IA et RGPD : ce que disent l’AI Act et la CNIL

IA et RGPD s’appliquent en même temps : l’AI Act encadre les systèmes d’IA selon leur risque, le RGPD encadre toute donnée personnelle qu’ils traitent. En France, la CNIL publie depuis 2024 des recommandations sur l’IA (développement, déploiement de l’IA générative) et devrait devenir l’une des principales autorités de contrôle de l’AI Act, selon le projet de loi adopté par le Sénat.

Les points clés

• L’AI Act ne remplace pas le RGPD. Dès qu’un système d’IA traite des données personnelles, les deux textes s’additionnent.
• La CNIL a finalisé le 22 juillet 2025 ses recommandations sur le développement des systèmes d’IA, avec une liste de vérification.
• Pour l’IA générative en entreprise, la CNIL recommande une liste d’usages autorisés et interdits, la formation des utilisateurs et l’implication du DPO.
• L’analyse d’impact sur les droits fondamentaux de l’AI Act (article 27) peut s’appuyer sur une AIPD existante.
• Le schéma français prévoit que la CNIL contrôle notamment la biométrie, l’emploi et l’éducation au titre de l’AI Act ; la loi n’est pas définitive en octobre 2026.

AI Act et RGPD : deux logiques différentes

Le RGPD protège les personnes dont les données sont traitées, quel que soit l’outil. L’AI Act est un texte de sécurité des produits : il fixe des exigences pour les systèmes d’IA selon leur niveau de risque, que des données personnelles soient en jeu ou non. Un outil de maintenance prédictive sur des machines peut relever de l’AI Act sans toucher au RGPD ; un tableur qui calcule des primes relève du RGPD sans être un système d’IA. La plupart des usages en entreprise (recrutement, relation client, assistants génératifs) relèvent des deux.

Le règlement le dit lui-même : il est sans préjudice du droit de l’Union sur la protection des données. Pour l’ensemble des règles de l’AI Act, voyez notre guide du règlement IA. Pour savoir où vous en êtes sur les deux plans, le diagnostic gratuit de gouvernance IA couvre aussi la protection des données parmi ses dix domaines.

Ce que recommande la CNIL sur l’IA

Développer un système d’IA

Depuis avril 2024, la CNIL publie des fiches pratiques sur le développement des systèmes d’IA, consolidées dans ses recommandations pour respecter le RGPD et finalisées le 22 juillet 2025. Elles couvrent notamment la définition de la finalité, le choix de la base légale (dont l’intérêt légitime), la minimisation et la conservation des données d’entraînement, la collecte par moissonnage du web, l’information des personnes et l’exercice de leurs droits, l’annotation des données, la sécurité du développement et la question de savoir si un modèle entraîné sur des données personnelles reste lui-même soumis au RGPD. Une liste de vérification accompagne l’ensemble.

Déployer une IA générative

Pour les entreprises qui utilisent plutôt qu’elles ne développent, la CNIL a publié en juillet 2024 ses premières réponses sur le déploiement de l’IA générative. En résumé : partir d’un besoin précis, encadrer les usages par une liste d’usages autorisés et interdits (par exemple ne pas saisir de données personnelles, ne pas confier de décision au système), connaître les limites de l’outil, choisir un système et un mode de déploiement sûrs, former les utilisateurs, et associer dès le début le DPO, le RSSI et les métiers. C’est exactement la matière d’une charte IA d’entreprise.

S’auto-évaluer

Le dossier intelligence artificielle de la CNIL propose aussi un guide d’auto-évaluation des systèmes d’IA au regard du RGPD et des ressources sectorielles (éducation, santé, travail). Elle a par ailleurs annoncé, avec l’ANSSI et le PEReN notamment, le projet PANAME, qui vise un outil logiciel pour vérifier si un modèle traite des données personnelles.

Les points de friction concrets

Base légale et données d’entraînement

Un fournisseur qui entraîne ou affine un modèle sur des données personnelles a besoin d’une base légale au sens de l’article 6 du RGPD. La CNIL admet l’intérêt légitime sous conditions : intérêt réel, nécessité, mise en balance avec les droits des personnes, garanties (exclusion de certaines sources, filtrage, respect des oppositions). Pour un déployeur, la question se pose plutôt à l’usage : saisir le fichier clients dans un assistant génératif est un traitement qui doit avoir une base légale et un contrat de sous-traitance avec le fournisseur.

Données sensibles et biais

Détecter un biais suppose parfois de traiter des données sensibles, que l’article 9 du RGPD interdit en principe. L’omnibus numérique a créé un article 4 bis qui autorise, sous stricte nécessité et avec des garanties, le traitement de catégories particulières de données pour détecter et corriger les biais, y compris par les déployeurs. C’est une faculté, pas une obligation, et toutes les autres règles du RGPD restent applicables. Le détail est dans l’article sur l’omnibus numérique.

AIPD et analyse d’impact sur les droits fondamentaux

Les deux analyses se recoupent. L’article 27, paragraphe 4, prévoit que lorsque l’une des obligations de l’analyse d’impact sur les droits fondamentaux est déjà remplie par l’AIPD, la première complète la seconde. L’article 26, paragraphe 9, demande aussi aux déployeurs de systèmes à haut risque d’utiliser les informations fournies par le fournisseur pour réaliser leur AIPD. En pratique : un seul dossier, deux angles. Notre modèle d’évaluation des risques IA montre comment structurer ce dossier commun.

