RGPD + AI Act 2026 : guide double conformité pour entreprises

#RGPD et AI Act : deux régulations, une même logique de responsabilité

Le Règlement général sur la protection des données (RGPD, Règlement (UE) 2016/679) et le Règlement sur l'intelligence artificielle (AI Act, Règlement (UE) 2024/1689) partagent une architecture commune : ils reposent tous deux sur le principe de responsabilité proactive (accountability). Le responsable de traitement RGPD et le fournisseur ou déployeur AI Act sont tenus de démontrer leur conformité, pas seulement de la déclarer.

Cette convergence n'est pas un hasard. L'AI Act a été conçu en tenant compte du RGPD existant, et le considérant 9 du Règlement IA précise explicitement que les obligations AI Act s'appliquent sans préjudice du RGPD. En pratique, cela signifie que toute entreprise qui déploie un système IA traitant des données personnelles doit satisfaire aux deux cadres réglementaires de manière cumulative.

La logique de responsabilité se décline de façon identique dans les deux textes :

Une ETI qui déploie un système de recommandation RH basé sur le machine learning — par exemple pour présélectionner des candidatures — est simultanément responsable de traitement RGPD (données personnelles des candidats) et déployeur AI Act (système IA à haut risque en application RH selon l'annexe III du Règlement). Les obligations ne s'annulent pas ; elles se cumulent.

#Cartographie des obligations qui se chevauchent : ce qui s'additionne

Identifier précisément où RGPD et AI Act se recoupent est la première étape d'un programme de double conformité efficace. Voici les cinq zones de chevauchement principal.

#1. Analyse d'impact : AIPD RGPD et évaluation de conformité AI Act

Le RGPD (article 35) impose une Analyse d'Impact relative à la Protection des Données (AIPD) pour les traitements susceptibles d'engendrer un risque élevé — notamment les décisions automatisées à grande échelle. L'AI Act (article 43) impose une évaluation de conformité pour les systèmes à haut risque, dont le contenu est défini à l'annexe IV.

Ces deux analyses partagent de nombreux éléments : description du système, évaluation des risques pour les personnes, mesures d'atténuation. La CNIL recommande de les mener conjointement pour éviter la duplication documentaire et garantir leur cohérence. Un seul document bien structuré peut satisfaire aux deux exigences si son périmètre est clairement délimité.

#2. Transparence et information des personnes concernées

Le RGPD (articles 13-14) impose d'informer les personnes sur l'existence d'une prise de décision automatisée et sur la logique sous-jacente. L'AI Act (article 13) impose des obligations de transparence envers les déployeurs, et l'article 26 des obligations envers les personnes physiques dans les systèmes à haut risque.

Le recoupement est direct : la notice d'information RGPD doit désormais intégrer les éléments de transparence AI Act pour les systèmes concernés.

#3. Registre des traitements et documentation technique IA

Le registre de traitement RGPD (article 30) et la documentation technique AI Act (article 11) constituent deux obligations documentaires distinctes mais portant sur des réalités largement communes : description du système, données utilisées, finalités, mesures de sécurité, durée de conservation.

#4. Droits des personnes et obligations d'explicabilité

L'article 22 RGPD donne aux personnes le droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques ou les affectant de manière significative. L'AI Act, via ses obligations de transparence (art. 13) et de surveillance humaine (art. 14), impose des mécanismes techniques permettant à un être humain de comprendre et de contester les sorties du système.

#5. Sécurité des données et robustesse du système IA

L'article 32 RGPD impose des mesures de sécurité techniques et organisationnelles proportionnées au risque. L'article 15 AI Act impose la robustesse, l'exactitude et la cybersécurité des systèmes à haut risque. Ces deux obligations convergent sur la protection des données d'entraînement et d'inférence contre les accès non autorisés, les manipulations adversariales et les fuites.

#Classification des systèmes IA sous l'AI Act : risque minimal, limité, élevé, inacceptable

L'AI Act organise les systèmes IA en quatre niveaux de risque, chacun déclenchant un régime d'obligations différent. La classification conditionne directement l'intensité de la double conformité RGPD + AI Act.

