L'entrée en application des principales obligations de l'EU AI Act arrive. Les DPO des PME françaises doivent désormais articuler deux corpus : le RGPD, en vigueur depuis 2018, et le Règlement (UE) 2024/1689. Ce guide clarifie leurs points de contact, les sanctions réelles et les outils disponibles.
L'essentiel en 30 secondes
- Sanctions RGPD : jusqu'à 4 % du chiffre d'affaires annuel mondial ou 20 M€ (Article 83 du RGPD).
- Sanctions AI Act : jusqu'à 7 % du CA mondial ou 35 M€ pour les pratiques interdites (Article 99 du Règlement (UE) 2024/1689 — et non l'Art. 62).
- Responsabilité : le DPO conseille et surveille ; il documente les risques croisés IA-RGPD, sans se substituer au responsable de traitement.
- Domaine clé : la décision individuelle automatisée (Art. 22 du RGPD) au cœur de nombreux systèmes d'IA.
- Échéance principale : application des obligations pour les systèmes à haut risque le 2 août 2026.
Ce guide s'adresse aux DPO, RSSI et IA Lead de PME (10-250 salariés). Pour le cadre général, consultez notre pilier AI Act pour les PME françaises.
1. Les enjeux majeurs pour les DPO en 2026
Le DPO ne gère plus seulement des traitements de données. Il fait face à des systèmes d'IA qui traitent, profilent et décident. Les deux réglementations se superposent sans se confondre.
Risques croisés. Un système d'IA mal paramétré peut violer le RGPD : base légale absente, minimisation ignorée, décision automatisée non encadrée. La conformité AI Act ne dispense jamais de la conformité RGPD.
Sanctions parallèles. Une même défaillance peut déclencher deux procédures. La CNIL sanctionne le volet données personnelles. L'autorité de surveillance du marché sanctionne le volet AI Act.
Documentation renforcée. Les autorités attendent une traçabilité des choix : analyse d'impact (AIPD), registre des traitements, et documentation technique du système d'IA. Le DPO orchestre cette cohérence.
Pour la mécanique détaillée des amendes, voyez notre article Sanctions AI Act pour les PME.
2. Principales intersections RGPD-AI Act
Les deux textes se rencontrent sur quatre terrains. Le tableau ci-dessous les situe précisément.
| Sujet | Référence RGPD | Référence AI Act | Enjeu pour le DPO |
|---|---|---|---|
| Décision automatisée | Art. 22 | Art. 6 + Annexe III | Encadrer profilage et scoring |
| Transparence | Art. 13-14 | Art. 13 et Art. 50 | Informer les personnes concernées |
| Données sensibles | Art. 9 | Art. 10 (gouvernance des données) | Vérifier la base légale du traitement |
| Droits des personnes | Art. 15 à 22 | Art. 26 (déployeurs) | Garantir l'exercice effectif des droits |
Décision automatisée. L'Art. 22 du RGPD interdit, par principe, une décision produisant des effets juridiques fondée uniquement sur un traitement automatisé. De nombreux systèmes d'IA à haut risque tombent dans ce champ.
Transparence. L'AI Act impose des informations claires aux déployeurs (Art. 13) et aux utilisateurs finaux pour certains systèmes comme les chatbots (Art. 50). Ces obligations complètent l'information RGPD des Art. 13-14.
Données sensibles. L'Art. 9 du RGPD encadre les catégories particulières de données. Le consentement explicite n'est qu'une base légale parmi d'autres, sous conditions strictes.
Droits des personnes. Les Art. 15 à 22 du RGPD (accès, rectification, effacement, portabilité, opposition) s'appliquent aux données traitées par l'IA. Le DPO vérifie leur exercice concret. Voir les définitions dans notre glossaire.
3. Obligations spécifiques pour les DPO
Le DPO conserve son rôle de conseil et de contrôle. L'IA élargit son périmètre d'analyse.
- Auditer les systèmes d'IA pour identifier les risques RGPD : finalités, base légale, durée de conservation, transferts.
- Former les équipes aux impacts croisés IA-RGPD, en lien avec l'obligation de littératie de l'Art. 4 du Règlement (UE) 2024/1689.
- Assurer une veille réglementaire sur les lignes directrices de l'AI Office et de la CNIL en 2026.
