AI Act et RGPD s’appliquent de façon parallèle et sans hiérarchie. Ce comparatif détaille leurs obligations communes et spécifiques, les synergies documentaires, les différences techniques et le rôle de la CNIL.
L’AI Act et le RGPD constituent le socle réglementaire de l’intelligence artificielle en Europe. Selon l’article 2(7) de l’AI Act, ce règlement s’applique « sans préjudice » du RGPD, ce qui signifie qu’aucune hiérarchie n’existe entre eux. Dès lors qu’un système d’IA traite des données personnelles, les deux textes sont applicables en parallèle.
Le considérant 10 de l’AI Act met en avant la nécessité d’une coopération étroite entre les autorités de contrôle de l’IA et celles chargées de la protection des données. Cette collaboration vise à éviter les doublons, harmoniser les contrôles et garantir la cohérence des exigences. En France, la CNIL a été désignée autorité compétente pour l’AI Act en février 2026, renforçant l’intégration des deux régimes.
AI Act et RGPD : deux cadres qui s’appliquent ensemble
Pour les entreprises, il est donc pertinent d’adopter une démarche de conformité intégrée. Maintenir des processus séparés pour chaque règlement entraînerait des efforts redondants et des coûts supplémentaires, alors qu’une mutualisation intelligente permet d’optimiser la conformité globale et de limiter les risques d’incohérence.
Comparatif AI Act / RGPD : obligations, convergences et divergences
Le tableau ci-dessous synthétise les principales obligations croisées et points de divergence entre l’AI Act (Règlement UE 2024/1689) et le RGPD (Règlement UE 2016/679), organisés par thématique.
| Thème | AI Act | RGPD | Points communs et différences |
|---|---|---|---|
| **Champ d’application** | S’applique aux systèmes d’IA mis sur le marché ou en service dans l’UE, indépendamment du lieu d’établissement du fournisseur (Art. 2). | Vise tout traitement de données personnelles effectué dans l’UE, ou par un responsable/sous-traitant établi dans l’UE (Art. 3). | Un système d’IA traitant des données personnelles relève des deux règlements. |
| **Rôles et responsabilités** | **Fournisseur** : développe le système d’IA (Art. 3(3)).<br>**Déployeur** : exploite le système (Art. 3(4)).<br>**Importateur/distributeur** : met à disposition dans l’UE (Art. 3(5-6)). | **Responsable de traitement** : fixe finalités et moyens (Art. 4(7)).<br>**Sous-traitant** : agit pour le compte du responsable (Art. 4(8)). | Un acteur peut être à la fois fournisseur d’IA et responsable de traitement RGPD. Le rôle dépend de l’utilisation des données. |
| **Gestion des risques** | **FRIA** obligatoire pour les IA à haut risque (Art. 27).<br>Évaluation des risques pour la sécurité, la santé, les droits fondamentaux.<br>Actualisation continue requise. | **AIPD** obligatoire en cas de risque élevé pour les droits et libertés (Art. 35).<br>Évaluation préalable et mises à jour nécessaires. | Pour une IA à haut risque traitant des données personnelles, la FRIA et l’AIPD peuvent être fusionnées. |
| **Transparence** | Transparence renforcée (Art. 50).<br>Watermarking pour les contenus générés/manipulés par IA (Art. 50(2)).<br>Information claire sur l’interaction avec l’IA (Art. 50(1)). | Droit à l’information (Art. 13, Art. 14).<br>Transparence sur les traitements automatisés (Art. 13(2)(f)). | Les obligations peuvent être regroupées dans les mentions d’information pour éviter les doublons. |
| **Droits des personnes** | Droit à une explication pour les décisions IA à haut risque (Art. 68).<br>Droit de contester une décision automatisée (Art. 68(3)). | Droits d’accès (Art. 15), rectification (Art. 16), effacement (Art. 17), limitation (Art. 18), portabilité (Art. 20), opposition aux décisions automatisées (Art. 22). | Les droits se complètent : le droit à l’explication AI Act enrichit le RGPD. |
| **Documentation et registres** | Registre obligatoire pour les fournisseurs/déployeurs d’IA à haut risque (Art. 49).<br>Documentation technique détaillée (Annexe IV). | Registre des traitements obligatoire (Art. 30).<br>Documentation des violations (Art. 33(5)). | Les registres peuvent être fusionnés pour les IA traitant des données personnelles. |
| **Incidents et violations** | Notification des incidents graves sous 15 jours (Art. 73).<br>Inclut tout impact sur la santé, la sécurité ou les droits fondamentaux. | Notification des violations de données sous 72h à l’autorité (Art. 33) et aux personnes si risque élevé (Art. 34). | Un incident peut déclencher les deux notifications. Une notification AI Act complète peut couvrir le RGPD. |
