Réponse courte

Le RGPD et l’AI Act ne se remplacent pas. Le premier encadre les traitements de données personnelles ; le second encadre les systèmes et usages d’IA selon les risques. Lorsqu’un système d’IA utilise des données personnelles, les deux textes peuvent s’appliquer. Le pilotage doit alors partager l’inventaire, les responsabilités, les analyses, les contrôles et les preuves.

À retenir

  • ✓Deux objets juridiques différents
  • ✓Le point de rencontre est l’usage réel
  • ✓Une AIPD peut devenir le socle d’une analyse plus large
  • ✓Une gouvernance commune ne signifie pas un responsable unique

Deux objets juridiques différents

Le RGPD part du traitement de données personnelles : finalité, base légale, minimisation, information, droits, sécurité, conservation et transferts. L’AI Act part du système d’IA, du rôle de l’acteur et du niveau de risque associé à l’usage. Un projet peut relever de l’un, de l’autre ou des deux.

Cette distinction évite deux erreurs. La première consiste à croire qu’un projet conforme au RGPD est automatiquement conforme à l’AI Act. La seconde consiste à traiter l’AI Act comme un chantier sans rapport avec les pratiques de données déjà en place.

Le point de rencontre est l’usage réel

Prenons un système qui aide à trier des candidatures. L’AI Act conduit à examiner la qualification du système, le rôle du déployeur, le risque, les instructions, le contrôle humain et la surveillance. Le RGPD conduit à examiner la finalité, la base légale, les données, l’information des candidats, la durée de conservation, les droits et l’éventuelle AIPD.

Ces analyses partent de la même description : qui fait quoi, avec quelles données, pour produire quel résultat et avec quel effet sur une personne. Si cette description est dupliquée dans deux outils ou deux comités, les versions finiront par diverger.

Une AIPD peut devenir le socle d’une analyse plus large

La CNIL rappelle qu’une AIPD est obligatoire lorsqu’un traitement est susceptible d’engendrer un risque élevé pour les droits et libertés. Elle permet de décrire le traitement, d’évaluer la nécessité et la proportionnalité, puis d’identifier les risques et les mesures.

Cette structure est utile pour un projet d’IA, mais elle ne couvre pas nécessairement toutes les obligations de l’AI Act. L’organisation peut l’enrichir : classification du système, obligations propres au rôle, transparence, instructions, surveillance, qualité des données, robustesse et contrôle humain selon le cas. L’objectif n’est pas de forcer tous les textes dans un formulaire unique, mais de réutiliser les faits et les preuves.

Une gouvernance commune ne signifie pas un responsable unique

Le DPO n’a pas vocation à devenir seul « responsable de l’IA ». Les métiers portent la finalité et l’usage ; la DSI et la sécurité évaluent l’architecture ; les achats et le juridique encadrent les fournisseurs ; les RH interviennent sur les compétences et les usages sociaux ; le DPO conseille sur les données et les droits.

Une gouvernance efficace définit un circuit : déclaration, qualification, analyse, décision, mise en production, surveillance et révision. Chaque étape a un propriétaire et produit une trace.

Le bénéfice est aussi économique

Réutiliser le registre, les contrats, les contrôles d’accès, les évaluations fournisseurs et les formations réduit les doubles travaux. Cela permet surtout de présenter à la direction une vue consolidée des risques numériques au lieu de listes réglementaires concurrentes.

Ce que Lyopi apporte

Lyopi rapproche les traitements RGPD et les usages IA dans un même référentiel. Les informations communes sont réutilisées, les analyses restent distinctes lorsque nécessaire et les validations sont tracées. La plateforme soutient la coordination ; elle ne remplace pas les expertises ni les responsabilités de chaque fonction.

Questions fréquentes

Les réponses essentielles

Une IA sans données personnelles relève-t-elle du RGPD ?

Pas nécessairement. Le RGPD s’applique lorsqu’il y a traitement de données personnelles. L’AI Act peut s’appliquer indépendamment de ce critère selon le système, l’usage et le rôle de l’organisation.

Une AIPD suffit-elle pour l’AI Act ?

Non. Elle peut fournir une base utile sur les données et les risques pour les personnes, mais il faut aussi examiner les obligations propres à l’AI Act.

Qui doit piloter le croisement des deux textes ?

Le pilotage doit être transversal. Un sponsor de direction et un circuit clair sont nécessaires, avec des responsabilités réparties entre métiers, juridique, DPO, DSI, sécurité, RH et achats.

Sources

Textes et ressources de référence

Sources consultées et vérifiées lors de la mise à jour du 11 août 2026.

  1. lyopi.frCNIL - Recommandations RGPD pour les systèmes d’IA

    Référence utilisée pour vérifier le cadre et les recommandations de cette analyse.

  2. lyopi.frCNIL - Réaliser une analyse d’impact si nécessaire

    Référence utilisée pour vérifier le cadre et les recommandations de cette analyse.

  3. digital-strategy.ec.europa.euCommission européenne - Naviguer dans l’AI Act

    Référence utilisée pour vérifier le cadre et les recommandations de cette analyse.

Note éditoriale : cette ressource fournit une information générale. Elle ne constitue ni un conseil juridique ou assurantiel personnalisé, ni une certification NIS2, ni une garantie de couverture.