Un texte ne remplace pas l'autre. Ils se cumulent, se croisent, parfois se doublent. Le véritable enjeu pour une PME est de construire une gouvernance commune qui tienne les deux obligations sans tripler la charge administrative.
La plupart des dirigeants de PME pensent encore que l'AI Act est une évolution du RGPD. C'est inexact. Les deux textes européens partagent une philosophie — la protection des droits fondamentaux — et une architecture — gradation par niveau de risque, sanctions dissuasives, autorités de contrôle nationales. Mais leur objet est différent et leurs obligations se cumulent. Quand vous déployez ChatGPT pour votre équipe RH, vous êtes à la fois responsable d'un traitement de données personnelles (RGPD) et déployeur d'un système d'IA (AI Act). Les deux casquettes en même temps.
Le RGPD protège les données à caractère personnel. Son champ est déclenché dès qu'une donnée identifie, directement ou indirectement, une personne physique. L'AI Act, lui, protège contre les risques liés aux systèmes d'IA eux-mêmes : opacité, biais, manipulation, erreurs à conséquences graves, atteintes à la santé ou aux droits fondamentaux. Un système d'IA peut donc être concerné par l'AI Act sans manipuler la moindre donnée personnelle — par exemple un outil de détection de défauts sur une ligne de production. À l'inverse, un traitement RGPD « classique » (un fichier client sur Excel) n'est pas concerné par l'AI Act.
Dans la pratique d'une PME, les deux textes se superposent dans au moins cinq cas très fréquents.
Non, mais il faut faire les deux dans un seul document. L'analyse d'impact relative à la protection des données (AIPD) exigée par l'article 35 du RGPD et l'analyse de conformité imposée par l'AI Act pour les systèmes à haut risque peuvent être fusionnées dans un document unique, à condition d'intégrer les deux angles : risques pour les personnes concernées (RGPD) et risques liés au fonctionnement du système lui-même (AI Act). La CNIL a confirmé cette approche dans plusieurs prises de parole en 2025.
Chez Wavoo, nous construisons une procédure unique d'analyse d'impact, avec deux volets : un volet RGPD calé sur la méthode CNIL, un volet AI Act calé sur l'annexe III du règlement. Cela évite aux équipes de remplir deux fois les mêmes champs.
Dans les PME, le DPO assume très souvent le rôle de référent IA. C'est cohérent : les deux missions partagent la logique de conformité, la veille réglementaire, et l'interface avec les autorités. Mais ce n'est pas toujours idéal : un DPO déjà saturé par le RGPD risque de sous-traiter mentalement le volet IA. Dans ce cas, un binôme DPO + référent métier, ou le recours à un référent IA externalisé, permet de garder les deux niveaux d'exigence.
La CNIL est l'autorité de contrôle française pour le RGPD. Pour l'AI Act, les autorités compétentes sont en cours de désignation et la CNIL a vocation à jouer un rôle central, au moins sur les systèmes qui traitent des données personnelles. Concrètement, pour une PME, cela signifie qu'un contrôle AI Act ressemblera beaucoup à un contrôle RGPD, avec potentiellement le même interlocuteur. Raison de plus pour unifier les dossiers plutôt que de les séparer.
Certaines obligations doivent exister des deux côtés et ne peuvent pas être fusionnées.
Le bon réflexe est de partir du RGPD, qui est déjà familier, et d'élargir la cartographie au périmètre IA. Les PME qui font l'inverse ont tendance à oublier la couche données personnelles et se retrouvent exposées deux fois.
Wavoo construit des dispositifs qui tiennent les deux règlements ensemble, sans dédoubler la charge. Échange gratuit pour faire le point.
Réserver un appel