Ce guide explique pourquoi les deux conformités doivent être gérées ensemble, quels critères comptent réellement, et ce que valent les solutions du marché.
Pourquoi gérer RGPD et AI Act dans le même outil
Les deux règlements peuvent concerner le même système, avec des obligations distinctes. Tout système d’IA qui traite des données personnelles — RH, scoring client, chatbots, vidéosurveillance augmentée — relève simultanément du RGPD et de l’AI Act. L’analyse d’impact RGPD (AIPD) et l’analyse d’impact sur les droits fondamentaux de l’AI Act (article 27) peuvent réutiliser des faits communs sans avoir le même champ ; l’inventaire des systèmes d’IA recoupe le registre des traitements ; la documentation des jeux de données d’entraînement croise les bases légales et la minimisation. Des outils séparés demandent une organisation des références et des mises à jour.
Le calendrier doit être rattaché à chaque obligation. La Commission européenne indique que l’omnibus sur l’IA est entré en vigueur le27 juillet 2026. Les règles concernées pour les systèmes à haut risque de l’annexe III s’appliquent le2 décembre 2027 et celles des systèmes intégrés aux produits réglementés le2 août 2028. Les obligations de transparence applicables à partir du2 août 2026 suivent leur propre champ et leurs exceptions ; le report ne les décale pas. Les interdictions et la littératie en IA s’appliquent depuis février 2025, tandis que les règles concernant les modèles d’IA à usage général ont leur propre calendrier et leurs dispositions transitoires. Reliez chaque échéance à la disposition, au rôle et au système concernés, avec le guide du calendrier AI Act.
La CNIL s’est positionnée comme régulateur de l’IA. Elle publie depuis 2024 des recommandations sur le développement des systèmes d’IA (base légale de l’intérêt légitime, réutilisation des données, information des personnes) et contrôle déjà des dispositifs d’IA sous l’angle RGPD — voir notre analyse RGPD et intelligence artificielle. En France, la conformité IA commence donc par la conformité RGPD : les contrôles au titre du RGPD et les compétences prévues par l’AI Act doivent être distingués, même lorsqu’ils concernent les mêmes faits.
Les critères de choix
| Critère | Pourquoi c’est décisif | Exigence minimale |
|---|---|---|
| Socle RGPD complet | Traiter les données personnelles selon les obligations applicables | Registre art. 30, AIPD, sous-traitants, violations |
| Inventaire des systèmes d’IA | Point de départ de toute conformité AI Act | Recensement lié au registre des traitements |
| Classification des risques IA | Interdit / haut risque / risque limité / minimal | Questionnaire de qualification par système |
| AIPD + analyse AI Act articulées | Éviter la double saisie | Modèles d’analyse partageant les données |
| Documentation générée | Art. 11 et annexe IV AI Act : documentation technique | Génération de dossiers exportables |
| Sortie en français | Documents lus par la CNIL, les juristes, le CSE | Interface et livrables en français |
| Hébergement UE | Cohérence avec votre propre analyse de transferts | Datacenters UE |
| Prix proportionné | Budget PME/ETI | Devis sur un périmètre explicite |
Méfiez-vous de deux arguments commerciaux : les « modules AI Act » vendus en surcouche coûteuse alors que l’essentiel (inventaire, qualification, documentation) relève de fonctions de registre bien conçues ; et les tableaux de bord de « gouvernance IA » impressionnants mais incapables de produire une AIPD conforme à la méthodologie CNIL.
Choisir entre un socle commun et des outils spécialisés
Commencez par les objets à suivre : systèmes d’IA, finalités, acteurs, données utilisées, versions et décisions. Une plateforme peut centraliser ces informations, mais la présence d’un inventaire ne démontre pas qu’elle sait produire les preuves techniques d’un fournisseur ou suivre les obligations particulières d’un déployeur.
Demandez à chaque candidat de décrire la fonction disponible dans le plan proposé, la configuration nécessaire et les travaux laissés à votre équipe. Un outil spécialisé dans les tests de modèles peut fournir des résultats utiles sans gérer vos demandes de droits. Un outil de registre peut structurer le dossier sans réaliser les mesures techniques requises. Évaluez les interfaces et les responsabilités entre ces fonctions.
Pour comparer le socle documentaire, utilisez le guide de choix d’un logiciel RGPD. Le module IA doit être évalué avec un système concret et un rôle défini, plutôt qu’avec une affirmation générale de couverture de tout l’AI Act.
Chiffrer le projet à partir du pilote
Le devis sépare l’abonnement, la reprise des inventaires, les intégrations, les langues, les évaluations techniques et l’assistance juridique éventuelle. Précisez les systèmes, versions, entités et utilisateurs inclus. Demandez comment une nouvelle obligation ou un changement de format sera pris en charge contractuellement.
Mesurez le travail manuel pendant le pilote : obtenir les informations du fournisseur, analyser le rôle, vérifier les résultats et approuver une décision. Un document généré ne signifie pas que ces tâches ont été exécutées. Comparez les offres sur les mêmes livrables et conditions d’acceptation avec le cadre de comparaison des coûts.
Cette page ne présente pas de prix de marché universel ni de volume annuel d’heures supposé pour une PME. Les coûts dépendent du périmètre, de l’état des dossiers et des engagements effectivement proposés.
