Skip to main content

Le RGPD en pratique et ce qu'il enseigne sur le règlement sur l'IA

Sept enseignements du texte du RGPD et des décisions d'application, et les points où le règlement européen sur l'IA diffère.

Par Scanara

Points essentiels

  1. 1.Le règlement général sur la protection des données (RGPD) s'applique depuis le 25 mai 2018. Des amendes de 50 millions d'EUR (Google, janvier 2019) à 1,2 milliard d'EUR (Meta, mai 2023 ; recours en cours) sont venues ensuite. Les règles de sanction du règlement sur l'IA (article 99) s'appliquent depuis le 2 août 2025 (article 113). Les obligations relatives aux systèmes à haut risque (articles 8 à 27) s'appliquent à deux dates. Ce sont le 2 décembre 2027 (annexe III) et le 2 août 2028 (annexe I). Les amendes correspondantes ne peuvent pas venir plus tôt, car l'article 99, paragraphe 4, énumère les obligations elles-mêmes. Exemples : l'article 16 (fournisseurs) et l'article 26 (déployeurs). L'annexe III liste des usages à haut risque, comme le recrutement ou la notation de crédit. L'annexe I liste la législation d'harmonisation de l'Union relative aux produits (article 6, paragraphe 1). La section B de l'annexe I énumère d'autres actes législatifs d'harmonisation de l'Union. Les articles 8 à 27 ne s'appliquent pas aux systèmes d'IA à haut risque liés à ces produits (article 2, paragraphe 2).
  2. 2.Les deux textes atteignent les entreprises hors de l'UE, avec des critères différents. L'article 3, paragraphe 2, du RGPD couvre l'offre de biens ou de services à des personnes dans l'Union ou le suivi de leur comportement. L'article 2, paragraphe 1, du règlement sur l'IA couvre les fournisseurs qui mettent des systèmes sur le marché de l'Union. Il couvre aussi les entreprises situées ailleurs dont les sorties sont utilisées dans l'Union.
  3. 3.Les deux textes s'appliquent en même temps à un système d'IA qui traite des données personnelles (règlement sur l'IA, article 2, paragraphe 7). Les fournisseurs et les déployeurs doivent respecter les deux. Les déployeurs utilisent un système d'IA sous leur propre autorité, sauf dans le cadre d'une activité personnelle à caractère non professionnel (article 3, point 4).
  4. 4.Les amendes du RGPD atteignent 20 millions d'EUR ou 4 % du chiffre d'affaires annuel mondial. Le montant le plus élevé est retenu (article 83, paragraphe 5). Pour les pratiques interdites, les amendes du règlement sur l'IA atteignent 35 millions d'EUR ou 7 % du chiffre d'affaires mondial. Le montant le plus élevé est retenu (article 99, paragraphe 3). Pour les systèmes à haut risque, les amendes visant les fournisseurs et les déployeurs atteignent 15 millions d'EUR ou 3 % du chiffre d'affaires mondial. Le montant le plus élevé est retenu (article 99, paragraphe 4). Pour les petites et moyennes entreprises (PME), chaque amende peut atteindre le plus faible des deux montants (article 99, paragraphe 6). L'article 3, point 14 bis, définit les PME. Tous deux retiennent l'atténuation, la coopération et les mesures prises pour fixer le montant (article 83, paragraphe 2, du RGPD ; article 99, paragraphe 7).

Prochaine étape : listez les systèmes d'IA qui traitent des données personnelles et associez leurs rôles aux deux textes.

