IA et RGPD dans l'Union européenne : DPIA, FRIA et calendrier AI Act 2026

La catégorie IA et RGPD documente l'ensemble des cadres réglementaires applicables aux entreprises francophones. En UE, le point de départ reste le RGPD.

Le Règlement Général sur la Protection des Données (Règlement UE 2016/679) s'applique à tout traitement de données personnelles réalisé par une organisation établie dans l'UE, ou dont les activités ciblent des résidents européens. L'IA n'est pas explicitement mentionnée dans le texte de 2018 — mais elle entre dans son champ dès qu'elle traite des informations relatives à des personnes identifiées ou identifiables.

Quatre obligations du RGPD s'appliquent systématiquement aux systèmes d'IA :

• Base légale identifiée avant déploiement. Tout traitement de données doit reposer sur l'une des six bases légales du RGPD (consentement, intérêt légitime, contrat, obligation légale, mission d'intérêt public, intérêts vitaux). La CNIL rappelle qu'on ne peut pas changer de base légale en cours de traitement. Les systèmes d'IA marketing peuvent en général s'appuyer sur l'intérêt légitime, à condition de documenter cette appréciation.
• Minimisation des données. L'IA a tendance à consommer davantage de données qu'une règle de gestion classique. Or le RGPD impose de ne traiter que les données strictement nécessaires à la finalité poursuivie. Les organisations doivent donc réfléchir à la pertinence des données d'entrée avant de construire ou de déployer un modèle.
• Droits des personnes. Droit d'accès, de rectification, d'opposition, à l'effacement : ces droits s'exercent sur les données traitées par l'IA comme sur toutes les autres. Le droit à l'explication prévu à l'article 22 du RGPD s'applique aux décisions individuelles entièrement automatisées ayant des effets significatifs sur une personne.
• Analyse d'impact (AIPD ou DPIA). Tout traitement susceptible d'engendrer un risque élevé pour les droits et libertés doit faire l'objet d'une AIPD avant sa mise en œuvre. Les listes des traitements concernés publiées par les CNIL nationales incluent explicitement les systèmes d'évaluation et de scoring algorithmique.

L'article pilier IA et RGPD dans la francophonie décrit le calendrier complet de l'AI Act à l'échelle de la francophonie. Voici le détail pour les entreprises opérant en UE.

L'AI Act (Règlement UE 2024/1689), entré en vigueur en août 2024, s'applique selon une logique de risque progressif. Son calendrier d'entrée en vigueur :

La portée de l'AI Act est extraterritoriale, sur le modèle du RGPD : toute organisation mondiale dont les systèmes d'IA produisent des effets sur des personnes situées dans l'UE est soumise au règlement.

Les pénalités pour non-conformité s'échelonnent ainsi :

• Violation des pratiques interdites : jusqu'à 35 millions d'euros ou 7 % du CA mondial annuel.
• Non-respect des obligations sur les systèmes à haut risque : jusqu'à 15 millions d'euros ou 3 % du CA mondial.
• Fourniture d'informations incorrectes aux autorités : jusqu'à 7,5 millions d'euros ou 1,5 % du CA.

Le déploiement d'un système d'IA à haut risque nécessite désormais deux analyses d'impact distinctes, avec des périmètres qui se recoupent partiellement.

La DPIA (Data Protection Impact Assessment), imposée par l'article 35 du RGPD, évalue les risques du traitement pour la vie privée des personnes. Elle est obligatoire dès que le traitement est susceptible d'engendrer un risque élevé. Pour l'IA, les cas typiques sont : le profilage à grande échelle, les systèmes de surveillance biométrique, les décisions automatisées touchant des droits.

La FRIA (Fundamental Rights Impact Assessment), imposée par l'article 27 de l'AI Act pour les déployeurs de systèmes à haut risque, évalue les risques du système sur les droits fondamentaux : non-discrimination, accès à l'emploi, à la santé, à l'éducation, à la justice. Elle doit être réalisée avant déploiement et mise à disposition de l'autorité de contrôle compétente sur demande.

Les deux analyses partagent des inputs communs (description du système, données traitées, finalités, populations concernées), mais leurs objectifs divergent. La DPIA se concentre sur la protection des données ; la FRIA sur l'impact systémique du système IA sur les droits. Une entreprise qui réalise une DPIA de qualité peut s'appuyer sur ce travail pour structurer sa FRIA — mais ne peut pas s'en dispenser.

L'AI Act confie à chaque État membre la désignation d'une autorité nationale de supervision. En 2026, les trois pays francophones membres de l'UE ont chacun avancé sur ce point.

En France, la CNIL a été officiellement désignée autorité nationale AI Act par voie d'amendement gouvernemental en février 2026. Elle dispose déjà d'une expertise sur le RGPD et d'une capacité d'audit opérationnelle. Ses contrôles prioritaires pour 2026 incluent le recrutement par IA (outils de tri de CVs, scoring de candidats), annoncés le 3 avril 2026.

En Belgique, l'APD (Autorité de protection des données) a publié une synthèse officielle sur les interactions entre AI Act et RGPD. Elle mène des investigations sur des chatbots commerciaux et a signé la déclaration de la Global Privacy Assembly 2025 pour une gouvernance fiable des données en IA.

Au Luxembourg, la CNPD a été désignée « grande coordinatrice de l'IA » avec un mandat élargi pour le Data Act et l'AI Act. Elle accompagne en priorité le secteur financier luxembourgeois, particulièrement exposé aux exigences de l'AI Act via les outils de scoring et d'analyse de risque.

Le couple RGPD + AI Act constitue le cadre réglementaire le plus exigeant au monde pour le déploiement de l'IA. Les obligations ne s'additionnent pas seulement : elles s'articulent. Une organisation qui maîtrise déjà son RGPD part avec un avantage structurel pour l'AI Act — documentation, registre de traitements, processus d'AIPD — mais devra compléter sa démarche avec la FRIA et les exigences spécifiques aux systèmes à haut risque.

Le 2 août 2026 est la prochaine date limite importante pour les entreprises qui déploient des outils IA dans les domaines RH, crédit, scoring ou biométrie. Il reste peu de temps pour auditer les systèmes en place, identifier ceux qui entrent dans la catégorie « haut risque » et lancer les analyses d'impact nécessaires.

Votre stack marketing utilise des outils IA d'analyse comportementale, de scoring de leads ou de personnalisation ? Découvrir comment structurer votre stratégie de contenu conforme via SEO IA & GEO IA.