Enrichir des leads de salon depuis des sources publiques, est-ce légal ? Ce que change l'AI Act UE dès août 2026

L’AI Act est entré dans le vocabulaire de chaque comité d’achat. Et la question que nous posent le plus les directeurs commerciaux après un salon est directe : enrichir un contact — trouver e-mail, téléphone, LinkedIn depuis des sources publiques — est-ce encore légal en 2026 ?

Réponse courte : oui, si vous le faites bien. Mais “bien” a un sens précis, et il évolue légèrement avec les jalons de l’AI Act qui arrivent à maturité dès août 2026. Séparons le fait du bruit.

En bref :

• Le RGPD n’interdit pas d’enrichir des leads depuis des sources publiques. Il exige une base légale (en général l’intérêt légitime) et une information sous un mois (art. 14).
• L’AI Act ne remplace pas le RGPD : il ajoute des obligations sur les systèmes d’IA. Pour l’enrichissement, l’impact est surtout documentaire, pas une interdiction.
• “Public sur LinkedIn” ≠ “exploitable sans limites”. La publicité de la donnée n’annule pas les droits de la personne.
• L’exposant est responsable de traitement ; le prestataire d’enrichissement est sous-traitant. Sans DPA signé, le risque est le vôtre.
• Le vrai levier de conformité est la traçabilité : sources, base légale, information, conservation, données en UE. L’automatisation n’est pas le problème ; l’automatisation non documentée, si.

Ce que dit vraiment le RGPD sur l’enrichissement via sources publiques

Quand vous captez un badge sur le stand puis que le système récupère un e-mail professionnel, une ligne directe et un profil LinkedIn depuis des sources publiques, vous traitez des données personnelles. Le RGPD l’autorise à trois conditions pratiques :

1. Base légale. En B2B, c’est presque toujours l’intérêt légitime (art. 6.1.f), pas le consentement. Mais il doit être documenté par un test de mise en balance (LIA) : votre intérêt commercial vs les droits du contact.
2. Information. Quand vous ne recevez pas la donnée directement de la personne mais que vous l‘“enrichissez”, l’art. 14 s’applique : vous devez l’informer — en général sous un mois, ou au premier contact utile. En pratique, votre première relance est aussi le moment de l’information.
3. Minimisation et conservation. N’enrichissez que ce qui sert à la relance commerciale. Un profil LinkedIn et un e-mail direct sont pertinents ; le scraping massif de données non pertinentes, non.

Ce cadre est la partie “aval” de la capture. La partie “amont” — le consentement au moment de la capture du badge — est dans notre article dédié : RGPD et leads de salon.

Ce qu’ajoute l’AI Act dès août 2026 (et ce qu’il n’ajoute pas)

Levons un malentendu répandu. L’AI Act n’est pas une nouvelle loi sur la vie privée. C’est une réglementation des systèmes d’IA, fondée sur le risque. Elle ne réécrit pas les règles sur qui peut traiter quelle donnée — elles restent dans le RGPD.

Ce qui change concrètement pour un exposant utilisant un outil d’enrichissement à base d’IA :

• Transparence sur les systèmes. Les jalons d’application tout au long de 2026 (dont ceux relatifs aux modèles à usage général du Chapitre V et au dispositif d’application) poussent vers la documentation : quelle IA tourne derrière votre outil, sur quelles données, quelles garanties.
• Gouvernance du prestataire. La question de votre DPO ne sera plus seulement “où sont les données”, mais aussi “quel système d’IA les traite, et selon quelle logique”. Il faut pouvoir l’expliquer.
• Aucune interdiction d’enrichir. Aucune règle de l’AI Act ne dit “vous ne pouvez pas trouver l’e-mail d’un lead depuis des sources publiques”. Les limites sur la donnée personnelle restent du ressort du RGPD.

En résumé : l’AI Act relève le niveau de démontrabilité. Il n’éteint pas l’enrichissement. Ceux qui travaillent avec des prestataires sérieux le remarquent à peine, car la documentation existait déjà.

Quand vous ne devriez PAS enrichir

Soyons honnêtes, car la conformité c’est aussi savoir s’arrêter :

• Des contacts B2C déguisés en B2B. Un gmail personnel n’est pas un lead d’entreprise. L’intérêt légitime tient beaucoup moins.
• Aucune interaction réelle sur le stand. Enrichir une liste achetée ou des badges scannés au hasard n’est pas de la relance : c’est du marketing à froid, et le test de mise en balance se complique.
• Prestataire sans DPA ni hébergement UE. Si vous ne pouvez pas dire où sont les données et qui les traite, ne chargez rien. En tant que responsable, le risque est entièrement le vôtre.

La checklist opérationnelle avant le prochain salon

1. Base légale écrite. Une LIA d’une page pour la relance B2B. C’est suffisant, mais ça doit exister.
2. Information prête. Un paragraphe art. 14 dans la première relance, avec lien vers la politique de confidentialité.
3. DPA signé avec le prestataire. Sources déclarées, finalités, conservation, sous-traitants, hébergement. Notre modèle est ici : DPA Linkly.
4. Données en UE. Vérifiez l’infrastructure. Un prestataire conforme au RGPD sur cloud UE supprime la moitié des questions du DPO.
5. Traçabilité des sources. Si vous ne savez pas d’où vient une donnée, vous ne pouvez pas la défendre.

Comment Linkly le gère

L’Enrichment Agent de Linkly travaille sur plus de 30 sources de données pour récupérer e-mail, téléphone, LinkedIn et infos entreprise, sur une infrastructure UE conforme au RGPD avec DPA inclus dans l’onboarding. Ce n’est pas un raccourci juridique : c’est un enrichissement gouverné, sources tracées et données en Europe. Votre responsabilité de responsable de traitement reste la vôtre — ce qui change, c’est que vous avez la documentation pour la défendre. Pour voir le périmètre complet des six agents, commencez par qu’est-ce que Linkly.

L’AI Act ne ferme pas la porte à l’enrichissement. Il demande seulement de montrer comment vous le faites. Si vous travaillez déjà avec des prestataires sérieux, août 2026 est une formalité documentaire, pas un frein commercial.

Prochaine étape : vous voulez vérifier si votre processus d’enrichissement actuel résiste au test de mise en balance et à l’art. 14 ? Réservez une démo et nous apportons votre cas réel, pas un slide deck.