Règlement sur l’IA et RGPD : différences et recoupements

Vous traitez des données de santé ? Un troisième régime, le MDR / IVDR, s’ajoute : voir RGPD × règlement sur l’IA × MDR pour les données de santé.

L’essentiel : règlement sur l’IA et RGPD en un coup d’œil

• Différence de fond : le RGPD régit le traitement des données à caractère personnel. Le règlement sur l’IA régit les systèmes d’IA eux-mêmes, leur conception, leur développement, leur déploiement et leur usage. Le règlement sur l’IA s’applique même lorsqu’aucune donnée à caractère personnel n’est en jeu.
• Les amendes se cumulent indépendamment : un même incident peut déclencher des sanctions au titre des deux règlements. Amende maximale RGPD : 20 millions d’euros / 4 % du chiffre d’affaires. Amende maximale du règlement sur l’IA : 35 millions d’euros / 7 % du chiffre d’affaires. Elles s’ajoutent, elles ne s’excluent pas.
• Cinq grands recoupements : biométrie, prise de décision automatisée, analyses d’impact (AIPD + FRIA), obligations de transparence, et journalisation / conservation des traces.
• Divergence clé : le règlement sur l’IA crée des obligations pour les fournisseurs d’IA (ceux qui développent) qui n’ont pas d’équivalent RGPD. Le RGPD ne régit pas les éditeurs de logiciels en tant que tels.
• Approche pratique : menez les deux comme un programme de conformité intégré : inventaire unifié, analyses combinées, avis consolidés, signalement d’incidents coordonné, gouvernance partagée.
• Les deux s’appliquent à la plupart de l’IA métier : si votre système d’IA traite des données à caractère personnel de personnes dans l’Union (ce qui couvre l’essentiel de l’IA commerciale), vous relevez des deux règlements en même temps.

Différence de fond : ce que chaque règlement gouverne

Le RGPD (règlement (UE) 2016/679) régit le traitement des données à caractère personnel. Son souci est la protection des données : licéité, limitation des finalités, minimisation des données, exactitude, limitation de la conservation, intégrité et confidentialité. Le RGPD s’applique dès lors que des données à caractère personnel de personnes se trouvant dans l’Union sont traitées, quelle que soit la technologie.

Le règlement sur l’IA (règlement (UE) 2024/1689) régit les systèmes d’IA eux-mêmes, leur conception, leur développement, leur mise sur le marché, leur déploiement et leur usage. Son souci est la sécurité, les droits fondamentaux et la confiance. Le règlement sur l’IA s’applique même lorsqu’aucune donnée à caractère personnel n’est traitée. Un système d’IA qui optimise la répartition du réseau électrique à partir de seules données d’infrastructure anonymisées entre dans le champ du règlement sur l’IA, mais sort de celui du RGPD.

La distinction la plus simple : le RGPD demande « que faites-vous des données ? » Le règlement sur l’IA demande « que fait votre système d’IA aux personnes ? »

Les deux questions peuvent, et souvent, s’appliquent au même système en même temps.

Comparaison côte à côte

Cinq grands domaines de recoupement

1. Biométrie

RGPD : classe les données biométriques comme une catégorie particulière de données à caractère personnel (article 9), ce qui exige un consentement explicite ou une autre condition précise pour le traitement. Les données biométriques utilisées à des fins d’identification déclenchent le plus haut niveau de protection du RGPD.

Règlement sur l’IA : va plus loin que le RGPD de trois façons. Premièrement, il interdit certaines pratiques biométriques au titre de l’article 5 : identification biométrique à distance en temps réel dans les espaces publics (avec d’étroites exceptions pour les activités répressives), reconnaissance des émotions sur le lieu de travail et dans l’enseignement, moissonnage non ciblé d’images faciales sur internet ou à partir de vidéosurveillance, et catégorisation biométrique inférant des attributs sensibles (origine raciale, opinions politiques, orientation sexuelle). Deuxièmement, il classe la plupart des autres IA biométriques comme à haut risque au titre de l’annexe III. Troisièmement, il impose des obligations de transparence à tous les systèmes de catégorisation biométrique et de reconnaissance des émotions au titre de l’article 50.

