DPIA et évaluation d'impact IA : comment les articuler avec l'AI Act
Depuis l'entrée en application de l'AI Act, une question revient systématiquement dans les comités de conformité : faut-il mener une DPIA et une évaluation d'impact IA, ou peut-on tout regrouper dans un seul document ? La réponse courte : cela dépend du système, de son niveau de risque et des données traitées. La réponse utile, c'est ce qui suit.
DPIA et évaluation d'impact IA : deux logiques distinctes
La DPIA (Data Protection Impact Assessment) est une obligation RGPD définie à l'article 35. Elle s'impose dès qu'un traitement est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes physiques. Son périmètre est centré sur la protection des données personnelles : finalité du traitement, base légale, mesures techniques et organisationnelles, droits des personnes.
L'évaluation d'impact IA imposée par l'AI Act répond à une logique différente. Elle porte sur les risques systémiques du système d'IA lui-même : biais algorithmiques, opacité du modèle, sécurité des sorties, impact sur l'autonomie humaine. Pour les systèmes à haut risque (Annexe III de l'AI Act), cette évaluation fait partie intégrante de la conformité technique et documentaire exigée avant mise sur le marché ou mise en service.
Ce que l'AI Act ajoute concrètement au RGPD
- Périmètre élargi : l'AI Act couvre des risques non-RGPD — fiabilité du modèle, robustesse, discrimination indirecte sans traitement de données personnelles.
- Acteurs élargis : fournisseurs, déployeurs et importateurs sont tous concernés, là où la DPIA ne vise que les responsables de traitement et sous-traitants.
- Documentation technique spécifique : dossier technique, journaux d'événements automatiques, notice d'utilisation — sans équivalent direct dans le RGPD.
- Surveillance post-déploiement : l'AI Act impose un suivi continu après mise en service, ce que la DPIA ne prévoit pas formellement.
Quand fusionner les deux évaluations ?
La fusion est pertinente — et recommandée par le Comité européen de la protection des données (CEPD) dans ses lignes directrices de 2024 — lorsque trois conditions sont réunies :
- Le système d'IA traite des données personnelles à grande échelle ou des catégories particulières.
- Il relève des systèmes à haut risque de l'Annexe III de l'AI Act (recrutement, crédit, contrôle d'accès, enseignement, etc.).
- Le même responsable pilote à la fois la conformité RGPD et la mise en conformité AI Act.
Exemple concret : un outil de scoring RH basé sur l'IA qui analyse des CV et prédit l'adéquation au poste. Il traite des données personnelles (identité, parcours) et figure explicitement dans l'Annexe III. Une évaluation d'impact fusionnée permet d'éviter la duplication de l'analyse des risques, tout en respectant les deux référentiels.
Quand les maintenir séparées ?
La séparation s'impose lorsque :
- Le système d'IA n'implique pas de traitement de données personnelles (ex. : IA de maintenance prédictive sur des capteurs industriels anonymes).
- Le périmètre organisationnel diffère — le DPO pilote la DPIA, une équipe technique différente gère la conformité AI Act.
- Les calendriers réglementaires sont décalés : la DPIA peut être requise immédiatement, tandis que l'obligation AI Act s'applique à partir d'août 2026 pour les systèmes à haut risque.
Comment articuler les deux évaluations en pratique
Une structure documentaire à deux niveaux
La meilleure pratique consiste à bâtir un document socle commun couvrant la description du système, les parties prenantes, les flux de données et le contexte d'usage — puis à dériver deux annexes spécialisées : l'une RGPD (analyse de risque vie privée, droits des personnes, base légale), l'autre AI Act (analyse de risque IA, tests de robustesse, mesures de supervision humaine).
Cette architecture évite la redondance tout en permettant à chaque évaluation d'être produite indépendamment si nécessaire — notamment en cas de contrôle de la CNIL ou d'audit par une autorité de surveillance AI Act.
