AI Act et RGPD : ce qui se recoupe, ce qui s'ajoute

AI Act et RGPD ne protègent pas la même chose : le RGPD encadre le traitement des données personnelles, l'AI Act encadre la mise sur le marché et l'usage des systèmes d'IA. Les deux s'appliquent en même temps et aucun ne remplace l'autre. Une bonne part du travail RGPD déjà réalisé se réutilise ; le reste est réellement nouveau.

AI Act et RGPD : deux textes, deux objets de protection

Le RGPD protège une personne au titre de ses données. Son point d'entrée est le traitement : une finalité, une base légale, des données, une durée de conservation, des droits exerçables. Que le traitement soit effectué par un tableur ou par un modèle de langage ne change pas la grille d'analyse.

Le règlement (UE) 2024/1689, dit AI Act, protège autre chose. C'est une réglementation de produit et d'usage, construite sur la logique de la sécurité des produits européenne. Son point d'entrée n'est pas la donnée mais le système d'IA : ce qu'il fait, dans quel contexte, avec quel niveau de risque, et qui en répond. Le texte distingue quatre niveaux de risque, de l'inacceptable au minimal, et deux rôles principaux, le fournisseur et le déployeur.

La conséquence est immédiate. Un système d'IA qui ne traite aucune donnée personnelle, par exemple un outil de prévision de consommation industrielle, reste dans le champ de l'AI Act. Un traitement de données personnelles sans aucune IA reste dans le champ du RGPD. Les deux périmètres se croisent, ils ne se superposent pas.

Ils s'appliquent en même temps

L'AI Act ne déroge pas au RGPD et ne l'assouplit pas. Une entreprise qui déploie un outil d'IA traitant des données personnelles répond aux deux textes, avec deux logiques et deux calendriers.

L'exemple le plus parlant est le tri de candidatures. Côté RGPD : traitement de données personnelles de candidats, base légale à qualifier, information des personnes, durée de conservation, analyse d'impact souvent nécessaire. Côté AI Act : usage relevant de l'Annexe III, donc du haut risque, avec des obligations autrement plus lourdes pour le déployeur. Ces obligations haut risque ont été repoussées au 2 décembre 2027 par le Digital Omnibus, entré en vigueur le 27 juillet 2026. Le report ne touche pas d'un millimètre les obligations RGPD, qui s'appliquent depuis 2018.

Retenez cette dissociation. Un report d'échéance côté AI Act ne libère jamais d'une obligation RGPD. Ce qui est réellement dû aujourd'hui à une PME est détaillé dans le panorama sur ce que le règlement IA européen impose vraiment à une PME.

Ce que votre travail RGPD permet de réutiliser

C'est la bonne nouvelle pour un DPO ou un référent conformité. Une entreprise qui a fait son travail RGPD ne repart pas de zéro : elle réutilise la méthode et une partie des livrables.

• Le registre des traitements fournit la structure du registre des usages d'IA : recensement, finalité, responsable, révision. Ce sont deux registres distincts, mais la mécanique et les réflexes de tenue sont les mêmes.
• L'analyse d'impact apporte la méthode : identifier un risque, évaluer sa gravité et sa probabilité, décider des mesures, tracer la décision. Cette méthode se transpose à l'évaluation d'un usage d'IA.
• La qualification de la base légale et la minimisation alimentent directement les règles de saisie : quelles catégories de données ne doivent jamais entrer dans un outil, et pourquoi.
• L'information des personnes prépare le terrain de l'article 50 : vous savez déjà rédiger une mention claire et la placer au bon endroit du parcours.
• La gestion des sous-traitants se transpose aux fournisseurs d'IA : localisation de l'hébergement, sous-traitants ultérieurs, réutilisation des données saisies pour l'entraînement, durée de conservation, réversibilité.
• La gouvernance existe déjà : un responsable identifié, un point périodique, une trace des décisions. L'AI Act n'impose pas de créer une fonction équivalente au DPO. En pratique, pouvoir dire qui tient le sujet et à quelle date il a été revu est ce qui rend un dispositif présentable.

Autrement dit, l'essentiel de l'effort porte sur le périmètre à couvrir, pas sur la façon de travailler.

Ce que l'AI Act ajoute réellement

Quatre éléments n'ont pas d'équivalent direct dans le RGPD.

