Si votre entreprise respecte déjà le RGPD, vous avez environ 60 % du chemin IA Act derrière vous. Les deux textes ne s'opposent pas : ils se complètent. Le RGPD protège la donnée personnelle, l'IA Act protège la personne soumise au système IA. Mais ce 60 % n'est pas 100 %, et les 40 % restants ont des spécificités à connaître.
Voici où les deux règlements se croisent, où ils divergent, et ce que cela change concrètement pour une PME.
Deux textes, deux angles différents
Partez de cette distinction :
Le RGPD s'intéresse à la donnée personnelle. Qui la collecte, pourquoi, sur quelle base légale, combien de temps, avec quelles garanties, et quels droits la personne concernée peut exercer (accès, rectification, effacement, opposition, portabilité). Il est en application depuis mai 2018.
L'IA Act s'intéresse au système IA. Comment il fonctionne, qu'il ne mette pas en oeuvre des pratiques interdites (Article 5), qu'il soit transparent (Article 50), supervisé par un humain (Article 14), qu'il conserve des logs (Article 12), qu'il soit documenté.
Les deux se chevauchent dès qu'un système IA traite des données personnelles, ce qui concerne 95 % des usages PME : chatbot client, ATS de recrutement, scoring commercial, assistant interne.
Les quatre cas de chevauchement
Quatre situations combinent les deux textes :
-
Vous traitez des données personnelles avec une IA : RGPD (base légale, mentions, conservation) plus IA Act (Article 50 si le système interagit avec un humain, Article 14 si le risque est élevé).
-
Une IA contribue à une décision sur une personne : RGPD Article 22 (droit à ne pas être soumis à une décision exclusivement automatisée) plus IA Act Article 14 (supervision humaine effective). C'est le point critique, détaillé ci-dessous.
-
Vous transférez des données à un fournisseur IA hors UE : RGPD (clauses contractuelles types, analyse Schrems II) plus vérification que le fournisseur est conforme IA Act.
-
Vous gérez un incident IA : RGPD (notification CNIL en 72h si fuite de données personnelles) plus IA Act Article 73 (notification à l'autorité de surveillance si incident grave sur un système haut risque).
En pratique
Si vous tenez déjà un registre des traitements RGPD, ne créez pas un second registre IA Act. Ajoutez trois colonnes à celui qui existe : système IA utilisé (oui/non), niveau de risque IA Act, obligations spécifiques. Une heure de travail. Un seul document à présenter en cas de contrôle.
L'Article 22 RGPD : le droit à ne pas être décidé par une machine
C'est le point d'articulation le plus mal compris, et celui qui génère le plus d'erreurs.
L'Article 22 du RGPD pose un principe clair : toute personne a le droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé, y compris du profilage, lorsque cette décision produit des effets juridiques ou l'affecte de manière significative.
Exemples concrets : rejet d'une demande de crédit, refus d'embauche, résiliation d'assurance, déclassement dans un système de notation fournisseurs.
Le règlement prévoit trois exceptions : la décision est nécessaire à l'exécution d'un contrat, elle est autorisée par la loi, ou la personne a donné son consentement explicite. Mais même dans ces trois cas, la personne a le droit de demander une intervention humaine, d'exprimer son point de vue, et de contester la décision.
Article 22 RGPD (Règlement UE 2016/679)
"La personne concernée a le droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé, y compris le profilage, produisant des effets juridiques la concernant ou l'affectant de manière significative de façon similaire."
En clair : une IA peut contribuer à une décision, pas la prendre seule. Un humain doit être dans la boucle dès que la décision a un impact réel sur une personne.
Article 14 IA Act : le "comment" de la supervision humaine
L'Article 14 de l'IA Act est, pour partie, le mode opératoire technique de l'Article 22 RGPD.
Il impose que tout système IA à haut risque soit conçu pour permettre une supervision humaine effective : un humain désigné doit pouvoir comprendre le fonctionnement du système, interpréter ses sorties, et intervenir pour corriger, suspendre ou annuler une décision.
Les deux articles s'articulent ainsi :
- L'Article 22 RGPD dit : une décision sur une personne ne peut pas être 100 % automatisée.
- L'Article 14 IA Act dit : votre système IA doit techniquement et organisationnellement rendre cette intervention possible, et un humain désigné doit l'exercer effectivement.
Cas pratique : votre ATS score des candidats à l'embauche.
Votre outil de recrutement note automatiquement les CV. Seuil de rejet fixé à 65/100. Si la machine rejette sans aucune intervention humaine, vous êtes en infraction simultanée sur l'Article 22 RGPD et l'Article 14 IA Act. Ce qu'il faut mettre en place :
- Le candidat est informé qu'une IA a contribué à l'évaluation (obligation RGPD + Article 50 IA Act).
- Il peut demander la révision humaine de sa candidature (droit Article 22 RGPD).
- Votre DRH consulte le scoring, comprend les critères, et valide ou inverse la décision avant rejet définitif (obligation Article 14 IA Act).
La règle pratique : toute décision IA sur une personne passe par un validateur humain avant d'être définitive.
En pratique
Pour chaque outil IA qui prend ou propose une décision sur une personne (candidat, client, salarié), répondez par écrit à deux questions : quel humain valide cette décision avant qu'elle prenne effet ? La personne concernée est-elle informée de ce processus ? Si vous bloquez sur l'une des deux, vous avez un trou de conformité combiné.
