Le malentendu fondateur
"On est déjà en règle RGPD, donc on est tranquille pour l'AI Act, non ?" Cette phrase est le malentendu numéro 1 que je rencontre en audit. Réponse courte : non. Le RGPD et l'AI Act sont deux régulations distinctes qui se cumulent. Être conforme à l'une ne donne aucune garantie sur l'autre.
Le RGPD existe depuis mai 2018. Il régule la collecte, le traitement, la conservation et l'usage des données à caractère personnel. L'AI Act, applicable depuis août 2026 pour les obligations de transparence (art. 50) et août 2027 pour le haut risque (Annex III), régule la mise sur le marché et l'utilisation des systèmes d'intelligence artificielle, indépendamment du fait qu'ils traitent ou non des données personnelles.
Deux périmètres différents
Pour bien comprendre l'articulation, il faut visualiser les deux périmètres comme deux cercles qui se chevauchent partiellement.
- Périmètre RGPD : tout traitement de données personnelles, qu'il soit fait par un humain (Excel, fiche papier) ou par une machine (logiciel CRM, base SQL, IA). Si vous traitez le nom et l'email d'un client dans un fichier Excel, vous êtes RGPD. L'IA n'a rien à voir.
- Périmètre AI Act : tout système IA mis sur le marché ou utilisé dans l'UE, qu'il traite ou non des données personnelles. Si vous utilisez Claude pour générer un texte fictif sans aucune donnée client, vous êtes AI Act (article 50, mention IA obligatoire). Le RGPD n'a rien à voir.
L'intersection des deux, c'est la zone qui concentre le plus de PME : un système IA qui traite des données personnelles. Exemples :
- Tri de CV par IA (RGPD : données candidats / AI Act : système haut risque RH).
- Chatbot client qui collecte des emails (RGPD : données client / AI Act : transparence art. 50).
- Scoring d'éligibilité crédit (RGPD : décision automatisée art. 22 / AI Act : haut risque Annex III).
Qui prime en cas de conflit ?
Personne. Le législateur européen a explicitement écrit que l'AI Act complète le RGPD sans le remplacer (considérant 9 du règlement AI Act). Concrètement, en cas de doute sur une obligation, vous appliquez la règle la plus stricte des deux.
Exemple : pour un tri de CV par IA, le RGPD article 22 vous oblige à proposer une revue 100% humaine sur demande du candidat. L'AI Act article 14 vous oblige à mettre en place une supervision humaine effective (validation systématique avant décision). Vous appliquez les deux : supervision humaine systématique et droit de revue 100% humaine sur demande.
Le "quoi" vs le "comment"
La meilleure manière mentale d'articuler les deux régulations :
- Le RGPD répond au "quoi" : quelles données traitez-vous ? Sur quelle base légale ? Combien de temps conservées ? Pour quelles finalités ? Vers quels sous-traitants ? Avec quels droits utilisateur (accès, rectification, suppression, opposition, portabilité) ?
- L'AI Act répond au "comment" : quel système IA est utilisé ? Quelle classification de risque ? Quelle transparence affichée à l'utilisateur ? Quelle supervision humaine ? Quelle traçabilité des décisions ? Quels garde-fous en cas de dérive ?
Cette grille de lecture permet de structurer un audit conformité sans avoir à choisir l'un ou l'autre.
Deux registres, mais croisés
Côté documentation, l'erreur la plus fréquente est de tenir un seul registre fourre-tout. Les deux régulations exigent des registres formellement séparés :
- Registre RGPD article 30 : tient la liste des traitements de données personnelles. Champs typiques : finalité, catégories de données, catégories de personnes concernées, destinataires, durée de conservation, mesures de sécurité.
- Registre AI Act article 50 (et obligations Annex III) : tient la liste des systèmes IA utilisés. Champs typiques : finalité, fournisseur du système, classification de risque, mesures de transparence, supervision humaine, journalisation des décisions.
Pour les systèmes qui croisent les deux régulations (la majorité), vous tenez les deux registres avec une référence croisée. Exemple : dans le registre RGPD, le traitement "Tri CV automatisé" pointe vers le système AI Act "Système IA tri CV cabinet recrutement Acme". Et inversement.
Les 5 erreurs les plus fréquentes
- Penser que la conformité RGPD suffit. Faux. Vous êtes conforme RGPD, vous pouvez quand même prendre une amende AI Act parce que vous n'avez pas affiché la mention IA sur votre chatbot.
- Penser que l'AI Act ne s'applique pas si pas de données personnelles. Faux. Un générateur d'images IA pour créer des illustrations marketing tombe sous l'art. 50 (mention IA obligatoire) même sans aucune donnée personnelle.
- Confondre DPIA (RGPD) et évaluation de conformité (AI Act). La DPIA évalue les risques pour les personnes concernées par le traitement. L'évaluation AI Act évalue les risques propres au système IA (biais, dérive, hallucinations, manipulation). Les deux peuvent s'imbriquer mais ne se substituent pas.
- Avoir un seul DPO qui gère les deux. Le DPO (RGPD) est obligatoire dans certains cas, qualifié juridique. L'AI Act ne crée pas un "AIO" obligatoire mais demande des compétences techniques. Une seule personne pour les deux est possible mais rare en pratique.
- Penser que les deux registres peuvent être fusionnés. Pour des raisons d'audit (CNIL vs autorité IA), il vaut mieux les garder formellement séparés même si on les tient dans le même outil.
Stratégie de mise en conformité unifiée pour PME
En pratique, voici comment je recommande de procéder pour une PME qui démarre à zéro :
- Inventaire technique : lister tous les systèmes IA utilisés (chatbots, outils SaaS avec IA intégrée, n8n avec nodes IA, scripts internes).
- Inventaire des données : pour chaque système IA identifié, lister les données (personnelles ou non) qui y transitent.
- Classification AI Act : risque inacceptable / haut / limité / minimal pour chaque système.
- Évaluation RGPD parallèle : si le système traite des données personnelles, ajouter au registre RGPD avec base légale, durée, etc.
- Mesures techniques croisées : pour chaque système, lister les mesures qui répondent aux deux régulations (anonymisation = RGPD, supervision humaine = AI Act, par exemple).
- Documents prêts à publier : politique de confidentialité (RGPD), page de transparence IA (AI Act art. 50), mentions sur les chatbots et contenus générés.
- Plan d'évolution : pour les non-conformités détectées, plan d'action priorisé avec budget et délai.
Le coût d'une conformité unifiée
Pour une PME française de 15 à 50 personnes utilisant l'IA (ChatGPT, Copilot, n8n, agents) sans système haut risque, je vois en moyenne :
- Audit initial unifié RGPD + AI Act : 4 000 à 8 000 € HT.
- Mise en conformité technique (mentions, registres, journalisation) : 3 000 à 8 000 € HT.
- Maintien annuel : 1 500 à 4 000 € HT (mise à jour registres + nouveaux systèmes).
Pour une PME avec système haut risque (RH, scoring, biométrie), compter 50% à 100% de plus selon la complexité. Le poste le plus lourd est la DPIA croisée (RGPD + AI Act art. 27 pour le déployeur).
Pour aller plus loin : hub conformité AI Act + RGPD et 3 forfaits d'audit publics.