Impact pratique : si vous recourez à une IA biométrique, vous devez satisfaire les exigences strictes de base juridique du RGPD (consentement explicite ou exception de l’article 9, paragraphe 2) et, en même temps, les interdictions, les obligations à haut risque ou les exigences de transparence du règlement sur l’IA. Un système de contrôle d’accès biométrique dans un immeuble de bureaux, par exemple, exige une base juridique RGPD pour le traitement des données biométriques, la conformité à haut risque du règlement sur l’IA (gestion des risques, documentation technique, évaluation de la conformité), et une information de transparence aux salariés.

2. Prise de décision automatisée et profilage

RGPD : l’article 22 donne aux personnes le droit de ne pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques ou des effets d’une importance comparable. Les organisations doivent fournir des informations utiles concernant la logique sous-jacente, l’importance et les conséquences prévues. Les personnes ont le droit d’obtenir une intervention humaine, d’exprimer leur point de vue et de contester la décision.

Règlement sur l’IA : ne recopie pas l’article 22 du RGPD, mais régit les systèmes d’IA qui prennent de telles décisions, en particulier lorsqu’ils sont utilisés dans l’emploi (annexe III, point 4), le crédit et l’assurance (point 5), l’éducation (point 3), les activités répressives (point 6), la migration (point 7) et les services publics (point 8). Le règlement sur l’IA exige, pour ces systèmes à haut risque, une gestion des risques, un contrôle humain, une documentation technique, des métriques d’exactitude et une évaluation de la conformité.

Impact pratique : un système d’IA qui évalue la solvabilité des demandeurs de crédit doit satisfaire l’article 22 du RGPD (droit à une intervention humaine, informations utiles, droit de contester) et l’ensemble des obligations à haut risque du règlement sur l’IA. Les deux règlements se renforcent, mais ils sont appliqués par des autorités différentes : l’autorité de protection des données pour le RGPD, l’autorité de surveillance du marché pour le règlement sur l’IA.

3. Analyses d’impact : AIPD + FRIA

RGPD : exige une analyse d’impact relative à la protection des données (AIPD) au titre de l’article 35 lorsque le traitement est susceptible d’engendrer un risque élevé pour les droits en matière de protection des données. L’AIPD doit décrire le traitement, évaluer la nécessité et la proportionnalité, identifier les risques pour les personnes concernées et définir les mesures pour y répondre.

Règlement sur l’IA : exige une analyse d’impact sur les droits fondamentaux (FRIA) au titre de l’article 27 pour certains déployeurs de systèmes d’IA à haut risque (organismes publics, entités fournissant des services essentiels, établissements d’enseignement). La FRIA couvre toute la largeur de la Charte de l’UE : dignité, non-discrimination, droits de l’enfant, droits des personnes handicapées, accès à la justice, protection de l’environnement, et pas seulement la protection des données.

Impact pratique : l’article 27, paragraphe 4, permet explicitement aux déployeurs de combiner la FRIA et l’AIPD en un seul document d’analyse. C’est fortement recommandé. Structurez-le comme un document unifié avec deux sections clairement étiquetées, l’une pour les risques RGPD de protection des données, l’autre pour les droits plus larges de la Charte. Voir le guide détaillé de la FRIA pour le processus pas à pas.

4. Transparence

RGPD : exige des avis de confidentialité (articles 13-14) expliquant quelles données sont collectées, les finalités, la base juridique, les durées de conservation, les droits des personnes concernées, et toute prise de décision automatisée. L’information doit être concise, transparente, compréhensible et aisément accessible.

