Deux règlements, un seul système d'IA. Si votre organisation développe ou déploie de l'IA qui traite des données personnelles — et c'est le cas de la grande majorité des systèmes — vous devez respecter le RGPD et l'AI Act simultanément. Pas l'un ou l'autre. Les deux. Ils ne se substituent pas, ils se cumulent, et parfois se contredisent.
Deux réglementations complémentaires, pas redondantes
Le RGPD et l'AI Act sont deux réglementations complémentaires qui s'appliquent simultanément. Le RGPD régit les données personnelles (collecte, traitement, droits des personnes), l'AI Act régit les systèmes d'IA (conception, tests, transparence, supervision). Un système d'IA traitant des données personnelles doit respecter les deux.
Première erreur à éviter : croire que l'AI Act « remplace » le RGPD pour les systèmes d'IA. Non. Les deux textes ont des objets différents et coexistent.
Le RGPD protège les personnes contre les usages abusifs de leurs données personnelles. Il régit le cycle de vie des données : collecte, traitement, conservation, transfert, suppression.
L'AI Act régit les systèmes d'IA eux-mêmes — leur conception, leurs tests, leur transparence et leur supervision — indépendamment (en partie) des données qu'ils traitent.
Concrètement, votre outil de recrutement IA doit avoir une base légale pour traiter les CV (RGPD), ET respecter les obligations de documentation et supervision humaine (AI Act). Double peine ? Plutôt double protection.
Le tableau des obligations croisées
| Obligation | RGPD | AI Act | Cumul |
|---|---|---|---|
| Base légale pour traiter les données | Oui (art. 6) | Non | RGPD seul |
| Consentement pour données biométriques | Oui (art. 9) | Interdiction directe de certains usages (art. 5) | Les deux |
| Analyse d'impact (DPIA) | Oui (art. 35) | Analyse d'impact sur les droits fondamentaux (art. 27) | Possibilité de fusionner les deux |
| Droit à l'explication | Oui pour décisions auto (art. 22) | Obligation de transparence plus large (art. 13) | Complémentaires |
| Documentation du système | Registre des traitements | Documentation technique complète (art. 11) | Les deux |
| Supervision humaine | Droit de refuser une décision auto (art. 22) | Obligation active de supervision (art. 14) | AI Act va plus loin |
| Minimisation des données | Oui (art. 5) | Gouvernance des données (art. 10) | Complémentaires — tension possible |
| Notification de violation | 72h à l'autorité (art. 33) | Incidents graves au Bureau IA (GPAI) | Les deux selon le contexte |
Les points de friction — et comment les gérer
Les deux textes sont globalement cohérents, mais quelques frictions méritent votre attention.
Le droit à l'effacement vs. les données d'entraînement : le RGPD permet à toute personne de demander la suppression de ses données (« droit à l'oubli »). Or, une fois qu'un modèle d'IA a appris de vos données, il est techniquement quasi impossible de « désapprendre ». Réentraîner un LLM coûte des millions d'euros. La CNIL et d'autres DPA européennes travaillent sur des positions pragmatiques, mais la zone grise persiste.
Minimisation des données vs. qualité d'entraînement : le RGPD impose de ne collecter que le strict nécessaire. Mais un modèle d'IA performant a souvent besoin de données diversifiées — y compris des données sensibles pour corriger les biais. Paradoxe : pour éviter de discriminer, vous devez parfois collecter des données protégées.
Transparence vs. secret des affaires : l'AI Act exige de documenter les systèmes d'IA. Mais les fournisseurs peuvent invoquer le secret commercial pour limiter l'accès à cette documentation. Le règlement reconnaît cette tension sans la résoudre entièrement.
Point clé : l'article 10 de l'AI Act autorise explicitement le traitement de données sensibles (origine ethnique, santé, opinions politiques) pour détecter et corriger les biais dans les systèmes à risque élevé. C'est une dérogation encadrée au RGPD, justifiée par la finalité de non-discrimination.
Les 5 questions RGPD à se poser pour chaque système d'IA
Avant de déployer un système d'IA, posez-vous ces questions dans l'ordre.
1. Traitez-vous des données personnelles ? Si oui, le RGPD s'applique. Rappel : données personnelles = tout ce qui identifie directement ou indirectement une personne (nom, email, IP, voix, visage, cookies...).