Le DPO ne certifie pas la conformité. Il documente, alerte et conseille le responsable de traitement, qui reste décisionnaire.
Structurez votre audit IA-RGPD sans repartir de zéro
Notre pack documentaire complet fournit des modèles de référence : registre, AIPD, grille d'audit AI Act. À adapter par votre DPO ou conseil juridique.
Découvrir le pack complet4. Sanctions et responsabilités clés
Les chiffres circulent souvent de façon erronée. Voici les plafonds réels, sourcés.
| Régime | Article | Plafond | Cas visé |
|---|---|---|---|
| AI Act | Art. 99 | 35 M€ ou 7 % du CA mondial | Pratiques interdites (Art. 5) |
| AI Act | Art. 99 | 15 M€ ou 3 % du CA mondial | Autres manquements |
| AI Act | Art. 99 | 7,5 M€ ou 1 % du CA mondial | Informations inexactes fournies |
| RGPD | Art. 83 | 20 M€ ou 4 % du CA mondial | Manquements graves |
Le montant retenu est le plus élevé des deux valeurs. Les seuils AI Act tiennent compte de la taille de l'entreprise, avec des règles proportionnées pour les PME (Art. 99, paragraphe relatif aux PME).
Responsabilité pénale. Le RGPD ne comporte pas d'« Article 122 » : le texte s'arrête à l'Art. 99. En France, les sanctions pénales relatives aux traitements de données figurent au Code pénal (Art. 226-16 et suivants) et dans la loi Informatique et Libertés. [à vérifier : références précises applicables au cas d'espèce]
Le DPO n'est pas l'entité sanctionnée. Les amendes visent le responsable de traitement ou le sous-traitant, personnes morales. Le DPO engage sa responsabilité disciplinaire ou contractuelle en cas de faute, non une amende administrative personnelle. [à vérifier : régime contractuel propre à chaque organisation]
5. Outils de conformité pratiques
Trois ressources structurent une démarche crédible pour une PME.
- Guide CNIL sur l'IA et le RGPD. La CNIL publie des recommandations et fiches pratiques dédiées à l'IA. La référence « version 2026 » citée dans certains supports est
[à vérifier]; consultez la page officielle pour la version en vigueur. - AI Act Service Desk. Le service d'assistance de la Commission (ai-act-service-desk.ec.europa.eu) offre un support gratuit pour comprendre les obligations, utile aux structures sans juriste dédié.
- ISO/IEC 42001:2023. Cette norme fournit un cadre de management de l'IA. Combinée à l'ISO/IEC 23894:2023 (gestion des risques) et l'ISO/IEC 27001:2022 (sécurité), elle outille l'audit interne.
Ces outils sont des supports méthodologiques. Ils ne remplacent pas la validation par un DPO ou un conseil juridique. Retrouvez les liens dans notre page sources.
6. Cas concrets pour les PME
Trois usages fréquents illustrent l'articulation des deux textes.
| Usage | Enjeu RGPD | Enjeu AI Act |
|---|---|---|
| Chatbot client | Base légale + information (Art. 13) | Transparence « vous parlez à une IA » (Art. 50) |
| Analyse de CV | Décision automatisée (Art. 22) | Système à haut risque (Annexe III) |
| Recommandation produit | Profilage documenté | Évaluation du niveau de risque |
Chatbot client. L'utilisateur doit savoir qu'il dialogue avec un système d'IA (Art. 50). Côté RGPD, identifiez la base légale et informez sur le traitement des échanges.
Analyse de CV. Le tri automatisé de candidatures est un usage sensible. Il relève souvent de l'Annexe III (haut risque) et de l'Art. 22 du RGPD. Un contrôle humain effectif est requis.
Système de recommandation. Documentez les données d'entraînement, les finalités et le profilage. La minimisation des données reste un principe cardinal du RGPD.
