Oracle Fusion AI et le RGPD / AI Act : conformité de l'IA ERP
·
Mis à jour le ·
Par 
Aymeric Guyard · 9 min de lecture
En bref
- Oracle Fusion AI regroupe les capacités d'IA des applications cloud d'Oracle (finance, achats, RH). Éditeur américain : l'enjeu majeur est le transfert de données hors UE (CLOUD Act), malgré des régions de données UE disponibles. Périmètre ERP large finance + RH : gouvernance des accès critique, DORA pour les entités financières, et qualification AI Act des usages RH.
Présentation et données traitées
Oracle est un éditeur américain d'applications cloud d'entreprise (ERP, finance, RH). Oracle Fusion AI regroupe les fonctions d'IA (agents, assistants, prédictions) intégrées à ces applications.
Le périmètre couvre la finance (clients, fournisseurs, paiements) et la RH (salariés, rémunération, évaluations). Oracle propose des régions de données dans l'UE, mais l'éditeur reste soumis au CLOUD Act : la localisation effective et les flux de support/administration doivent être vérifiés.
Les risques pour votre entreprise
Deux risques dominants : le transfert hors UE (accès possible par les autorités américaines) et l'exposition d'un périmètre finance/RH large via des accès mal gouvernés.
Principaux risques RGPD :
- Transfert hors UE (CLOUD Act) malgré les régions UE ; vérifier support/administration.
- Périmètre finance + RH : gouvernance des accès critique.
- Données RH sensibles.
- Sous-traitance : DPA et sous-traitants IA.
Les obligations RGPD
- Vérifier le DPA Oracle, activer les régions UE et contrôler les accès de support.
- Encadrer les transferts (SCC, mesures supplémentaires post-Schrems II).
- Cartographier données et accès (moindre privilège).
- Réaliser une AIPD (probable) ; informer les personnes ; registre.
- Impliquer le DPO ; former les équipes.
Les obligations AI Act
Les modèles d'IA mobilisés sont, pour la plupart, des GPAI : les obligations des fournisseurs s'appliquent depuis le 2 août 2025. En tant que déployeur, l'entreprise doit la transparence (article 50), la supervision humaine des sorties et la littératie IA des équipes. Les usages RH peuvent relever du haut risque (Annexe III), avec des obligations renforcées applicables au 2 août 2026. Voir le guide AI Act.
Risques AI Act : usages RH pouvant relever du haut risque ; analyses non signalées ; absence de gouvernance transverse des usages IA.
Cybersécurité et bonnes pratiques
Risques cyber : concentration de données critiques et transferts hors UE ; accès de support/administration à contrôler ; pour les entités financières, exigences DORA.
Bonnes pratiques : activer les régions UE, encadrer les transferts (SCC) et les accès de support ; chantier gouvernance des accès avant activation de l'IA ; qualification AI Act des usages RH, supervision humaine ; charte IA, registre, formation, volet DORA si concerné.
Checklist :
- DPA Oracle vérifié, régions UE activées, transferts et accès de support encadrés (SCC)
- Cartographie données/accès réalisée, AIPD réalisée
- Usages RH qualifiés (haut risque ?), volet DORA traité si concerné
- Personnes informées, équipes formées
Sanctions, conclusion et recommandations
Sanctions cumulables : RGPD (jusqu'à 20 M€ ou 4 % du CA mondial) ; AI Act (jusqu'à 35 M€ ou 7 % pour les pratiques interdites, 15 M€ ou 3 % pour les autres manquements, dont GPAI).
Recommandation : Oracle Fusion AI est puissant mais cumule deux points sensibles : ancrage américain (transferts) et périmètre finance/RH large. Activez les régions UE, encadrez les transferts et les accès de support, traitez la gouvernance des accès et DORA. Pour les traitements les plus sensibles, évaluez l'exposition résiduelle au CLOUD Act. Comparez avec SAP Joule (éditeur européen).
Passez à l’action
Évaluez le niveau de risque RGPD et AI Act de vos usages d'Oracle Fusion AI avec l'auto-diagnostic Data Comply One.
Découvrir le logiciel AI Act →Tester ma conformité gratuitement