Comment acheter, concrètement
- Commencez par le registre. Si votre registre des traitements n’est pas à jour, aucun module IA ne vous sauvera : l’inventaire des systèmes d’IA s’y adosse.
- Recensez vos systèmes d’IA (y compris les outils SaaS dopés à l’IA : RH, marketing, support) et qualifiez-les selon l’AI Act — c’est le test décisif à faire faire en démo à chaque éditeur.
- Exigez un livrable en démonstration : une AIPD générée, un dossier de documentation IA exporté. Jugez le document, pas le tableau de bord.
- Vérifiez la trajectoire réglementaire de l’éditeur : l’AI Act montera en charge jusqu’en 2028 (annexe III en décembre 2027, annexe I en août 2028), votre outil doit suivre sans avenant tarifaire à chaque échéance.
- Négociez un déploiement court : fixez le délai à partir des dépendances observées pendant le pilote — voir notre méthode de mise en conformité RGPD.
Pilote : un système de recrutement hypothétique
Prenez un projet fictif qui classe les candidatures à partir de documents transmis par les postulants. Décrivez sa finalité, les décisions auxquelles son résultat contribue, les personnes utilisatrices et le degré d’intervention humaine. Identifiez le fournisseur, l’entreprise qui déploie le système et les éventuelles modifications apportées localement.
Le dossier doit expliquer la qualification retenue au regard de l’AI Act et les obligations associées au rôle. Ne laissez pas le logiciel conclure « risque limité » parce qu’un humain lit le résultat. La qualification dépend de l’usage et du texte applicable. Conservez les faits, la source et le raisonnement, ainsi que les points qui demandent une vérification juridique ou technique.
Examinez séparément le RGPD : données nécessaires, base juridique, information des candidats, destinataires, conservation, transferts et éventuelle décision automatisée. Si une AIPD est requise, elle doit apprécier les risques pour les personnes et les mesures prévues. Une analyse de performance du modèle ne remplace pas cet examen.
Dans l’essai, faites varier un paramètre important : le classement devient une exclusion automatique avant tout examen humain. Le dossier doit identifier les décisions à revoir et leur responsable. Une modification conservée dans un journal technique mais invisible au propriétaire de l’analyse peut laisser une qualification devenue inexacte.
Relier les analyses sans les confondre
L’AIPD de l’article 35 du RGPD et l’analyse des droits fondamentaux de l’article 27 de l’AI Act n’ont pas des champs identiques. L’article 27 concerne des catégories déterminées de déployeurs et de systèmes ; il ne s’impose pas automatiquement à toute PME utilisant une IA. Un outil doit permettre de motiver l’applicabilité ou la non-applicabilité, sans supprimer les autres obligations.
Réutilisez les faits communs : finalité, public concerné, données, dépendances et mesures. Gardez séparés les critères, les conclusions et les validations propres à chaque dossier. Si une mesure change, les analyses liées doivent être repérées pour réexamen. Le gain utile est la cohérence des faits, pas une fusion qui ferait disparaître une question juridique.
Le DPO peut conseiller sur le volet protection des données et sur l’AIPD dans le cadre de ses missions. La décision de déployer et les mesures techniques restent attribuées aux acteurs compétents. Le système doit conserver l’avis, la décision et les réserves éventuelles, au lieu de les résumer par une unique approbation.
Vérifier le dossier du fournisseur et les limites de preuve
Demandez les documents pertinents pour le rôle et l’usage concernés, leur version et leurs limites. Un résultat de test doit préciser le système, les données d’évaluation et les conditions dans lesquelles il a été obtenu. Un score isolé, sans protocole, ne permet pas de juger son application au contexte de votre entreprise.
Dans le pilote fictif, supposez que le fournisseur transmet un document décrivant une version précédente. L’équipe doit pouvoir le conserver comme historique tout en indiquant qu’il ne couvre pas la version déployée. Attribuez une demande de complément et maintenez la réserve dans le dossier de décision.
Vérifiez aussi les conditions d’utilisation des données envoyées au service. Les documents de recrutement peuvent contenir des données personnelles que le fournisseur traite pour votre compte ou pour d’autres finalités. Le contrat et les paramètres doivent être examinés concrètement, sans déduire la réponse du nom du modèle ou de l’option « entreprise ».
Organiser les changements et l’acceptation
À la réception, choisissez un système et suivez ses liens : inventaire, qualification, analyse de données, contrat, test, décision et actions ouvertes. Une personne extérieure au projet doit pouvoir comprendre ce qui a été vérifié et ce qui reste incertain. L’export doit préserver ces références et les versions.
Prévoyez les déclencheurs de revue : nouvelle finalité, nouveau public, changement de modèle, nouvelle source de données ou modification des décisions prises à partir du résultat. Chaque déclencheur a un responsable et une procédure de mise à jour. Une alerte réglementaire générale ne remplace pas cette revue liée au système.
Le procès-verbal d’acceptation indique les fonctions démontrées, les tâches manuelles et les engagements encore futurs. Il ne certifie ni les performances d’un fournisseur ni la conformité de tous les usages possibles. Le registre IA devient utile lorsqu’il relie les systèmes réels aux décisions et preuves qui les concernent.
Les sources juridiques sont le RGPD, l’AI Act et le calendrier actualisé de la Commission cité plus haut. Vérifiez le texte applicable avant de figer une échéance ou une qualification dans un modèle.
Conclusion
À lire aussi : un logiciel de registre IA (AI Act).