RGPD & IA Act : la conformité numérique en 2026

Le RGPD encadre les données personnelles depuis 2018. L'IA Act européen, entré en application par étapes depuis 2024, encadre désormais les systèmes d'intelligence artificielle selon leur niveau de risque. Les deux textes se recoupent largement — un système d'IA qui traite des données personnelles est soumis aux deux — et beaucoup d'organisations découvrent cette double contrainte au moment où elles industrialisent leurs premiers cas d'usage IA, plutôt que de l'anticiper dès la conception.

Ce que le RGPD exige, concrètement

Le RGPD repose sur des principes que l'arrivée de l'IA n'a pas changés, mais qu'elle rend plus difficiles à respecter mécaniquement : minimisation des données collectées, finalité explicite du traitement, durée de conservation limitée, et droits d'accès, de rectification et de suppression opposables par la personne concernée. Un modèle de langage entraîné ou alimenté par des données personnelles complique chacun de ces principes — supprimer une donnée d'un index vectoriel est techniquement différent de la supprimer d'une base relationnelle, et il faut le prévoir dès la conception plutôt que de le découvrir lors d'une demande de suppression.

Ce que l'IA Act ajoute

L'IA Act classe les systèmes d'IA en niveaux de risque — inacceptable, élevé, limité, minimal — avec des obligations proportionnées à chaque niveau. Un système à risque élevé, par exemple un outil qui influence une décision de recrutement ou d'octroi de crédit, impose une documentation technique complète, une supervision humaine effective et une traçabilité des décisions. La plupart des usages internes d'assistance ou de productivité relèvent d'un risque plus limité, mais la classification elle-même doit être documentée et justifiée — l'absence d'analyse est en soi une non-conformité.

Où ces obligations se traduisent en architecture

Trois choix de conception concentrent l'essentiel du risque de conformité. La traçabilité des décisions : un système qui influence une décision doit pouvoir expliquer, a posteriori, sur quelles données et quelle logique elle s'est appuyée. La gouvernance des données d'entraînement et de contexte : savoir précisément quelles données alimentent un modèle, avec quelle base légale, est un prérequis, pas une option. Et la supervision humaine : les cas à risque élevé exigent un point de contrôle humain réel, pas une case cochée dans une interface.

Ces trois choix se prennent au moment de l'architecture, pas au moment de l'audit. Un système conçu sans traçabilité coûte significativement plus cher à mettre en conformité après coup qu'un système qui l'intègre dès le départ.

Une gouvernance continue, pas un audit ponctuel

La tentation est de traiter la conformité comme un projet, avec un début et une fin. Le RGPD et l'IA Act évoluent tous les deux — nouvelles lignes directrices, nouvelle jurisprudence, nouveaux cas d'usage qui changent la classification de risque d'un système existant. La conformité durable ressemble davantage à une gouvernance continue, intégrée au cycle de vie de l'architecture, qu'à un audit annuel qui repart de zéro chaque fois.

• RGPD et IA Act se recoupent dès qu'un système d'IA traite des données personnelles.
• La classification de risque de l'IA Act doit être documentée, même pour les usages à risque limité.
• Traçabilité des décisions, gouvernance des données et supervision humaine sont les trois chantiers clés.
• Ces choix se prennent dans l'architecture, pas comme correctif après un audit.