Enseignement 1 : des amendes de 50 millions d'EUR à 1,2 milliard d'EUR sont tombées en moins de cinq ans

Le RGPD s'applique depuis le 25 mai 2018. Ces amendes ont suivi :

  • Google, 50 millions d'EUR (autorité française de protection des données, CNIL, janvier 2019). Le Conseil d'État a confirmé l'amende en juin 2020.
  • Amazon, 746 millions d'EUR (autorité luxembourgeoise de protection des données, CNPD, juillet 2021). Le 12 mars 2026, la Cour administrative du Luxembourg a annulé la décision et l'a renvoyée à la CNPD. La Cour a jugé que la CNPD n'avait pas apprécié la faute et n'avait pas choisi correctement la mesure corrective. La Cour a en grande partie confirmé les violations constatées par la CNPD.
  • WhatsApp, 225 millions d'EUR (Commission irlandaise de protection des données, DPC, août 2021). La page des amendes de la DPC (mise à jour le 21 septembre 2026) indique le statut « Pending Appeal » (recours en cours) pour cette amende.
  • Meta, 1,2 milliard d'EUR (DPC irlandaise, mai 2023). La page des amendes de la DPC (mise à jour le 21 septembre 2026) indique le statut « Pending Appeal » (recours en cours) pour cette amende.

Nous ne pouvons pas prévoir quand les autorités infligeront une première amende au titre du règlement sur l'IA

Les États membres fixent les règles de sanction (article 99, paragraphe 1), et les autorités nationales apprécient chaque cas (article 99, paragraphe 7).

Enseignement 2 : la conformité passe par les contrats et les documents

L'article 28, paragraphe 3, du RGPD encadre les sous-traitants (organismes qui traitent des données à caractère personnel pour le compte du responsable du traitement, article 4, point 8). Il exige un contrat ou un autre acte juridique qui lie le sous-traitant au responsable du traitement.

Le règlement sur l'IA fait aussi circuler des obligations le long de la chaîne d'approvisionnement. Les systèmes à haut risque sont accompagnés d'une notice d'utilisation pour les déployeurs (article 13, paragraphe 2). Les fournisseurs de modèles d'IA à usage général (modèles capables d'exécuter de manière compétente un large éventail de tâches distinctes, article 3, point 63) doivent fournir une documentation. Ils la transmettent aux fournisseurs qui intègrent le modèle dans des systèmes d'IA (article 53, paragraphe 1, point b)). Ces fournisseurs sont des fournisseurs en aval (article 3, point 68). L'article 25, paragraphe 4, exige un accord écrit entre le fournisseur d'un système à haut risque et des tiers. Ces tiers lui fournissent des systèmes d'IA, des modèles d'IA, des outils, des services, des composants ou des processus. La règle exclut les tiers qui rendent accessibles au public des outils, services, processus ou composants, autres que des modèles d'IA à usage général, sous licence libre et ouverte.

Le règlement sur l'IA exige des documents et des accords écrits le long de la chaîne d'approvisionnement de l'IA, à des dates différentes

L'article 53, paragraphe 1, point b), s'applique depuis le 2 août 2025. Les articles 13 et 25, paragraphe 4, s'appliquent à partir du 2 décembre 2027 (annexe III) ou du 2 août 2028 (annexe I). Les produits de la section B sont exclus (article 2, paragraphe 2).

Enseignement 3 : les deux textes atteignent les entreprises hors de l'UE

L'article 3, paragraphe 2, du RGPD atteint les organismes hors de l'UE qui proposent des biens ou des services à des personnes dans l'Union ou suivent leur comportement. Les amendes de l'enseignement 1 ont frappé quatre sociétés : Google LLC, Amazon Europe Core S.à r.l., WhatsApp Ireland Ltd et Meta Platforms Ireland Limited. Les trois dernières sont établies dans l'UE : ces amendes ne montrent donc pas l'article 3, paragraphe 2, en application.

Le règlement sur l'IA utilise un critère différent. L'article 2, paragraphe 1, point c), couvre les fournisseurs et les déployeurs établis dans un pays tiers lorsque les sorties du système sont utilisées dans l'Union. L'article 2, paragraphe 1, point a), couvre les fournisseurs qui mettent des systèmes d'IA sur le marché de l'Union, où qu'ils soient établis.