Décisions automatisées

Un outil qui écarte automatiquement des candidatures ou refuse un crédit sans intervention humaine se heurte à l’article 22 du RGPD. L’AI Act ajoute, pour les systèmes à haut risque, l’obligation de confier le contrôle humain à des personnes compétentes, formées et dotées de l’autorité nécessaire. Un « humain dans la boucle » qui valide tout sans regarder ne satisfait ni l’un ni l’autre.

Transferts hors UE

Beaucoup d’outils d’IA générative sont fournis par des entreprises américaines. Les règles du chapitre V du RGPD sur les transferts s’appliquent : décision d’adéquation, clauses contractuelles types ou autre garantie. Vérifiez où sont traitées et conservées les invites et les réponses, et si le fournisseur peut s’en servir pour entraîner ses modèles.

La CNIL, future autorité de l’AI Act

Le schéma présenté par le gouvernement en septembre 2025, repris pour l’essentiel dans les amendements adoptés par le Sénat en février 2026, confie à la CNIL le contrôle de la plupart des pratiques interdites liées à la biométrie, de la reconnaissance des émotions au titre de l’article 50 et de plusieurs domaines du haut risque : biométrie, emploi et recrutement, éducation (avec la DGCCRF), répressif, migration. Le texte n’est pas définitivement adopté en octobre 2026. Notre article AI Act en France : quelles autorités de contrôle fait le point sur la répartition complète.

Une démarche commune RGPD et AI Act

1. Un seul inventaire. Rattachez chaque système d’IA aux traitements de votre registre RGPD.
2. Une seule analyse. Combinez AIPD, analyse de risque AI Act et, si nécessaire, analyse d’impact sur les droits fondamentaux.
3. Une seule charte. Les règles sur les données à ne jamais saisir valent pour les deux textes.
4. Un contrôle commun des fournisseurs. Contrat de sous-traitance, transferts, entraînement sur vos données, documentation AI Act.
5. Un DPO impliqué dès le départ, comme le recommande la CNIL.

Opsio accompagne ces démarches dans ses offres conformité RGPD et conseil en gouvernance de l’IA.

Questions fréquentes sur l’IA et le RGPD

Le RGPD s’applique-t-il à l’intelligence artificielle ?

Oui, dès qu’un système d’IA traite des données personnelles, à l’entraînement comme à l’usage. Les principes de licéité, de minimisation, d’exactitude et de sécurité s’appliquent, ainsi que les droits des personnes. L’AI Act s’y ajoute avec ses propres obligations ; il ne crée pas d’exception au RGPD.

Que dit la CNIL sur l’usage de ChatGPT ou Copilot en entreprise ?

La CNIL recommande de partir d’un besoin précis, de définir des usages autorisés et interdits, de ne pas saisir de données personnelles dans un outil non maîtrisé, de privilégier un déploiement sécurisé, de former les utilisateurs et d’associer le DPO et le RSSI. Elle n’interdit pas ces outils, elle demande de les encadrer.

Faut-il une AIPD pour un projet d’IA ?

Souvent, oui. Une AIPD est requise lorsqu’un traitement est susceptible d’engendrer un risque élevé, ce qui est fréquent avec l’IA : évaluation de personnes, données sensibles, surveillance, usage innovant à grande échelle. Pour un système à haut risque, elle pourra servir de base à l’analyse d’impact sur les droits fondamentaux de l’AI Act.

La CNIL contrôle-t-elle déjà l’AI Act ?

La CNIL contrôle déjà le respect du RGPD par les systèmes d’IA. Pour l’AI Act lui-même, sa désignation comme autorité de surveillance du marché figure dans le projet de loi adopté par le Sénat le 18 février 2026, qui n’était pas définitivement voté en octobre 2026. Vérifiez l’état du texte sur Légifrance.

Peut-on entraîner une IA sur les données de ses clients ?

Seulement avec une base légale adaptée, une finalité définie, une information des personnes et des garanties. L’intérêt légitime peut convenir sous conditions, d’après la CNIL. Il faut aussi vérifier la compatibilité avec la finalité de collecte initiale, minimiser les données et respecter les oppositions.

Faites le point sur l’IA et vos données

Le diagnostic gratuit pour votre charte IA et votre gouvernance de l’IA pose des questions sur vos outils, vos données et vos fournisseurs : quatorze étapes, environ 40 minutes, en français. Dès l’envoi, quatre documents sont rédigés à partir de vos réponses (cadre de gouvernance, charte d’utilisation de l’IA, checklist d’évaluation des fournisseurs, modèle d’analyse des risques IA), avec un état des lieux sur dix domaines, dont la protection des données. Les documents sont livrés en anglais, en Word modifiable, et vous appartiennent.

Cet article est une information générale, pas un conseil juridique. Vérifiez le texte consolidé du règlement (UE) 2024/1689 tel que modifié par le règlement (UE) 2026/1744. Les dates et la situation des autorités françaises sont indiquées en l’état d’octobre 2026.