La base légale des traitements IA : ce que le RGPD exige
Quand un système IA traite des données personnelles, le RGPD exige une base légale pour ce traitement. Les trois plus courantes en PME :
Intérêt légitime (Article 6.1.f RGPD) : votre base légale par défaut pour un chatbot client, un assistant de support, un outil de personnalisation marketing. Vous devez pouvoir démontrer que l'intérêt de votre entreprise est proportionné et ne l'emporte pas sur les droits des personnes. Documentez l'analyse de mise en balance (quelques paragraphes suffisent).
Exécution du contrat (Article 6.1.b RGPD) : pour un outil IA qui traite les données d'un client ou d'un salarié dans le cadre direct de la relation contractuelle. Un chatbot d'assistance après-vente, un outil d'affectation de tâches pour vos équipes.
Consentement (Article 6.1.a RGPD) : la base la plus solide mais la plus contraignante. Le consentement doit être libre, spécifique, éclairé, univoque, et révocable. Réservez-la aux cas où les deux autres ne s'appliquent pas, ou aux traitements de données sensibles.
Erreur fréquente
Ajouter un chatbot IA sans mettre à jour les mentions de collecte RGPD. Le chatbot traite les messages des utilisateurs : ces données ont une base légale, une durée de conservation, des droits associés. Si vos mentions actuelles ne couvrent pas ce traitement spécifique, elles sont incomplètes.
Correction : ajouter une ligne dans votre politique de confidentialité et une mention au démarrage du chat.
DPO et référent IA Act : qui gère quoi
Le DPO (Délégué à la Protection des Données) n'est pas obligatoire pour toutes les PME. Le RGPD Article 37 l'impose uniquement aux organismes publics et aux entreprises dont l'activité principale consiste en un traitement à grande échelle de données sensibles ou un suivi systématique à grande échelle. La majorité des PME n'est pas concernée.
Si vous avez un DPO : il devient naturellement votre référent IA Act, les obligations se chevauchant sur la documentation, la transparence et les droits des personnes. Élargissez son périmètre : cartographie IA, registre IA, suivi des obligations Articles 50, 14, 12. Comptez 1 à 2 jours par mois en plus pour une PME standard.
Si vous n'avez pas de DPO : désignez un référent IA Act interne. Ce n'est pas une obligation réglementaire stricte, mais c'est la bonne pratique pour avoir un point de contact unique. Profil : DSI, DAF, ou le dirigeant lui-même dans les très petites structures. Rôle additionnel, pas un poste à temps plein.
Si vous êtes en haut risque (recrutement IA, scoring crédit, biométrie) sans DPO : envisagez un DPO mutualisé externe. La complexité combinée RGPD + IA Act sur un système haut risque justifie ce référent dédié. Comptez 500 à 2 000 euros par mois selon la taille et le prestataire.
La CNIL, l'EDPB, et les autres : qui surveille quoi
Sur l'IA Act, la CNIL n'est pas seule. La gouvernance multi-autorités est en cours de structuration en France :
- CNIL : centrale pour les sujets données personnelles, ce qui couvre la majorité des traitements IA. Votre point d'entrée principal.
- EDPB (Comité européen de la protection des données) : coordonne les positions des autorités nationales sur les questions RGPD transfrontalières. A publié des lignes directrices sur l'articulation RGPD / IA Act.
- ARCOM : désignée comme autorité de surveillance pour certaines catégories haut risque, notamment les sujets de communication et de plateformes.
- DGCCRF : peut intervenir sur la transparence Article 50 vis-à-vis des consommateurs. Un client trompé sur la nature IA de son interlocuteur peut saisir la DGCCRF.
- Autorités sectorielles : ACPR pour la finance (scoring crédit, assurance), HAS pour le médical, autorités sectorielles selon votre domaine.
L'implication pratique : ne pas optimiser la conformité uniquement pour la CNIL. Un système conforme RGPD + IA Act est défendable devant n'importe laquelle de ces autorités. Optimisez pour la robustesse du dispositif, pas pour un contrôleur unique.
En pratique
Préparez un dossier-type que vous pouvez présenter à n'importe quelle autorité. Contenu minimal : registre IA (croisé avec le registre RGPD), fiches de supervision pour les systèmes haut risque, mentions Article 50 actives sur vos chatbots, exemple de logs conservés. Si vous avez ce dossier, vous répondez à n'importe quelle demande en 48 heures.
Ce que vous devez retenir
RGPD et IA Act se complètent, ils ne se remplacent pas. Votre conformité RGPD est une base solide : registre des traitements, bases légales, durées de conservation, droits des personnes. L'IA Act ajoute la couche système IA sur cette base.
Le point critique de l'intersection : l'Article 22 RGPD et l'Article 14 IA Act forment une paire. Aucune décision IA finale sur une personne sans validation humaine effective. C'est la règle qui protège à la fois la personne concernée et votre entreprise.
La CNIL reste votre interlocuteur principal, mais l'ARCOM, la DGCCRF et les autorités sectorielles peuvent aussi intervenir selon la nature du système et du secteur. Construisez un dispositif défendable partout, pas calibré pour un seul contrôleur.