Règlement sur l’IA : exige plusieurs couches de transparence :

• Informer les personnes lorsqu’elles interagissent avec un système d’IA (agents conversationnels, hypertrucages, reconnaissance des émotions) au titre de l’article 50
• Informer les personnes physiques qu’elles font l’objet d’un système d’IA à haut risque au titre de l’article 26
• Fournir une notice d’utilisation complète aux déployeurs au titre de l’article 13
• Marquer le contenu généré par IA (médias de synthèse, hypertrucages) dans un format lisible par machine

Impact pratique : vos avis de transparence aux personnes devraient couvrir à la fois les éléments de traitement des données (RGPD) et les éléments de système d’IA (règlement sur l’IA). Pour un agent conversationnel qui traite des données à caractère personnel, cela signifie : avis RGPD sur la collecte et l’usage des données, plus information au titre du règlement sur l’IA que la personne interagit avec un système d’IA. Consolidez lorsque c’est possible, pour éviter la fatigue d’information.

5. Journalisation et conservation des traces

RGPD : exige un registre des activités de traitement (article 30), documentant chaque opération de traitement, sa finalité, les catégories de données, les destinataires, les durées de conservation et les mesures de sécurité. Les personnes concernées ont le droit d’accéder aux traces du traitement de leurs données à caractère personnel.

Règlement sur l’IA : exige une journalisation automatique des opérations des systèmes d’IA à haut risque (article 12) pour permettre la traçabilité tout au long du cycle de vie. Les déployeurs doivent conserver ces journaux pendant six mois au moins (ou plus longtemps si le droit sectoriel l’exige). Les journaux doivent être disponibles pour les autorités de surveillance du marché sur demande.

Impact pratique : les journaux des systèmes d’IA contiennent souvent des données à caractère personnel (entrées, sorties, identifiants). Cela signifie que les journaux eux-mêmes relèvent du RGPD : limitation de la conservation, droits d’accès, obligations d’effacement et exigences de sécurité. Concevez l’infrastructure de journalisation pour satisfaire à la fois les exigences de traçabilité du règlement sur l’IA et les exigences de protection des données du RGPD, dès le départ.

Là où ils divergent

Champ du règlement sur l’IA sans données à caractère personnel

Le règlement sur l’IA s’applique aux systèmes d’IA qui affectent des personnes même lorsqu’aucune donnée à caractère personnel n’est traitée. Exemples :

• Un système d’IA qui optimise la répartition de charge du réseau électrique à partir de seules données de capteurs d’infrastructure : à haut risque au titre de l’annexe III, point 2 (infrastructures critiques), mais aucune donnée à caractère personnel.
• Un système d’IA qui priorise les inspections de sécurité des bâtiments à partir de données structurelles : peut être à haut risque, sans traiter de données à caractère personnel.
• Un système d’IA qui achemine les véhicules d’urgence à partir de données de trafic et de géographie : potentiellement à haut risque, sans données à caractère personnel.

Le RGPD ne s’appliquerait à aucun de ces cas. Le règlement sur l’IA, si.

Obligations du fournisseur sans équivalent RGPD

Le RGPD régit les responsables du traitement et les sous-traitants : il ne crée pas d’obligations directes pour les éditeurs de logiciels en tant que tels. Une entreprise qui développe un algorithme d’évaluation de la solvabilité mais ne traite jamais elle-même de données à caractère personnel (parce que la banque qui le déploie est le responsable du traitement) n’a pas d’obligations RGPD directes.

Le règlement sur l’IA change cela entièrement. Les fournisseurs (ceux qui mettent des systèmes d’IA sur le marché ou les mettent en service sous leur propre nom) portent la charge de conformité la plus lourde : gestion des risques, gouvernance des données, documentation technique, évaluation de la conformité, marquage CE, enregistrement dans la base de données de l’UE, et surveillance après mise sur le marché. Ces obligations existent que le fournisseur traite ou non des données à caractère personnel.

Voir le guide des obligations fournisseur / déployeur pour la comparaison complète.

