EU AI Act vs RGPD 2026 : recoupements et différences clés

Deux règlements, deux objets de protection : le RGPD (règlement (UE) 2016/679) protège les données à caractère personnel et la vie privée des personnes physiques. L'EU AI Act (règlement (UE) 2024/1689) protège la sécurité des personnes et leurs droits fondamentaux face aux systèmes d'IA — que des données personnelles soient traitées ou non.

Les deux règlements : que protègent-ils, et quand s'appliquent-ils tous les deux ?

Le RGPD est en vigueur depuis le 25 mai 2018 et protège l'autodétermination informationnelle : tout traitement de données à caractère personnel — analogique ou numérique, avec ou sans IA — y est soumis. Ses exigences fondamentales sont la limitation des finalités, la minimisation des données, le droit d'accès et l'obligation de conclure un contrat de sous-traitance (DPA, art. 28 RGPD) avec les prestataires tiers.

L'EU AI Act est entré en vigueur le 1er août 2024 et protège la sécurité et les droits fondamentaux face aux systèmes d'IA. Il ne régule pas des points de données, mais le système d'IA lui-même — sa classe de risque, sa documentation, la surveillance humaine de ses décisions. L'échéance centrale pour les PME est le 2 août 2026, date à laquelle toutes les obligations relatives au haut risque deviennent pleinement applicables.

L'enseignement décisif pour les PME : dès lors qu'un système d'IA met en œuvre des données à caractère personnel — données de candidats, de clients ou de salariés —, les deux règlements s'appliquent de façon cumulative. Les obligations de conformité s'additionnent, elles ne se substituent pas. Qui est déjà conforme au RGPD a posé une partie des fondations — mais n'a pas pour autant rempli toutes les obligations de l'EU AI Act.

Selon le guide Bitkom EU AI Act + RGPD 2024, les zones de recoupement sont particulièrement étendues pour les systèmes d'IA à haut risque dans les domaines des ressources humaines, de la personnalisation marketing et de la communication client automatisée. Pour les PME qui déploient des outils d'IA via des services cloud, il en résulte un enchevêtrement de conformité complexe.

Tableau comparatif : RGPD vs EU AI Act — les 7 dimensions essentielles

La mise en regard directe montre où les deux corpus de règles fonctionnent en parallèle et où ils diffèrent fondamentalement. Toutes les indications correspondent à l'état du droit au 2e trimestre 2026 :

| Critère | RGPD | EU AI Act |

|---|---|---|

| Objet de protection | Données à caractère personnel et vie privée | Sécurité des personnes et droits fondamentaux face à l'IA |

| Champ d'application | Tout responsable de traitement de données à caractère personnel | Fournisseurs et déployeurs d'IA (même sans données personnelles) |

| Classes de risque | Pas de classes formelles (mais AIPD en cas de risque élevé) | 4 classes : risque inacceptable / élevé / limité / minimal |

| Obligations centrales | DPA, AIPD, registre des traitements, mesures techniques et organisationnelles, droits des personnes | Système de gestion des risques, documentation technique, surveillance humaine, évaluation de la conformité |

| Autorité compétente (FR) | CNIL | CNIL + autorité de surveillance du marché (en cours de désignation) |

| Sanctions | Jusqu'à 20 M EUR ou 4 % du CA annuel (le montant le plus élevé) | Jusqu'à 35 M EUR / 7 % (pratiques interdites) ou 15 M EUR / 3 % (haut risque) |

| Entrée en vigueur | 25/05/2018 (directement applicable) | 01/08/2024 → application échelonnée jusqu'au 02/08/2026 (plein effet haut risque) |

Ce que le tableau ne montre pas : l'effet cumulatif

Pour les systèmes d'IA qui traitent des données à caractère personnel, la conformité s'exerce simultanément sur deux plans. Selon le guide Bitkom EU AI Act + RGPD 2024, l'application cumulative est expressément voulue : l'EU AI Act « vient s'ajouter » au RGPD — il n'en restreint pas les exigences et ne les met pas hors d'effet.

Pour les PME, cela signifie : une analyse d'impact relative à la protection des données (AIPD) au titre de l'art. 35 RGPD pour un système d'IA de recrutement ne couvre pas encore l'évaluation de la conformité au titre de l'art. 43 EU AI Act. Les deux examens sont autonomes — même s'ils portent sur le même système et que des éléments de documentation peuvent être réutilisés.

Vu sous un angle positif : les entreprises disposant d'une documentation RGPD soignée bénéficient d'une avance considérable. Le registre des traitements, le registre des DPA et les structures d'AIPD peuvent être étendus plutôt que repartir de zéro. Selon une analyse comparative de la Heinrich-Böll-Stiftung 2024, les entreprises dotées d'une conformité RGPD solide peuvent réduire de 30 à 50 % l'effort initial de mise en conformité à l'EU AI Act.

Cas d'usage 1 : IA de présélection des candidats — les deux règlements cumulés

Une PME déploie un outil d'IA qui évalue automatiquement les candidatures reçues selon leur adéquation au profil de poste et établit une liste restreinte de candidats priorisés. Ce scénario déclenche simultanément des obligations au titre des deux règlements.

