RGPD et AI Act pour les PME : chevauchements et conflits

Le RGPD et l'AI Act s'appliquent ensemble dès qu'un système d'IA traite des données personnelles : le RGPD encadre le traitement des données (base légale, droits des personnes, AIPD), l'AI Act encadre le système selon son niveau de risque. Une PME peut mutualiser son registre, ses analyses d'impact et sa documentation, mais aucun des deux textes ne remplace l'autre. La transparence de l'Art. 50 est en vigueur depuis le 2 août 2026 ; les obligations de haut risque de l'Annexe III s'appliquent à partir du 2 décembre 2027.

L'essentiel en 30 secondes

• Le RGPD (règlement (UE) 2016/679) encadre le traitement des données personnelles ; l'AI Act (règlement (UE) 2024/1689) encadre le système d'IA lui-même selon son niveau de risque : pratiques interdites, transparence, haut risque. Un même outil peut relever des deux.
• Points communs : transparence, sécurité, documentation, analyse d'impact. Points de friction : base légale et consentement, durées de conservation, décisions automatisées (Art. 22 RGPD, Art. 86 AI Act).
• Calendrier de l'AI Act : maîtrise de l'IA (Art. 4) depuis le 2 février 2025, transparence (Art. 50) depuis le 2 août 2026, haut risque de l'Annexe III à partir du 2 décembre 2027 (règlement (UE) 2026/1744, en vigueur depuis le 27 juillet 2026).
• Selon son rôle et le niveau de risque, une PME peut cumuler : registre des traitements (Art. 30 RGPD), AIPD (Art. 35 RGPD) et, pour certains déployeurs de systèmes à haut risque, FRIA (Art. 27 AI Act), qui complète l'AIPD sans la remplacer.
• Sanctions AI Act (Art. 99) : jusqu'à 35 M€ ou 7 % du CA pour les pratiques interdites, 15 M€ ou 3 % pour les obligations des opérateurs et la transparence. Le palier le plus bas, 7,5 M€ ou 1 %, vise les informations inexactes. Une PME se voit appliquer le montant le plus bas des deux. Le RGPD prévoit jusqu'à 20 M€ ou 4 % du CA mondial (Art. 83) ; les deux régimes peuvent viser la même situation.
• Une PME est le plus souvent déployeur d'IA. Mutualiser registre, analyses d'impact et documentation évite de gérer deux conformités en parallèle.

1. Introduction aux réglementations : RGPD et AI Act

Le RGPD encadre depuis 2018 le traitement des données personnelles dans l'Union européenne. Il impose des principes — licéité, loyauté, transparence, minimisation, intégrité — et confère des droits aux personnes concernées (accès, rectification, effacement, portabilité).

L'AI Act, adopté le 13 juin 2024 sous la référence règlement (UE) 2024/1689, encadre la mise sur le marché et l'utilisation des systèmes d'intelligence artificielle. Il classe les usages en quatre catégories : risque inacceptable (interdit, Art. 5), haut risque (Art. 6), risque limité avec obligations de transparence (Art. 50) et risque minimal (libre). Les modèles d'IA à usage général relèvent d'un chapitre distinct (chapitre V).

Pour une PME française, l'enjeu n'est pas théorique. Une IA de tri de CV utilise des données personnelles : elle relève du RGPD. Cette même IA figure à l'Annexe III de l'AI Act (emploi) : ses obligations de haut risque s'appliquent à partir du 2 décembre 2027. La conformité passe donc par les deux textes simultanément.

La non-conformité expose à des amendes administratives et à des injonctions de la CNIL ou de l'autorité de surveillance du marché. La page sanctions AI Act et amendes pour les PME détaille le calcul des plafonds.

2. Points de chevauchement : synergies entre les réglementations

Les deux régulations partagent un socle commun. Identifier ces synergies permet aux PME de mutualiser leurs efforts documentaires plutôt que de dupliquer les processus.

