Depuis l'entrée en vigueur du RGPD en 2018, les entreprises européennes ont appris à protéger les données personnelles de leurs utilisateurs. Aujourd'hui, un nouveau texte s'impose progressivement dans le paysage réglementaire : le règlement européen sur l'intelligence artificielle, communément appelé EU AI Act. Pour de nombreux dirigeants de PME, la question est immédiate : s'agit-il d'une simple extension du RGPD, d'un texte concurrent, ou d'une obligation entièrement nouvelle ? La réponse est claire — ce sont deux règlements distincts, avec des logiques différentes, mais qui se croisent fréquemment dans la pratique. Voici ce que vous devez savoir pour naviguer sereinement entre ces deux cadres réglementaires.
EU AI Act et RGPD : deux règlements aux objets fondamentalement différents
Le RGPD (Règlement Général sur la Protection des Données, entré en application le 25 mai 2018) a un objet précis : protéger les données à caractère personnel des individus. Il encadre la collecte, le traitement, le stockage et le transfert de ces données, quelle que soit la technologie utilisée. Il s'applique dès lors qu'une organisation traite des informations permettant d'identifier une personne physique.
L'EU AI Act (Règlement UE 2024/1689, publié au Journal officiel de l'Union européenne en juillet 2024) poursuit un objectif différent : encadrer les systèmes d'intelligence artificielle selon leur niveau de risque pour la sécurité, les droits fondamentaux et la santé des personnes. Il ne s'intéresse pas à la nature des données traitées, mais à la nature du système technologique lui-même et à l'usage qui en est fait.
En résumé : le RGPD protège la vie privée, l'EU AI Act encadre les risques liés à l'IA. Ces deux réglementations peuvent s'appliquer simultanément — et c'est souvent le cas — mais elles ne se substituent pas l'une à l'autre.
Les principales différences à connaître
Plusieurs différences structurelles distinguent ces deux textes et ont des implications concrètes pour votre organisation :
Le champ d'application : Le RGPD s'applique à toute organisation qui traite des données personnelles de résidents de l'UE, indépendamment du secteur ou de la technologie. L'EU AI Act s'applique aux fournisseurs, déployeurs, importateurs et distributeurs de systèmes d'IA mis sur le marché ou utilisés dans l'Union européenne. Une PME qui utilise un outil d'IA sans traiter de données personnelles peut être soumise à l'EU AI Act sans être particulièrement concernée par le RGPD dans ce contexte précis — et inversement.
La logique de classification : Le RGPD distingue les données selon leur sensibilité (données ordinaires, données sensibles au sens de l'article 9). L'EU AI Act classe les systèmes d'IA selon quatre niveaux de risque : risque inacceptable (systèmes interdits), risque élevé, risque limité et risque minimal. C'est ce niveau de risque qui détermine les obligations applicables.
Les obligations spécifiques : Le RGPD impose notamment la tenue d'un registre des traitements, la désignation éventuelle d'un DPO, la réalisation d'analyses d'impact (AIPD), et le respect des droits des personnes concernées. L'EU AI Act exige quant à lui, pour les systèmes à haut risque, une documentation technique détaillée, un système de gestion des risques, des tests de robustesse, une supervision humaine et un enregistrement dans une base de données européenne.
Les autorités de contrôle : Le RGPD est contrôlé par les autorités nationales de protection des données (en Belgique : l'Autorité de protection des données, APD). L'EU AI Act prévoit la désignation d'autorités nationales compétentes spécifiques pour l'IA, dont le cadre institutionnel est encore en cours de structuration dans plusieurs États membres.
Où les deux réglementations se rejoignent
Dans la pratique, la majorité des systèmes d'IA déployés par les entreprises traitent des données personnelles : outils de recrutement automatisé, chatbots clients, systèmes de scoring, solutions d'analyse comportementale, etc. Dans ces cas, RGPD et EU AI Act s'appliquent conjointement, et leurs exigences se renforcent mutuellement.
