Automatiser sa veille réglementaire (RGPD, NIS2, DORA, AI Act…) avec n8n

Un texte réglementaire qui s'applique à votre activité peut être publié un mardi matin au Journal officiel et rester invisible pendant des semaines si personne n'a pensé à vérifier ce jour-là. Ce n'est pas un problème de compétence juridique : c'est un problème de régularité. Une veille faite « quand on a le temps » finit toujours par sauter les semaines chargées — précisément celles où il se passe le plus de choses. Une étude désormais classique d'Arner, Barberis et Buckley, publiée en 2017 dans le Northwestern Journal of International Law & Business, décrivait déjà ce constat à l'échelle du secteur financier : la charge de conformité croît plus vite que la capacité humaine à la suivre, et les outils numériques de suivi réglementaire (le « RegTech ») ne sont pas un gadget mais une réponse structurelle à ce déséquilibre (étude sur Google Scholar). Ce guide construit dans n8n une version accessible de cette idée : un pipeline qui collecte les publications officielles, filtre par IA celles qui concernent réellement votre activité, et journalise le tout — sans jamais prétendre remplacer un avis juridique.

Veille réglementaire, concurrentielle, RSS : trois besoins différents

Il ne faut pas confondre cette automatisation avec des pipelines voisins déjà couverts sur ce blog :

• La veille concurrentielle (blogs, changelogs produits, réseaux sociaux de concurrents) répond à une question business — voir notre guide de veille concurrentielle par IA.
• La veille RSS généraliste (actualité sectorielle, presse spécialisée) privilégie la couverture large — voir notre guide de veille RSS automatisée.
• La veille réglementaire, elle, porte sur un nombre restreint de sources officielles (lois, décrets, règlements européens), où la fiabilité de la source prime sur le volume, et où chaque alerte doit être traçable — d'où son lien naturel avec la piste d'audit RGPD sous Supabase.

Les trois pipelines partagent la même mécanique n8n (collecte planifiée, filtrage IA, digest), mais leurs sources et leurs critères de pertinence n'ont rien en commun.

Les sources officielles à surveiller

Deux points d'entrée gratuits couvrent l'essentiel pour une PME francophone :

• Légifrance, via l'API mise à disposition sur le portail PISTE (piste.gouv.fr) de la DILA. L'inscription est gratuite, une version stable de l'API est disponible depuis avril 2023, et l'accès distingue un environnement sandbox et un environnement production, chacun avec ses propres identifiants (documentation officielle). Elle permet d'interroger les textes publiés par mots-clés ou par code (travail, commerce, données personnelles…).
• EUR-Lex, pour le droit de l'Union européenne (règlements, directives), propose des flux RSS prédéfinis par catégorie de document et par édition du Journal officiel de l'UE, accessibles sans inscription, ainsi qu'un webservice pour des requêtes personnalisées après inscription (aide EUR-Lex sur les alertes RSS). C'est la source la plus simple pour suivre l'avancée de textes comme le RGPD, NIS2, DORA, l'AI Act ou le Cyber Resilience Act déjà couverts sur ce blog.

Point d'attention si vous ciblez spécifiquement les travaux parlementaires français : depuis le 1er avril 2026, le suivi des dossiers législatifs (projets et propositions de loi en discussion) se fait via le site Vie publique plutôt que directement sur Légifrance — un changement récent à connaître avant de bâtir votre pipeline sur l'ancienne source.

L'architecture en quatre étapes

Étape 1 — Collecte planifiée, multi-sources

Un Schedule Trigger déclenche le workflow une à deux fois par jour — les textes réglementaires ne sont pas publiés en continu, inutile de sur-solliciter les sources. Pour EUR-Lex, un node RSS Feed Read par flux prédéfini suffit. Pour Légifrance, un node HTTP Request interroge l'API PISTE avec un credential OAuth2 Client Credentials dédié, en appliquant les mêmes réflexes de fiabilité que pour toute API tierce : retries et timeouts raisonnables (voir notre guide HTTP Request : retry et timeout) et pagination correcte si la recherche remonte plusieurs pages de résultats (voir notre guide de la pagination d'API dans n8n).

Étape 2 — Filtrage par pertinence, pas par mot-clé brut

Un simple filtre sur des mots-clés génère trop de bruit ou, pire, laisse passer un texte formulé différemment mais tout aussi pertinent. La bonne pratique consiste à faire classer chaque nouveau texte par un LLM selon une liste fermée de catégories propres à votre activité (« RGPD / données personnelles », « NIS2 / cybersécurité », « facturation électronique », « sans objet ») — exactement le rôle du node Text Classifier. Seuls les textes classés dans une catégorie surveillée continuent vers l'étape suivante ; le reste est simplement journalisé comme « vu, non pertinent » pour audit ultérieur.

Étape 3 — Résumé en langage clair, jamais une interprétation juridique

Pour chaque texte retenu, un node LLM produit un résumé factuel en deux ou trois phrases — objet du texte, entrée en vigueur, entités concernées — sur le même principe que notre guide de résumé de documents longs. Le prompt doit explicitement interdire toute recommandation d'action : le rôle du résumé est de faire gagner du temps de lecture, pas de se substituer à une analyse d'impact. C'est la même discipline que celle décrite dans notre guide sur le registre des traitements RGPD : un brouillon utile, jamais une source de vérité.

Étape 4 — Alerte groupée et journalisation

Les résumés retenus sur la période sont regroupés en un seul message plutôt qu'envoyés un par un — le même principe que notre guide de digest multi-sources — et poussés dans un canal Slack ou Teams dédié à la conformité. Chaque texte détecté, retenu ou non, est ensuite inséré dans une table Supabase :

create table veille_reglementaire (
  id uuid primary key default gen_random_uuid(),
  source text not null,
  reference text,
  titre text,
  categorie text,
  resume text,
  url text,
  statut text default 'a_qualifier',
  date_publication date,
  created_at timestamptz default now()
);

Cette journalisation a un double intérêt : elle évite de retraiter le même texte à l'exécution suivante (une simple contrainte d'unicité sur reference ou url), et elle constitue elle-même une preuve de veille active en cas d'audit — un point que couvrent en détail nos guides sur les preuves de conformité ISO 27001 / SOC 2 et la piste d'audit RGPD sous Supabase.

Ce que cette automatisation ne fait pas

Ce pipeline détecte et résume ; il ne qualifie pas l'impact juridique réel d'un texte sur votre activité, ne rédige pas de plan de mise en conformité, et ne remplace ni un DPO ni un conseil juridique. Il évite en revanche l'écueil le plus fréquent des petites structures : découvrir un texte applicable plusieurs mois après son entrée en vigueur, faute d'avoir eu le temps de le chercher.

En résumé

Une veille réglementaire fiable n'exige pas un service payant ni une équipe dédiée : une collecte planifiée sur deux sources officielles gratuites (Légifrance via PISTE, EUR-Lex via RSS), un filtrage par IA sur vos catégories métier, un résumé factuel et une journalisation Supabase suffisent à transformer une tâche qu'on remet toujours à plus tard en un flux qui tourne tout seul. Les workflows du Pack Conformité & Audit (149 €) partagent la même logique de traçabilité horodatée pour vos questionnaires et audits internes — la veille réglementaire en est le complément naturel en amont.