#Risque inacceptable : interdiction totale

Les pratiques IA interdites (article 5) incluent les systèmes de notation sociale généralisée, les techniques subliminales de manipulation comportementale, et certains systèmes de reconnaissance émotionnelle dans des contextes professionnels ou éducatifs. Pour ces usages, la question de la conformité ne se pose pas : leur déploiement est interdit.

#Risque élevé : obligations maximales

L'annexe III de l'AI Act liste les domaines où les systèmes IA sont qualifiés à haut risque :

• Recrutement et gestion RH (présélection de candidatures, évaluation de la performance)
• Accès aux services essentiels (crédit, assurance)
• Application de la loi et justice
• Éducation et formation professionnelle
• Infrastructures critiques
• Dispositifs médicaux

Pour ces systèmes, les obligations sont maximales : documentation technique complète, système de management de la qualité, enregistrement dans la base de données UE, évaluation de conformité par tierce partie dans certains cas, surveillance post-marché.

Croisement RGPD pour le risque élevé : la quasi-totalité des systèmes IA à haut risque traitent des données personnelles. L'AIPD RGPD est donc systématiquement requise en complément. La durée de conservation des données d'entraînement doit être justifiée par une base légale RGPD explicite.

#Risque limité : obligations de transparence

Les systèmes à risque limité — chatbots, systèmes de génération de contenu, deepfakes — doivent informer les utilisateurs qu'ils interagissent avec une IA (article 52 AI Act). Cette obligation de transparence se superpose à l'obligation d'information RGPD sur la logique de traitement automatisé.

#Risque minimal : aucune obligation AI Act spécifique

Les filtres anti-spam, les systèmes de recommandation de contenu sans impact significatif, les jeux vidéo IA relèvent du risque minimal. Seul le RGPD s'applique si des données personnelles sont traitées.

#Droits RGPD appliqués aux systèmes IA : explicabilité, droit à l'opposition automatisée

Le RGPD confère aux personnes concernées des droits qui prennent une dimension particulièrement complexe lorsqu'ils s'appliquent aux systèmes IA.

#Droit à l'explication des décisions automatisées (article 22 RGPD)

L'article 22 interdit les décisions fondées exclusivement sur un traitement automatisé produisant des effets juridiques ou affectant significativement la personne — sauf si la personne y a consenti, si le traitement est nécessaire à un contrat, ou si une disposition légale l'autorise.

Même dans les cas où la décision automatisée est autorisée, la personne a le droit :

• D'obtenir une intervention humaine
• D'exprimer son point de vue
• De contester la décision

En pratique, cela signifie que tout système IA prenant des décisions avec impact significatif (scoring de crédit, présélection RH, tarification d'assurance) doit :

1. Prévoir un circuit de révision humaine accessible et effectif
2. Être capable de produire une explication intelligible de la décision pour la personne concernée
3. Documenter que cette explication est réellement accessible (pas juste théoriquement disponible)

L'IA générative complique ce tableau : un LLM qui génère une explication de sa propre décision peut produire une post-hoc rationalization non fidèle au vrai mécanisme d'inférence. La CNIL a alerté sur ce risque dans ses recommandations de 2024 sur l'IA.

#Droit d'accès aux données d'entraînement

Le droit d'accès (article 15 RGPD) s'applique aux données personnelles traitées par le responsable de traitement — y compris, en principe, aux données ayant servi à entraîner un modèle. Si un modèle IA a été entraîné sur des données clients, ces personnes ont théoriquement le droit de savoir que leurs données ont été utilisées à cette fin.

En pratique, répondre à une demande d'accès sur des données d'entraînement déjà intégrées dans les poids d'un modèle est techniquement très difficile. La solution pragmatique est en amont : documenter précisément les jeux de données d'entraînement avec leur base légale et leur durée de conservation, avant de procéder à l'entraînement.

#Droit à l'effacement et données dans les poids du modèle

Le droit à l'effacement (article 17 RGPD) pose une question technique ouverte : peut-on «effacer» une donnée personnelle d'un modèle de machine learning déjà entraîné ? Les techniques de machine unlearning permettent en théorie de retirer l'influence d'exemples spécifiques des poids d'un modèle, mais restent coûteuses et imparfaites pour les grands modèles.