7. Échéances 2026
Le calendrier officiel de l'AI Act structure la mise en conformité. Voici les jalons vérifiés.
| Date | Obligation |
|---|---|
| 2 février 2025 | Interdictions (Art. 5) et littératie IA (Art. 4) applicables |
| 2 août 2025 | Modèles d'IA à usage général et gouvernance |
| 2 août 2026 | Application des obligations pour systèmes à haut risque (Annexe III) |
| 2 août 2027 | Systèmes à haut risque relevant de l'Annexe I |
Les dates internes parfois évoquées — « dépôt d'audit avant le 30 mai 2026 », « formation DPO obligatoire avant le 1er septembre 2026 » — ne correspondent à aucune obligation du Règlement (UE) 2024/1689. Elles sont [à vérifier] et probablement issues d'un planning interne, non d'une norme.
Fixez vos échéances internes en amont du 2 août 2026 pour absorber les mesures correctives.
8. Stratégie de mise en œuvre
Une démarche en trois temps reste réaliste pour une PME.
- Cartographier les traitements et systèmes d'IA : finalités, données personnelles, niveau de risque AI Act.
- Prioriser les actions selon le risque : usages à haut risque et décisions automatisées d'abord.
- Suivre des indicateurs de conformité : AIPD à jour, registre complet, journal des incidents.
Cette approche par le risque aligne le RGPD (accountability, Art. 24) et la logique de l'AI Act. Le DPO pilote la cohérence documentaire ; la direction arbitre les priorités.
Passez de la théorie au plan d'action
Le pack complet regulia inclut une matrice de priorisation des risques IA-RGPD et un modèle de plan d'action. Modèles de référence à valider avec votre conseil.
Recevoir le pack completFAQ
Quel est le risque principal pour une PME utilisant de l'IA sans conformité RGPD ?
Le risque est une double procédure : sanction CNIL au titre du RGPD (jusqu'à 4 % du CA, Art. 83) et sanction AI Act (jusqu'à 7 % du CA pour pratiques interdites, Art. 99). Pour une PME dont le CA atteint 1 M€, l'exposition cumulée théorique avoisine 110 k€, hors circonstances aggravantes. Les autorités appliquent le principe de proportionnalité. Le DPO doit intégrer ces risques dès la conception.
Comment le DPO doit-il traiter les systèmes d'IA de tiers ?
Il exige du fournisseur une documentation complète : traitements de données personnelles, garanties de sécurité et transparence. L'encadrement contractuel repose sur l'Art. 28 du RGPD (relations responsable-sous-traitant). Le DPO vérifie aussi la classification du système au sens de l'AI Act et la conformité des sous-traitants ultérieurs.
Quelles sanctions le DPO encourt-il en cas de non-conformité ?
Le DPO n'est pas directement destinataire des amendes administratives RGPD, qui visent le responsable de traitement ou le sous-traitant. Sa responsabilité est disciplinaire ou contractuelle en cas de manquement grave à ses missions. Les montants de sanction personnelle parfois cités (2 000 € à 100 000 €) ne sont pas fondés sur le RGPD [à vérifier].
Comment gérer les droits des personnes dans les systèmes d'IA ?
Le DPO met en place des procédures pour exercer les droits des Art. 15 à 22 du RGPD sur les données traitées par l'IA. Cela suppose d'identifier les données personnelles dans les jeux d'entraînement et de traiter les demandes dans les délais légaux (un mois, prorogeable). Un point d'attention porte sur la décision automatisée (Art. 22).
Quels outils recommander pour la conformité IA-RGPD ?
Trois ressources : les fiches pratiques de la CNIL sur l'IA et le RGPD, l'AI Act Service Desk (ai-act-service-desk.ec.europa.eu) et le cadre ISO/IEC 42001:2023. Le service d'assistance gratuit convient particulièrement aux PME sans juriste interne. Les définitions utiles figurent dans notre glossaire.
Sources officielles
- artificialintelligenceact.eu — texte consolidé du Règlement (UE) 2024/1689
- eur-lex.europa.eu — version officielle de l'UE
- cnil.fr — fiches pratiques IA et RGPD
- ai-act-service-desk.ec.europa.eu — assistance de la Commission européenne
Pour approfondir, consultez le pilier AI Act pour les PME françaises et notre page sources.
Cet article fournit des informations générales sur l'EU AI Act applicables aux PME françaises. Il ne constitue pas un conseil juridique. Pour toute décision opérationnelle, faites valider votre démarche par votre DPO ou conseil juridique. regulia décline toute responsabilité quant à l'usage qui peut être fait de ces informations.