2. Quelle base légale ? Six possibilités : consentement, contrat, obligation légale, intérêts vitaux, mission d'intérêt public, intérêt légitime. Documentez votre choix.
3. Faut-il une DPIA ? Oui si le traitement présente un risque élevé. Les systèmes d'IA qui évaluent des personnes, utilisent des données biométriques ou prennent des décisions automatiques nécessitent quasi systématiquement une DPIA.
4. Des décisions entièrement automatisées ? L'article 22 RGPD encadre les décisions 100 % automatisées avec effets significatifs. Le droit à l'explication et à la contestation s'applique.
5. Quelle politique de conservation ? Vos données d'entraînement ne peuvent pas être conservées indéfiniment. Fixez et documentez des durées.
- Données personnelles identifiées → RGPD applicable
- Évaluation ou profilage de personnes → DPIA obligatoire
- Décisions automatisées significatives → Art. 22 RGPD
- Données biométriques → Consentement explicite + DPIA + vérifier AI Act art. 5
- Données d'entraînement issues du web → Vérifier la base légale de la collecte
Le DPO à l'ère de l'AI Act
Le Délégué à la Protection des Données voit son rôle s'élargir. Si le DPO reste un expert RGPD avant tout, il devient l'interlocuteur naturel pour les questions de conformité AI Act — du moins pour tout ce qui touche aux données personnelles.
Ses nouvelles responsabilités de facto : articuler RGPD et AI Act pour chaque système, piloter les DPIA « augmentées » intégrant les exigences AI Act, conseiller sur les bases légales des données d'entraînement, gérer les demandes de droits des personnes face aux systèmes d'IA.
Certaines organisations créent un rôle distinct de « Responsable IA ». Les PME fusionnent généralement les fonctions.
→ Responsable conformité IA : fiche métier
Les positions de la CNIL sur l'IA
La CNIL est l'une des autorités les plus actives en Europe sur ces questions. Ses positions structurent le marché français.
Intérêt légitime pour l'entraînement : la CNIL reconnaît que l'intérêt légitime peut être une base valide pour entraîner des modèles sur des données publiques — à condition que la collecte soit prévisible pour les personnes et que des mesures de protection soient en place.
Droit à l'effacement : la CNIL attend des responsables de traitement qu'ils mettent en place des processus de réponse, même si l'implémentation technique reste difficile. Au minimum, ne plus utiliser les données pour les futurs entraînements.
IA générative : la CNIL a mené des investigations sur plusieurs LLM et publié des recommandations sur la conformité RGPD des IA génératives.
Sanctions : elle a déjà sanctionné des entreprises utilisant de l'IA en violation du RGPD, notamment pour des systèmes biométriques non conformes.
→ IA et RGPD : enjeux détaillés
FAQ : RGPD et IA
Conclusion
RGPD et AI Act sont les deux faces d'un même engagement européen : mettre la technologie au service des personnes. Leur articulation est complexe mais incontournable. La clé : ne pas traiter ces deux réglementations en silos séparés, mais développer une approche intégrée de la conformité. Votre DPO et votre référent IA doivent parler le même langage.
Questions fréquentes
Non, seulement quand le traitement présente un risque élevé pour les droits des personnes. Les déclencheurs habituels : évaluation ou profilage, décisions automatisées significatives, données biométriques, surveillance à grande échelle. La CNIL publie une liste des traitements nécessitant systématiquement une DPIA.
Oui, si ce sont des données personnelles. La base légale doit exister au moment de la collecte. Si les données ont été collectées pour une autre finalité (publications web), leur réutilisation pour l'entraînement doit être compatible avec la finalité initiale ou disposer d'une nouvelle base légale.
En théorie oui, les régimes de sanctions sont distincts. En pratique, le principe non bis in idem (ne pas sanctionner deux fois pour le même fait) devrait limiter les cumuls. Pour l'AI Act, c'est la DGCCRF qui est le point de contact unique en France ; la CNIL reste compétente au titre du RGPD et sur les usages IA liés à la biométrie, l'emploi ou l'éducation.
Le RGPD et l'AI Act s'appliquent simultanément aux systèmes d'IA traitant des données personnelles. Le RGPD régit les données (base légale, droits des personnes, DPIA), l'AI Act régit le système d'IA (conception, tests, supervision). Les deux sont complémentaires et non substitutifs.