Structure des amendes et cumul

Les amendes du RGPD et du règlement sur l’IA se cumulent indépendamment. Un même incident peut déclencher des sanctions au titre des deux règlements, infligées par des autorités différentes (autorité de protection des données pour le RGPD, autorité de surveillance du marché pour le règlement sur l’IA). Il n’y a pas de protection contre le cumul.

Exemple de calcul : une banque déploie un système d’IA biométrique pour l’identification des clients sans mener d’AIPD (manquement RGPD) ni de FRIA (manquement au règlement sur l’IA), et le système traite des données biométriques sans base juridique valable (manquement RGPD) tout en échouant aux exigences de documentation à haut risque (manquement au règlement sur l’IA).

Exposition possible :

• RGPD : jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial (pour le traitement de données de catégorie particulière sans base valable)
• Règlement sur l’IA : jusqu’à 15 millions d’euros ou 3 % du chiffre d’affaires annuel mondial (pour le manquement aux obligations à haut risque)
• Exposition maximale combinée : 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial

Pour une entreprise au chiffre d’affaires annuel de 500 millions d’euros :

• Maximum RGPD : 20 millions d’euros (le seuil de 4 % donne 20 millions d’euros, égal au plafond fixe)
• Maximum règlement sur l’IA : 15 millions d’euros (le seuil de 3 % donne 15 millions d’euros)
• Maximum combiné : 35 millions d’euros

Pour une entreprise au chiffre d’affaires annuel de 1 milliard d’euros :

• Maximum RGPD : 40 millions d’euros (4 % de 1 milliard d’euros)
• Maximum règlement sur l’IA : 30 millions d’euros (3 % de 1 milliard d’euros)
• Maximum combiné : 70 millions d’euros

Ce sont des plafonds théoriques, mais ils montrent pourquoi une conformité intégrée, plutôt que de traiter chaque règlement isolément, est un impératif financier.

Cinq leviers pour mener les deux programmes efficacement

Levier 1 : inventaire unifié de l’IA et des traitements

Tenez un seul inventaire qui saisit à la fois vos activités de traitement (article 30 du RGPD) et vos systèmes d’IA (règlement sur l’IA). Pour chaque système d’IA, consignez :

• Nom, version et éditeur du système
• Données à caractère personnel traitées (le cas échéant), catégories, volume, base juridique
• Rôles de responsable du traitement et de sous-traitant (RGPD)
• Rôles de fournisseur et de déployeur au titre du règlement sur l’IA
• Classification de risque au titre du règlement sur l’IA
• Si une AIPD a été achevée (RGPD)
• Si une FRIA est exigée et achevée (règlement sur l’IA)
• Obligations applicables au titre de chaque règlement

Cela élimine le problème courant des inventaires en silo, où l’équipe vie privée suit les traitements mais ignore les systèmes d’IA, et l’équipe IA suit les systèmes mais ignore les obligations de protection des données. Voir le guide de l’inventaire des systèmes d’IA pour le processus détaillé.

Levier 2 : analyses d’impact combinées

Lorsque une AIPD et une FRIA sont toutes deux exigées, menez-les comme un seul processus à deux sections. La section AIPD couvre les risques de protection des données au titre du RGPD. La section FRIA couvre les droits fondamentaux plus larges au titre de la Charte de l’UE. L’article 27, paragraphe 4, endosse explicitement cette approche.

Bénéfices : on évite de dupliquer la description du système, l’identification des risques et la consultation des parties prenantes. On s’assure que les risques de protection des données et les risques plus larges pour les droits fondamentaux sont évalués l’un au regard de l’autre. On crée un seul document pour la revue de gouvernance et le contrôle des autorités.

