Le RGPD comme socle solide pour aborder ces nouveaux règlements.
Pourquoi ?
La mise en œuvre du RGPD a imposé aux organisations de cartographier leurs traitements de données personnelles, de définir les responsables, d'encadrer leurs sous‑traitants, de mener des analyses de risques (DPIA), de formaliser des mesures de sécurité et de confidentialité, et de mettre en place une gouvernance autour du DPO et des procédures internes.
Où se recoupent-ils ?
- RGPD ⇄ AI Act : L’AI Act impose une approche fondée sur le risque appliqué aux systèmes d’IA : identification des usages à haut risque, documentation des modèles, minimisation et traçabilité des données d’entraînement, mesures de sécurité et transparence vis‑à‑vis des utilisateurs. Beaucoup de ces dispositifs ont déjà été développés pour le RGPD.
- RGPD ⇄ NIS2 : Les politiques de sécurité RGPD constituent une partie intégrante des mesures de sécurité NIS2. Le registre incidents de données RGPD peut être également unifié ou enrichi afin de couvrir aussi les exigences NIS2 (atteinte à la disponibilité des services, compromission de systèmes).
Une approche pragmatique
Plutôt que de gérer trois chantiers isolés, il est plus efficace de construire un référentiel de conformité unique : plan d'action unifié, registre des traitements et des systèmes, cartographie des risques partagée, procédure de gestion des incidents couvrant à la fois les violations de données et les incidents de sécurité.
C'est cette logique transversale qui permet de tenir la conformité dans la durée, sans multiplier les outils et la documentation.