EUAICheck est un outil indépendant d'auto-évaluation. Nous ne sommes pas un cabinet d'avocats et n'avons aucun lien avec une autorité officielle.
EUAICheck est un outil indépendant d'auto-évaluation édité par Vival Solutions (EI). Ce contenu est informatif, ne constitue pas un avis juridique et peut évoluer : vérifiez toujours le texte officiel sur EUR-Lex.
EU AI Act et RGPD : deux règlements distincts qui s'appliquent ensemble
Mis à jour le 30 septembre 2026 · Règlement (UE) 2024/1689 et Règlement (UE) 2016/679
L'EU AI Act ne remplace pas le RGPD. Dès qu'un système d'IA traite des données personnelles, ce qui est le cas de la plupart des usages en entreprise, les deux textes s'appliquent en même temps.
Être en conformité avec le RGPD ne suffit pas pour l'EU AI Act, et inversement. Les deux règlements n'ont pas le même objet, ne demandent pas les mêmes documents et ne prévoient pas les mêmes sanctions.
1. Des objets différents
- RGPD : protège les personnes à l'égard du traitement de leurs données personnelles, quelle que soit la technologie.
- EU AI Act : encadre les systèmes d'IA selon leur niveau de risque, qu'ils traitent ou non des données personnelles.
- Un système d'IA sans donnée personnelle (par exemple, un contrôle qualité industriel) peut relever de l'EU AI Act sans relever du RGPD.
- Un traitement de données sans IA ne relève que du RGPD.
2. Des exigences qui se recoupent
- Transparence : information des personnes (articles 13-14 RGPD ; articles 26 et 50 de l'EU AI Act).
- Analyses d'impact : analyse d'impact relative à la protection des données (AIPD, article 35 RGPD) et analyse d'impact sur les droits fondamentaux (FRIA, article 27 de l'EU AI Act, pour certains déployeurs). L'article 27 prévoit que la FRIA complète l'AIPD lorsque celle-ci couvre déjà certaines obligations.
- Décisions automatisées : droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé et droit d'obtenir une intervention humaine (article 22 RGPD) ; droit d'obtenir une explication sur le rôle d'un système à haut risque dans une décision (article 86 de l'EU AI Act).
- Documentation : registre des traitements (RGPD) ; documentation technique et journaux (EU AI Act, pour le haut risque).
3. Tableau comparatif
| RGPD | EU AI Act |
|---|
| Objet | Données personnelles | Systèmes et modèles d'IA |
| Déclencheur | Traitement de données personnelles | Mise sur le marché, mise en service ou utilisation d'un système d'IA dans l'UE |
| Plafond d'amende | 20 M€ ou 4 % du CA mondial | 35 M€ ou 7 % du CA mondial (pratiques interdites) |
| Document clé | Registre des traitements, AIPD | Documentation technique (annexe IV), FRIA, journaux |
| Contrôle en France | CNIL | Autorités de surveillance du marché (schéma en cours de mise en place) |
4. Qui contrôle ?
Pour le RGPD, l'autorité est la CNIL. Pour l'EU AI Act, chaque État membre désigne ses autorités de surveillance du marché. Le schéma annoncé par le Gouvernement français confie la coordination à la DGCCRF et une large part des usages sensibles à la CNIL (emploi, éducation, biométrie…), aux côtés d'autorités sectorielles comme l'ACPR pour la banque et l'assurance. Ce schéma dépend d'un texte législatif : vérifiez son état d'avancement. Le Bureau de l'IA de la Commission supervise les modèles d'IA à usage général.
5. Gérer les deux sans doublon
- Étendre votre registre des traitements pour identifier les traitements qui utilisent de l'IA.
- Réaliser AIPD et, le cas échéant, FRIA dans un même exercice.
- Intégrer l'information « IA » dans vos mentions d'information RGPD existantes.
- Faire travailler ensemble le DPO et la personne en charge des sujets IA.
Où en est votre système d'IA ?
17 questions pour une première estimation indicative au regard de l'EU AI Act. Gratuit.
Lancer le pré-diagnostic