RGPD et règlement IA : comment les deux réglementations se chevauchent

La plupart des systèmes d'IA traitent des données personnelles. Un outil de présélection de candidatures traite des informations personnelles sur les candidats. Un modèle de notation de crédit traite des données financières et comportementales. Un chatbot de service client traite des noms, des informations de compte et des contenus de conversation. Pour tous ces systèmes, le RGPD et le règlement IA de l'UE s'appliquent simultanément, créant une obligation de conformité à plusieurs niveaux que de nombreuses organisations s'emploient encore à mettre en œuvre.

Ce guide cartographie les chevauchements, explique comment les deux réglementations interagissent et identifie les points où une approche unifiée peut satisfaire aux deux exigences.

Les deux réglementations en un coup d'œil

| Dimension | RGPD | Règlement IA UE | |-----------|------|-----------------| | Nom complet | Règlement général sur la protection des données (2016/679) | Règlement sur l'intelligence artificielle (2024/1689) | | En vigueur | 25 mai 2018 | 1er août 2024 (par phases) | | Ce qu'il protège | Données personnelles et droits des personnes concernées | Sécurité, droits fondamentaux et transparence des systèmes d'IA | | Application | Autorités de contrôle nationales | Autorités nationales de surveillance de l'IA + Bureau de l'IA (niveau UE) | | Amende maximale | 20 M€ ou 4 % du chiffre d'affaires annuel mondial | 35 M€ ou 7 % (IA interdite) ; 15 M€ ou 3 % (haut risque) | | Autorité de surveillance | Autorité de contrôle (ex. : CNIL en France) | Autorité nationale IA + Bureau européen de l'IA |

Les deux réglementations s'appliquent indépendamment l'une de l'autre. La conformité à l'une ne satisfait pas aux exigences de l'autre. Cependant, là où les obligations se chevauchent, une seule mesure de conformité peut satisfaire aux deux — à condition d'être correctement conçue.

Les points de chevauchement

Le chevauchement se produit partout où un système d'IA traite des données personnelles — ce qui, en pratique, concerne la majorité des systèmes d'IA commerciaux. Le RGPD régit les données ; le règlement IA régit le système d'IA qui traite ces données. Les deux cadres s'appliquent à la même activité sous-jacente.

1. Prise de décision automatisée

L'article 22 du RGPD confère aux personnes concernées le droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques ou des effets significatifs similaires à leur égard — et exige que, lorsque de telles décisions sont prises, la personne concernée ait le droit d'obtenir une intervention humaine, d'exprimer son point de vue et de contester la décision.

Les obligations à haut risque du règlement IA (l'annexe III comprend notamment la notation de crédit, la sélection à l'emploi et l'accès aux services essentiels) exigent des mécanismes de supervision humaine : un être humain doit être en mesure de comprendre, de surveiller et de contrecarrer la sortie du système.

Mesure de conformité combinée : Concevez des processus avec intervention humaine (human-in-the-loop) qui satisfont simultanément à l'article 22 et aux exigences de supervision humaine du règlement IA. Documentez les deux dans la documentation technique de votre système d'IA et dans vos registres RGPD.

2. Gouvernance des données

Le RGPD exige la minimisation des données (art. 5, paragraphe 1, point c)) — seules les données adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités spécifiées peuvent être collectées et utilisées.

Le règlement IA exige que les jeux de données d'entraînement, de validation et de test des systèmes d'IA à haut risque répondent à des critères de qualité — exempts d'erreurs, suffisamment représentatifs et pertinents par rapport à la finalité prévue (art. 10).

Mesure de conformité combinée : Une politique de gouvernance des données unifiée définissant les critères de sélection des données pour l'entraînement des IA, documentant les évaluations de représentativité et de biais, et assurant l'alignement avec les principes de limitation des finalités et de minimisation du RGPD satisfait aux deux exigences.

3. Transparence

Le RGPD exige que les personnes concernées reçoivent des informations claires sur le traitement automatisé, notamment des informations significatives sur la logique utilisée, ainsi que sur la portée et les effets envisagés d'un tel traitement (art. 13–14, 22, paragraphe 3).

Le règlement IA exige que les déployeurs de systèmes d'IA à haut risque informent les personnes physiques soumises au résultat de ces systèmes qu'elles sont exposées à un système d'IA à haut risque (art. 26, paragraphe 7), et que les fournisseurs documentent les capacités et les limites du système d'IA.

Mesure de conformité combinée : Concevez une divulgation en plusieurs niveaux satisfaisant aux deux exigences : une notice de confidentialité conforme au RGPD expliquant le traitement automatisé, complétée par une notice de transparence conforme au règlement IA décrivant ce que fait le système et ses limites.

4. Évaluations d'impact

L'article 35 du RGPD exige une analyse d'impact relative à la protection des données (AIPD) pour les traitements susceptibles d'engendrer un risque élevé pour les droits et libertés des personnes physiques — notamment le profilage automatisé systématique et extensif ayant des effets significatifs, le traitement à grande échelle de données de catégories particulières, et la surveillance systématique de zones accessibles au public.

Le règlement IA — l'enregistrement des systèmes à haut risque et les évaluations de conformité exigent également la documentation des risques, des mesures d'atténuation et des impacts sur les droits fondamentaux.

Mesure de conformité combinée : Réalisez une évaluation d'impact combinée IA + données couvrant simultanément les exigences de l'AIPD au titre de l'article 35 du RGPD et la documentation de gestion des risques du règlement IA. Structurez les sections de manière à traiter les deux cadres juridiques, partagez l'analyse des risques sous-jacente et produisez deux documents référencés mutuellement. Cela évite les doublons et assure la cohérence.

