NO AI ACT

RGPD · AI Act · Rôles · Analyses

AI Act et RGPD : quand chacun s'applique, et quand les deux

La question fréquente — « est-ce maintenant l'AI Act ou le RGPD ? » — repose sur une prémisse erronée. Ce ne sont pas deux versions d'une même règle : ils protègent des objets différents et, lorsqu'ils se rencontrent, les deux s'appliquent cumulativement. L'AI Act ne remplace pas le RGPD et ne l'assouplit pas.

Jouer à « Des visages dans la foule » Guide de l'AI Act européen

01Ils protègent des objets différents

La différence tient à leur objet. Le RGPD protège la personne à l'égard du traitement de ses données à caractère personnel ; l'AI Act protège les personnes et la société contre les risques propres aux systèmes d'IA, y compris lorsqu'aucune donnée personnelle n'est traitée.

Deux cadres, deux logiques
RGPDAI Act
Objet de la réglementationLe traitement de données à caractère personnel, quelle que soit la technologie.La mise sur le marché, la mise en service et l'utilisation de systèmes d'IA.
Logique réglementaireHorizontale et technologiquement neutre.Sectorielle à l'égard de l'IA, proche de la logique de sécurité des produits.
Déclencheur des obligationsLa présence de données à caractère personnel.La finalité du système et sa catégorie de risque.
Acteurs porteurs des obligationsResponsable du traitement et sous-traitant.Fournisseur, déployeur, importateur et distributeur.

02Trois situations, et non deux

Distinguer les deux questions — « y a-t-il des données personnelles ? » et « s'agit-il d'un système d'IA ? » — conduit à trois situations, plutôt qu'à une fausse alternative.

  • Le RGPD seul. Le traitement de données personnelles sans IA : archives, tableur ou procédure manuelle. L'AI Act n'intervient pas.
  • L'AI Act seul. Un système d'IA sans données personnelles, par exemple un modèle entraîné sur des données techniques pour piloter un procédé industriel. Les obligations relatives aux risques et à la transparence subsistent ; le RGPD ne s'applique pas à ce traitement sans données personnelles.
  • Les deux. Le cas fréquent en entreprise ou dans un organisme public : un système d'IA traitant des données sur des personnes. Les obligations s'additionnent ; on ne choisit pas entre elles.
Conséquence pratique. Être conforme à l'AI Act ne signifie pas être conforme au RGPD, ni l'inverse. Les deux analyses doivent être réalisées ; la seconde n'est pas simplement un chapitre de la première.

03Leurs principaux points de rencontre

Ces recoupements concernent les situations où un système d'IA produit des effets sur des personnes identifiables.

  • Biométrie. Les données biométriques utilisées pour identifier une personne de manière unique relèvent des catégories particulières du RGPD ; certains usages biométriques sont interdits ou à haut risque selon l'AI Act. Les deux qualifications ne coïncident pas et doivent être examinées séparément. Voir les pratiques interdites.
  • Recrutement et gestion des travailleurs. Ces usages peuvent relever du haut risque selon l'AI Act et, au titre du RGPD, des décisions automatisées et de l'information des travailleurs. Voir l'IA dans le recrutement et l'emploi.
  • Accès aux services essentiels et solvabilité. Des usages à haut risque selon l'AI Act ; au titre du RGPD, souvent des décisions automatisées assorties de droits spécifiques pour la personne concernée.
  • Contenus générés ou manipulés. L'AI Act prévoit des obligations de transparence ; si le contenu représente des personnes réelles, le RGPD intervient pour le traitement de leurs images. Voir les hypertrucages et la transparence.

Nouveauté de 2026 : les catégories particulières de données pour détecter les biais. Le Digital Omnibus, règlement (UE) 2026/1744, a introduit l'article 4 bis dans l'AI Act. Il répond à une contradiction pratique : détecter une discrimination selon l'origine ethnique, la religion ou la santé peut nécessiter de traiter précisément ces données, protégées par le RGPD. L'article l'autorise exceptionnellement pour les fournisseurs de systèmes à haut risque, uniquement pour détecter et corriger les biais et dans la mesure strictement nécessaire, sous six conditions cumulatives : impossibilité d'atteindre le résultat avec d'autres données, y compris synthétiques ou anonymisées ; limitations techniques de réutilisation et pseudonymisation ; contrôles d'accès stricts et documentés ; absence de transmission à des tiers ; suppression après correction du biais ; justification inscrite au registre des activités de traitement. Le second paragraphe étend cette possibilité à d'autres opérateurs, en précisant qu'elle ne crée aucune obligation de rechercher des biais. Ce n'est pas une autorisation générale de collecter des données sensibles « pour l'équité », mais une exception étroite dont toutes les conditions doivent être réunies.

