Les nouvelles règles chinoises sur l’IA sont désormais aussi un enjeu de conformité pour vous.

Les règles de Pékin s’arrêtent à la frontière. L’obligation de traçabilité, elle, ne s’arrête pas là.

Le 16 juillet 2026, des délégués de 29 pays se sont réunis à Shanghai pour lancer la World AI Cooperation Organization, un nouvel organisme basé en Chine destiné à coordonner la gouvernance mondiale de l’IA. L’Indonésie, le Brésil, la Malaisie, la Russie, le Pakistan, le Kazakhstan et deux douzaines d’autres États ont signé en tant que membres fondateurs. Le Secrétaire général de l’ONU, António Guterres, était présent lors de l’inauguration. Aucun pays du G7 n’a participé. Pas plus que l’Union européenne.

Mais ce n’est pas vraiment l’histoire. L’histoire, c’est ce qui s’est passé au sein même de l’appareil réglementaire chinois dans les semaines entourant ce lancement. Quatre ensembles de règles et un projet de loi ont été publiés en cinq semaines, et ils s’appliquent à toute multinationale disposant d’une filiale en Chine, d’un fournisseur basé en Chine ou d’une relation bancaire impliquant des institutions financières chinoises, même si cette entreprise n’a jamais vendu de produit sur le territoire chinois.

Voici ce qui me frappe : la gouvernance mondiale de l’IA a cessé cette année de converger vers une norme unique. Elle se divise en blocs concurrents, et le plus rapide vient d’adopter des règles qui dépassent ses propres frontières et atterrissent, quoi qu’il arrive, sur votre bureau.

Résumé Exécutif

Idée principale : En cinq semaines cet été, la Chine a publié quatre ensembles de règles et un projet de loi couvrant les services d’interaction IA, la banque, les transferts de données à l’international et le cyberharcèlement. Ces règles s’appliquent à toute multinationale ayant une filiale en Chine, un fournisseur basé en Chine ou une relation bancaire avec des institutions financières chinoises, que l’entreprise ait ou non vendu un produit en Chine.

Pourquoi c’est important : La gouvernance mondiale de l’IA se fragmente en blocs concurrents au lieu de converger vers une norme unique, et le bloc le plus rapide vient d’adopter des règles qui dépassent ses propres frontières. Si vos données, vos fournisseurs ou vos relations bancaires touchent la Chine ou l’un des 29 membres fondateurs de ce nouvel organisme de coordination, vous dépendez déjà de plusieurs référentiels réglementaires, et les nouvelles exigences chinoises imposent des obligations concrètes et vérifiables, et non de simples principes généraux.

Résumé des points clés

1. La Chine a publié quatre ensembles de règles et un projet de loi en cinq semaines, sans exiger de présence en Chine pour leur application. Le déclencheur, c’est le passage des données à la frontière, pas la présence d’une entreprise : une filiale, un contrat fournisseur ou une relation bancaire suffisent à faire entrer ces règles en jeu.
2. WAICO constitue un véritable bloc réglementaire, pas une opération de communication. Vingt-neuf États membres fondateurs, un siège permanent à Shanghai, et la présence du Secrétaire général de l’ONU lors du lancement marquent une étape institutionnelle. Aucun pays du G7 ni membre de l’UE n’a rejoint l’organisation.
3. Les nouvelles règles chinoises exigent des preuves, pas des intentions. Les directives bancaires interdisent l’utilisation d’informations personnelles comme données d’entraînement IA et imposent le dépôt des modèles externes auprès des régulateurs, le tout vérifiable à une date précise avec une traçabilité documentaire.
4. L’exposition dépend de la circulation de vos données, pas de l’implantation de votre entreprise. Les informations personnelles, CV, données financières et données d’entraînement transitant vers la Chine par n’importe quel canal placent une entreprise dans le champ d’application, qu’elle ait ou non une présence locale.
5. Gérer les données elles-mêmes est plus efficace que courir après chaque nouvelle réglementation. La classification des données, associée à des règles conditionnées par la géolocalisation et à des preuves d’audit, remplace la note de service pour chaque nouvelle règle.

