RGPD & AI Act : comprendre l’articulation entre deux régimes complémentaires

L’intelligence artificielle s’invite désormais dans le recrutement, le scoring crédit, la relation client ou la cybersécurité. Or, dès qu’un système d’IA traite des données personnelles (ce qui est presque toujours le cas) deux corpus de règles s’appliquent en même temps :

• le Règlement général sur la protection des données (RGPD) et
• le Règlement européen sur l’intelligence artificielle, plus connu sous le nom d’AI Act.

Beaucoup d’organisations pensent à tort que le second a « remplacé » ou « complété ponctuellement » le premier. La réalité est plus exigeante : les deux régimes se cumulent.

Comprendre leur articulation n’est donc pas un raffinement juridique, mais une condition de conformité et d’évitement de sanctions qui peuvent atteindre, selon le texte concerné, 20 millions d’euros ou 4 % du chiffre d’affaires mondial pour le RGPD, et jusqu’à 35 millions d’euros ou 7 % pour l’AI Act.

Deux textes, deux logiques

Le RGPD et l’AI Act ne poursuivent pas le même objet, et c’est précisément ce qui explique qu’ils coexistent.

Le RGPD encadre le traitement de données à caractère personnel. Sa logique est centrée sur la personne concernée : licéité du traitement, finalité, minimisation, transparence, durée de conservation, exercice des droits. Il s’applique indépendamment de la technologie employée (qu’il s’agisse d’un tableur ou d’un réseau de neurones).

L’AI Act encadre, lui, la mise sur le marché et l’utilisation de systèmes d’IA, indépendamment de la nature des données traitées. Sa logique est centrée sur le produit et le risque : il classe les systèmes selon quatre niveaux (risque inacceptable et donc interdit, haut risque, risque limité soumis à transparence, risque minimal) et fait peser des obligations graduées sur les fournisseurs et les déployeurs. Un système d’IA peut ainsi relever de l’AI Act sans traiter la moindre donnée personnelle (par exemple un système industriel de maintenance prédictive sur des données machines).

On comprend dès lors la zone de recouvrement : la grande majorité des systèmes d’IA déployés en entreprise traitent des données personnelles. Pour ceux-là, les deux régimes s’appliquent simultanément.

Le principe fondateur : cumul, pas substitution

C’est le point le plus important, et celui que les autorités et acteurs de conformité martèlent. L’AI Act ne déroge aucunement au RGPD. Son considérant 10 et son article 2(7) sont explicites : le règlement IA s’applique « sans préjudice » du droit de l’Union sur la protection des données personnelles. La CNIL a confirmé cette lecture dans ses lignes directrices : les deux textes ne se substituent pas l’un à l’autre, ils s’additionnent.

Concrètement, cela signifie que pour un même système d’IA traitant des données personnelles :

• l’analyse de licéité, la base légale, les droits des personnes, la durée de conservation et les obligations documentaires du RGPD continuent de s’appliquer pleinement ;
• les obligations spécifiques de l’AI Act (classification du risque, documentation technique, supervision humaine, journalisation, transparence, évaluation de conformité pour le haut risque) viennent s’y ajouter.

Il n’y a donc pas un texte « principal » et un texte « accessoire » : il faut conduire les deux analyses de front, dès la conception du projet.

Les points concrets d’articulation

Base légale et licéité

L’AI Act ne crée aucune base légale nouvelle pour traiter des données personnelles. Si votre système d’IA repose sur des données personnelles, vous devez toujours identifier une base légale RGPD valide (consentement, contrat, obligation légale, intérêt légitime, etc.) et la documenter. La question de l’entraînement des modèles est ici sensible : dans son avis 28/2024 du 18 décembre 2024, le Comité européen de la protection des données (CEPD) a rappelé que les principes du RGPD soutiennent une IA responsable, et a précisé les conditions dans lesquelles l’intérêt légitime peut fonder l’entraînement d’un modèle, ainsi que la question de l’anonymat des modèles.

AIPD et évaluation de conformité : deux procédures, un seul déploiement

C’est l’un des points d’articulation les plus opérationnels. Pour un système d’IA à haut risque traitant des données personnelles, deux exercices d’évaluation doivent coexister :

• l’analyse d’impact relative à la protection des données (AIPD/DPIA) exigée par l’article 35 du RGPD (souvent obligatoire d’emblée pour les déploiements IA, dès lors qu’il y a profilage à grande échelle, surveillance systématique ou recours à une technologie nouvelle) ;
• l’évaluation de conformité et le système de gestion des risques exigés par l’AI Act pour les systèmes à haut risque.

Ces deux démarches ne se confondent pas, mais elles gagnent à être articulées : les éléments de l’évaluation de conformité IA peuvent nourrir l’AIPD, et inversement. Mener les deux de façon coordonnée évite les redondances et les angles morts.

Droits des personnes et décisions automatisées

L’article 22 du RGPD encadre déjà les décisions entièrement automatisées produisant des effets juridiques ou significatifs sur une personne, un terrain typique de l’IA (scoring, présélection de candidats). L’AI Act renforce cette logique côté produit, notamment via des exigences de supervision humaine effective et, pour certains systèmes, un droit à l’explication des décisions individuelles. Les deux régimes se conjuguent ici pour garantir que l’humain garde la main et que la personne puisse comprendre et contester une décision.