La CNIL et l'EDPB n'ont pas encore publié de guidance définitive sur ce point. En l'état, la position défendable est de :

• Ne jamais utiliser de données personnelles pour l'entraînement sans base légale robuste (consentement ou intérêt légitime documenté)
• Documenter l'impossibilité technique d'effacement a posteriori dans l'AIPD
• Mettre en place une procédure de réentraînement périodique sans les données effacées

#Data governance pour l'IA : base légale, minimisation, durée de rétention des embeddings

La gouvernance des données pour les systèmes IA est le terrain où RGPD et AI Act se recoupent le plus directement. Trois questions concentrent l'essentiel des risques de non-conformité.

#Base légale du traitement pour l'entraînement et l'inférence

Chaque phase du cycle de vie d'un système IA mobilisant des données personnelles requiert une base légale RGPD distincte :

Phase d'entraînement : la collecte et l'utilisation de données personnelles pour entraîner un modèle constituent un traitement autonome. La base légale doit être identifiée avant le début de l'entraînement. Le consentement est rarement la bonne option pour des données collectées initialement à d'autres fins — l'intérêt légitime ou la nécessité contractuelle sont plus appropriés si les conditions sont remplies.

Phase d'inférence : le traitement des données de l'utilisateur pour produire une prédiction ou une recommandation constitue un traitement distinct. Il requiert sa propre base légale, qui peut être la nécessité contractuelle si l'IA est un service proposé au client, ou le consentement pour des usages plus sensibles.

Fine-tuning et RAG : les techniques de retrieval-augmented generation (RAG) et de fine-tuning sur des données propriétaires créent de nouveaux traitements. Si les documents indexés contiennent des données personnelles, l'indexation dans une base vectorielle est un traitement soumis au RGPD.

#Minimisation des données et IA générative

Le principe de minimisation (article 5(1)(c) RGPD) impose de ne traiter que les données adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités. Pour les systèmes IA, cela se traduit par :

• Pseudonymisation des données d'entraînement avant traitement, sauf si l'identité est nécessaire à la finalité du modèle
• Filtrage des champs personnels inutiles dans les pipelines d'inférence
• Anonymisation vérifiée des jeux de données publics utilisés pour le pretraining (les jeux de données internet contiennent massivement des données personnelles)
• Limitation des données de contexte injectées dans les prompts des LLM : ne pas inclure de données personnelles sensibles dans le contexte si elles ne sont pas nécessaires à la tâche

#Durée de rétention des embeddings et vecteurs

Les embeddings — représentations vectorielles denses de textes ou d'images — posent une question de conformité RGPD souvent négligée : constituent-ils des données personnelles ?

La réponse est oui dans la plupart des cas pratiques. Un embedding généré à partir d'un texte contenant des informations personnelles (email client, ticket support, document RH) est une donnée dérivée qui peut permettre de réidentifier la personne source par des techniques d'inversion vectorielle. La CNIL considère ces données comme des données personnelles au sens de l'article 4(1) RGPD.

Conséquences pratiques :

• Les bases vectorielles (Pinecone, Weaviate, pgvector) contenant des embeddings de données personnelles entrent dans le périmètre du registre de traitement RGPD
• Une durée de rétention doit être définie et appliquée techniquement pour les embeddings
• Le droit à l'effacement implique de supprimer les vecteurs associés à une personne, pas seulement les données sources
• Les bases vectorielles hébergées hors UE (ou chez des hyperscalers sans garanties adéquates) créent un risque de transfert illicite de données personnelles

La durée de rétention recommandée par défaut : aligner la durée de conservation des embeddings sur la durée de conservation des données sources. Si les données clients sont conservées 3 ans, les embeddings dérivés doivent être supprimés au même terme.

→ Pour aller plus loin : découvrez nos outils gratuits — calculateurs ROI, diagnostics techniques et quiz interactifs pour affiner votre réflexion.

#Documentation requise : registre de traitement IA + conformité AI Act art. 11

La documentation est le point où la double conformité génère le plus de charge opérationnelle — mais aussi celui où une approche intégrée permet de mutualiser l'effort.

