Rukh — cartographie de conformité (marché scolaire français)
Julien Béranger
+ Claude Opus 5
Document de travail, 4 septembre 2026. Rédigé sans expertise juridique : à faire valider par un cabinet spécialisé avant la première signature.
Périmètre : vente d'un assistant pédagogique à base d'IA à des collèges et lycées français, sous forme de licence annuelle par établissement.
A. Obligations légales, applicables dès le premier client
1. RGPD (règlement UE 2016/679) et loi Informatique et Libertés
Rôles : l'EPLE est responsable de traitement, Strat est sous-traitant.
| Référence | Obligation |
|---|---|
| Art. 28 | Contrat de sous-traitance écrit : finalités, durée, instructions documentées, sort des données en fin de contrat. Sans lui, aucun traitement légal. |
| Art. 28.2 et 28.4 | Liste des sous-traitants ultérieurs (hébergeur, fournisseur de modèle), autorisation écrite du responsable, information préalable de tout changement. Mistral et le VPS en font partie. |
| Art. 30.2 | Registre des activités de traitement en tant que sous-traitant. L'exemption « moins de 250 salariés » ne joue pas : le traitement n'est pas occasionnel. |
| Art. 32 | Sécurité : chiffrement, cloisonnement par établissement, gestion des accès, tests réguliers. |
| Art. 33.2 | Notification de toute violation au responsable de traitement dans les meilleurs délais. À formaliser en procédure. |
| Chapitre V (art. 44 à 49) | Transferts hors UE. Point de rupture actuel : Anthropic et OpenAI sont américains. Cadre de transfert valide et analyse d'impact du transfert, ou inférence UE. |
| Art. 25 | Protection dès la conception. Se démontre par des choix techniques, pas par une politique de confidentialité. |
| Art. 28.3 e) et f) | Assistance au responsable pour les droits des personnes et pour l'AIPD. |
| Art. 35 | AIPD portée par l'EPLE, mais obligatoire ici (mineurs, technologie nouvelle, échelle). Sans dossier fourni par le prestataire, elle ne se fera pas. |
DPO probablement non obligatoire au titre de l'art. 37, mais point de contact identifié nécessaire.
Levier décisif : si aucune donnée personnelle d'élève n'entre dans le système, une grande partie de ces obligations s'allège fortement. Le cadre d'usage l'exige déjà. À concevoir comme une impossibilité technique, pas comme une consigne.
2. AI Act (règlement UE 2024/1689)
Statut : fournisseur d'un système d'IA mis sur le marché sous son propre nom.
- Art. 5 — pratiques interdites (applicable depuis le 2 février 2025). Interdiction directement concernée : la reconnaissance des émotions dans les établissements d'enseignement. Jamais d'analyse d'engagement, d'attention ou d'expression faciale d'élèves, sous aucun habillage pédagogique.
- Art. 4 — littératie IA (depuis février 2025). Niveau suffisant de compréhension chez ceux qui utilisent le système pour le compte du fournisseur. La ligne « formation » du devis y répond partiellement.
- Art. 50 — transparence (depuis le 2 août 2026). Informer clairement l'utilisateur qu'il interagit avec une IA ; marquer les contenus générés dans un format lisible par machine.
- Annexe III, point 3 — éducation. Bascule en haut risque si le système décide de l'accès ou de l'admission, évalue les acquis d'apprentissage, oriente vers un niveau, ou surveille les comportements interdits pendant les épreuves. Obligations reportées au 2 décembre 2027 par le règlement Digital Omnibus, mais contrainte de conception permanente.
3. Accessibilité — RGAA
Article 47 de la loi 2005-102, décret 2019-768. L'obligation pèse sur l'organisme public mais sera répercutée contractuellement. Livrables : audit RGAA 4.1, déclaration d'accessibilité publiée, taux de conformité affiché. Un badge WCAG ne suffit pas — l'audit doit suivre la méthode RGAA.
4. Facturation
- Chorus Pro obligatoire pour toute facture adressée à une entité publique.
- Réforme française de la facturation électronique : capacité de réception exigée depuis le 1er septembre 2026. Calendrier à revérifier, il a déjà été décalé plusieurs fois.
5. Obligations générales d'entreprise
CGV, mentions légales (LCEN), conditions d'utilisation. Assurance RC professionnelle : pas légalement obligatoire pour cette activité, mais systématiquement demandée dans les dossiers.
6. Licences open source
LGPL-3.0 (rukh) et GPL-3.0 (rukh-ui). En SaaS, la copyleft n'est pas déclenchée. Dès qu'une instance est livrée à un établissement, c'est une distribution : droit au code source et droit de redistribution. Auditer aussi les licences des dépendances (SBOM), de plus en plus demandé.
B. Non réglementaire, mais bloquant en pratique
- Cadre d'usage de l'IA en éducation (juin 2025). Pas un texte de droit, mais opposable aux personnels. Ses deux exigences transversales — aucune donnée personnelle en transit, usage proportionné au coût environnemental — sont des critères d'achat de fait.
- Contrat d'adhésion GAR : charte éthique, référentiel technique et de sécurité, annexe sous-traitance des données à caractère personnel. Hors GAR, chaque chef d'établissement assume seul le risque, ce que beaucoup refuseront.
- Recommandations CNIL sur les systèmes d'IA, et fiche destinée aux enseignants mise à jour en juillet 2026.
- RGESN (écoconception). Pas obligatoire, mais l'impact environnemental étant explicite dans le cadre d'usage, il apparaîtra dans les grilles d'évaluation.
C. Ce qui ne s'applique probablement pas
Utile pour ne pas surinvestir :
- Qualification SecNumCloud : non exigible pour ce type de données.
- NIS2 : ne couvre pas l'enseignement scolaire.
- Directive accessibilité 2019/882 : vise les services grand public.
- Régime haut risque de l'annexe III : hors périmètre tant que ni évaluation ni orientation ne sont touchées.
Les quatre décisions qui règlent le plus de choses d'un coup
- Zéro donnée personnelle d'élève, garanti techniquement. Allège le RGPD et l'AIPD, satisfait le cadre d'usage.
- Inférence en Union européenne par défaut. Fait disparaître tout le chapitre V du RGPD. Les modèles américains deviennent une option hors périmètre scolaire.
- Ni notation, ni orientation, ni surveillance, ni reconnaissance d'émotions. Maintient hors annexe III et hors article 5 de l'AI Act.
- Bannière IA et marquage des sorties. Article 50, déjà applicable, peu coûteux à implémenter.
Ordre de mise en œuvre
| Priorité | Chantier | Raison |
|---|---|---|
| 1 | Contrat de sous-traitance art. 28 + registre | Aucune vente possible sans eux |
| 2 | Art. 50 dans le code (bannière, marquage) | Déjà applicable, en retard |
| 3 | Dossier AIPD type | Sinon l'établissement bloque |
| 4 | Audit RGAA | Peut attendre les premiers clients |
| 5 | Adhésion GAR | Investissement lourd, à décider après validation du marché |
Points à vérifier
- Annexe 1 de la délibération HDF n° 2026.00876 (critères d'éligibilité, calendrier, dépenses éligibles).
- Catégorie de ressource GAR applicable et conditions d'adhésion v2026.
- Calendrier exact de la facturation électronique obligatoire.
- Sort de l'appel à projets France 2030 sur l'IA enseignante.
docs/MODELS.md: tarif Mistral Large erroné (0,04 $/M annoncé ; 0,50 $/M en entrée et 1,50 $/M en sortie en réalité).