Exigence	RGPD	AI Act	Synergie pour la PME
Transparence	Art. 12-14 (information des personnes)	Art. 13 (information du déployeur par le fournisseur) et Art. 50 (information des personnes exposées)	Une notice commune pour les personnes concernées ; l'Art. 13 relève des instructions d'utilisation données au déployeur
Gouvernance des données	Art. 5(1)(c) et (d) (minimisation, exactitude)	Art. 10 (gouvernance des données d'entraînement, de validation et de test)	Politique de gouvernance commune, avec arbitrage entre minimisation et représentativité
Sécurité	Art. 32 (mesures techniques et organisationnelles)	Art. 15 (exactitude, robustesse, cybersécurité)	Plan de sécurité intégré
Documentation	Art. 30 (registre des traitements)	Art. 11 (documentation technique) et Art. 12 (journalisation), pour le haut risque	Registre étendu IA
Évaluation d'impact	Art. 35 (AIPD)	Art. 27 (FRIA pour certains déployeurs)	La FRIA complète l'AIPD (Art. 27(4)) : un modèle commun est possible

Le principe de redevabilité du RGPD (Art. 5.2) et la gestion des risques de l'AI Act (Art. 9) reposent tous deux sur la documentation continue. Une PME qui tient déjà un registre RGPD à jour dispose d'une base documentaire solide pour répondre aux exigences de l'AI Act. Sur l'articulation entre AIPD et FRIA, voir l'article FRIA et DPIA : différences et double obligation.

3. Conflits potentiels : tensions réglementaires

Les divergences entre les deux textes créent des arbitrages concrets pour les PME. Quatre zones de friction sont à surveiller.

Fondement juridique versus évaluation systémique. Le RGPD exige une base légale par traitement (Art. 6), souvent le consentement (Art. 7) ou l'intérêt légitime. L'AI Act ne raisonne pas par base légale mais par classification de risque : un système à haut risque doit satisfaire les exigences du chapitre III (dont le système de gestion des risques de l'Art. 9, côté fournisseur) indépendamment du consentement obtenu. Une PME peut donc obtenir un consentement valable au sens du RGPD et rester non conforme à l'AI Act.

Transparence ciblée versus transparence systémique. L'Art. 13 du RGPD impose d'informer la personne concernée au moment de la collecte. L'Art. 13 de l'AI Act oblige le fournisseur à informer le déployeur (souvent la PME) du fonctionnement du système. Ces obligations cohabitent mais visent des destinataires différents.

Décisions automatisées et explication. L'Art. 22 du RGPD encadre les décisions individuelles entièrement automatisées et ouvre un droit à l'intervention humaine. L'Art. 14 de l'AI Act impose une conception permettant la supervision humaine des systèmes à haut risque, et l'Art. 86 ouvre un droit à des explications claires sur le rôle du système dans une décision fondée sur un système de l'Annexe III (hors point 2). Les seuils de déclenchement ne sont pas identiques, ce qui crée un risque d'interprétation pour les PME.

Surcharge de gouvernance. Le RGPD impose un DPO dans certains cas (Art. 37). L'AI Act n'impose pas de rôle équivalent, mais l'Art. 26(2) demande aux déployeurs de systèmes à haut risque de confier la supervision humaine à des personnes compétentes, formées et dotées de l'autorité nécessaire. Faute de fusion possible, deux fonctions parallèles peuvent émerger.

4. Obligations spécifiques de l'AI Act pour les PME

L'AI Act distingue les rôles de fournisseur (qui développe ou fait développer un système et le met sur le marché sous son nom) et de déployeur (qui utilise un système dans le cadre de son activité professionnelle). Une PME est le plus souvent déployeur ; elle devient fournisseur si elle modifie substantiellement un système ou y appose son nom (Art. 25). Voir l'article déployeur ou fournisseur : comment savoir ?

Classification en quatre niveaux de risque :

1. Risque inacceptable (Art. 5) — interdit depuis le 2 février 2025. Exemples : notation sociale, techniques de manipulation, identification biométrique à distance en temps réel dans l'espace public à des fins répressives (sauf exceptions). De nouvelles interdictions, visant les contenus intimes non consentis ou pédocriminels générés par IA, s'appliqueront à partir du 2 décembre 2026.
2. Haut risque (Art. 6 et Annexe III) — autorisé sous conditions strictes. Exemples : IA de recrutement, scoring de crédit, certains systèmes d'infrastructures critiques. Voir la page sur les systèmes à haut risque.
3. Risque limité (Art. 50) — obligations de transparence, en vigueur depuis le 2 août 2026. Exemples : chatbots, hypertrucages, textes générés publiés pour informer le public.
4. Risque minimal — pas d'obligation spécifique, hors maîtrise de l'IA (Art. 4). Exemples : filtres anti-spam, moteurs de recommandation classiques.

