Réglementation intelligence artificielle comparatif : EU AI Act et RGPD 2026

1. Champ d’application et définitions croisées

Le RGPD (règlement UE 2016/679) s’applique à tout traitement de données personnelles, automatisé ou non, dès lors que le responsable du traitement ou le sous-traitant est établi dans l’UE, ou que les données concernent des personnes situées dans l’UE (article 3). L’EU AI Act (règlement 2024/1689) couvre quant à lui les « systèmes d’IA » tels que définis à l’article 3(1), avec un champ territorial large incluant les fournisseurs et déployeurs établis hors UE si les résultats sont utilisés dans l’Union.

Sophie Delattre, avocate spécialiste IA & données — « La superposition des deux textes est une réalité juridique : un système d’IA traitant des données personnelles relève à la fois de l’AI Act et du RGPD. Le comparatif réglementaire montre que l’AI Act ne remplace pas le RGPD : il l’enrichit. »

Les définitions de « données personnelles » (RGPD art. 4(1)) et de « système d’IA » (AI Act art. 3(1)) sont complémentaires. Un modèle de langage (LLM) entraîné sur des données personnelles est soumis aux deux régimes. Depuis 2025, le Comité européen de la protection des données (EDPB) et le Bureau de l’IA publient des lignes directrices communes pour éviter les doublons procéduraux.

2. Classification des systèmes d’IA et niveau de risque

L’AI Act instaure une pyramide des risques : risque inadmissible (interdit, art. 5), risque élevé (art. 6 et annexes II-III), risque limité (obligations de transparence, art. 50) et risque minimal (libre, code de conduite). Le RGPD, lui, ne catégorise pas les technologies mais les traitements : il distingue les données sensibles (art. 9), les décisions individuelles automatisées (art. 22) et le profilage.

Correspondance entre classifications

Un système d’IA à risque élevé effectuant du profilage (ex : notation sociale, recrutement) entre dans le champ de l’article 22 RGPD. La jurisprudence 2026 (CJUE, affaire C-412/25) a confirmé que toute décision fondée exclusivement sur un traitement automatisé doit offrir un droit d’opposition et une intervention humaine, même si l’IA est classée à risque limité.

Me Julien Fontaine — « La classification de l’AI Act n’absorbe pas les garanties du RGPD. Un système à risque minimal selon l’AI Act peut néanmoins violer l’article 22 RGPD s’il produit des effets juridiques sans transparence. »

3. Obligations de transparence et information des personnes

L’article 50 de l’AI Act impose une transparence renforcée pour les systèmes interactifs (chatbots, deepfakes, systèmes génératifs) : informer les personnes qu’elles interagissent avec une IA, labelliser les contenus synthétiques. Le RGPD impose déjà une information loyale et transparente (art. 13-14) sur la collecte et l’utilisation des données, y compris l’existence d’une prise de décision automatisée (art. 13(2)(f), 14(2)(g)).

En 2026, la CNIL a sanctionné une plateforme de recrutement pour avoir utilisé un algorithme de scoring sans mention explicite dans la politique de confidentialité, en violation combinée des articles 13 et 22 RGPD et de l’article 50 AI Act. Le comparatif réglementaire montre que les obligations d’information sont cumulatives : l’AI Act exige une mention « IA » visible, le RGPD exige des mentions spécifiques sur la logique algorithmique et les conséquences.

Exemple de mentions obligatoires (double régime)

« Ce système utilise un modèle d’IA générative (AI Act art. 50). Vos données de candidature font l’objet d’un profilage automatisé (RGPD art. 22). Vous disposez d’un droit d’opposition et d’une révision humaine. »

Me Clara Rivière — « La transparence est le terrain d’atterrissage commun. Un défaut d’information sur l’IA est désormais une double infraction, avec des sanctions cumulables jusqu’à 35 millions d’euros ou 7% du chiffre d’affaires mondial. »

4. Gouvernance des données et licéité des traitements

L’AI Act exige une gouvernance des données rigoureuse pour les systèmes à risque élevé (art. 10) : ensembles d’entraînement pertinents, représentatifs, exempts de biais discriminatoires. Le RGPD impose des principes de minimisation (art. 5(1)(c)), de licéité (art. 6) et de protection dès la conception (art. 25). La base légale du traitement (consentement, intérêt légitime, etc.) doit être identifiée pour chaque donnée utilisée dans l’entraînement ou l’inférence.

La décision du Tribunal de l’UE (T-2026/89) a précisé que l’utilisation de données publiquement accessibles pour l’entraînement d’un modèle d’IA ne constitue pas une base légale automatique : l’intérêt légitime du responsable doit être balancé avec les droits des personnes, conformément à l’article 6(1)(f) RGPD. L’AI Act renforce cette exigence par une obligation de documentation des sources et des biais potentiels.

