EU AI Act + Schrems II pour les déploiements Joule
À jour au 2026-09-27
Qu'est-ce que EU AI Act + Schrems II pour les déploiements Joule ?
Un déploiement Joule dans l'UE relève de deux régimes distincts : l'AI Act (obligations « haut risque » désormais au 2 décembre 2027 pour l'annexe III après l'Omnibus numérique) et les règles de transfert du RGPD (Schrems II ; cadre UE-États-Unis de protection des données confirmé par le Tribunal le 3 septembre 2025, pourvoi pendant) — chacun exige sa propre décision.
De quoi il s'agit
Un déploiement de Joule dans l'UE doit franchir deux épreuves juridiques différentes, qu'on confond facilement. La première est l'AI Act européen (règlement (UE) 2024/1689) : le scénario Joule configuré relève-t-il d'un niveau de risque assorti d'obligations, et qui — SAP ou le client — les porte ? La seconde est le régime du RGPD applicable aux transferts internationaux, façonné par l'arrêt Schrems II de la Cour de justice (affaire C-311/18, 16 juillet 2020) : lorsque des données personnelles atteignent un point d'accès de modèle ou un processus de support hors de l'EEE, existe-t-il un mécanisme de transfert valable ? Un scénario peut réussir l'une et échouer l'autre. Le travail de l'architecte consiste à répondre aux deux avant le premier sprint, et à concevoir la solution de façon que ces réponses puissent évoluer sans tout reconstruire.
Pourquoi c'est important
- Deux régimes, deux décisions : le niveau de risque AI Act (haut risque au 2 décembre 2027 pour l'annexe III) et la base de transfert RGPD s'évaluent séparément — réussir l'un ne dit rien de l'autre.
- L'IA appliquée à l'emploi relève explicitement de l'annexe III (point 4) : un agent Joule qui classe des candidats ou propose des mesures de performance est à haut risque dès qu'il façonne de manière significative la décision.
- Le cadre UE-États-Unis de protection des données a survécu au recours en annulation en première instance (T-553/23, 3 septembre 2025), mais un pourvoi est signalé — concevez une base de transfert remplaçable.
Points clés
- AI Act modifié par le règlement (UE) 2026/1744 : obligations « haut risque » au 2 décembre 2027 (annexe III) et au 2 août 2028 (annexe I) ; transparence de l'art. 50 déjà applicable depuis le 2 août 2026.
- Déclencheurs Joule : annexe III point 4 (recrutement, promotion, licenciement, attribution des tâches, suivi de la performance) et point 5 (notation de crédit des consommateurs, tarification assurance vie/santé).
- L'art. 6, paragraphe 3, peut sortir un système de l'annexe III du haut risque (tâche étroite ou préparatoire, pas de profilage) — uniquement avec une évaluation documentée.
- Le client qui construit des agents dans Joule Studio ou détourne une fonction SAP peut devenir fournisseur (art. 25) ; le déployeur garde les obligations de l'art. 26, dont l'information des représentants du personnel.
- Transferts : Schrems II (C-311/18, 2020) → cadre de protection des données (décision (UE) 2023/1795) confirmé par le Tribunal le 3 septembre 2025 (T-553/23) ; pourvoi signalé (C-703/25 P).
- Le choix du modèle détermine la localisation : vérifier la note SAP 3437766 et les mentions « cloud souverain » ; Mistral AI et Cohere sont les options souveraines annoncées par SAP.
Termes employés sur cette page
- AI Act (règlement (UE) 2024/1689)
- Règlement européen fondé sur les risques pour les systèmes d'IA et les modèles GPAI, en vigueur depuis le 1er août 2024 ; modifié par l'Omnibus numérique (règlement (UE) 2026/1744) en juillet 2026.
- Schrems II
- Arrêt C-311/18 de la CJUE du 16 juillet 2020 qui a invalidé le Privacy Shield UE-États-Unis et exigé une évaluation au cas par cas des transferts fondés sur des clauses contractuelles types.
- Cadre UE-États-Unis de protection des données
- Décision d'adéquation (UE) 2023/1795 du 10 juillet 2023 pour les transferts vers des organisations américaines certifiées ; recours en annulation rejeté par le Tribunal le 3 septembre 2025 (T-553/23).
- Obligations du déployeur (article 26)
- Utilisation conforme à la notice, contrôle humain compétent, surveillance, conservation des journaux et information des représentants du personnel avant tout déploiement d'une IA à haut risque sur le lieu de travail.
- Analyse d'impact du transfert
- Évaluation documentée, exigée depuis Schrems II en cas de recours aux clauses contractuelles types, de la capacité du droit du pays destinataire à compromettre les garanties.
Sources
- EUR-Lex — Regulation (EU) 2024/1689 (AI Act)
- EUR-Lex — Regulation (EU) 2026/1744 (Digital Omnibus on AI), OJ L 24.7.2026
- EUR-Lex — CJEU Case C-311/18 (Schrems II), 16 July 2020
- CJEU press release No 106/25 — General Court dismisses action against the EU-US data transfer framework (T-553/23), 3 Sep 2025
- IAPP — General Court upholds EU-US Data Privacy Framework (secondary; appeal status)
- SAP News — SAP unveils the Autonomous Enterprise (Sapphire 2026; Mistral AI and Cohere sovereign model options)
- SAP AI Core — product guide PDF incl. What's New (generative AI hub models, sovereign-cloud flags), 2026-09-04
- AI Act Article 99 — penalties (reading aid)
- SAP News Center — AI agents work at scale: AI Governance Assistant, EU AI Act + NIST classification (22 Sep 2026)
- SAP Help Portal — generative AI hub model access and providers
- LeanIX — SAP LeanIX announces launch of AI Agent Hub (4 Nov 2025)
- Microsoft Learn — OpenAI as a subprocessor in Microsoft Fabric
- SAP News Center — secure AI agents: SAP and NVIDIA co-define enterprise-grade agent execution (12 May 2026)
Fiche complète réservée aux abonnés. Ce que la fiche complète ajoute : le cadre de décision complet · la comparaison SAP · Snowflake · Databricks · Fabric · les pièges courants et leur correctif · l'aide-mémoire · les schémas d'architecture · les blocs de code · les chiffres à citer.