RGPD et règlement sur l'IA : obligations des entreprises

Votre entreprise a probablement déjà un registre RGPD, une analyse d'impact relative à la protection des données (AIPD) archivée quelque part, peut-être même un délégué à la protection des données qui a tout vérifié il y a deux ans. Puis quelqu'un a annoncé que le règlement sur l'IA s'appliquait aussi, et la première réaction a été de se demander s'il fallait tout recommencer depuis zéro pour chaque outil d'IA utilisé au quotidien. Ce n'est pas le cas : la plupart des vérifications RGPD déjà faites servent de socle au règlement sur l'IA, mais les deux textes ne posent pas exactement les mêmes questions, et confondre l'un avec l'autre laisse des trous.

Un même système, deux textes qui se superposent

Le RGPD s'intéresse à une question précise : les données personnelles sont-elles traitées de façon licite, loyale et pour une finalité déterminée. Le règlement sur l'IA en pose une autre, plus large : ce système présente-t-il un risque pour la santé, la sécurité ou les droits fondamentaux, que des données personnelles soient impliquées ou non. Un outil de tri de CV, un chatbot de service client ou un scoring de solvabilité se trouvent à la croisée des deux : ils traitent des données personnelles et relèvent en même temps du champ du règlement sur l'IA. Le RGPD s'applique en France depuis 2018 et n'a pas changé avec l'arrivée du règlement sur l'IA — c'est un texte qui s'ajoute, pas qui remplace.

Article 22 du RGPD et annexe III du règlement IA : deux tests, pas un seul

L'article 22 du RGPD donne à toute personne le droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé, y compris le profilage, produisant des effets juridiques ou l'affectant de manière significative — un refus de crédit décidé sans intervention humaine, par exemple. L'annexe III du règlement sur l'IA classe séparément certains systèmes comme « à haut risque » selon leur domaine d'usage : recrutement, évaluation des salariés, scoring de solvabilité, accès à certains services essentiels. Cette classification ne dépend pas du degré d'automatisation de la décision finale, mais du domaine dans lequel le système est utilisé.

Un outil de présélection de candidatures qu'un responsable RH valide toujours manuellement échappe généralement à l'article 22 du RGPD, puisque la décision n'est pas exclusivement automatisée. Il reste pourtant, dans la plupart des cas, un système à haut risque au sens de l'annexe III, parce que le recrutement en fait partie quel que soit le degré de supervision humaine. Répondre « un humain valide toujours » ferme le dossier RGPD sur ce point précis, mais laisse entier le dossier règlement sur l'IA, avec ses propres obligations de gestion des risques, de documentation technique et de supervision humaine formalisée.

AIPD et analyse d'impact sur les droits fondamentaux : compléter, pas refaire

L'analyse d'impact relative à la protection des données (AIPD), prévue à l'article 35 du RGPD, est obligatoire dès qu'un traitement de données personnelles est susceptible d'engendrer un risque élevé pour les droits des personnes — ce qui couvre une grande partie des systèmes d'IA traitant des données personnelles. Le règlement sur l'IA introduit, à son article 27, une analyse d'impact sur les droits fondamentaux (AIDF), mais réservée à un cercle plus restreint de déployeurs : essentiellement les organismes publics et certains acteurs privés fournissant des services essentiels, comme les banques ou les assureurs, lorsqu'ils utilisent un système à haut risque.

Le texte prévoit explicitement, à l'article 27 paragraphe 4, que lorsqu'une AIPD répond déjà aux exigences de l'AIDF, cette dernière la complète plutôt que de la dupliquer. Concrètement, une entreprise qui doit produire les deux documents a intérêt à construire un seul processus d'évaluation des risques dès le départ, enrichi des questions propres aux droits fondamentaux — non-discrimination, accès à un service essentiel — plutôt que deux projets menés en parallèle qui interrogent deux fois la même équipe produit.

Ce que la CNIL a déjà balisé pour vous

La CNIL n'a pas attendu l'entrée en application du règlement sur l'IA pour se positionner : ses premières recommandations sur l'IA générative datent de 2023, suivies en 2024 d'un jeu de fiches pratiques couvrant, entre autres, la base légale de l'intérêt légitime pour l'entraînement de modèles sur des données personnelles, et l'information des personnes lorsque leurs données ont vraisemblablement contribué à un modèle. Ce corpus, mis à jour en 2025, sert de point d'appui concret : plutôt que d'attendre une doctrine définitive sur le règlement sur l'IA, une entreprise peut déjà aligner ses pratiques de traitement de données sur ces recommandations, qui resteront pertinentes quelle que soit la façon dont les autorités de surveillance du marché pour le règlement sur l'IA se stabilisent en France. Pour le détail du rôle de la CNIL et des autres régulateurs dans l'application du règlement sur l'IA en France, notre article dédié au règlement sur l'IA pour les PME françaises entre davantage dans les détails.

Ce qu'il faut vérifier, système par système

• Pour chaque outil d'IA traitant des données personnelles : une décision est-elle prise sans aucune intervention humaine (article 22 du RGPD), et/ou le domaine d'usage figure-t-il à l'annexe III du règlement sur l'IA ? Les deux réponses sont indépendantes l'une de l'autre.
• Une AIPD a-t-elle été formalisée, et si votre entreprise entre dans le champ de l'article 27 du règlement sur l'IA, a-t-elle été conçue pour pouvoir être complétée en AIDF plutôt que refaite depuis zéro ?
• La base légale du traitement des données utilisées pour entraîner, ajuster ou personnaliser un modèle est-elle documentée, y compris lorsqu'elle repose sur l'intérêt légitime ?
• Les personnes concernées sont-elles informées, au sens des recommandations de la CNIL, lorsque leurs données ont pu contribuer à un modèle d'IA que vous utilisez ou faites développer ?
• Un fournisseur d'IA situé hors UE a-t-il été interrogé sur le transfert de données en dehors de l'Espace économique européen, indépendamment de sa conformité au règlement sur l'IA ?

Information générale, pas un conseil juridique

Ce qui précède est une information générale destinée à vous orienter, pas un conseil juridique sur votre situation. L'articulation entre RGPD et règlement sur l'IA comporte des nuances propres à chaque traitement, à chaque secteur et à chaque fournisseur, qu'un article ne peut pas couvrir entièrement. Quand Komplya publie ce type de contenu, nous distinguons ce qui a été revu juridiquement de ce qui reste un document de travail, afin que vous sachiez sur quoi vous appuyer.

Le moyen le plus rapide de savoir où vous en êtes réellement est de passer en revue, cas par cas, les traitements de données liés à vos outils d'IA. Répondez à un court questionnaire sur votre utilisation de l'IA et obtenez une lecture en langage simple de vos obligations RGPD et règlement sur l'IA.