• La littératie IA. L'article 4 demande de soutenir la littératie IA des personnes qui utilisent l'IA pour le compte de l'entreprise, prestataires compris. Il est applicable depuis le 2 février 2025, et supervisé par les autorités nationales à partir du 2 août 2026. Ce qui fait preuve est détaillé dans l'article sur l'article 4 de l'AI Act et la littératie IA. Le RGPD suppose une sensibilisation du personnel ; il ne prévoit rien d'aussi explicite sur la compréhension d'une technologie.
• La transparence sur l'interaction et sur le contenu. L'article 50, applicable le 2 août 2026, impose de signaler qu'une personne interagit avec un système d'IA et de marquer certains contenus générés ou manipulés. Le RGPD informe sur un traitement de données ; l'AI Act informe sur la nature artificielle d'un interlocuteur ou d'un contenu. Ce n'est pas la même information. L'information visible des personnes est due dès le 2 août 2026. Seul le marquage lisible par machine, côté fournisseur, bénéficie d'un délai, détaillé dans l'article sur l'article 50 et la transparence de l'IA.
• La classification par niveau de risque. L'AI Act demande de qualifier un usage : inacceptable, haut risque, risque limité ou minimal. L'article 6 et l'Annexe III servent de grille. Le RGPD ne raisonne pas ainsi ; il évalue un risque pour les personnes, pas une catégorie réglementaire d'usage.
• Les pratiques interdites. L'article 5 prohibe des pratiques en tant que telles, indépendamment de tout consentement. C'est une différence de nature : dans le RGPD, un traitement délicat peut souvent être régularisé ; sous l'article 5, une pratique interdite ne s'autorise pas.

Le cas fréquent : des données clients dans un outil grand public

Un commercial colle un fichier de clients dans un assistant conversationnel grand public pour le trier. Un juriste y dépose un contrat pour en obtenir un résumé. Un responsable recrutement y verse trois CV pour les comparer.

Côté RGPD, l'analyse est claire : des données personnelles sortent du périmètre maîtrisé de l'entreprise, vers un service dont les conditions d'utilisation, la localisation d'hébergement et la réutilisation éventuelle des saisies n'ont pas été examinées. Absence de base légale identifiée, absence d'information des personnes, sous-traitant non encadré, éventuel transfert hors Union européenne. S'y ajoute, hors RGPD, la question du secret des affaires quand il s'agit d'un contrat ou d'une grille tarifaire.

Côté AI Act, le même geste révèle autre chose : un usage non déclaré, sans règle écrite, par une personne qui n'a pas été sensibilisée aux limites de l'outil. C'est précisément ce que l'article 4 vise à réduire, et ce qu'un recensement des usages fait apparaître.

Le point important est que ce geste n'a rien de malveillant. Le salarié va plus vite, et l'entreprise ne lui a donné ni outil validé ni règle claire. Les situations de fuite les plus courantes et la façon d'y répondre sans surveiller personne sont détaillées dans l'article sur les données confidentielles saisies dans ChatGPT.

Qui pilote quoi dans une PME

Dans une entreprise de 30 à 200 salariés, la réponse pragmatique est de confier les deux sujets à la même personne, DPO, référent conformité, DAF ou responsable qualité selon l'organisation. Les sujets se nourrissent l'un l'autre et se séparer les priverait de cohérence.

Sur les documents, deux registres valent mieux qu'un registre mélangé. Le registre des traitements suit une logique de finalité de traitement. Le registre des usages d'IA suit une logique d'outil, de tâche métier et de données saisies. Un renvoi entre les deux, sur les lignes qui se recoupent, suffit à garder la vue d'ensemble. Ce que contient concrètement le second est décrit dans l'article sur le registre des usages IA.

Questions fréquentes

Le travail RGPD déjà fait suffit-il à couvrir l'AI Act ?

Non, il en couvre une partie de la méthode et une partie des livrables. Manquent la littératie IA de l'article 4, la transparence de l'article 50, la classification des usages par niveau de risque et la vérification des pratiques interdites de l'article 5. Ces quatre points n'ont pas d'équivalent dans le RGPD et doivent être traités pour eux-mêmes.

Faut-il un registre séparé pour les usages d'IA ?

Le règlement n'impose pas un registre unique de cette forme aux déployeuses, mais un recensement écrit est en pratique la seule façon de démontrer quoi que ce soit. Un registre distinct, relié au registre des traitements par un simple renvoi, est plus lisible qu'un document unique où les deux logiques se mélangent. Un tableur suffit au démarrage.

Une analyse d'impact RGPD remplace-t-elle l'analyse d'impact de l'AI Act ?

Non, les deux n'ont pas le même objet. L'analyse d'impact sur les droits fondamentaux prévue à l'article 27 de l'AI Act ne concerne que certains déployeurs de systèmes à haut risque, dont les obligations sont repoussées au 2 décembre 2027. La méthode d'analyse RGPD est en revanche une base de travail utile, à condition de ne pas confondre les deux exercices.

Où en est votre entreprise ?

L'audit de maturité IA d'Harmonia évalue vos usages, votre exposition et vos priorités. Gratuit en 5 min.

Lancer l'audit de maturité IA