Obligations RGPD

• Base légale au titre de l'art. 6 RGPD : le traitement des données de candidats n'est licite que sur la base du consentement (art. 6, par. 1, point a) ou de l'exécution du contrat de travail (art. 6, par. 1, point b)
• Droit d'accès (art. 15 RGPD) : les candidats ont le droit d'obtenir des informations sur les données traitées et sur la logique sous-jacente à la décision de l'IA
• Obligation d'effacement (art. 17 RGPD) : les données des candidats refusés doivent être effacées au terme d'un délai clairement défini (typiquement 6 mois après le refus)
• AIPD (art. 35 RGPD) : une décision automatisée ayant des conséquences importantes pour les candidats impose une analyse d'impact relative à la protection des données

Obligations EU AI Act

• Classification haut risque (annexe III, point 4 a) : les systèmes de sélection automatisée de candidats dans le cadre de l'emploi sont qualifiés de haut risque — sans exception
• Évaluation de la conformité (art. 43 EU AI Act) : avant le déploiement ou toute modification substantielle, une évaluation de la conformité doit être réalisée
• Transparence (art. 13 EU AI Act) : l'entreprise, en tant que déployeur, doit informer les candidats du recours à un système d'IA
• Surveillance humaine (art. 14 EU AI Act) : les collaborateurs RH doivent pouvoir contrôler et corriger les décisions de l'IA — aucun refus entièrement automatisé sans contrôle humain

Résultat : qui déploie cette IA a besoin à la fois d'une AIPD au titre du RGPD et d'une évaluation de la conformité au titre de l'EU AI Act — deux documents autonomes, même si leurs contenus se recoupent. Selon le guide Bitkom EU AI Act + RGPD 2024, il est recommandé d'adopter un processus de documentation intégré qui traite systématiquement les deux profils d'exigences.

Cas d'usage 2 : automatisation marketing avec ChatGPT — responsabilités distinctes

Une PME utilise ChatGPT (GPT-4o) via l'API OpenAI pour générer automatiquement des e-mails personnalisés à destination de ses clients existants : recommandations de produits fondées sur l'historique d'achat, formules d'appel personnalisées, contenus propres à chaque segment. Là encore, les deux corpus de règles s'appliquent — mais avec un point d'attention différent.

Obligations RGPD

• DPA avec OpenAI (art. 28 RGPD) : dès lors que des données clients — ne serait-ce qu'une adresse e-mail et un historique d'achat — sont transmises à l'API OpenAI, OpenAI est sous-traitant. Un contrat de sous-traitance est alors obligatoire. OpenAI propose un DPA standard qui doit être expressément conclu
• Minimisation des données (art. 5 RGPD) : seules les données réellement nécessaires à la personnalisation peuvent être transmises — pas de transfert de dossiers clients complets
• Base légale du profilage (art. 6 et art. 22 RGPD) : l'établissement automatisé de profils à des fins marketing exige soit le consentement, soit l'intérêt légitime assorti d'une mise en balance des intérêts

Obligations EU AI Act

• Règles GPAI (art. 53 EU AI Act) : ChatGPT est un modèle d'IA à usage général (General Purpose AI). Depuis le 2 août 2025, OpenAI, en tant que fournisseur, doit remplir des obligations de transparence et publier des politiques d'utilisation. En tant qu'utilisateur, vous devez vérifier qu'OpenAI s'y conforme
• Pas de classification haut risque : la génération d'e-mails marketing ne relève pas de l'annexe III de l'EU AI Act — aucune évaluation de la conformité n'est requise
• Transparence vis-à-vis des destinataires : si les textes générés par IA risquent d'être perçus par les destinataires comme rédigés par un humain, il convient d'examiner une obligation de signalement au titre de l'art. 50 EU AI Act

Résultat : pour l'automatisation marketing avec ChatGPT, c'est le RGPD qui prime — en particulier le DPA et la minimisation des données. L'EU AI Act joue un rôle secondaire (pas d'obligations haut risque), mais les exigences GPAI pesant sur OpenAI en tant que fournisseur doivent être vérifiables.

Conséquences pratiques pour les PME : combiner efficacement la conformité

La bonne nouvelle : une stratégie de conformité avisée traite le RGPD et l'EU AI Act comme un système intégré, et non comme deux projets distincts. Les synergies suivantes sont particulièrement pertinentes pour les PME :

Intégrer la documentation

• AIPD extensible : les analyses d'impact existantes au titre de l'art. 35 RGPD peuvent être combinées aux exigences de gestion des risques de l'art. 9 EU AI Act — une même évaluation des risques, deux exigences réglementaires satisfaites
• Registre des traitements comme socle : le registre des traitements RGPD (art. 30 RGPD) fournit la liste des systèmes sur laquelle bâtir l'inventaire d'IA exigé par l'EU AI Act
• DPA et obligations du déployeur : le DPA OpenAI au titre du RGPD peut être regroupé avec la documentation du déployeur EU AI Act dans une documentation fournisseur unique

Regrouper les responsabilités

L'EU AI Act n'impose pas de « responsable IA » formel, mais recommande de désigner une responsabilité dédiée à la conformité IA. En pratique, il est recommandé que le délégué à la protection des données (DPO) assume la responsabilité de la conformité à l'EU AI Act, ou soit complété par un « AI Officer » travaillant en étroite collaboration avec le DPO. Selon la FAQ BMWK sur l'EU AI Act 2024, ce chevauchement de rôles est expressément admis et permet d'économiser des coûts de coordination significatifs.

Résultat : les entreprises qui traitent le RGPD et l'EU AI Act comme un cadre de conformité intégré réduisent l'effort global de 30 à 50 % par rapport à un traitement séparé — tout en gagnant en cohérence documentaire.