#Le registre de traitement RGPD enrichi pour l'IA

L'article 30 RGPD impose la tenue d'un registre des activités de traitement. Pour les systèmes IA, chaque système doit faire l'objet d'une fiche dédiée incluant :

• Nom et description du système IA (ex : «Agent IA de qualification leads», «Moteur de scoring crédit»)
• Finalités du traitement (ex : «qualification automatisée des prospects entrants»)
• Catégories de données traitées (données de navigation, données comportementales, embeddings, scores)
• Base légale pour chaque phase du cycle de vie (entraînement, inférence, monitoring)
• Destinataires des données (modèles tiers, APIs, bases vectorielles)
• Transferts hors UE (hébergeur du modèle, API OpenAI/Anthropic, base vectorielle cloud)
• Durées de conservation par catégorie de données (données brutes, embeddings, logs d'inférence, sorties du modèle)
• Mesures de sécurité (chiffrement, contrôle d'accès, isolation des environnements)
• Référence à l'AIPD si applicable

La CNIL a publié en 2024 un guide spécifique sur le registre de traitement pour les systèmes IA qui précise comment adapter les champs standards à la réalité technique des pipelines machine learning.

#Documentation technique AI Act (article 11)

L'article 11 de l'AI Act impose aux fournisseurs de systèmes à haut risque de constituer une documentation technique avant la mise sur le marché, incluant :

1. Description générale du système IA : objectif, cas d'usage prévus, utilisateurs cibles
2. Description des composants et de l'architecture du système
3. Spécifications des données d'entraînement : sources, méthodes de collecte, caractéristiques, opérations de prétraitement
4. Processus d'entraînement, de validation et de test : métriques utilisées, jeux de données de test, résultats
5. Capacités et limites du système, incluant les scénarios de défaillance prévisibles
6. Mesures de surveillance post-déploiement
7. Description du système de gestion des risques (article 9 AI Act)

#Mutualisation RGPD + AI Act

Une approche efficace consiste à créer un dossier de conformité IA unifié qui structure les informations requises par les deux réglementations dans un seul document, avec des sections clairement identifiées par référence réglementaire. Ce dossier sert à la fois de registre de traitement RGPD enrichi et de documentation technique AI Act, avec un index de correspondance.

→ Pour aller plus loin : découvrez nos outils gratuits — calculateurs ROI, diagnostics techniques et quiz interactifs pour affiner votre réflexion.

Cela réduit la charge documentaire de l'ordre de 40 % par rapport à deux dossiers séparés, selon notre expérience sur les audits clients. Plus important : cela garantit la cohérence entre les deux jeux d'informations, qui doivent être alignés pour être crédibles auprès d'un auditeur CNIL ou d'une autorité de surveillance AI Act.

#Tests de non-discrimination et biais algorithmiques

Les biais algorithmiques constituent l'un des points de convergence les plus sensibles entre RGPD et AI Act. Les deux cadres réglementaires abordent la question sous des angles distincts mais complémentaires.

#Côté RGPD : principe de non-discrimination et AIPD

Le RGPD n'interdit pas directement les biais algorithmiques, mais plusieurs dispositions y conduisent indirectement :

• L'article 22 sur les décisions automatisées exige que le système puisse être contesté, ce qui implique que ses sorties soient explicables et potentiellement corrigibles
• L'AIPD doit identifier et évaluer les risques de discrimination liés au traitement, y compris les discriminations indirectes produites par des corrélations statistiques
• Le principe d'exactitude (article 5(1)(d) RGPD) impose que les données traitées soient exactes — des données d'entraînement biaisées produisant des décisions discriminatoires violent ce principe
• Les données sensibles (article 9 RGPD) — origine raciale ou ethnique, données de santé, orientation sexuelle — ne peuvent pas être utilisées dans des systèmes de décision automatisée sans base légale explicite, même de façon indirecte via des proxies

#Côté AI Act : obligations de tests de robustesse et d'exactitude

L'AI Act (article 15) impose aux systèmes à haut risque d'atteindre des niveaux appropriés d'exactitude, de robustesse et de cybersécurité. L'annexe IV requiert de documenter les métriques d'exactitude mesurées sur des groupes démographiques distincts.