Plusieurs points de convergence méritent d'être soulignés :
- La transparence : Le RGPD impose d'informer les personnes lorsqu'une décision automatisée les concerne (article 22). L'EU AI Act impose des obligations de transparence pour certains systèmes d'IA, notamment ceux qui interagissent avec des humains. Les deux textes convergent vers une exigence d'information claire et compréhensible.
- L'évaluation des risques : L'AIPD (Analyse d'Impact relative à la Protection des Données) requise par le RGPD et l'analyse de risques imposée par l'EU AI Act pour les systèmes à haut risque partagent une logique similaire : identifier, évaluer et atténuer les risques avant le déploiement. Ces deux démarches peuvent être coordonnées pour gagner en efficacité.
- La documentation : Les deux textes exigent une traçabilité et une documentation rigoureuse des traitements et des systèmes. Une bonne gouvernance documentaire permet de répondre aux deux exigences sans doubler les efforts.
- Les droits des personnes : L'EU AI Act, en particulier pour les systèmes à haut risque, prévoit des mécanismes de supervision humaine qui font écho aux droits à l'explication et à la contestation des décisions automatisées prévus par le RGPD.
Comment les PME peuvent aborder la double conformité de manière pragmatique
La bonne nouvelle pour les PME, c'est que les obligations de l'EU AI Act sont proportionnées au niveau de risque du système d'IA utilisé. Si votre entreprise utilise uniquement des outils d'IA à risque minimal (filtres anti-spam, outils de recommandation de contenu non sensible, etc.), les obligations sont très légères. Les contraintes les plus lourdes concernent les systèmes classifiés à haut risque, listés à l'Annexe III du règlement.
Pour aborder la double conformité de façon structurée, voici une approche en trois étapes :
1. Cartographier vos systèmes d'IA : Identifiez tous les outils d'IA que vous utilisez ou fournissez — y compris les solutions SaaS intégrant de l'IA. Pour chacun, déterminez s'il traite des données personnelles (RGPD) et à quel niveau de risque il appartient selon l'EU AI Act.
2. Mutualiser vos efforts de documentation : Là où les deux textes exigent une analyse de risques ou une documentation, créez des documents unifiés qui répondent simultanément aux deux cadres. Votre DPO ou responsable conformité peut jouer un rôle central dans cette coordination.
3. Prioriser selon les échéances : Les premières dispositions de l'EU AI Act applicables aux systèmes à haut risque entrent pleinement en vigueur à partir du 2 août 2026. Vous avez encore le temps de vous organiser, mais le diagnostic initial doit être réalisé sans tarder pour identifier vos priorités.
Ce que risquent les PME en cas de non-conformité
Les sanctions prévues par l'EU AI Act sont significatives. Pour les violations les plus graves (utilisation de systèmes interdits), les amendes peuvent atteindre 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial. Pour les manquements aux obligations applicables aux systèmes à haut risque, les sanctions peuvent aller jusqu'à 15 millions d'euros ou 3 % du chiffre d'affaires. Le règlement précise explicitement que ces montants sont modulés à la baisse pour les PME, mais le risque réputationnel et opérationnel demeure réel. Combiné aux sanctions potentielles du RGPD (jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires pour les violations les plus graves), l'enjeu financier justifie pleinement un investissement préventif en conformité.
Conclusion : une double conformité accessible avec la bonne méthode
EU AI Act et RGPD ne sont pas des doublons réglementaires — ce sont deux boucliers complémentaires que l'Union européenne déploie pour protéger les citoyens à l'ère numérique. Pour les PME, la clé réside dans une approche coordonnée : cartographier ses systèmes d'IA, mutualiser la documentation et prioriser les actions selon le niveau de risque réel. La conformité n'est pas réservée aux grandes entreprises disposant d'équipes juridiques dédiées. Avec les bons outils et le bon accompagnement, elle est à la portée de toute organisation.
Vous ne savez pas par où commencer ? Audityo vous propose un diagnostic de conformité gratuit pour évaluer votre situation au regard de l'EU AI Act — et vous indiquer précisément ce que vous devez faire avant le 2 août 2026. Rendez-vous sur audityo.eu pour démarrer votre diagnostic en quelques minutes, sans jargon technique et sans engagement.