Levier 3 : avis de transparence consolidés

Rédigez des avis de transparence qui couvrent les deux exigences réglementaires en une seule communication :

• Éléments RGPD : identité du responsable du traitement, finalité du traitement, base juridique, catégories de données, durées de conservation, droits des personnes concernées (accès, rectification, effacement, portabilité, opposition)
• Éléments du règlement sur l’IA : existence d’un système d’IA, destination, mesures de contrôle humain, limites du système, droit à une explication pour les décisions assistées par l’IA

Pour les systèmes d’IA à haut risque qui traitent des données à caractère personnel, un avis consolidé réduit la fatigue d’information pour les personnes et assure la cohérence entre les deux informations.

Levier 4 : signalement d’incidents coordonné

Le RGPD exige que les violations de données à caractère personnel soient signalées à l’autorité de contrôle dans un délai de 72 heures (article 33). Le règlement sur l’IA exige que les incidents graves impliquant des systèmes d’IA à haut risque soient signalés à l’autorité de surveillance du marché sans retard injustifié (article 73), et dans les 15 jours pour les incidents qui ne sont pas immédiatement dangereux.

Un seul incident lié à l’IA, par exemple un système d’évaluation de la solvabilité qui dysfonctionne, expose des données de demandeurs et produit des décisions erronées, peut déclencher les deux obligations de notification auprès d’autorités différentes. Concevez votre processus de réponse aux incidents pour identifier les deux déclencheurs en même temps, préparer des notifications parallèles, et assurer la cohérence entre les deux signalements.

Levier 5 : structure de gouvernance partagée

Désignez une seule équipe ou fonction interne responsable de la conformité au RGPD et au règlement sur l’IA. L’expertise du délégué à la protection des données en matière de protection des données, d’analyses d’impact et de relation avec les autorités se transfère directement aux obligations du règlement sur l’IA. Le règlement sur l’IA n’impose pas de rôle de conformité spécifique (pas d’équivalent du délégué, pas de « délégué à l’IA » obligatoire), mais s’appuyer sur les structures de gouvernance RGPD existantes est efficace :

• Le délégué à la protection des données peut coordonner les processus d’AIPD et de FRIA.
• L’équipe protection des données tient déjà des inventaires de traitement : les étendre aux systèmes d’IA est incrémental.
• Les relations existantes avec les autorités de protection des données peuvent éclairer l’engagement auprès des autorités de surveillance du marché.
• Les programmes de formation RGPD peuvent être étendus pour couvrir les obligations du règlement sur l’IA pour le personnel concerné.

Scénarios concrets

Scénario 1 : IA de contrôle d’accès biométrique

Une entreprise déploie la reconnaissance faciale pour le contrôle d’accès aux bureaux.

• Obligations RGPD : base juridique pour les données biométriques (consentement explicite, ou intérêt légitime avec mise en balance au titre de l’article 6 + condition de l’article 9), AIPD, avis de confidentialité aux salariés, droits d’accès des personnes concernées, limitation de la conservation, mesures de sécurité.
• Obligations du règlement sur l’IA : haut risque au titre de l’annexe III (identification biométrique). Le fournisseur doit achever la gestion des risques, la documentation technique, l’évaluation de la conformité. Le déployeur doit mettre en œuvre le contrôle humain, conserver les journaux pendant 6 mois au moins, informer les salariés du système d’IA.
• Recoupement : les deux exigent de la transparence envers les salariés. Les deux exigent une analyse d’impact. La journalisation doit satisfaire à la fois la traçabilité (règlement sur l’IA) et la protection des données (RGPD).

Scénario 2 : évaluation de la solvabilité par IA

Une banque utilise un système d’IA pour évaluer les demandes de crédit à la consommation.