Cela se traduit concrètement par l'obligation de :

• Tester les performances du modèle par sous-groupe (genre, âge, origine géographique) et documenter les écarts éventuels
• Définir des seuils d'acceptabilité des écarts de performance entre sous-groupes
• Mettre en place un monitoring continu des biais post-déploiement

#Méthodologie pratique de test de biais

Un programme de test de non-discrimination efficace pour un système IA à double conformité RGPD + AI Act comprend quatre étapes :

Étape 1 — Audit du jeu de données d'entraînement : analyser la distribution des variables sensibles et des proxies potentiels (code postal comme proxy de l'origine socio-économique, par exemple). Documenter les déséquilibres constatés et les méthodes de rééquilibrage appliquées.

Étape 2 — Tests de parité : mesurer les métriques de classification (précision, rappel, taux de faux positifs) par sous-groupe. Pour un système de scoring, tester que le taux d'approbation ne varie pas significativement selon des caractéristiques protégées ou leurs proxies.

Étape 3 — Tests adversariaux : tester le comportement du système sur des exemples construits pour révéler les biais (counterfactual fairness testing). Si le système produit des scores différents pour deux profils identiques sauf sur une variable protégée, il y a un biais direct.

Étape 4 — Monitoring en production : mettre en place des tableaux de bord de surveillance des sorties du système par sous-groupe, avec des alertes déclenchées si les écarts dépassent les seuils définis.

Les outils open source disponibles pour ces tests incluent Fairlearn (Microsoft), AI Fairness 360 (IBM) et What-If Tool (Google). Ces outils peuvent être intégrés dans les pipelines MLOps existants.

#Plan de mise en conformité en 12 semaines : roadmap pratique ETI

Une ETI de taille moyenne (100-1000 salariés) disposant de plusieurs systèmes IA en production peut structurer sa mise en conformité RGPD + AI Act en 12 semaines selon la roadmap suivante.

#Semaines 1-2 : Inventaire et cartographie

Objectif : avoir une vision exhaustive des systèmes IA en production et en développement, et de leur exposition réglementaire.

• Lister tous les systèmes IA utilisés en interne et exposés à des clients ou partenaires
• Pour chaque système : identifier le fournisseur ou le mode de développement, les données traitées, les finalités, les personnes concernées
• Qualifier chaque système selon la grille de risque AI Act (inacceptable / élevé / limité / minimal)
• Identifier les systèmes déjà couverts par une AIPD RGPD et vérifier si elle doit être mise à jour

Livrable : cartographie des systèmes IA avec profil de risque double (RGPD + AI Act).

#Semaines 3-4 : Gap analysis réglementaire

Objectif : identifier les écarts entre la situation actuelle et les obligations réglementaires.

• Analyser les registres de traitement existants : les systèmes IA y figurent-ils avec les champs enrichis requis ?
• Vérifier les bases légales documentées pour chaque phase du cycle de vie IA
• Évaluer la documentation technique existante au regard des exigences de l'article 11 AI Act
• Identifier les systèmes à haut risque pour lesquels une évaluation de conformité formelle est requise

Livrable : rapport de gap analysis avec priorisation des actions correctives.

#Semaines 5-8 : Mise en conformité documentaire

Objectif : produire les documents manquants et mettre à jour les existants.

• Rédiger ou mettre à jour les fiches du registre de traitement pour chaque système IA
• Réaliser les AIPD manquantes pour les systèmes à risque élevé
• Constituer les dossiers de documentation technique AI Act pour les systèmes à haut risque
• Mettre à jour les notices d'information aux personnes concernées (clauses IA dans les CGU, politiques de confidentialité)
• Documenter les bases légales pour les phases d'entraînement, d'inférence et de monitoring

Livrable : registre de traitement IA complet + dossiers de conformité AI Act.

#Semaines 9-10 : Mesures techniques

Objectif : implémenter les contrôles techniques manquants.

• Mettre en place les politiques de rétention des embeddings dans les bases vectorielles
• Configurer les mécanismes de suppression des données (y compris des embeddings) en réponse aux demandes de droit à l'effacement
• Activer les logs d'inférence pour les systèmes à haut risque (nécessaires au monitoring et à la réponse aux droits)
• Déployer les outils de test de biais dans les pipelines MLOps
• Mettre en place ou vérifier les mécanismes de révision humaine pour les décisions automatisées significatives

Livrable : plan d'implémentation technique avec statut par système.

