# AI Act et RGPD : comprendre leurs différences et interactions concrètes

> Le RGPD encadre la gestion des données personnelles, tandis que l’AI Act régule les systèmes d’IA, qu’ils traitent ou non des données personnelles. Les deux règlements s’appliquent souvent ensemble et exigent une conformité distincte mais coordonnée pour les organisations européennes.

- Tags: AI Act, RGPD, conformité IA, données personnelles, analyse d'impact, sanctions réglementaires, gouvernance IA, contrats IA
- Mot-cle principal: AI Act RGPD différences

## Points cles

- Le RGPD et l’AI Act visent des objets de régulation différents mais peuvent s’appliquer simultanément.
- Le RGPD s’active dès qu’une donnée personnelle est traitée ; l’AI Act concerne tout système d’IA mis sur le marché ou utilisé dans l’UE.
- Trois grands domaines activent les deux textes ensemble : biométrie, décisions automatisées et profilage.
- Les rôles de responsable de traitement (RGPD) et fournisseur/déployeur (AI Act) sont indépendants et parfois cumulables.
- Des sanctions distinctes et cumulables s’appliquent : jusqu’à 4 % du CA mondial (RGPD) et 7 % (AI Act).
- AIPD et évaluation AI Act sont deux démarches séparées, mais la coordination permet d’optimiser la conformité documentaire.

## Introduction

Depuis l’entrée en vigueur du RGPD en **mai 2018**, la gestion des données à caractère personnel est devenue un pilier de la conformité en Europe. L’**AI Act (Règlement UE 2024/1689)**, qui s’appliquera progressivement dès 2025-2026, introduit un nouveau cadre pour les systèmes d’intelligence artificielle. Le RGPD et l’AI Act ne se remplacent pas : ils s’additionnent. Maîtriser leurs frontières et leurs chevauchements est désormais essentiel pour toute organisation développant, déployant ou exploitant des solutions d’IA dans l’UE.

## Contenu

## RGPD et AI Act : des objets et des finalités bien distincts

La confusion entre les deux règlements est fréquente, car ils partagent une origine européenne et une visée de protection des personnes. Cependant, leurs périmètres sont nettement différenciés.

Le **RGPD** encadre tout **traitement de données personnelles** : dès qu’une information permet d’identifier une personne physique (nom, email, photo, etc.), le RGPD s’applique, qu’il y ait ou non de l’IA. Cela concerne aussi bien un formulaire papier qu’une base CRM ou un fichier Excel contenant des coordonnées.

L’**AI Act** cible, lui, les **systèmes d’intelligence artificielle** : conception, commercialisation, déploiement et exploitation dans l’UE. Il s’applique à tout système d’IA mis sur le marché européen, que celui-ci manipule ou non des données personnelles. Par exemple, un outil d’IA industrielle traitant uniquement des données techniques anonymisées entre dans le champ de l’AI Act s’il est classé à haut risque, même si le RGPD ne s’applique pas.

En résumé : **le RGPD régule l’usage des données personnelles ; l’AI Act encadre les systèmes d’IA**. Ils peuvent s’appliquer simultanément à un même dispositif, mais restent indépendants.

## Comparatif des champs d’application et responsabilités

### Portée territoriale et personnelle

Le RGPD vise toute entité (publique ou privée), qu’elle soit établie dans l’UE ou non, dès lors qu’elle traite des données personnelles de résidents européens (principe d’extraterritorialité, **Article 3**). L’AI Act s’applique à toute organisation qui met sur le marché ou utilise un système d’IA dans l’UE, sans considération de localisation. Ainsi, une entreprise non européenne qui commercialise une solution d’IA en Europe relève de l’AI Act. Si cette solution traite aussi des données personnelles de citoyens européens, elle est également soumise au RGPD.

### Rôles et fonctions

Le RGPD distingue le **responsable de traitement** (qui décide des finalités et moyens) et le **sous-traitant** (qui agit pour le compte du responsable). L’AI Act définit le **fournisseur** (qui conçoit et met sur le marché le système) et le **déployeur** (qui l’utilise professionnellement).

Ces catégories ne se recouvrent pas systématiquement. Un déployeur AI Act peut être responsable de traitement RGPD ou sous-traitant selon la maîtrise des flux de données et des finalités. Une même société peut cumuler plusieurs rôles : par exemple, une entreprise qui développe et exploite un système d’IA sera à la fois fournisseur et déployeur AI Act, et probablement responsable de traitement RGPD.

### Typologie des obligations

Les exigences du RGPD sont **centrées sur les données** : licéité (Article 6), minimisation, limitation des finalités, droits des personnes (accès, rectification, effacement, portabilité), nomination d’un DPO si nécessaire, notification des violations sous 72 heures. L’AI Act impose des obligations **centrées sur le système** : catégorisation par niveau de risque, gestion des risques (**Article 9**), documentation technique (**Annexe IV**), transparence (**Article 50**), supervision humaine (**Article 14**), robustesse et cybersécurité (**Article 15**), marquage CE et enregistrement pour les systèmes à haut risque.

### Autorités compétentes

La conformité RGPD est contrôlée par les **autorités nationales de protection des données** (CNIL en France, AEPD en Espagne, etc.). L’AI Act sera surveillé par des **autorités nationales IA** désignées par chaque État membre, différentes des autorités RGPD. Ces deux types d’autorités peuvent intervenir séparément, sur des bases légales distinctes, et ouvrir des procédures parallèles.