Les fournisseurs de pays tiers de systèmes à haut risque et de modèles d'IA à usage général doivent désigner un mandataire dans l'Union (articles 22 et 54)

Les fournisseurs de systèmes à haut risque établis dans des pays tiers doivent désigner par mandat écrit un mandataire établi dans l'Union (article 22, paragraphe 1). Un mandataire est une personne physique ou morale située ou établie dans l'Union. Elle a reçu et accepté un mandat écrit d'un fournisseur pour accomplir et exécuter en son nom les obligations et procédures prévues par le présent règlement (article 3, point 5). L'article 22 s'applique à partir du 2 décembre 2027 (annexe III) ou du 2 août 2028 (annexe I). Les produits de la section B sont exclus (article 2, paragraphe 2). Les fournisseurs de modèles d'IA à usage général établis dans des pays tiers doivent faire de même avant la mise sur le marché (article 54, paragraphe 1). L'article 54 s'applique depuis le 2 août 2025. Les fournisseurs de modèles mis sur le marché avant cette date doivent prendre les mesures nécessaires pour se conformer aux obligations d'ici au 2 août 2027 (article 111, paragraphe 3). L'article 54, paragraphe 6, exempte les fournisseurs de modèles d'IA à usage général publiés sous licence libre et ouverte qui permet l'accès, l'utilisation, la modification et la distribution. Leurs paramètres, leurs informations sur l'architecture et sur l'utilisation doivent être publics. L'exemption ne s'applique pas aux modèles qui présentent un risque systémique (risque spécifique aux capacités à fort impact des modèles d'IA à usage général, article 3, point 65).

Enseignement 4 : intégrer la conformité à l'ingénierie

L'article 25 du RGPD exige la protection des données dès la conception et par défaut. Le responsable du traitement (l'organisme qui détermine les finalités et les moyens du traitement, article 4, point 7) met en œuvre des mesures techniques et organisationnelles appropriées. Il le fait lors de la détermination des moyens du traitement et pendant le traitement lui-même (article 25, paragraphe 1).

Le règlement sur l'IA fixe des exigences de conception pour les systèmes à haut risque. L'article 12, paragraphe 1, exige qu'ils permettent techniquement l'enregistrement automatique des événements (journaux). L'article 14, paragraphe 1, exige que des personnes physiques puissent les contrôler effectivement. L'article 15, paragraphe 1, exige un niveau approprié d'exactitude, de robustesse et de cybersécurité. Le système de gestion des risques s'étend sur tout le cycle de vie (article 9, paragraphe 2).

Enseignement 5 : les deux textes s'appliquent en même temps

Sans préjudice des articles 4 bis et 59, le règlement sur l'IA n'affecte pas le RGPD (article 2, paragraphe 7). Un système d'IA qui traite des données personnelles doit respecter les deux textes.

Trois sujets figurent dans les deux textes. Le premier est celui des décisions automatisées et du contrôle humain (RGPD, article 22 ; règlement sur l'IA, article 14). Le deuxième est la transparence (RGPD, articles 13 et 14 ; règlement sur l'IA, articles 13 et 50). Le troisième est celui des analyses d'impact. L'article 35 du RGPD exige une analyse de l'impact sur la protection des données à caractère personnel lorsque le traitement est susceptible d'engendrer un risque élevé. L'article 27 du règlement sur l'IA exige une analyse de l'impact sur les droits fondamentaux. Il s'applique aux déployeurs qui sont des organismes de droit public ou des entités privées fournissant des services publics. Il s'applique aussi aux déployeurs de systèmes visés à l'annexe III, point 5 b) et c). Les systèmes du domaine visé à l'annexe III, point 2, sont exclus.

Enseignement 6 : les deux textes pèsent les mesures prises lorsque l'amende est fixée

L'article 83, paragraphe 2, du RGPD énumère les facteurs que l'autorité prend en compte pour fixer une amende. Ils comprennent les mesures prises pour atténuer le dommage, le degré de responsabilité compte tenu des mesures techniques et organisationnelles, et la coopération avec l'autorité de contrôle.