04Les rôles ne se correspondent pas automatiquement

L'erreur fréquente consiste à supposer qu'un responsable du traitement est aussi un fournisseur, ou qu'un déployeur est nécessairement un sous-traitant. Ce sont deux classifications indépendantes : une même organisation peut y occuper des places différentes.

Un organisme public qui achète un système d'IA et l'utilise pour ses usagers est normalement responsable du traitement au titre du RGPD et déployeur au titre de l'AI Act. Le vendeur du système peut être sous-traitant et simultanément fournisseur au titre de l'AI Act, mais ce n'est pas automatique. Les rôles sont détaillés dans fournisseur et déployeur.

05L'AIPD et l'analyse des droits fondamentaux ne sont pas identiques

Elles se ressemblent dans leur forme mais diffèrent par leur objet ; aucune n'absorbe l'autre.

Deux analyses d'impact, deux questions
AIPD — analyse d'impact relative à la protection des données, RGPDExamine les risques pour les droits et libertés liés au traitement : quelles données, pour quelle finalité, sur quelle base juridique et avec quelles garanties ?
Analyse d'impact sur les droits fondamentaux — AI Act, FRIA en anglaisExamine l'impact de l'utilisation du système dans un contexte donné : qui peut subir un préjudice, comment le détecter, comment y remédier et qui exerce le contrôle ?

Lorsque les deux sont requises, elles peuvent partager des éléments et être conduites ensemble, mais restent deux analyses répondant à deux questions. Voir l'analyse d'impact sur les droits fondamentaux.

Depuis 2026, cette articulation figure dans le texte. Le Digital Omnibus a réécrit l'article 27, paragraphe 4 : un déployeur ayant déjà satisfait à une obligation de l'analyse des droits fondamentaux dans une AIPD, au titre de l'article 35 du RGPD ou de l'article 27 de la directive 2016/680, peut renvoyer aux sections pertinentes de cette analyse ou en intégrer les parties utiles. Le Bureau de l'IA doit également fournir un modèle de questionnaire, notamment sous forme d'outil automatisé, permettant ces renvois. Cela ne signifie pas qu'une AIPD remplace l'analyse des droits fondamentaux : le renvoi concerne les obligations déjà satisfaites, pas celles que l'AIPD n'examinait pas. L'impact d'une décision sur les droits fondamentaux ne se confond pas avec la licéité du traitement. La source de septembre 2026 indiquait que le modèle du Bureau n'était pas encore publié ; ce point doit être vérifié au moment de l'utilisation.

06Ce que l'AI Act ne règle pas

Certaines questions restent régies par le RGPD ; une démarche de conformité à l'AI Act ne suffit pas à les résoudre.

  • La base juridique. Pourquoi ces données peuvent-elles être traitées ? L'AI Act ne fournit pas une autorisation générale de traitement.
  • Les droits des personnes. Accès, rectification, opposition et garanties entourant les décisions automatisées restent régis par le RGPD.
  • Minimisation et conservation. Quelles données sont réellement nécessaires, et pendant combien de temps ?
  • Transferts hors de l'Union. Ils restent encadrés par le RGPD, quel que soit le lieu d'exécution du modèle.

Ce que NO AI ACT lui-même ne collecte pas est détaillé dans la protection de la vie privée dès la conception.

07Essayer sur un cas

« Des visages dans la foule » met en scène un système biométrique dans un espace public : un point de rencontre majeur des deux textes. Le même système doit être qualifié deux fois, à partir de deux questions différentes, dont les réponses ne coïncident pas nécessairement.

Ouvrir le dossier Catégories de risque

08Sources officielles et transparence

Glossaire · AI Act pour les entreprises · Sanctions de l'AI Act