5. Analyses d’impact : AIPD (RGPD) vs AFIA (AI Act)

L’analyse d’impact relative à la protection des données (AIPD) est obligatoire pour les traitements susceptibles d’engendrer un risque élevé pour les droits et libertés (art. 35 RGPD). L’AI Act introduit l’analyse des facteurs d’impact sur les droits fondamentaux (AFIA) pour les systèmes à risque élevé (art. 27). Les deux analyses peuvent être fusionnées en une évaluation unique, comme le recommande le Bureau européen de l’IA depuis 2025.

Le tableau comparatif ci-dessous (non HTML, mais logique éditoriale) montre les similitudes :

• AIPD (RGPD) : description du traitement, nécessité, proportionnalité, mesures de protection, consultation du DPO.
• AFIA (AI Act) : description du système, finalités, risques pour les droits fondamentaux, mesures de surveillance, documentation.

En 2026, la CNIL a publié un modèle d’analyse d’impact intégré (AIPD + AFIA) pour les systèmes d’IA à risque élevé. Ce document est téléchargeable sur IAOfficiel.fr.

Me Antoine Lefèvre — « Ne réalisez pas deux analyses parallèles. Une évaluation unique, bien structurée, satisfait les deux régulateurs. L’essentiel est de démontrer la prise en compte des droits fondamentaux tout au long du cycle de vie de l’IA. »

6. Sanctions, autorités de contrôle et coordination 2026

Les sanctions sous le RGPD peuvent atteindre 20 millions d’euros ou 4% du chiffre d’affaires annuel mondial (art. 83). L’AI Act prévoit des amendes jusqu’à 35 millions d’euros ou 7% du CA mondial (art. 99). Les deux peuvent être cumulées en cas de violation distincte. En 2026, le Bureau européen de l’IA et la CNIL ont coordonné une sanction record de 42 millions d’euros contre un fournisseur de logiciel de recrutement pour non-conformité aux articles 5, 10 et 50 AI Act, ainsi qu’aux articles 5, 13 et 22 RGPD.

Autorités compétentes

Pour le RGPD, l’autorité chef de file est la CNIL (ou l’autorité de contrôle de l’établissement principal). Pour l’AI Act, l’autorité de surveillance du marché (en France, la CNIL est désignée comme autorité notifiante pour les systèmes d’IA à risque élevé). Un guichet unique numérique a été mis en place en janvier 2026 pour les déclarations de conformité.

7. Jurisprudence récente et interprétations officielles (2026)

Plusieurs décisions marquent l’année 2026 :

• CJUE, 12 février 2026, aff. C-87/25 : L’utilisation d’un système de reconnaissance faciale en temps réel dans un espace public est interdite (art. 5 AI Act), sauf dérogation stricte (sécurité nationale). Le RGPD impose en outre une base légale spécifique (art. 6 + 9).
• Conseil d’État français, 15 mars 2026, n° 478965 : Validation du décret désignant la CNIL comme autorité compétente pour contrôler les systèmes d’IA à risque élevé dans le secteur public. La décision rappelle que l’AIPD et l’AFIA doivent être accessibles au public.
• EDPB, lignes directrices 2/2026 : Interaction entre l’article 22 RGPD et l’article 50 AI Act. Toute décision automatisée reposant sur une IA doit être notifiée explicitement, avec un droit d’obtenir une explication significative.

Me Nadia Khelil — « La jurisprudence 2026 confirme que les juges appliquent les deux textes de manière convergente. Un manquement à l’AI Act est souvent accompagné d’une violation RGPD. La double sanction est devenue la norme. »

8. Synthèse et recommandations pratiques

Ce réglementation intelligence artificielle comparatif démontre que l’EU AI Act et le RGPD forment un système cohérent mais exigeant. Les points de convergence l’emportent sur les divergences : transparence, évaluation des risques, documentation, droits des personnes. Les divergences résident dans les définitions, les seuils de sanction et les autorités compétentes, mais une approche intégrée est non seulement possible mais recommandée.

Pour les entreprises et les administrations, voici les actions prioritaires en 2026 :

• Cartographier tous les systèmes d’IA et les traitements de données associés.
• Réaliser une double analyse d’impact (AIPD + AFIA) pour les systèmes à risque élevé.
• Mettre à jour les mentions d’information (politique de confidentialité, mentions IA).
• Désigner un interlocuteur unique (DPO/RIA) et former les équipes.
• Suivre les lignes directrices de l’EDPB et du Bureau de l’IA.