L'article 99, paragraphe 7, du règlement sur l'IA liste des facteurs similaires. Ils comprennent le degré de coopération (point f)) et le degré de responsabilité compte tenu des mesures techniques et organisationnelles (point g)). Ils comprennent aussi la manière dont l'infraction a été connue (point h)) et les mesures prises pour atténuer le préjudice (point j)).

Conservez des traces des mesures que vous prenez

L'article 99, paragraphe 7, point g), fait des mesures techniques et organisationnelles mises en œuvre par un opérateur un critère de fixation de l'amende. Les traces ne suppriment pas l'obligation de conformité à partir du 2 décembre 2027 (annexe III) ou du 2 août 2028 (annexe I). Les produits de la section B sont exclus (article 2, paragraphe 2).

Enseignement 7 : l'obligation légale reste à l'organisation

Le RGPD a créé des obligations pour le consentement (article 7), les registres des activités de traitement (article 30) et les analyses d'impact (article 35). Le responsable du traitement en reste responsable (article 24).

Le règlement sur l'IA fonctionne de la même façon. L'obligation reste au fournisseur d'un système à haut risque (article 16) et à son déployeur (article 26).

Le RGPD s'est appliqué d'un seul coup ; les obligations du règlement sur l'IA s'appliquent par étapes de 2025 à 2028

PhaseRGPDRèglement sur l'IA
AdoptéAvril 2016Juin 2024
Entrée en vigueurMai 2016Août 2024
Premières obligations25 mai 2018 (en une seule fois)2 février 2025 (pratiques interdites et maîtrise de l'IA ; exception : l'article 5, paragraphe 1, points ba) et bb), et paragraphes 1 bis et 1 ter, ajoutés par le règlement (UE) 2026/1744, s'appliquent à partir du 2 décembre 2026) ; 2 août 2025 (obligations relatives aux modèles d'IA à usage général et règles de sanction, sauf l'article 101) ; 2 août 2026 (amendes de l'article 101 contre les fournisseurs de modèles d'IA à usage général)
Les principales obligations s'appliquent (règlement sur l'IA : systèmes à haut risque)25 mai 20182 décembre 2027 (annexe III) et 2 août 2028 (annexe I, sauf les produits de la section B ; article 2, paragraphe 2)
Amende max. (% du CA)20 millions d'EUR ou 4 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu (article 83, paragraphe 5)Pratiques interdites : 35 millions d'EUR ou 7 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu (article 99, paragraphe 3). Obligations des fournisseurs et des déployeurs de systèmes à haut risque : 15 millions d'EUR ou 3 %, le montant le plus élevé étant retenu (article 99, paragraphe 4). PME : le plus faible des deux montants (article 99, paragraphe 6). Petites entreprises à moyenne capitalisation (article 3, point 14 ter) : même règle pour les amendes de l'article 99, paragraphes 4 et 5 (article 99, paragraphe 6 bis).
S'applique hors de l'UEOui (article 3, paragraphe 2)Oui (article 2, paragraphe 1, points a) et c))

Articles connexes

Sources et références

Questions fréquemment posées

À quoi ressemblait l'application du RGPD en pratique ?

Le règlement général sur la protection des données (RGPD) s'applique depuis le 25 mai 2018. Ces amendes ont suivi. Google, 50 millions d'EUR (autorité française de protection des données, CNIL, janvier 2019). Le Conseil d'État a confirmé l'amende en juin 2020. Amazon, 746 millions d'EUR (autorité luxembourgeoise de protection des données, CNPD, juillet 2021). Le 12 mars 2026, la Cour administrative du Luxembourg a annulé la décision et l'a renvoyée à la CNPD. La Cour a jugé que la CNPD n'avait pas apprécié la faute et n'avait pas choisi correctement la mesure corrective. La Cour a en grande partie confirmé les violations constatées par la CNPD. WhatsApp, 225 millions d'EUR (Commission irlandaise de protection des données, DPC, août 2021). La page des amendes de la DPC (mise à jour le 21 septembre 2026) indique le statut « Pending Appeal » (recours en cours) pour cette amende. Meta, 1,2 milliard d'EUR (DPC irlandaise, mai 2023). La page des amendes de la DPC (mise à jour le 21 septembre 2026) indique le statut « Pending Appeal » (recours en cours) pour cette amende. Situation au 26 octobre 2026 ; les sources sont indiquées sur cette page.