#Semaines 11-12 : Validation et gouvernance

Objectif : tester la conformité et organiser la gouvernance continue.

• Simuler une demande de droit d'accès et une demande d'effacement sur les systèmes IA : vérifier que les procédures fonctionnent effectivement
• Réaliser un test de biais sur les systèmes à haut risque et documenter les résultats
• Constituer le comité de gouvernance IA (DPO, RSSI, DSI, métiers concernés) et définir sa fréquence de réunion
• Former les équipes en charge des systèmes IA aux obligations RGPD + AI Act
• Définir le calendrier des revues annuelles et des mises à jour documentaires

Livrable : rapport de conformité finale + tableau de bord de gouvernance IA continue.

#Ce que Nehos vérifie lors d'un audit IA conformité

Nehos a développé une méthodologie d'audit de double conformité RGPD + AI Act adaptée aux ETI françaises déployant des agents IA, des systèmes de recommandation ou des outils d'aide à la décision automatisée.

#Les 8 axes de vérification Nehos

Axe 1 — Inventaire des systèmes IA Vérification de l'exhaustivité de l'inventaire : tous les systèmes IA en production sont-ils identifiés ? Les outils SaaS intégrant de l'IA (CRM avec scoring prédictif, outils RH avec matching algorithmique) sont-ils inclus ? L'inventaire distingue-t-il les rôles (fournisseur, déployeur, importateur) au sens AI Act ?

Axe 2 — Classification AI Act Vérification de la correctness des classifications de risque : les systèmes dans les domaines listés à l'annexe III sont-ils bien qualifiés à haut risque ? Les exceptions et exemptions ont-elles été correctement appliquées ? Les systèmes d'usage général (GPAI) sont-ils traités selon les articles 51-56 ?

Axe 3 — Bases légales et registre de traitement Vérification de la qualité du registre : chaque système IA a-t-il une fiche dédiée ? Les bases légales sont-elles documentées pour chaque phase du cycle de vie ? Les transferts hors UE sont-ils identifiés et couverts par des garanties adéquates (clauses contractuelles types, décision d'adéquation) ?

Axe 4 — AIPD Vérification de la réalisation des AIPD requises et de leur qualité : l'AIPD couvre-t-elle les risques spécifiques à l'IA (biais, explicabilité, robustesse) ? Les mesures d'atténuation sont-elles effectivement implémentées ? L'AIPD est-elle tenue à jour après chaque modification significative du système ?

Axe 5 — Documentation technique AI Act Vérification de la complétude des dossiers pour les systèmes à haut risque : les spécifications des données d'entraînement sont-elles documentées ? Les métriques de performance sont-elles mesurées et archivées ? Le système de management de la qualité est-il formalisé ?

Axe 6 — Droits des personnes Vérification opérationnelle des procédures de gestion des droits RGPD appliquées aux systèmes IA : un demandeur peut-il effectivement exercer son droit d'accès sur les données de son profil IA ? Les mécanismes de révision humaine pour l'article 22 RGPD sont-ils accessibles et effectifs ?

Axe 7 — Tests de biais Vérification de l'existence et de la qualité du programme de test de non-discrimination : des tests de parité par sous-groupe ont-ils été réalisés ? Les résultats sont-ils documentés ? Un monitoring en production est-il en place ?

Axe 8 — Gouvernance Vérification de la maturité organisationnelle : le DPO est-il impliqué dans les décisions d'adoption et de modification des systèmes IA ? Un processus de validation de conformité pré-déploiement est-il formalisé ? Les équipes développement connaissent-elles leurs obligations RGPD + AI Act ?

#Livrable de l'audit Nehos

L'audit se conclut par un rapport structuré en trois parties :

• Rapport de conformité : état des lieux par axe avec niveau de maturité (conforme / partiellement conforme / non conforme)
• Plan d'action priorisé : actions correctives classées par urgence réglementaire et faisabilité technique, avec estimation d'effort
• Registre de traitement IA prêt à présenter : fiches mises à jour pour chaque système audité, au format attendu par la CNIL

Les audits Nehos sont réalisés en 15 à 20 jours ouvrés selon la taille du parc applicatif. Ils peuvent être conduits de façon entièrement distancielle ou en mode hybride avec des sessions on-site pour les systèmes les plus sensibles.