Pour un système à haut risque, la PME déployeuse doit l'utiliser conformément aux instructions du fournisseur, confier la supervision humaine à des personnes compétentes (Art. 26(2)), surveiller son fonctionnement, conserver les journaux pendant au moins six mois (Art. 26(6)) et informer les personnes concernées (Art. 26(11)). Une analyse d'impact sur les droits fondamentaux (FRIA, Art. 27) s'impose aux déployeurs qui sont des organismes de droit public ou des entités privées fournissant des services publics, ainsi qu'aux déployeurs de systèmes d'évaluation de la solvabilité (Annexe III, point 5 b) ou de tarification en assurance vie et santé (point 5 c).

Le calendrier d'application est progressif. Les obligations sur les modèles à usage général (GPAI) s'appliquent depuis le 2 août 2025 et la transparence (Art. 50) depuis le 2 août 2026. Les exigences sur les systèmes à haut risque de l'Annexe III entrent en vigueur le 2 décembre 2027, échéance reportée par le règlement (UE) 2026/1744 (« Omnibus IA », en vigueur depuis le 27 juillet 2026), avec un délai jusqu'au 2 août 2028 pour les systèmes intégrés dans des produits réglementés (Annexe I). Voir le calendrier complet.

5. Obligations spécifiques du RGPD pour les PME

Le RGPD reste le socle minimal de toute PME qui traite des données personnelles, y compris via des systèmes d'IA.

• Registre des traitements (Art. 30) : recensement exhaustif des traitements, finalités, catégories de données, durées de conservation.
• Désignation d'un DPO (Art. 37) : obligatoire pour les autorités publiques et lorsque l'activité de base consiste en un suivi régulier et systématique des personnes à grande échelle ou en un traitement à grande échelle de données sensibles.
• Information et droits des personnes (Art. 12-23) : notices de transparence, réponse aux demandes d'accès, rectification, effacement, opposition.
• Sécurité des traitements (Art. 32) : mesures techniques et organisationnelles adaptées au risque.
• Notification des violations (Art. 33-34) : signalement à la CNIL dans les 72 heures, sauf si la violation n'est pas susceptible d'engendrer un risque pour les personnes.
• Analyse d'impact (Art. 35) : AIPD obligatoire pour les traitements susceptibles d'engendrer un risque élevé pour les droits et libertés. Plusieurs usages de l'IA (profilage, décisions automatisées, données sensibles) y conduisent.

La CNIL publie treize fiches pratiques sur l'IA et le RGPD (base légale, intérêt légitime, information des personnes, AIPD, sécurité), centrées sur le développement de systèmes d'IA. Le glossaire donne les définitions clés. L'article sur les recommandations IA de la CNIL détaille ces fiches.

6. Guide pratique pour harmoniser les processus

L'objectif n'est pas de gérer deux conformités en silos. C'est de construire un référentiel intégré qui réduit la charge documentaire.

Étape 1 — Inventaire croisé. Lister tous les systèmes d'IA déployés ou en projet. Pour chacun, indiquer : finalité, données personnelles traitées, fournisseur, niveau de risque AI Act, base légale RGPD. Ce tableau devient le pivot de la gouvernance.

Étape 2 — Cartographie des obligations. Pour chaque ligne de l'inventaire, croiser les obligations applicables. Une IA de recrutement déclenche, côté PME déployeuse : AIPD probable (Art. 35 RGPD), supervision humaine par des personnes compétentes (Art. 26(2)), conservation des journaux, information des candidats et des représentants du personnel (Art. 26(7) et (11)). L'enregistrement dans la base de l'UE (Art. 49) incombe au fournisseur.

Étape 3 — Documentation mutualisée. Étendre le registre des traitements pour intégrer les champs AI Act : classification de risque, identifiant du système dans la base UE, version du modèle, date de la dernière FRIA lorsqu'elle s'applique. Les colonnes supplémentaires évitent la création d'un registre parallèle. Le modèle de registre des systèmes d'IA peut servir de base.

