# AI Act et RGPD : obligations croisées, différences et gestion pratique

> Le RGPD et l’AI Act s’appliquent souvent ensemble aux systèmes d’IA traitant des données personnelles. Chacun impose des obligations spécifiques : protection des données pour le RGPD, gestion des risques IA pour l’AI Act. Il est essentiel de coordonner les démarches de conformité.

- Tags: AI Act vs RGPD, obligations conformité IA, sanctions RGPD AI Act, gouvernance des données IA, évaluations d'impact IA, autorités contrôle IA, transparence IA RGPD, conformité croisée IA
- Mot-cle principal: AI Act vs RGPD

## Points cles

- AI Act et RGPD poursuivent des finalités distinctes : gestion des risques IA et protection des données personnelles.
- La majorité des systèmes d’IA en entreprise sont soumis simultanément aux deux régulations.
- Des obligations se recoupent : gouvernance des données (Art. 10 AI Act, Art. 5/6 RGPD), évaluations d’impact, transparence (Art. 50 AI Act, Art. 13/14 RGPD).
- Les sanctions diffèrent : RGPD jusqu’à 20 millions € ou 4 %, AI Act jusqu’à 35 millions € ou 7 % selon la gravité.
- Les autorités compétentes sont distinctes : CNIL pour le RGPD, DGCCRF pour l’AI Act, avec coordination sur les données personnelles.
- Une approche coordonnée permet d’éviter les doublons, notamment pour la documentation et l’analyse d’impact.

## Introduction

Depuis mai 2018, le RGPD structure la protection des données personnelles dans l’Union européenne. L’arrivée du règlement AI Act (UE 2024/1689), applicable à partir d’août 2024 (mise en œuvre progressive jusqu’en 2027), ajoute un niveau de régulation spécifique aux systèmes d’intelligence artificielle. Ces deux textes ne se substituent pas : ils s’appliquent souvent simultanément, chacun avec un champ d’action propre.

## Contenu

## Comprendre la coexistence AI Act et RGPD

### Deux cadres, deux objectifs
- **RGPD** : Garantit les droits fondamentaux relatifs à la vie privée et au traitement des données personnelles.
- **AI Act** : Implique une gestion des risques liés aux systèmes d’IA, selon leur niveau de risque, sans se limiter aux données personnelles.

En pratique, la plupart des systèmes d’IA utilisés en entreprise traitent des données personnelles. Ils sont donc soumis aux deux règlements à la fois.

## Panorama des différences et recoupements

| Critère                  | RGPD                                      | AI Act                                               |
|-------------------------|--------------------------------------------|------------------------------------------------------|
| Objet                   | Protection des données personnelles        | Régulation des systèmes d’IA par niveau de risque    |
| Déclencheur             | Traitement de données personnelles         | Développement, commercialisation ou usage d’une IA   |
| Date d’entrée en vigueur| mai 2018                                  | août 2024 (application progressive jusqu’en 2027)    |
| Autorité principale     | CNIL (France)                             | DGCCRF (France), CNIL pour les données personnelles  |
| Sanctions maximales     | 20 M€ ou 4 % du CA mondial                | 35 M€ ou 7 % pour pratiques interdites, 15 M€ ou 3 % pour haut risque, 7,5 M€ ou 1 % pour informations inexactes |

Un système d’IA sans traitement de données personnelles ne relève que de l’AI Act. À l’inverse, un traitement de données sans IA n’est concerné que par le RGPD. Mais dès qu’un outil d’IA manipule des données personnelles, il faut appliquer les deux cadres.

## Acteurs concernés : rôles et responsabilités

### Terminologie RGPD
- **Responsable de traitement** : fixe les finalités et moyens du traitement.
- **Sous-traitant** : agit pour le compte du responsable, sous contrat (DPA).
- **Délégué à la protection des données (DPO)** : conseille et contrôle la conformité, parfois obligatoire.

### Terminologie AI Act
- **Fournisseur** : développe ou met sur le marché un système d’IA.
- **Déployeur** : utilise une IA dans un contexte professionnel.
- **Importateur / Distributeur** : intervient dans la chaîne de distribution.