• Obligations RGPD : base juridique pour le traitement de données financières, droits de l’article 22 (intervention humaine, explication, droit de contester), AIPD si les décisions automatisées ont des effets juridiques, avis de confidentialité avec des informations sur la logique de la prise de décision automatisée.
• Obligations du règlement sur l’IA : haut risque au titre de l’annexe III, point 5, b). Obligations du fournisseur : gestion des risques, gouvernance des données, documentation de l’annexe IV, évaluation de la conformité, surveillance après mise sur le marché. Obligations du déployeur : contrôle humain (chargés de crédit formés qui examinent les recommandations de l’IA), conservation des journaux, information des personnes concernées, FRIA (les banques sont des entités fournissant des services essentiels).
• Recoupement : les deux exigent une explication des décisions automatisées. Les deux exigent une implication humaine. Une analyse combinée AIPD + FRIA est recommandée.

Scénario 3 : agent conversationnel d’assistance client

Un détaillant déploie un agent conversationnel pour l’assistance client.

• Obligations RGPD : avis de confidentialité sur les données collectées pendant les conversations, base juridique du traitement, politique de conservation, droits des personnes concernées.
• Obligations du règlement sur l’IA : transparence au titre de l’article 50, informer les personnes qu’elles interagissent avec un système d’IA. Si l’agent traite des données à caractère personnel pour formuler des recommandations aux effets significatifs (par exemple l’acheminement de sinistres d’assurance), des obligations plus lourdes peuvent se déclencher.
• Recoupement : les deux exigent d’informer la personne. Consolidez en un seul avis au début de l’interaction : « Vous échangez avec un assistant d’IA. [Lien vers l’avis de confidentialité]. »

Scénario 4 : analytique interne de la main-d’œuvre

Une entreprise utilise l’IA pour analyser la productivité des salariés et identifier des besoins de formation.

• Obligations RGPD : base juridique pour la surveillance des salariés (typiquement l’intérêt légitime avec une mise en balance exigeante), AIPD (la surveillance systématique des salariés est un déclencheur de traitement à haut risque), information des salariés, consultation du comité social et économique (dans les juridictions qui l’exigent).
• Obligations du règlement sur l’IA : si le système évalue les salariés pour des décisions de promotion, d’affectation ou de licenciement, il est à haut risque au titre de l’annexe III, point 4. L’ensemble des obligations fournisseur / déployeur s’applique. La reconnaissance des émotions sur le lieu de travail est interdite au titre de l’article 5.
• Recoupement : les deux exigent une analyse d’impact. Les deux encadrent les décisions d’emploi automatisées. L’interdiction, au titre du règlement sur l’IA, de la reconnaissance des émotions au travail ajoute une contrainte dure que le RGPD n’impose pas.

Idées fausses fréquentes

Idée fausse 1 : « la conformité au RGPD, c’est la conformité au règlement sur l’IA »

La conformité au RGPD traite la protection des données. Le règlement sur l’IA ajoute des exigences que le RGPD ne couvre pas : systèmes de gestion des risques, documentation technique au titre de l’annexe IV, évaluation de la conformité, marquage CE, surveillance après mise sur le marché, enregistrement dans la base de données de l’UE, et obligations propres au fournisseur. Une entreprise pleinement conforme au RGPD peut n’avoir aucune conformité au règlement sur l’IA.

Idée fausse 2 : « le règlement sur l’IA ne s’applique que si nous traitons des données à caractère personnel »

Le règlement sur l’IA s’applique aux systèmes d’IA qu’ils traitent ou non des données à caractère personnel. Un système d’IA qui alloue des ressources d’urgence à partir de données géographiques, optimise les feux de circulation ou gère la stabilité du réseau électrique peut être à haut risque au titre du règlement sur l’IA sans déclencher le RGPD du tout. Les deux règlements ont des déclencheurs de champ fondamentalement différents.

Idée fausse 3 : « une seule analyse d’impact suffit »

Si un système d’IA à haut risque traite des données à caractère personnel et que le déployeur est un organisme public, une entité fournissant des services essentiels ou un établissement d’enseignement, une AIPD (RGPD) et une FRIA (règlement sur l’IA) sont toutes deux exigées. Elles peuvent être combinées en un seul document, et devraient l’être, mais l’analyse combinée doit traiter à la fois les risques de protection des données couverts par le RGPD et les droits fondamentaux plus larges couverts par le règlement sur l’IA. Une AIPD seule ne suffit pas comme FRIA. Voir le guide de la FRIA.