Étape 4 — Gouvernance unifiée. Confier au DPO ou à un IA Lead la coordination des deux conformités. Mettre en place un comité trimestriel associant DPO, RSSI, métier et direction.

Étape 5 — Veille réglementaire. Suivre les publications de la CNIL, de la Commission européenne (AI Office) et du service d'assistance dédié. Voir la page sources officielles.

Tâche	Outil RGPD existant	Extension AI Act
Recensement	Registre des traitements	Colonnes classification, fournisseur, version
Évaluation	AIPD	La FRIA complète l'AIPD lorsqu'elle s'applique (Art. 27(4))
Transparence	Notice de confidentialité	Mention des systèmes d'IA et de leur logique
Sécurité	Politique SSI	Spécifications de robustesse (Art. 15 AI Act)
Incident	Notification CNIL 72 h	Signalement des incidents graves au fournisseur puis à l'autorité de surveillance du marché (Art. 26(5), Art. 73)

7. Exemples concrets de conflits

Trois cas opérationnels illustrent comment les tensions se matérialisent.

Cas 1 — IA de recrutement. Une PME utilise un outil de présélection automatisé. Côté RGPD, le consentement est une base fragile (déséquilibre candidat-employeur) : l'intérêt légitime est souvent privilégié, avec une AIPD à envisager. Côté AI Act, le système est à haut risque (Annexe III) : supervision humaine, journalisation et information des candidats s'imposent à partir du 2 décembre 2027. La PME doit aussi informer le CSE conformément au Code du travail (voir consulter le CSE avant un système d'IA). Le conflit pratique : le RGPD veut limiter la durée de conservation, alors que l'AI Act impose aux déployeurs de conserver les journaux au moins six mois (Art. 26(6)), sauf disposition contraire du droit de l'Union ou national, notamment en matière de protection des données.

Cas 2 — IA de personnalisation marketing. Une PME e-commerce utilise un moteur de recommandation. Les règles sur les traceurs et le RGPD imposent un consentement pour les cookies de profilage. L'AI Act ne classe pas ce cas à haut risque : il reste hors Annexe III tant qu'il ne sert pas l'un de ses usages (emploi, crédit, assurance…). En revanche, si le profilage conduit à des décisions entièrement automatisées produisant des effets juridiques ou significatifs, l'Art. 22 RGPD se déclenche. La frontière est à surveiller.

Cas 3 — IA de cybersécurité. Une PME déploie une solution de détection d'intrusion basée sur l'IA. Côté RGPD, traitement de données de connexion : base légale = intérêt légitime, durée de conservation limitée. Côté AI Act, l'outil n'est pas à haut risque par défaut ; il le devient s'il sert de composant de sécurité dans la gestion ou l'exploitation d'infrastructures numériques critiques (Annexe III, point 2). La tension porte sur la minimisation des données (RGPD) versus la nécessité de jeux de données larges pour la robustesse statistique (Art. 10 AI Act).

Dans chacun de ces cas, la lecture combinée des deux textes — et non leur application en silo — produit la solution conforme.

8. Conseils pour les PME : stratégies de conformité

Cinq leviers concrets, classés par ordre de priorité.

1. Sensibiliser les fonctions clés. Le DPO, le RSSI et le responsable métier gagnent à connaître les deux textes. L'Art. 4 de l'AI Act demande de prendre des mesures pour favoriser la maîtrise de l'IA du personnel. Le service d'assistance de la Commission propose des ressources gratuites sur ai-act-service-desk.ec.europa.eu.
2. Identifier le rôle exact dans la chaîne. Fournisseur, déployeur, importateur, distributeur : chaque rôle déclenche des obligations distinctes (Art. 16, 22, 23, 24 et 26 AI Act). Une PME peut cumuler plusieurs rôles.
3. Anticiper le calendrier d'application. Les obligations sur les systèmes à haut risque de l'Annexe III s'appliquent à compter du 2 décembre 2027. Démarrer la mise en conformité dès maintenant lisse la charge.
4. Mutualiser la documentation. Un seul système de gestion documentaire pour RGPD et AI Act évite les doublons et les contradictions.
5. Faire valider par un conseil juridique. Les zones grises — classification de risque, FRIA, articulation Art. 22 RGPD et Art. 14 AI Act — appellent un avis sourcé.