Un même acteur peut cumuler plusieurs fonctions : une entreprise éditrice de logiciels RH intégrant de l’IA peut être fournisseur (AI Act), responsable de traitement (RGPD) et sous-traitant (RGPD) selon les cas.

## Obligations principales : comparatif détaillé

### 1. Documentation et registres
- **RGPD (Art. 30)** : registre des traitements, tenu par le responsable et le sous-traitant. Il doit préciser finalités, catégories de données, destinataires, durées de conservation.
- **AI Act (Art. 11 + Annexe IV)** : documentation technique obligatoire pour les fournisseurs de systèmes à haut risque, détaillant architecture, données d’entraînement, gestion du risque, métriques de performance, surveillance post-marché.
- **Recoupement** : un système d’IA traitant des données personnelles doit figurer dans les deux registres. Il est possible d’intégrer les exigences RGPD dans la documentation AI Act pour limiter la redondance.

### 2. Évaluations d’impact
- **RGPD (Art. 35) – AIPD** : analyse d’impact obligatoire en cas de risque élevé pour les droits et libertés (profilage, surveillance, données sensibles).
- **AI Act (Art. 27) – FRIA** : évaluation obligatoire pour les organismes publics, opérateurs de services essentiels et établissements d’enseignement utilisant des IA à haut risque. Elle porte sur l’ensemble des droits fondamentaux.
- **Articulation** : Les deux analyses peuvent être réalisées ensemble, leur contenu étant proche sur la protection des droits et la non-discrimination. Le règlement AI Act encourage cette mutualisation.

### 3. Transparence et information
- **RGPD (Art. 13/14)** : obligation d’informer sur le traitement des données (responsable, finalité, base légale, durée, droits), dès la collecte ou dans un délai raisonnable.
- **AI Act (Art. 50)** : obligation d’indiquer à une personne qu’elle interagit avec une IA (chatbot), qu’un contenu est généré par IA (deepfake) ou qu’elle est soumise à une reconnaissance émotionnelle.
- **Synergie** : Pour un système d’IA traitant des données personnelles, les deux obligations d’information s’appliquent. Un document unique peut regrouper les exigences des deux règlements.

### 4. Gouvernance des données
- **RGPD (Art. 5/6/9)** : collecte limitée à la finalité, base légale obligatoire, minimisation des données, garanties renforcées pour les données sensibles.
- **AI Act (Art. 10)** : exigences sur la qualité des données d’entraînement, de validation et de test (pertinence, représentativité, exhaustivité, correction des biais).
- **Recoupement fort** : Si les données d’entraînement sont personnelles, les deux cadres s’appliquent. Il faut une base légale RGPD pour l’entraînement et respecter les critères qualité de l’AI Act.

> À noter : le Digital Omnibus propose d’autoriser, sous conditions, le traitement de données sensibles pour corriger les biais IA, créant un pont entre RGPD et AI Act.

### 5. Droits des personnes
- **RGPD** : droits d’accès, de rectification, d’effacement, de limitation, de portabilité, d’opposition. Droit à ne pas subir de décision automatisée sans intervention humaine (Art. 22).
- **AI Act** : droit d’être informé de l’usage d’une IA (Art. 50), droit à la supervision humaine pour les IA à haut risque (Art. 14/26), droit à une explication dans certains cas.
- **Complémentarité** : Les droits RGPD (Art. 22) et les obligations de supervision humaine AI Act (Art. 14) se renforcent. L’AI Act ne permet pas de contourner les garanties RGPD.

### 6. Sanctions
- **RGPD** : jusqu’à 10 millions € ou 2 % du CA mondial pour les manquements organisationnels ; jusqu’à 20 millions € ou 4 % pour les violations des droits fondamentaux.
- **AI Act** : jusqu’à 35 millions € ou 7 % du CA mondial pour pratiques interdites (Art. 5) ; jusqu’à 15 millions € ou 3 % pour manquements liés au haut risque ; jusqu’à 7,5 millions € ou 1 % pour informations inexactes.
- **Cumul possible** : Une même infraction peut être sanctionnée au titre des deux textes. Par exemple, un système d’IA traitant illégalement des données personnelles et violant l’AI Act encourt des sanctions cumulées.