Ce qui a vraiment changé en Chine cet été

Commençons par le fonctionnement, car il est plus précis que ce que la plupart des articles sur la « réglementation de l’IA » laissent entendre. Les Mesures intérimaires pour l’administration des services d’interaction IA anthropomorphique sont entrées en vigueur le 15 juillet 2026, soit la veille du lancement de WAICO. Ces mesures imposent une évaluation des risques sur l’ensemble du cycle de vie, une revue éthique, une surveillance du contenu et des programmes de réponse aux incidents pour tout service d’IA conçu pour simuler une interaction humaine. Elles imposent également un « mode mineur », le consentement d’un tuteur avec des limites de dépenses et d’utilisation pour les moins de 14 ans, ainsi qu’une interdiction totale des services de compagnon virtuel ou de parent virtuel pour les mineurs, sans oublier l’interdiction générale des conceptions à visée émotionnellement manipulatrice. Plusieurs grandes plateformes chinoises ont suspendu leurs fonctions de jeu de rôle et de compagnon virtuel plutôt que de risquer la non-conformité dans les temps. Il ne s’agit donc pas d’une réaction symbolique à une règle symbolique.

Un mois plus tôt, le 18 juin, l’Administration nationale de régulation financière de Chine (NFRA) avait publié ses Lignes directrices pour le développement et l’application sécurisés de l’IA dans la banque et l’assurance : 32 principes répartis en sept piliers. Les banques et assureurs doivent désormais obtenir l’approbation du comité de contrôle des risques avant de déployer l’IA pour des cas d’usage à risque élevé, ne peuvent pas utiliser d’informations personnelles comme données d’entraînement IA, et doivent déposer tout modèle IA externe auprès de l’Administration du cyberespace de Chine (CAC).

En complément, la CAC a publié de nouvelles questions-réponses clarifiant les modalités des transferts de données à l’international : ce que doit contenir une information de « consentement séparé » valide, comment le critère de « nécessité » s’applique aux transferts courants comme l’envoi d’un CV de candidat, et quelles conditions s’appliquent au renouvellement d’un transfert déjà validé. Le 29 juillet, la Chine a publié un projet de loi nationale contre la cyberviolence pour consultation publique, interdisant les deepfakes et le ciblage basé sur le profilage à des fins de harcèlement. Barbara Li du cabinet Reed Smith a détaillé toute cette séquence pour la couverture Asie-Pacifique de l’IAPP le 6 août 2026. Pris ensemble, ces textes ressemblent moins à une simple annonce de politique qu’à un resserrement simultané de plusieurs fronts par le régulateur.

Le problème des blocs

WAICO a bien plus d’importance qu’une simple opération de communication. Vingt-neuf États membres fondateurs, un siège permanent à Shanghai, un Secrétaire général de l’ONU dans la salle. Les médias d’État chinois ont couvert le lancement comme une étape institutionnelle majeure, et l’analyse du Diplomat va dans le même sens. Aucun pays du G7 n’a rejoint. Aucun membre de l’UE non plus.

Cette absence en dit long. La gouvernance de l’IA ne converge pas vers un référentiel unique qui finirait par réunir l’AI Act de l’UE, l’approche américaine et le cadre chinois. Elle se divise en systèmes parallèles, et un bloc de grandes économies, dont le Brésil et l’Indonésie, s’aligne sur Shanghai plutôt que sur Bruxelles ou Washington. Si votre supply chain, vos relations bancaires ou vos flux de données touchent l’un de ces 29 pays, vous êtes déjà soumis à plusieurs référentiels réglementaires. Reste à savoir si votre équipe conformité l’a déjà cartographié.

Pourquoi la situation s’est compliquée

La fragmentation seule serait déjà un casse-tête. Ce qui rend 2026 différent, c’est que les nouvelles règles chinoises imposent des exigences concrètes et vérifiables, et non de simples principes généraux.

Les directives bancaires de la NFRA en sont l’exemple le plus clair. « N’utilisez pas d’informations personnelles pour entraîner vos modèles IA » et « déposez les modèles externes auprès de la CAC » ne sont pas des campagnes de sensibilisation. Ce sont des obligations que le régulateur peut exiger de prouver, à une date précise, avec des documents précis. Les questions-réponses de la CAC sur les transferts de données à l’international ne relâchent pas non plus la substance des règles chinoises : elles lèvent l’ambiguïté qui permettait autrefois aux entreprises de s’en sortir dans les zones grises, ce qui signifie des règles plus claires et moins de marge de manœuvre.

Ce n’est pas une inquiétude propre à la Chine. Le rapport prévisionnel 2026 de Kiteworks sur les risques liés à la sécurité et à la conformité des données révèle que 34 % des organisations considèrent déjà les mécanismes de transferts de données à l’international comme une priorité réglementaire majeure, et 29 % citent les transferts via des fournisseurs IA comme une exposition importante en matière de confidentialité, et cela avant même l’arrivée du deuxième référentiel chinois. Un véritable soulagement arrive le 1er septembre 2026 : les entreprises traitant les données personnelles de moins de 100 000 personnes sont considérées en Chine comme des « petits responsables du traitement », avec des notifications, des consentements et des cycles d’audit allégés. Mais pour bénéficier de cette exemption, il faut connaître son effectif par rapport au seuil, donc le travail de classification reste nécessaire.