| **Sanctions** | Jusqu’à 35M€ ou 7% du CA mondial pour les pratiques interdites (Art. 99(3)).<br>Jusqu’à 15M€ ou 3% pour d’autres infractions (Art. 99(4)). | Jusqu’à 20M€ ou 4% du CA mondial pour les violations graves (Art. 83(5)), 10M€ ou 2% pour d’autres infractions (Art. 83(4)). | Les sanctions sont cumulatives : jusqu’à 55M€ ou 11% du CA mondial en cas de double infraction. |
> « La convergence entre le règlement AI Act et le RGPD n’est pas une coïncidence, mais une volonté politique. Les deux règlements partagent une philosophie commune : encadrer les technologies pour préserver les droits fondamentaux. »
> *Paul Nemitz, Conseiller principal à la Commission européenne*
Synergies documentaires : optimiser la conformité croisée
Pour rationaliser la conformité, il est possible de regrouper certaines obligations documentaires entre AI Act et RGPD. Quatre synergies majeures sont à privilégier :
1. Gouvernance des données
L’article 10 de l’AI Act impose des standards élevés sur la qualité des données d’entraînement, rejoignant les principes de minimisation (Art. 5(1)) et de protection dès la conception (Art. 25) du RGPD. Une documentation unique peut répondre aux deux cadres.
2. Évaluations des risques
FRIA (AI Act) et AIPD (RGPD) reposent sur des méthodologies similaires. Pour les IA à haut risque utilisant des données personnelles, une seule évaluation intégrée est possible, réduisant la charge administrative.
3. Registres des activités
Le registre des systèmes d’IA (Art. 49) et le registre des traitements (Art. 30) peuvent être fusionnés. Les informations propres à l’IA (catégorisation, transparence) s’ajoutent aux entrées du registre RGPD.
4. Transparence et information
Les exigences de transparence de l’AI Act (Art. 50) peuvent être intégrées dans les notices d’information RGPD (Art. 13, Art. 14), permettant d’informer sur l’usage de l’IA et le traitement des données personnelles dans un même document.
Cette mutualisation permet d’alléger la charge de conformité et de garantir une cohérence documentaire entre les deux réglementations.
Exigences techniques propres à l’AI Act
L’AI Act introduit des obligations techniques qui n’ont pas d’équivalent dans le RGPD. Ces exigences spécifiques visent à renforcer la robustesse, la supervision humaine et la sécurité des systèmes d’IA :
Supervision humaine
Les IA à haut risque doivent permettre une supervision humaine effective (Art. 14), avec interfaces et dispositifs de désactivation. Le RGPD ne prévoit pas de telles mesures.
Robustesse et cybersécurité
L’AI Act impose des tests de résistance et des mesures de cybersécurité dédiées (Art. 15), au-delà des exigences générales du RGPD (Art. 32).
Précision et exactitude
Les systèmes d’IA doivent atteindre un niveau de précision, robustesse et cybersécurité adapté (Art. 15(1)). Le RGPD ne traite pas de la performance technique des systèmes.
Journalisation automatique
Pour assurer la traçabilité, les IA à haut risque doivent intégrer une journalisation automatique (Art. 12), obligation absente du RGPD.
Watermarking des contenus IA
L’article 50(2) de l’AI Act impose le marquage des contenus générés ou modifiés par IA pour garantir la transparence et lutter contre la désinformation, un point non abordé par le RGPD.
Ces spécificités requièrent une attention particulière lors du développement et du déploiement des IA, en complément des obligations liées à la protection des données.
CNIL : autorité de contrôle pour AI Act et RGPD
En France, la CNIL assure la supervision des deux règlements. Désignée autorité compétente pour l’AI Act en février 2026, elle coordonne ses actions avec l’ARCOM et la DGCCRF pour une couverture complète.
En mars 2026, la CNIL a publié des lignes directrices précisant l’articulation entre AI Act et RGPD, notamment :
- Possibilité de fusionner FRIA et AIPD
- Intégration des obligations de transparence AI Act dans les notices RGPD
- Harmonisation des notifications d’incidents
Les entreprises peuvent s’appuyer sur ces recommandations et utiliser les outils proposés par la CNIL. Toutes les ressources sont accessibles sur www.cnil.fr/fr/intelligence-artificielle.
Au niveau européen, la coordination s’intensifie également : l’AI Office, créé en 2025, travaille en lien avec le Comité européen de la protection des données (CEPD) pour garantir des pratiques homogènes sur tout le territoire.