Espagne et AI Act : ce que l'AESIA et l'AEPD attendent des entreprises

L'Espagne n'a pas attendu Bruxelles pour s'organiser. En août 2023, le gouvernement a approuvé par décret royal le statut de l'Agencia Española de Supervisión de la Inteligencia Artificial (AESIA), installée à La Corogne. Le pays est ainsi devenu le premier État de l'Union européenne à se doter d'une agence nationale dédiée à la supervision de l'intelligence artificielle, avant même l'adoption définitive du règlement européen sur l'IA.

Pour les entreprises espagnoles, cela change la donne. Elles auront face à elles deux interlocuteurs : l'AESIA pour les systèmes d'IA, et l'Agencia Española de Protección de Datos (AEPD) pour les données personnelles. Et les deux s'intéressent déjà à ce que les salariés tapent chaque jour dans ChatGPT, Copilot ou Gemini.

Une agence pensée pour l'AI Act

L'AESIA est née d'un choix politique clair : disposer d'une autorité prête le jour où les obligations européennes s'appliqueraient. Elle a commencé son activité sur place à La Corogne début 2025. Le projet de loi organique sur le bon usage et la gouvernance de l'IA, examiné au Congrès des députés en 2026, en fait l'autorité principale de surveillance du marché, avec un pouvoir de sanction, un guichet unique pour les plaintes et la gestion du bac à sable réglementaire national.

Ce texte reprend les plafonds de l'AI Act. Pour les pratiques interdites, l'amende peut atteindre 35 millions d'euros ou 7 % du chiffre d'affaires mondial. Pour les PME, c'est le montant le plus bas des deux qui s'applique. Le projet ajoute aussi une infraction très grave en cas d'absence de signalement d'un incident sérieux.

L'AEPD et la LOPDGDD restent en première ligne

L'arrivée de l'AESIA ne retire rien aux pouvoirs de l'AEPD. Dès qu'un prompt contient un nom, un DNI, un IBAN ou un dossier médical, c'est le RGPD qui s'applique, complété en Espagne par la Ley Orgánica 3/2018 de protección de datos personales y garantía de los derechos digitales, la fameuse LOPDGDD.

Cette loi a une particularité utile pour les DSI : elle consacre des droits numériques au travail, comme le respect de la vie privée dans l'usage des outils fournis par l'employeur ou le droit à la déconnexion. Concrètement, tout dispositif de contrôle des usages de l'IA doit être proportionné, annoncé aux salariés et encadré par des règles écrites. Surveiller tout, sans prévenir, n'est pas une option.

Le calendrier : ce qui s'applique déjà, ce qui arrive

L'AI Act entre en application par étapes, et plusieurs obligations sont déjà en place :

• Depuis le 2 février 2025 : interdiction de certaines pratiques et obligation de culture de l'IA (article 4). Chaque entreprise qui utilise de l'IA doit s'assurer que ses équipes comprennent suffisamment les outils.

• Depuis le 2 août 2025 : règles pour les modèles d'IA à usage général et mise en place des régimes de sanctions nationaux.

• À venir : l'accord politique provisoire sur l'Omnibus numérique, conclu le 7 mai 2026, prévoit de repousser les obligations de transparence au 2 décembre 2026 et celles des systèmes à haut risque de l'annexe III au 2 décembre 2027.

Ce report ne doit pas servir d'excuse. La culture de l'IA et le RGPD s'appliquent aujourd'hui, et ce sont eux que l'AEPD et l'AESIA peuvent vérifier en premier.

Le vrai risque du quotidien : les données dans les prompts

Dans la plupart des entreprises espagnoles, l'IA n'arrive pas par un grand projet. Elle arrive par un commercial qui colle un contrat dans un chatbot, une juriste qui résume un dossier, un comptable qui demande de l'aide sur un fichier de paie. Ces usages relèvent souvent de l'IA fantôme, hors de tout contrôle de la DSI.

Dans la banque, l'assurance, la santé ou le tourisme, des secteurs qui pèsent lourd en Espagne, ces textes contiennent des DNI, des NIE, des numéros de sécurité sociale, des IBAN ou des données de santé. Une fois envoyés à un service d'IA externe, ils sortent du périmètre de l'entreprise. Pour l'AEPD, c'est une question de base légale, de transfert et de sécurité du traitement. Interdire ChatGPT ne règle rien : les salariés trouvent un autre outil. La vraie question, posée aussi par l'IA souveraine, est de savoir où partent les données.

Cinq chantiers à lancer maintenant

1. Cartographier les usages : quels outils d'IA sont utilisés, par qui, avec quelles données. Sans inventaire, impossible de classer les risques au sens de l'AI Act.

2. Former, et le prouver : l'article 4 exige un niveau suffisant de culture de l'IA. Gardez une trace des formations, sans compter sur elles seules.

3. Écrire une politique d'usage claire, partagée avec les représentants du personnel et compatible avec les droits numériques de la LOPDGDD.

4. Protéger les données à la source : détecter et anonymiser les identifiants espagnols avant qu'ils ne quittent le poste de travail.

5. Conserver des preuves : journaliser les incidents évités pour pouvoir répondre à un contrôle de l'AEPD ou de l'AESIA.

Notre checklist AI Act et RGPD article 32 détaille ces points étape par étape.

Comment ZeusLock aide les entreprises espagnoles

ZeusLock fonctionne directement sur le poste et dans le navigateur des collaborateurs. Avant qu'un prompt ou un fichier ne parte vers un assistant d'IA, il repère les données sensibles (DNI, NIE, IBAN, numéros de sécurité sociale, données clients), les anonymise en préservant leur format, avertit l'utilisateur ou bloque l'envoi selon vos règles. Chaque incident est journalisé, ce qui vous donne des preuves concrètes à présenter en cas de contrôle. Pour démarrer, notre playbook de déploiement en 90 jours propose un plan réaliste.

À retenir

• L'Espagne est le premier pays de l'UE à avoir créé une agence nationale de supervision de l'IA, l'AESIA.

• L'AEPD reste compétente dès que des données personnelles sont en jeu, avec la LOPDGDD.

• Culture de l'IA et RGPD s'appliquent déjà, même si certaines échéances de l'AI Act glissent.

• Le risque principal se cache dans les prompts du quotidien.

Vous voulez voir comment protéger les données de vos équipes en Espagne sans freiner l'usage de l'IA ? Demandez une démo de ZeusLock.