## Autorités compétentes en France

- **RGPD** : la CNIL est l’autorité de contrôle, avec pouvoirs d’enquête, d’injonction et de sanction.
- **AI Act** : la DGCCRF est désignée comme point de contact unique. La CNIL intervient pour les aspects relatifs aux données personnelles dans les IA à haut risque. D’autres autorités (ANSSI, HAS, ARCOM) sont compétentes selon les secteurs (cybersécurité, santé, contenus numériques).
- **Coordination** : La CNIL joue un rôle central dès lors qu’un système d’IA implique des données personnelles.

## Organiser la conformité croisée : méthode pratique

Les démarches de conformité peuvent être harmonisées pour limiter la charge et éviter les doublons :

1. **Cartographier les systèmes** : Identifiez pour chaque outil d’IA s’il traite des données personnelles. Si oui, RGPD et AI Act s’appliquent ensemble.
2. **Fusionner les registres** : Ajoutez une colonne « classification AI Act » à votre registre RGPD pour les traitements IA, plutôt que de tenir deux registres séparés.
3. **Mutualiser les évaluations d’impact** : Réalisez une analyse unique couvrant à la fois les exigences AIPD (RGPD) et FRIA (AI Act) lorsque cela est pertinent.
4. **Unifier l’information des personnes** : Votre politique de confidentialité peut intégrer les informations requises par l’Art. 50 AI Act (usage d’IA, chatbots, deepfakes).
5. **Clarifier les rôles** : Le DPO reste un interlocuteur clé pour la conformité croisée, notamment en cas de traitement de données personnelles par l’IA. Un responsable conformité IA peut compléter ce dispositif.

Pour faciliter la classification de vos systèmes d’IA et l’identification des obligations AI Act, le [diagnostic gratuit compaia](https://compaia.eu/diagnostic) propose un accompagnement complémentaire à votre démarche RGPD.

## Pour aller plus loin

- Consultez le [glossaire AI Act](https://compaia.eu/glossaire) pour maîtriser les définitions et notions clés du règlement.

## FAQ

### Le règlement AI Act remplace-t-il le RGPD pour les systèmes d'IA ?
Non, ces deux règlements fonctionnent en parallèle et s’appliquent conjointement dès lors qu’un système d’IA traite des données personnelles. Le RGPD reste obligatoire et l’AI Act n’exempte pas de la conformité RGPD.

### Faut-il deux évaluations d'impact distinctes - une AIPD et une FRIA ?
Pas obligatoirement. Si les deux évaluations sont requises pour un même système, elles peuvent être fusionnées dans un document unique à condition de couvrir toutes les exigences. La FRIA couvre tous les droits fondamentaux, l’AIPD est centrée sur les données personnelles.

### Mon DPO doit-il aussi s'occuper de la conformité AI Act ?
L’AI Act n’impose pas la désignation d’un DPO équivalent. Toutefois, le DPO a naturellement un rôle à jouer pour les systèmes d’IA traitant des données personnelles. Certaines structures désignent un responsable conformité IA en complément. Il est essentiel de clarifier les responsabilités avant août 2026.

### La base légale RGPD couvre-t-elle aussi l'entraînement des modèles d'IA ?
Non automatiquement. L’entraînement d’un modèle d’IA avec des données personnelles constitue un traitement distinct nécessitant sa propre base légale RGPD. Le Digital Omnibus propose d’assouplir ce point, mais chaque traitement d’entraînement doit aujourd’hui être justifié par une base légale spécifique.

### Les sanctions RGPD et AI Act peuvent-elles se cumuler ?
Oui, une même infraction peut entraîner des sanctions sous chaque règlement, par des autorités différentes. Par exemple, une collecte illicite de données personnelles (RGPD) et un défaut de transparence (Article 50 AI Act) exposent à des sanctions cumulatives. Consultez le [glossaire AI Act](https://compaia.eu/glossaire) pour les définitions réglementaires.

## Source officielle
- [Source](https://www.aiacto.eu/fr/blog/ai-act-vs-rgpd-comparatif-obligations)