Quelle est la différence entre l'AI Act et le RGPD ?
La distinction fondamentale tient à l'objet protégé. Le RGPD (règlement 2016/679) encadre le traitement des données à caractère personnel : il s'applique dès lors que des données permettant d'identifier une personne sont collectées, utilisées ou conservées. L'AI Act (règlement 2024/1689) encadre la mise sur le marché et l'utilisation des systèmes d'IA, indépendamment de la question de savoir s'ils traitent ou non des données personnelles.
| Critère | RGPD | AI Act |
|---|---|---|
| Objet protégé | Données personnelles | Santé, sécurité, droits fondamentaux |
| Déclencheur | Traitement de données personnelles | Système d'IA dans le champ (art. 2) |
| Logique | Principes (licéité, minimisation…) | Approche par les risques |
| Acteurs clés | Responsable de traitement, sous-traitant | Fournisseur, déployeur |
| Autorité (France) | CNIL | Autorité(s) désignée(s) pour l'IA |
| Sanction max. | 20 M€ ou 4 % du CA mondial | 35 M€ ou 7 % du CA mondial |
Les deux textes s'appliquent-ils en même temps ?
Oui, très fréquemment. Un système d'IA de tri de candidatures, par exemple, traite des données personnelles (donc RGPD) et constitue un usage à haut risque au sens de l'annexe III (donc AI Act). Les obligations se superposent : il faut satisfaire les deux régimes, chacun avec sa logique propre.
L'AI Act lui-même rappelle qu'il s'applique sans préjudice du RGPD (considérants et article 2, paragraphe 7) : il ne remplace pas le droit de la protection des données, il s'y ajoute.
Où les deux régimes se rejoignent-ils ?
Plusieurs obligations de l'AI Act font directement écho au RGPD, ce qui permet de mutualiser certains travaux :
- [Gouvernance des données](/ressources/gouvernance-donnees-biais-article-10) (article 10 de l'AI Act) : la qualité et la pertinence des jeux de données rejoignent les principes de minimisation et d'exactitude du RGPD.
- Analyses d'impact : l'analyse d'impact sur les droits fondamentaux (article 27 de l'AI Act) est complémentaire de l'analyse d'impact relative à la protection des données (AIPD, article 35 du RGPD) ; elles peuvent s'articuler.
- Transparence : l'information des personnes exposées à une décision de l'IA prolonge le droit à l'information du RGPD.
- Décision automatisée : l'article 22 du RGPD encadre déjà les décisions entièrement automatisées ; l'AI Act ajoute une exigence de contrôle humain (article 14).
Qui pilote quoi dans l'organisation ?
Le RGPD confie un rôle central au délégué à la protection des données (DPO). L'AI Act ne crée pas de fonction équivalente obligatoire, mais la pratique fait souvent émerger un référent IA ou un comité IA, en lien étroit avec le DPO, la conformité et la DSI. L'enjeu est d'éviter les angles morts entre les deux gouvernances.
Questions fréquentes
Être conforme au RGPD suffit-il pour l'AI Act ?
Non. Le RGPD ne couvre que la dimension « données personnelles ». Un système d'IA peut être parfaitement conforme au RGPD et pourtant non conforme à l'AI Act (absence de gestion des risques, de contrôle humain, de documentation technique…). Les deux démarches sont distinctes.
Un système d'IA qui ne traite aucune donnée personnelle relève-t-il du RGPD ?
Non, le RGPD ne s'applique pas en l'absence de données personnelles. Mais l'AI Act, lui, peut s'appliquer : il encadre le système d'IA en tant que tel, indépendamment de la nature des données traitées.
Faut-il refaire une analyse d'impact pour l'AI Act ?
L'analyse d'impact sur les droits fondamentaux (article 27 de l'AI Act) a un objet propre, distinct de l'AIPD du RGPD. Les deux peuvent toutefois être articulées et partiellement mutualisées lorsqu'un même système est concerné.
Le DPO est-il compétent pour l'AI Act ?
Le DPO n'a pas de mandat automatique sur l'AI Act, mais son expertise en gouvernance des risques et en analyse d'impact en fait un acteur naturel de la démarche. Beaucoup d'organisations élargissent son périmètre ou créent un référent IA à ses côtés.