### Sanctions applicables

Le RGPD prévoit des amendes jusqu’à **20 millions d'euros** ou **4 %** du chiffre d’affaires mondial annuel pour les infractions majeures. L’AI Act prévoit des sanctions allant jusqu’à **35 millions d'euros** ou **7 %** du CA mondial pour les pratiques interdites, **15 millions ou 3 %** pour la non-conformité des systèmes à haut risque, et **7,5 millions ou 1 %** pour des informations inexactes. Les deux types de sanctions sont **cumulables** : une même organisation peut être sanctionnée au titre des deux règlements.

## Zones de recouvrement : quand RGPD et AI Act s’appliquent ensemble

De nombreux systèmes d’IA traitent des données personnelles, ce qui déclenche une double application. Voici les principaux cas de croisement.

### Reconnaissance biométrique

Un système de reconnaissance faciale traite des données biométriques, considérées comme **données sensibles** par le RGPD (**Article 9**), dont le traitement est en principe interdit sauf exceptions. Ce même système est classé **à haut risque** par l’AI Act (**Annexe III**, identification biométrique). Les deux textes imposent des exigences cumulatives : base légale et AIPD côté RGPD, documentation technique, marquage CE et supervision humaine côté AI Act. L’AI Act interdit en outre l’identification biométrique en temps réel dans l’espace public à des fins répressives, sauf exceptions strictes (**Article 5**).

### Décisions automatisées

L’**Article 22 du RGPD** encadre les décisions prises uniquement sur la base d’un traitement automatisé ayant un impact significatif (refus de crédit, recrutement, tarification, etc.). Il impose le droit à l’intervention humaine, à l’explication et à la contestation. L’**Article 14 de l’AI Act** impose, pour les systèmes à haut risque, une supervision humaine permettant de comprendre et de neutraliser le système si besoin. Les deux exigences doivent être satisfaites : il faut concevoir des systèmes réellement supervisables.

### Profilage et personnalisation

Les systèmes d’IA dédiés au **profilage comportemental**, à la personnalisation de contenus ou à l’évaluation de personnes activent à la fois les règles RGPD sur le profilage (**Articles 4 et 22**) et, selon leur impact, les obligations de transparence (**Article 50** AI Act) ou de gestion des risques. Les systèmes d’évaluation de solvabilité ou de notation de personnes sont explicitement listés dans l’**Annexe III** comme à haut risque.

### Analyse d’impact : synergies possibles

Le RGPD impose une **Analyse d’Impact relative à la Protection des Données (AIPD)** pour les traitements à risque élevé (**Article 35**). L’AI Act exige une **évaluation de conformité** pour les systèmes à haut risque, incluant une documentation technique (**Annexe IV**), un système de gestion des risques (**Article 9**) et, pour le secteur public, une analyse d’impact sur les droits fondamentaux (**Article 27**).

Bien que distinctes, ces démarches portent sur des enjeux proches. Il est conseillé de les coordonner pour repérer les recoupements, alléger la documentation et garantir la cohérence des évaluations. Certaines organisations développent des modèles conjoints RGPD/AI Act.

### Contrats avec les prestataires IA

Si vous recourez à un prestataire IA traitant des données personnelles pour votre compte, le RGPD impose un **contrat de sous-traitance** (**Article 28**) précisant les obligations. L’AI Act impose aussi des exigences au déployeur sur la supervision du système. Les deux volets contractuels doivent être harmonisés : un prestataire IA ne peut promettre une supervision humaine dans le contrat AI Act tout en se défaussant de ses responsabilités RGPD dans le DPA.

> Vous souhaitez évaluer votre exposition croisée RGPD/AI Act ? Le [diagnostic compaia](https://compaia.eu/diagnostic) fournit une analyse rapide de vos risques et priorités de conformité.

## Vers une conformité coordonnée RGPD et AI Act

L’AI Act complète le RGPD au sein de l’architecture réglementaire européenne. Alors que le RGPD a instauré une culture de protection des données, l’AI Act ajoute des exigences propres à l’IA : robustesse, explicabilité, supervision humaine, gestion du risque, que le RGPD ne couvrait pas.

Pour une gestion efficace de la double conformité, adoptez trois réflexes essentiels :

1. **Cartographier ensemble traitements de données et systèmes d’IA** : pour chaque système, déterminez s’il traite des données personnelles, sous quel rôle (responsable, sous-traitant), et sa classification AI Act. Cette cartographie croisée est la base d’une stratégie de conformité solide.
2. **Coordonner les analyses d’impact** : si une AIPD est requise (RGPD) et une évaluation de conformité (AI Act), menez-les en parallèle avec les mêmes équipes pour mutualiser la documentation et éviter les incohérences.
3. **Aligner la gouvernance** : le DPO (si nommé) et le responsable conformité IA doivent collaborer. Les choix de conception des systèmes d’IA ont des répercussions sur les deux textes.

Des outils comme le [module de documentation compaia](https://compaia.eu/assistant-vocal-ai-act) facilitent cette démarche de conformité intégrée.

## Source officielle
- [Source](https://www.aiacto.eu/fr/blog/ai-act-rgpd-differences-complementarites)