Efficacité de la conformité : un cadre de gouvernance unifié de l'IA

Plutôt que de gérer des programmes de conformité distincts pour le RGPD et le règlement IA, envisagez de mettre en place un cadre de gouvernance unifié des systèmes d'IA qui :

1. Tient un inventaire unique des systèmes d'IA recensant à la fois les flux de données RGPD et les classifications de risque au titre du règlement IA pour chaque système
2. Utilise un modèle d'évaluation d'impact combiné produisant à la fois une AIPD et la documentation de risque requise par le règlement IA
3. Établit un seul processus de supervision humaine satisfaisant simultanément à l'art. 22 du RGPD et à l'art. 14 du règlement IA
4. Applique une norme de transparence unique à toutes les communications pilotées par l'IA avec les personnes concernées
5. Intègre les incidents dans un flux de signalement combiné pour les violations de données RGPD et le signalement des incidents graves au titre du règlement IA

Exemple : six systèmes d'IA — classification combinée

| Système d'IA | Classification RGPD | Classification règlement IA | Mesures de conformité combinées | |--------------|--------------------|-----------------------------|----------------------------------| | Outil de présélection de candidatures | Risque élevé (profilage, effets significatifs) | Haut risque (annexe III — emploi) | AIPD + évaluation de conformité IA ; supervision humaine ; transparence envers les candidats | | Chatbot de service client | Traitement standard | Risque limité (art. 50) | Notice de confidentialité RGPD ; divulgation de l'interaction IA aux utilisateurs | | Modèle de notation de crédit | Risque élevé (effets financiers significatifs) | Haut risque (annexe III — services essentiels) | AIPD + évaluation de conformité ; droits au titre de l'art. 22 ; neutralisation humaine | | Détection de fraude (interne) | Traitement standard | Risque minimal probable | Mesures de sécurité art. 32 RGPD ; aucune obligation supplémentaire au titre du règlement IA | | Moteur de recommandation de produits | Traitement standard | Risque minimal | Base consentement/intérêt légitime RGPD ; codes de conduite volontaires règlement IA | | Surveillance des performances des employés | Risque élevé (profilage lié à l'emploi) | Haut risque (annexe III — emploi) | AIPD + évaluation de conformité ; consultation des représentants du personnel (droit national applicable) ; droits au titre de l'art. 22 |

---

Dernière mise à jour : avril 2026. À titre informatif uniquement — ne constitue pas un avis juridique.

Foire aux questions

Le RGPD et le règlement IA UE ont-ils la même autorité de surveillance ?

Non. Le RGPD est appliqué par les autorités de contrôle nationales, telles que la CNIL en France. Le règlement IA est appliqué par des autorités nationales de surveillance de l'IA désignées en vertu de l'article 70, ainsi que par le Bureau européen de l'IA au niveau de l'UE pour les modèles d'IA à usage général. Lorsqu'un système d'IA traitant des données personnelles fait l'objet d'une enquête, l'autorité de contrôle et l'autorité nationale de l'IA peuvent être simultanément compétentes ; une coordination entre elles est prévue mais n'est pas encore pleinement codifiée dans la pratique.

La base juridique du RGPD satisfait-elle également aux exigences de gouvernance des données du règlement IA ?

Pas entièrement. Le RGPD exige une base juridique en vertu de l'article 6 pour tout traitement de données personnelles, et de l'article 9 pour les données de catégories particulières. Le règlement IA ajoute des exigences distinctes de gouvernance des données pour les systèmes d'IA à haut risque en vertu de l'article 10 — les jeux de données d'entraînement, de validation et de test doivent répondre à des critères de qualité, notamment en matière de représentativité, d'absence d'erreurs et de pertinence par rapport à la finalité prévue. Une base juridique RGPD valide ne satisfait pas automatiquement aux normes de qualité des données de l'article 10 ; les deux ensembles d'exigences doivent être traités indépendamment dans votre documentation.

Quelle réglementation prime en cas de conflit entre le RGPD et le règlement IA UE ?

Le RGPD s'applique en tant que règlement à effet direct dans tous les États membres de l'UE et n'est pas écarté par le règlement IA. Le considérant 9 du règlement IA stipule expressément qu'il complète le RGPD et ne réduit aucune obligation en matière de protection des données. Lorsque des obligations semblent entrer en conflit — par exemple, lorsque les exigences de transparence du règlement IA interagissent avec le principe de minimisation des données du RGPD — les deux doivent être satisfaites simultanément. En cas de conflit réel, un avis juridique spécifique à la juridiction et au contexte est nécessaire ; aucun des deux textes ne confère expressément la priorité à l'autre.

Sources

• Règlement (UE) 2024/1689 — Règlement IA de l'UE — Texte intégral du règlement IA, notamment l'article 10 (gouvernance des données), l'article 14 (supervision humaine) et l'article 26 (obligations des déployeurs).
• Règlement (UE) 2016/679 — Règlement général sur la protection des données (RGPD) — Texte intégral du RGPD, notamment l'article 5 (principes), l'article 22 (prise de décision automatisée) et l'article 35 (AIPD).
• Avis 28/2024 du CEPD sur l'interaction entre le RGPD et le règlement IA — Analyse du Comité européen de la protection des données sur l'interaction entre le RGPD et le règlement IA, notamment sur la base juridique et les exigences de gouvernance des données.
• Bureau européen de l'IA — Ressources pour la mise en œuvre du règlement IA — Portail de la Commission européenne donnant accès aux orientations du Bureau de l'IA, aux codes de conduite et aux actes d'exécution au titre du règlement IA.

Cet article est fourni à titre informatif uniquement et ne constitue pas un avis juridique. Consultez un conseiller juridique qualifié avant de prendre des décisions en matière de conformité.