Le règlement sur l'IA remplace-t-il le RGPD ?

Non. Sans préjudice des articles 4 bis et 59, le règlement sur l'IA n'affecte pas le RGPD (article 2, paragraphe 7). Le RGPD encadre le traitement des données personnelles. Le règlement sur l'IA encadre les systèmes d'IA et les modèles d'IA à usage général. Un système d'IA qui traite des données personnelles doit respecter les deux.

Dans quelle mesure les démarches de conformité au RGPD et au règlement sur l'IA se ressemblent-elles ?

Elles se recoupent sur les analyses d'impact. Le cas échéant, un déployeur d'un système à haut risque doit utiliser les informations de l'article 13 fournies par le fournisseur. Il les utilise pour son analyse d'impact relative à la protection des données, ou AIPD (RGPD, article 35 ; règlement sur l'IA, article 26, paragraphe 9). Toute obligation de l'article 27 peut déjà être remplie par l'AIPD. Le déployeur peut alors s'y référer ou en reprendre des parties dans l'analyse d'impact sur les droits fondamentaux (article 27, paragraphe 4).

De combien de temps dispose-t-on avant l'application des obligations du règlement sur l'IA ?

Les obligations relatives aux systèmes à haut risque de l'annexe III (articles 8 à 27) s'appliquent à partir du 2 décembre 2027. Pour les systèmes de l'annexe I, elles s'appliquent à partir du 2 août 2028 (article 113). Le règlement (UE) 2026/1744 a décalé ces dates ; les dates antérieures étaient le 2 août 2026 et le 2 août 2027. La section B de l'annexe I énumère d'autres actes législatifs d'harmonisation de l'Union. Pour les systèmes d'IA à haut risque liés à ces produits, seuls l'article 6, paragraphe 1, l'article 60 bis et les articles 102 à 112 s'appliquent (article 2, paragraphe 2). Les articles 57, 58 et 59 s'appliquent uniquement dans la mesure où les exigences applicables aux systèmes d'IA à haut risque ont été intégrées dans cette législation.

Qui fait appliquer le règlement sur l'IA ?

Les autorités nationales de surveillance du marché font appliquer le règlement sur l'IA (articles 70 et 74). Ce sont les autorités nationales prévues par le règlement (UE) 2019/1020 (article 3, point 26, du règlement sur l'IA). La Commission dispose de pouvoirs exclusifs pour superviser et faire appliquer les règles relatives aux modèles d'IA à usage général. Elle confie ces tâches au Bureau de l'IA (article 88, paragraphe 1). Le Bureau de l'IA est aussi seul compétent pour les systèmes d'IA fondés sur un modèle d'IA à usage général. Cela vaut lorsque le même fournisseur, ou des fournisseurs de la même entreprise, ont développé le modèle et le système. L'article 75, paragraphe 1, point a), remplacé par le règlement (UE) 2026/1744, énumère quatre exceptions. Le Bureau de l'IA est aussi seul compétent pour un second groupe de systèmes d'IA (article 75, paragraphe 1, point b)). Ce sont les systèmes qui constituent une très grande plateforme en ligne ou un très grand moteur de recherche en ligne, ou y sont intégrés. Cette plateforme ou ce moteur doit être désigné en vertu du règlement (UE) 2022/2065. Les États membres décident de la façon dont les amendes s'appliquent aux autorités publiques (article 99, paragraphe 8).

Scanara prépare des preuves à partir de vos dépôts

Scanara lit vos dépôts GitHub connectés et exécute des analyses à base de règles pour repérer les schémas courants d'IA et d'apprentissage automatique. Il peut manquer du code non standard. Par ailleurs, il génère des projets de documentation à partir de modèles et de vos réponses aux évaluations, comme preuves pour votre travail de conformité. Vous décidez de la classification.