Idée fausse 4 : « les amendes sont plafonnées au plus élevé des deux règlements »

Les amendes au titre du RGPD et du règlement sur l’IA se cumulent indépendamment. Il n’existe aucune disposition de compensation ou de plafonnement des sanctions combinées. Un même incident qui viole les deux règlements peut donner lieu à des amendes distinctes de la part d’autorités différentes : l’autorité de protection des données pour le RGPD et l’autorité de surveillance du marché pour le règlement sur l’IA. Le maximum théorique combiné pour des pratiques d’IA interdites impliquant des données de catégorie particulière est de 35 millions d’euros (règlement sur l’IA) + 20 millions d’euros (RGPD) = 55 millions d’euros en montants fixes, ou 7 % + 4 % = 11 % du chiffre d’affaires annuel mondial.

Idée fausse 5 : « notre délégué à la protection des données peut traiter le règlement sur l’IA en tâche annexe »

L’expertise du délégué est directement pertinente et les structures de gouvernance peuvent être partagées, mais la conformité au règlement sur l’IA exige un savoir technique que la plupart des délégués ne possèdent pas : compréhension des architectures de systèmes d’IA, métriques d’évaluation de l’apprentissage automatique, procédures d’évaluation de la conformité, et conception de la surveillance après mise sur le marché. Le délégué devrait coordonner, mais les équipes d’ingénierie, de science des données et de produit doivent être activement impliquées. Voir la liste de contrôle de conformité pour l’étendue complète du travail.

À retenir

Le RGPD et le règlement sur l’IA sont complémentaires, pas concurrents. Le RGPD protège les données à caractère personnel ; le règlement sur l’IA protège les personnes contre les risques des systèmes d’IA. La plupart des organisations qui utilisent de l’IA dans l’Union relèveront des deux. Les mener comme un programme de conformité intégré, inventaires partagés, analyses combinées, avis consolidés, signalement d’incidents coordonné, gouvernance partagée, est à la fois juridiquement sain et opérationnellement efficace.

Les organisations qui peineront le plus sont celles qui traitent le règlement sur l’IA comme un projet séparé, porté par une équipe séparée, avec un inventaire séparé. L’intégration à la gouvernance RGPD existante n’est pas seulement une commodité : c’est la seule voie pratique pour la plupart des équipes de conformité. L’article 50 s’applique depuis le 2 août 2026 ; les obligations à haut risque de l’annexe III s’appliquent à compter du 2 décembre 2027, et celles de l’annexe I à compter du 2 août 2028, après le Digital Omnibus (règlement (UE) 2026/1744, en vigueur depuis le 27 juillet 2026).

Lancez l’évaluation gratuite au titre du règlement sur l’IA pour identifier vos obligations au titre du règlement sur l’IA, aux côtés de votre programme RGPD existant.

Pour le texte juridique de chaque disposition du règlement sur l’IA, voir le guide complet du règlement sur l’IA.

Questions fréquentes

Un même incident peut-il déclencher des amendes au titre du RGPD et du règlement sur l’IA ?

Oui. Les deux règlements sont appliqués par des autorités différentes (autorités de protection des données pour le RGPD, autorités de surveillance du marché pour le règlement sur l’IA), et les sanctions se cumulent indépendamment. Par exemple, déployer un système d’IA biométrique sans AIPD, sans FRIA, et sans base juridique valable pour le traitement de données biométriques pourrait donner lieu à des amendes distinctes au titre du RGPD (de l’autorité de protection des données) et du règlement sur l’IA (de l’autorité de surveillance du marché). Il n’existe aucun mécanisme pour compenser une amende par l’autre.

Quel règlement prime en cas de conflit ?

