RIA et RGPD : deux conformités, un seul dossier

Les entreprises qui abordent le règlement européen sur l'intelligence artificielle posent presque toutes la même question : que reste-t-il à faire quand on est déjà conforme au RGPD ? La réponse tient en une articulation. Les deux textes poursuivent des objets distincts, protection des données personnelles pour l'un, sécurité et droits fondamentaux face aux systèmes d'IA pour l'autre, mais se recouvrent sur le terrain : mêmes projets, mêmes équipes, mêmes documentations. Neuvième volet de notre série « Comprendre le RIA », cet article de fond propose une méthode pour construire un dossier unique plutôt que deux conformités parallèles.

L'essentiel en 30 secondes. Le RIA s'applique sans préjudice du RGPD : les deux régimes se cumulent dès qu'un système d'IA traite des données personnelles, ce qui est le cas le plus fréquent. Les points de contact sont nombreux : gouvernance des données d'entraînement, information des personnes, supervision des décisions automatisées, analyses d'impact, sécurité. La méthode efficace consiste à bâtir un registre unique des systèmes d'IA adossé au registre des traitements, à articuler AIPD et analyse d'impact sur les droits fondamentaux, et à faire travailler ensemble DPO et responsable produit. En France, la CNIL est au cœur du dispositif de surveillance, ce qui renforce l'intérêt d'une approche unifiée.

Deux logiques différentes, un terrain commun

Le RGPD protège les personnes physiques à l'égard du traitement de leurs données : il s'applique à tout traitement, avec ou sans IA. Le RIA encadre les systèmes d'IA en fonction de leur risque : il s'applique avec ou sans données personnelles. Le recouvrement naît de la pratique : un système de tri de candidatures, de scoring de crédit ou de recommandation traite massivement des données personnelles et relève simultanément des deux textes. Le RIA le précise expressément : il s'applique sans préjudice du droit de l'Union en matière de protection des données, et les personnes concernées conservent tous leurs droits RGPD.

Cette dualité a une conséquence directe : la conformité RGPD ne vaut pas conformité RIA, et réciproquement. Un traitement licite au sens du RGPD peut porter sur un système interdit par l'article 5 du RIA. Un système d'IA parfaitement documenté au sens du RIA peut manquer de base légale pour ses traitements. Les deux analyses doivent être menées, mais rien n'oblige à les mener séparément.

Les points de contact : où les deux textes se répondent

La gouvernance des données offre le premier recouvrement. L'article 10 du RIA impose des exigences de qualité, de pertinence et de représentativité aux données d'entraînement des systèmes à haut risque, avec examen des biais ; le RGPD impose de son côté minimisation, exactitude et licéité. Le RIA autorise, à des conditions strictes, le traitement de catégories particulières de données lorsqu'il est strictement nécessaire à la détection et à la correction des biais : une passerelle explicite entre les deux régimes, qui se documente avec soin.

L'information des personnes forme le deuxième recouvrement. Transparence RGPD (articles 13 et 14), information des personnes exposées à un système à haut risque, mentions de l'article 50 pour les systèmes conversationnels et contenus générés : ces couches se superposent dans les mêmes interfaces et les mêmes politiques. Une cartographie des mentions évite les redondances et les contradictions.

Les décisions automatisées constituent le troisième point de contact, le plus sensible. L'article 22 du RGPD encadre les décisions entièrement automatisées produisant des effets juridiques ; le RIA ajoute la supervision humaine effective (article 14), les obligations du déployeur (article 26) et le droit à l'explication des décisions individuelles fondées sur un système à haut risque. Un processus de recrutement ou d'octroi de crédit doit satisfaire simultanément ces exigences : intervention humaine réelle et compétente, circuits d'explication, traçabilité des décisions. La jurisprudence européenne sur l'article 22, qui retient une lecture extensive de la notion de décision automatisée, renforce l'enjeu.

La sécurité enfin : l'article 32 du RGPD et l'article 15 du RIA convergent vers des mesures techniques proportionnées, que les référentiels de cybersécurité permettent de couvrir d'un même geste.

Articuler AIPD et analyse d'impact sur les droits fondamentaux

L'analyse d'impact relative à la protection des données (AIPD) du RGPD est requise pour les traitements à risque élevé, ce qui inclut la plupart des déploiements de systèmes d'IA à haut risque. L'analyse d'impact sur les droits fondamentaux de l'article 27 du RIA vise certains déployeurs : organismes publics, services publics, scoring de crédit, tarification en assurance vie et santé. Le RIA prévoit lui-même l'articulation : si l'une des obligations est déjà remplie par l'AIPD, l'analyse de l'article 27 vient la compléter.

La méthode pratique en découle. Construire un canevas unique : description du système et des traitements, finalités et destination, catégories de personnes et de données, risques pour les droits et libertés (RGPD) et pour les droits fondamentaux (RIA), mesures de maîtrise, supervision humaine, mesures en cas de matérialisation des risques. Mener l'exercice une fois, en équipe mixte, et générer les deux livrables depuis la même matrice. Cette approche réduit le coût de conformité et, surtout, produit une analyse cohérente : rien ne fragilise plus un dossier qu'une AIPD et une analyse RIA qui décrivent différemment le même système.

Organiser la gouvernance : DPO, produit et juridique autour d'un registre unique

L'expérience du RGPD a montré que la conformité vit ou meurt par sa gouvernance. Pour l'IA, la brique centrale est un registre des systèmes d'IA : inventaire des systèmes développés, intégrés et utilisés, qualification de chacun (définition, rôle, niveau de risque), renvois vers les documentations. Adossé au registre des traitements RGPD, il donne une vue unifiée que demandent désormais investisseurs et grands comptes.

Côté organisation, le DPO est le point d'appui naturel : il connaît les traitements, les analyses d'impact et les circuits d'information. Mais le RIA déborde son périmètre, vers l'ingénierie (gestion des risques, journalisation, robustesse) et le produit (supervision humaine, interfaces de transparence). La gouvernance efficace associe DPO, responsable produit et conseil juridique autour de processus communs : revue de conformité à chaque évolution significative, qualification des nouveaux outils avant achat, circuit unique de gestion des incidents, données personnelles et incidents graves RIA confondus.

En France, la CNIL a été désignée au cœur du dispositif de surveillance du RIA, aux côtés d'autres autorités sectorielles. Ce choix conforte la stratégie du dossier unique : l'autorité qui contrôlera vos systèmes d'IA est celle qui connaît déjà vos traitements. Ses recommandations sur l'IA, publiées régulièrement depuis 2024, constituent une référence opérationnelle pour anticiper ses attentes.

Le dossier unique comme actif

Traiter le RIA comme une extension outillée de votre conformité RGPD plutôt que comme un chantier autonome divise les coûts et multiplie la valeur. Le dossier unique, registre, analyses articulées, mentions cohérentes, gouvernance commune, se présente en due diligence comme la preuve d'une maturité réglementaire globale. Les investisseurs qui ont appris à lire les dossiers RGPD étendent leur grille au RIA ; les grands comptes fusionnent leurs questionnaires. L'entreprise qui répond d'un seul dossier cohérent prend une longueur d'avance sur celle qui juxtapose deux classeurs contradictoires.

Vous voulez étendre votre conformité RGPD au RIA sans dupliquer les efforts ? Le cabinet construit votre registre unique, vos analyses d'impact articulées et votre gouvernance IA. Prendre rendez-vous pour une consultation

Sources

• Règlement (UE) 2024/1689 du 13 juin 2024 (règlement sur l'intelligence artificielle)
• Règlement (UE) 2016/679 du 27 avril 2016 (RGPD)