La question architecturale

Kiteworks ne vend pas en Chine, il n’y a donc pas d’argument commercial à faire valoir ici. Le constat reste valable : l’exposition créée par les règles de cet été ne dépend pas de la présence de votre entreprise en Chine, mais du passage de données à la frontière, qu’il s’agisse d’informations personnelles, de CV, de données financières, de jeux de données d’entraînement, via une filiale, un contrat fournisseur ou une relation bancaire. La présence de l’entreprise n’est pas la bonne unité d’analyse. Ce sont les données qui franchissent la ligne qui comptent.

Cela change la manière de réagir. Courir après chaque nouvelle réglementation chinoise avec une note de service ne fonctionne plus quand il faut suivre à la fois les États alignés sur WAICO, les règles de l’UE et les lois américaines. Ce qui fonctionne, c’est de gérer les données elles-mêmes : classification pour identifier ce qui est concerné, règles conditionnées par la géolocalisation qui s’appliquent automatiquement, et preuves d’audit attestant du respect des règles. Les régulateurs demandent de plus en plus ce niveau de contrôle. C’est aussi ce que le rapport prévisionnel 2026 a révélé : 33 % des organisations n’ont toujours pas ce niveau de preuve, ce qui se traduit par une maturité moindre en matière de gouvernance de l’IA.

Concrètement, cela prend la forme d’un moteur de règles de données basé sur les attributs, qui agit selon une valeur documentée (par exemple, « la géolocalisation est ou n’est pas la Chine ») et applique une réponse graduée : blocage, demande d’approbation, marquage ou affichage en lecture seule, pour les actions d’envoi, de partage, de téléversement et de pièce jointe sur la messagerie, le partage de fichiers, les API, le SFTP, le transfert de fichiers géré et le serveur MCP sécurisé utilisé par les applications IA pour accéder aux données. Les personnes et les agents IA qui accèdent à un fichier sont soumis à la même règle. Aucun des deux n’est laissé sans contrôle. Un contrôle distinct de souveraineté des données qui fixe les données d’un utilisateur à son pays assigné, en stockage comme en transit, avec reporting intégré de la localisation, fournit à l’auditeur autre chose qu’un simple document de politique à examiner. Rien de tout cela n’exige d’opérer en Chine. Il s’agit de gérer la frontière franchie par les données.

Ce que cela implique dès lundi matin

• Cartographiez chaque flux de données touchant la Chine : filiale, contrat fournisseur, relation bancaire, voire un CV de candidat envoyé à un recruteur basé en Chine, avant de supposer qu’une absence de bureau en Chine équivaut à une absence d’exposition.
• Classez ce qui circule : informations personnelles versus données opérationnelles, données d’entraînement versus tout le reste. La règle NFRA impose de pouvoir répondre par écrit à la question « cela a-t-il servi à entraîner un modèle ? ».
• Élaborez une règle conditionnée par la géolocalisation pour ce corridor spécifique, pas un blocage global qui pénalise le business légitime.
• Si vous avez une banque en Chine ou utilisez un modèle IA d’origine chinoise, vérifiez dès maintenant votre statut de dépôt auprès de la CAC : la règle NFRA est déjà en vigueur.
• Avant de demander l’exemption du 1er septembre pour les petits responsables du traitement, comptez. L’exemption impose le travail de classification que vous devriez déjà effectuer.
• Générez les preuves d’audit avant que le régulateur ne les réclame, pas après.

Les 29 membres de WAICO et l’absence du G7 offrent une belle histoire géopolitique. Mais c’est la fragmentation du référentiel réglementaire qui intéressera vraiment votre auditeur.

Pour en savoir plus sur la protection et la gouvernance de vos données sensibles, réservez une démo personnalisée.

Ressources complémentaires

• Article de blog
  Stratégies Zero-Trust pour une protection abordable de la vie privée en IA
• Article de blog
  Comment 77 % des organisations échouent à sécuriser les données IA
• eBook
  AI Governance Gap : pourquoi 91 % des petites entreprises jouent à la roulette russe avec la sécurité des données en 2025
• Article de blog
  Il n’existe pas de « –dangerously-skip-permissions » pour vos données
• Article de blog
  Les régulateurs ne se contentent plus de demander si vous avez une politique IA. Ils veulent des preuves qu’elle fonctionne.