Les points de convergence à exploiter
- Cartographie des données : commune aux deux évaluations, elle constitue le point d'entrée naturel.
- Analyse des biais : un biais algorithmique sur un critère protégé (origine, genre) est à la fois un risque RGPD (discrimination) et un risque AI Act (non-conformité technique).
- Supervision humaine : l'article 35 RGPD exige de limiter les décisions entièrement automatisées ; l'AI Act impose un contrôle humain effectif sur les systèmes à haut risque. Les mesures peuvent être mutualisées.
Le rôle clé du DPO dans le dispositif AI Act
L'AI Act ne crée pas d'équivalent au DPO, mais plusieurs articles (notamment l'article 26 sur les déployeurs) impliquent une gouvernance interne que le DPO est naturellement positionné pour coordonner. Dans les organisations disposant d'un DPO expérimenté, il est logique de lui confier la supervision de la conformité IA Act en lien avec le RSSI et les équipes métier — à condition de lui donner les ressources et la formation nécessaires.
Ce que cela change pour les cabinets conseil et auditeurs
Pour les cabinets accompagnant des clients sur la conformité IA, l'articulation DPIA/AI Act représente une opportunité de structurer une offre intégrée. Les clients — notamment PME et ETI — n'ont pas les ressources pour mener deux évaluations parallèles. Une méthodologie unifiée, documentée et reproductible crée de la valeur et réduit le risque de non-conformité résiduelle.
Attention cependant : une évaluation fusionnée mal conçue peut créer une fausse impression de conformité. Chaque référentiel doit être adressé de manière explicite et traçable. Les auditeurs de la CNIL et les autorités de surveillance AI Act travailleront à partir de leurs propres grilles — la lisibilité du document est essentielle.
Synthèse : la checklist de décision
- ✅ Le système traite des données personnelles et figure en Annexe III AI Act → évaluation fusionnée recommandée.
- ✅ Pilotage unifié DPO/conformité IA → évaluation fusionnée facilitée.
- ⚠️ Données personnelles mais système IA à risque limité → DPIA seule, mention IA dans le registre des traitements.
- ⚠️ Système IA à haut risque sans données personnelles → évaluation AI Act seule, pas de DPIA obligatoire.
- ❌ Calendriers ou équipes complètement différents → maintenir deux évaluations distinctes avec une section de cross-référence.
FAQ
La DPIA est-elle obligatoire pour tous les systèmes d'IA ?
Non. La DPIA est obligatoire uniquement si le système d'IA traite des données personnelles et présente un risque élevé au sens de l'article 35 du RGPD. Un système d'IA opérant sur des données anonymes n'y est pas soumis, même s'il relève de l'AI Act.
L'AI Act impose-t-il une évaluation d'impact distincte de la DPIA ?
L'AI Act n'utilise pas le terme DPIA mais exige une documentation technique et une analyse des risques pour les systèmes à haut risque. Le CEPD encourage l'intégration de ces exigences dans un document commun lorsque des données personnelles sont impliquées.
À partir de quand les obligations d'évaluation AI Act s'appliquent-elles ?
Les exigences pour les systèmes à haut risque listés en Annexe III s'appliquent à partir d'août 2026. Les systèmes à risque inacceptable sont interdits depuis février 2025. Les obligations de gouvernance interne (politiques d'utilisation IA) s'appliquent depuis août 2025.
Qui doit piloter l'évaluation d'impact IA dans une organisation ?
L'AI Act désigne le déployeur comme responsable de la conformité en usage. En pratique, le DPO est souvent le mieux placé pour coordonner l'évaluation en lien avec le RSSI, les équipes techniques et les métiers concernés.
Une évaluation fusionnée DPIA/AI Act est-elle acceptée par la CNIL ?
La CNIL n'a pas encore publié de doctrine spécifique sur ce point, mais elle s'aligne sur les lignes directrices du CEPD qui encouragent l'intégration. La condition est que chaque obligation réglementaire soit explicitement et lisiblement adressée dans le document.