Pour une vue d'ensemble de la conformité IA en PME, voir le guide AI Act pour les PME françaises.

FAQ

Quelles sont les principales différences entre le RGPD et l'AI Act ?

Le RGPD s'applique à tout traitement de données personnelles, indépendamment de la technologie utilisée. L'AI Act cible les systèmes d'IA, avec une intensité d'obligations proportionnée au risque (Art. 6 et Annexe III). Le RGPD privilégie une logique de droits individuels et de bases légales. L'AI Act privilégie une logique d'évaluation systémique et de conformité produit. Pour chaque système d'IA qui traite des données personnelles, la PME applique le RGPD, puis ajoute les obligations de l'AI Act selon son rôle et le niveau de risque (maîtrise de l'IA, transparence, haut risque).

Comment une PME peut-elle identifier les conflits entre les deux réglementations ?

Les conflits émergent souvent sur la transparence (Art. 13 RGPD versus Art. 13 et 50 AI Act), le consentement (Art. 7 RGPD versus logique de classification AI Act) et la durée de conservation (minimisation RGPD versus traçabilité AI Act). Pour les identifier, la PME doit conduire un audit croisé de ses systèmes d'IA, en confrontant les exigences article par article. Le résultat alimente un plan d'action priorisé par risque.

Quelles sont les étapes pour harmoniser les processus de conformité ?

La PME commence par cartographier ses systèmes d'IA dans un inventaire unique. Elle classe ensuite chaque système au regard de l'AI Act et du RGPD. Elle étend son registre des traitements pour intégrer les champs requis par l'AI Act. Elle complète l'AIPD par une FRIA lorsque celle-ci s'applique (Art. 27(4)). Elle désigne un référent unique, par exemple le DPO, et organise une revue trimestrielle de conformité.

Quelles sont les sanctions pour non-conformité ?

Le RGPD prévoit deux paliers : jusqu'à 10 M€ ou 2 % du CA mondial pour les manquements organisationnels, et jusqu'à 20 M€ ou 4 % du CA mondial pour les violations de principes (Art. 83). L'AI Act (Art. 99) prévoit trois paliers : 35 M€ ou 7 % du chiffre d'affaires mondial pour les pratiques interdites, 15 M€ ou 3 % pour les manquements aux obligations des opérateurs (fournisseurs, déployeurs…) et à la transparence (Art. 50). Le palier le plus bas, 7,5 M€ ou 1 %, vise les informations inexactes, incomplètes ou trompeuses fournies aux organismes notifiés ou aux autorités. Pour l'AI Act, une PME se voit appliquer le montant le plus bas des deux (Art. 99(6)) ; le RGPD retient, lui, le plus élevé. Le détail figure sur la page sanctions AI Act et amendes.

Où trouver des ressources fiables pour comprendre ces réglementations ?

Les PME peuvent consulter les treize fiches pratiques IA de la CNIL, le texte de l'AI Act sur artificialintelligenceact.eu, la version officielle sur EUR-Lex et le service d'assistance de la Commission (AI Act Service Desk).

Sources officielles

• Texte de l'AI Act — artificialintelligenceact.eu
• Règlement (UE) 2016/679 (RGPD) — EUR-Lex
• Règlement (UE) 2024/1689 — version consolidée au 27 juillet 2026 — EUR-Lex
• Règlement (UE) 2026/1744 (« Omnibus IA ») — EUR-Lex
• CNIL — Fiches pratiques IA
• AI Act Service Desk — Commission européenne
• ISO/IEC 42001:2023 — Système de management de l'intelligence artificielle
• ISO/IEC 23894:2023 — Gestion des risques liés à l'IA

---

Disclaimer. Cet article fournit des informations générales sur l'EU AI Act applicables aux PME françaises. Il ne constitue pas un conseil juridique. Pour toute décision opérationnelle, faites valider votre démarche par votre DPO ou conseil juridique. regulia décline toute responsabilité quant à l'usage qui peut être fait de ces informations.