce que l'UE s'attend à traiter avec des entreprises de pays tiers sans bureau dans l'UE, et ce sont généralement les premières choses qu'oublie l'audit de conformité d'une entreprise américaine — « avons-nous besoin d'un avocat américain » et « avons-nous besoin d'un représentant dans l'UE » ne semblent pas être la même question tant que personne n'a fait remarquer qu'il ne s'agit pas d'alternatives interchangeables.

Qui peut réellement faire appliquer cela à une entreprise sans actifs dans l'UE

C'est ici que tout devient beaucoup plus flou une fois qu'on quitte le texte de loi pour regarder ce qui se passe réellement. Le cas d'école le plus clair est Clearview AI : les autorités de protection des données néerlandaise, française, italienne et grecque ont collectivement infligé à cette entreprise américaine de reconnaissance faciale environ 100 millions d'euros d'amendes pour violations du RGPD. Clearview n'a ni bureau dans l'UE, ni représentant dans l'UE, ni actifs dans l'UE, et a affirmé ne faire aucune affaire dans l'UE. Aucun mécanisme conventionnel n'oblige les tribunaux américains à faire exécuter l'amende d'un régulateur européen, et, selon la plupart des informations publiques disponibles, les autorités n'en ont recouvré à peu près rien.

Cela ne signifie pas que l'exposition soit théorique pour une entreprise américaine qui n'est pas Clearview. Trois choses mordent même sans amende recouvrable. D'abord, les clients professionnels européens mènent de plus en plus une diligence d'achat qui exige un accord de traitement des données signé, des clauses contractuelles types, ou la preuve d'une analyse de risque achevée avant même de signer un contrat — pour une entreprise américaine de SaaS qui vise des revenus d'entreprise européens, perdre l'affaire coûte plus vite et plus cher que de perdre un combat qu'un régulateur ne peut pas recouvrer. Ensuite, les autorités de surveillance du marché du règlement sur l'IA ont le pouvoir d'ordonner le retrait pur et simple d'un produit du marché européen, ce qui ne nécessite aucun recouvrement, cela met simplement fin aux ventes dans l'UE. Enfin, être publiquement connue comme l'entreprise qui a ignoré les régulateurs européens, comme c'est désormais le cas de Clearview, est une référence qu'un pipeline commercial sérieux tourné vers l'UE ne survit pas.

La complication qui s'ajoute à tout cela en ce moment : le cadre de protection des données UE-États-Unis

Si votre entreprise transfère les données personnelles de clients européens vers des serveurs américains, ce transfert a besoin de sa propre base juridique, indépendamment du fait que le RGPD s'applique ou non à votre traitement. La plupart des entreprises américaines s'appuient sur le cadre de protection des données UE-États-Unis (Data Privacy Framework), la décision d'adéquation adoptée par la Commission européenne en juillet 2023. Cette base est soumise à une tension réelle au moment où cet article est écrit : l'arrêt de juin 2026 de la Cour suprême des États-Unis dans l'affaire Trump c. Slaughter a supprimé l'indépendance statutaire des commissaires de la FTC, et le Comité européen de la protection des données a formellement demandé à la Commission d'examiner si la décision d'adéquation du DPF tient toujours, cette décision citant l'indépendance de la FTC comme l'un de ses piliers. Un recours distinct est déjà pendant devant la Cour de justice de l'UE. Personne ne sait encore comment l'une ou l'autre procédure se résoudra, mais le schéma paraîtra familier à quiconque a suivi la chute du Privacy Shield en 2020 : une entreprise américaine qui n'a pas préparé de clauses contractuelles types en solution de repli porte un second risque, indépendant, en plus de son exposition RGPD déjà existante.

Ce qu'il faut vérifier dans votre propre entreprise

• Votre marketing, vos prix ou votre tunnel d'achat ciblent-ils spécifiquement des clients de l'UE — prix en euros, pages en langues de l'UE, publicités géociblées — plutôt que d'être simplement accessibles depuis l'UE ?
• Une fonctionnalité d'IA que vous développez ou utilisez produit-elle un score, une décision ou une recommandation utilisée par une personne établie dans l'UE, que vous ayez ou non un seul client européen ?
• Avez-vous désigné un représentant dans l'UE en vertu de l'article 27 du RGPD, ou de l'obligation équivalente du règlement sur l'IA pour les fournisseurs à haut risque, ou supposez-vous qu'une politique de confidentialité américaine couvre déjà cela ?
• Si vous transférez des données personnelles européennes vers des serveurs américains, dépendez-vous uniquement du cadre de protection des données, et disposez-vous de clauses contractuelles types prêtes si cette décision d'adéquation ne survit pas à ses contestations juridiques actuelles ?
• Pourriez-vous produire aujourd'hui une analyse de risque RGPD ou une classification de risque au titre du règlement sur l'IA si l'équipe achats d'un client entreprise européen vous la demandait demain ?
• Avez-vous vérifié si votre produit relève d'une catégorie à haut risque de l'annexe III du règlement sur l'IA pour un utilisateur européen de son résultat, indépendamment de la façon dont il est classé pour vos clients américains ?

Information générale, pas un conseil juridique : que le RGPD ou le règlement sur l'IA s'applique ou non à votre entreprise dépend de faits concernant votre marketing, vos clients et vos systèmes d'IA que cet article ne peut pas trancher pour vous. Lorsque Komplya publie des contenus comme celui-ci, nous précisons clairement quels éléments ont fait l'objet d'une revue juridique et lesquels restent à l'état de brouillon, afin que vous puissiez les pondérer en conséquence.

Un outil de conformité conçu pour les PME européennes peut-il vraiment aider une entreprise américaine ? La logique d'applicabilité est le même test dans les deux cas : les critères de ciblage et de surveillance de l'article 3(2) du RGPD, et le champ d'application fondé sur le résultat de l'article 2(1)(c) du règlement sur l'IA, ne changent pas selon le lieu d'immatriculation de votre entreprise. Répondez à un court questionnaire sur votre marketing, vos clients et vos fonctionnalités d'IA tournés vers l'UE, et Komplya établit exactement quelles obligations s'appliquent et génère une politique de confidentialité, une politique d'utilisation de l'IA ou une analyse d'impact rédigées par IA et fondées sur ces obligations précises — des documents qui sont d'ailleurs souvent exactement ce que demande l'équipe achats d'un client entreprise européen. Ce que Komplya ne fait pas, c'est agir comme votre représentant au titre de l'article 27 ; cette désignation juridique distincte reste à organiser séparément.

Plutôt que de deviner, à des milliers de kilomètres de distance, si le droit de l'UE atteint votre entreprise, la voie la plus rapide consiste à passer en revue directement vos clients, votre marketing et vos systèmes d'IA tournés vers l'UE au regard des deux tests.