Le règlement sur l’IA dispose explicitement (article 2, paragraphe 7) qu’il n’a pas d’incidence sur le RGPD. Lorsque les deux s’appliquent, les organisations doivent satisfaire les deux. En pratique, les conflits directs sont rares : les deux règlements traitent des dimensions différentes de la même activité. Le défi le plus courant, ce sont les obligations cumulatives (devoir à la fois une AIPD et une FRIA, à la fois un avis de confidentialité et une information d’IA) plutôt que contradictoires. Là où une tension apparente existe (par exemple les exigences de journalisation du règlement sur l’IA face à la minimisation des données du RGPD), la résolution pratique est de concevoir la journalisation pour saisir ce que le règlement sur l’IA exige, tout en appliquant aux journaux les principes du RGPD (pseudonymisation, contrôles d’accès, limites de conservation).

Faut-il des équipes de conformité séparées pour le RGPD et le règlement sur l’IA ?

Pas nécessairement, et dans la plupart des cas une équipe séparée est contre-productive. L’approche recommandée est une seule structure de gouvernance qui coordonne les deux programmes. Le délégué à la protection des données et l’équipe protection des données fournissent le socle ; les équipes d’ingénierie et de science des données fournissent l’expertise technique qu’exige le règlement sur l’IA. Un effectif dédié au règlement sur l’IA peut être nécessaire pour les grandes organisations avec de nombreux systèmes à haut risque, mais il devrait siéger dans la fonction vie privée existante, ou tout contre elle, et non dans un silo séparé.

Comment traiter les systèmes d’IA qui ne traitent aucune donnée à caractère personnel, mais sont à haut risque au titre du règlement sur l’IA ?

Ces systèmes sortent entièrement du champ du RGPD, mais relèvent pleinement des obligations du règlement sur l’IA. Le fournisseur doit achever la gestion des risques, la documentation technique, l’évaluation de la conformité et la surveillance après mise sur le marché. Le déployeur doit mettre en œuvre le contrôle humain, conserver les journaux et, le cas échéant, mener une FRIA. L’absence de données à caractère personnel simplifie certains aspects (pas d’AIPD, pas de droits des personnes concernées à gérer) mais ne réduit pas les obligations du règlement sur l’IA.

Qu’en est-il des systèmes d’IA utilisés en interne qui n’atteignent jamais le marché de l’Union ?

Si le système d’IA est utilisé dans l’Union par un déployeur, le règlement sur l’IA s’applique, même si le système a été développé en interne et n’a jamais été vendu. La « mise sur le marché » et la « mise en service » sont toutes deux des déclencheurs au titre de l’article 2. Un outil d’IA interne utilisé par une organisation établie dans l’Union pour présélectionner des candidatures est « mis en service » et relève des obligations du déployeur au titre du règlement sur l’IA s’il est à haut risque. Le RGPD s’applique aussi si le système traite des données à caractère personnel de personnes dans l’Union, que le système soit commercial ou interne.

Existe-t-il une certification unique qui couvre le RGPD et le règlement sur l’IA ?

Non. Le RGPD offre des mécanismes de certification volontaires (article 42) via des organismes de certification accrédités, mais ils sont facultatifs et ne confèrent pas la conformité juridique. Le règlement sur l’IA exige une évaluation de la conformité obligatoire pour les systèmes à haut risque (article 43), qui est un processus distinct. ISO 42001 (systèmes de management de l’IA) fournit un cadre qui touche les deux domaines, mais ne se substitue ni à la conformité au RGPD, ni à l’évaluation de la conformité au titre du règlement sur l’IA. Les organisations devraient poursuivre l’évaluation de la conformité au titre du règlement sur l’IA comme exigence obligatoire, et superposer éventuellement des certifications volontaires.

Legalithm est un outil d’accompagnement à la conformité assisté par l’IA, ce n’est pas un conseil juridique. Les décisions finales de conformité doivent être revues par un conseil juridique qualifié.