Transparence

Le RGPD impose une information de la personne sur le traitement de ses données (articles 13 et 14). L’AI Act ajoute des obligations de transparence propres au système : signaler à l’utilisateur qu’il interagit avec une IA, et marquer les contenus générés ou manipulés par l’IA (article 50). L’idéal, en pratique, est de construire une information unifiée qui couvre les deux exigences plutôt que d’empiler des mentions disparates.

Gouvernance et responsabilité

Côté gouvernance, le rôle du délégué à la protection des données (DPO) et le registre des traitements (RGPD) doivent s’articuler avec la documentation technique, les journaux automatiques et la cartographie des systèmes d’IA (AI Act). Une norme comme l’ISO/IEC 42001 (système de management de l’IA) est de plus en plus utilisée comme cadre opérationnel pour mutualiser ces obligations et faire le lien avec le RGPD.

L’état du droit en 2026 : l’effet du « Digital Omnibus »

Le calendrier de l’AI Act a sensiblement évolué et mérite une vigilance particulière. Entré en vigueur le 1ᵉʳ août 2024, le règlement prévoyait une application progressive : interdictions et obligation de littératie IA début 2025, obligations sur les modèles d’IA à usage général en août 2025, puis régime des systèmes à haut risque en août 2026.

Ce calendrier a été révisé. La Commission européenne a publié, le 19 novembre 2025, un paquet de simplification baptisé « Digital Omnibus on AI ». Un accord politique provisoire a été trouvé entre le Parlement et le Conseil dans la nuit du 6 au 7 mai 2026 : les obligations applicables aux systèmes à haut risque de l’annexe III (biométrie, infrastructures critiques, éducation, emploi, services essentiels, justice, processus démocratiques) sont reportées du 2 août 2026 au 2 décembre 2027, et celles de l’annexe I au 2 août 2028.

Deux nuances importantes :

1. L’accord reste provisoire. Il doit encore être formellement endossé par le Conseil et le Parlement, puis publié au Journal officiel. Tant que ce n’est pas fait, le calendrier d’origine reste juridiquement applicable. Il serait imprudent de relâcher l’effort de mise en conformité en pariant sur le report.
2. Le report ne touche pas le RGPD. Le Digital Omnibus ajuste le rythme d’application de l’AI Act, mais ne déplace ni les obligations RGPD ni les exigences de sécurité de l’information, qui restent le socle sur lequel bâtir la gouvernance IA.

Sur le fond, le CEPD et le Contrôleur européen de la protection des données (CEPD-S) ont adopté le 21 janvier 2026 un avis conjoint sur ce paquet : ils soutiennent la simplification administrative, mais alertent contre tout abaissement de la protection des droits fondamentaux et insistent pour que les autorités de protection des données conservent un rôle central dès lors que des données personnelles sont en jeu.

Que faire concrètement

Pour une organisation qui déploie ou développe de l’IA, l’articulation des deux régimes peut se traduire par une feuille de route pragmatique :

• Cartographier vos systèmes d’IA et identifier, pour chacun, s’il traite des données personnelles et à quel niveau de risque il appartient au sens de l’AI Act.
• Conduire l’AIPD et l’évaluation de conformité de façon coordonnée, plutôt que comme deux silos.
• Vérifier votre base légale RGPD et la documenter, y compris pour les phases d’entraînement et de test.
• Garantir une supervision humaine effective sur les décisions à fort impact, en cohérence avec l’article 22 du RGPD.
• Unifier l’information délivrée aux personnes pour couvrir à la fois transparence RGPD et transparence IA.
• Structurer votre documentation et votre gouvernance dès maintenant, sans attendre la date butoir : la classification des systèmes et la traçabilité restent incontournables, quelle que soit l’échéance finale.

Conclusion

Le RGPD et l’AI Act ne sont ni concurrents ni redondants : ce sont deux pièces complémentaires d’un même dispositif européen de régulation du numérique. Le premier protège les données des personnes, le second encadre les systèmes qui les exploitent. Pour les organisations, l’enjeu n’est pas de choisir entre les deux, mais de les faire dialoguer (en intégrant la conformité dès la conception (privacy and compliance by design) plutôt que de la subir). Le report du volet « haut risque » de l’AI Act offre un peu de marge, pas un répit : la direction, elle, ne change pas.

Cet article a une vocation informative et ne constitue pas un conseil juridique. Compte tenu de l’évolution rapide du cadre (notamment l’adoption formelle du Digital Omnibus encore en cours), il est recommandé de vérifier les échéances applicables auprès des sources officielles avant toute décision. L’adoption de l’AI Act marque une étape majeure dans la construction d’un cadre juridique européen de l’intelligence artificielle. Toutefois, contrairement à une idée répandue, ce nouveau règlement n’a pas vocation à remplacer le Règlement général sur la protection des données (RGPD). Les deux textes poursuivent des objectifs distincts mais complémentaires, et leur application est souvent cumulative.

-> Le RGPD régule les données ; l’AI Act régule les systèmes d’IA. Lorsqu’un système d’IA traite des données personnelles, les deux règlements s’appliquent simultanément et de manière complémentaire.