Trois réglementations, mais deux autorités qui en portent l'essentiel en France — la CNIL et l'ANSSI — et trois logiques de risque distinctes autour d'un même terrain de jeu : la donnée, les systèmes qui la traitent, et l'organisation qui doit en répondre.
DPO et responsable IA : deux rôles, une même logique d'"accountability"
Le RGPD a instauré le Délégué à la Protection des Données (DPO) comme garant de la conformité et interlocuteur privilégié de la CNIL. L'AI Act introduit une figure encore mal maitrisée dans les organisations — le responsable de la conformité IA, parfois rattaché au DPO, parfois distinct — chargé de la conformité des systèmes d'intelligence artificielle vis-à-vis des autorités de surveillance du marché désignées par chaque État membre.
Le principe fondateur est le même dans les deux textes : l'"accountability", c'est-à-dire l'obligation de documenter, tracer et démontrer sa conformité, plutôt que de simplement s'y conformer sur le papier.
Le principe fondateur est le même dans les deux textes : l'"accountability", c'est-à-dire l'obligation de documenter, tracer et démontrer sa conformité, plutôt que de simplement s'y conformer sur le papier.
Des documents miroirs
Cette logique commune se traduit par des obligations documentaires structurellement proches :
- Registre des traitements (RGPD) ↔ Registre des systèmes d'IA (AI Act) : les deux exigent un recensement exhaustif, avec finalité, base légale ou classification de risque, catégories de données traitées, et sous-traitants ou fournisseurs impliqués (hébergeur, éditeur du modèle, prestataire d'intégration).
- AIPD — Analyse d'Impact relative à la Protection des Données ↔ FRIA — Fundamental Rights Impact Assessment : les deux évaluent un impact sur les droits des personnes avant mise en œuvre, mais la FRIA porte spécifiquement sur les systèmes d'IA à haut risque et élargit l'analyse aux droits fondamentaux au sens large (non-discrimination, dignité), au-delà de la seule protection des données.
Ce parallélisme s'explique par la construction de l'AI Act en miroir du RGPD, ce qui permet aux organisations déjà matures sur le RGPD de capitaliser sur leurs processus existants.
Des compétences différentes
Au-delà des documents, la classification des systèmes d'IA (risque inacceptable, élevé, limité, minimal) mobilise des compétences différentes de celles du DPO : elle suppose une compréhension technique du fonctionnement du système — architecture, données d'entraînement, biais potentiels, comportement du modèle en production — plutôt qu'une culture juridique classique.
Cela se retrouve à plusieurs niveaux :
Cela se retrouve à plusieurs niveaux :
- la documentation technique exigée par l'AI Act (fiche technique du système à haut risque, données d'entraînement, mesures de supervision humaine) dépasse le périmètre habituel d'un DPO généraliste ;
- l'évaluation des risques IA requiert des notions de robustesse et de dérive algorithmique relevant davantage d'une expertise data/IA que juridique ;
- et la formation des équipes doit désormais couvrir deux types de compétences distinctes — la culture juridique des droits des personnes concernées d'un côté, la compréhension technique des systèmes d'IA de l'autre — qui ne s'acquièrent pas auprès des mêmes profils.
DPO et RSSI : une dimension complémentaire
NIS2 n'ajoute pas un sujet étranger au RGPD et à l'AI Act : elle renforce des exigences de sécurité qui existaient déjà dans les deux autres textes.
- Le RGPD impose des mesures de sécurité proportionnées au risque pour protéger les données ;
- l'AI Act impose des mesures de robustesse et de cybersécurité pour les systèmes d'IA à haut risque ;
- NIS2 généralise et accentue les exigences de sécurité à l'ensemble de l'infrastructure et de la chaîne d'approvisionnement numérique, avec un niveau de granularité et de contrôle plus élevé.
Les trois textes partagent ainsi une même approche méthodologique et des principes communs — gouvernance, sécurité, documentation, formation — au-delà du seul tronc commun de mesures de protection (chiffrement, contrôle d'accès, gestion des vulnérabilités, plans de continuité).
Une méthodologie commune
NIS2 s'appuie typiquement sur une méthodologie de type EBIOS Risk Manager, structurée en trois temps :
- recensement des actifs essentiels,
- évaluation des risques par scénarios de menace,
- et traitement par des mesures proportionnées.
Cette méthode est structurellement identique à celle de l'AIPD et de la FRIA — même logique d'identification puis de traitement du risque — à ceci près que l'unité d'analyse change : ce n'est plus la personne concernée ou le droit fondamental, mais l'actif informatique et sa criticité pour l'activité.
C'est sur ce terrain commun que RGPD, AI Act et NIS2 gagnent à converger : cartographie des risques documentée et mise à jour, indicateurs de performance de la conformité — un chantier déjà engagé côté RGPD mais à construire de façon transversale — et une documentation structurée plutôt que des silos disjoints par réglementation.
C'est sur ce terrain commun que RGPD, AI Act et NIS2 gagnent à converger : cartographie des risques documentée et mise à jour, indicateurs de performance de la conformité — un chantier déjà engagé côté RGPD mais à construire de façon transversale — et une documentation structurée plutôt que des silos disjoints par réglementation.
Des compétences plus techniques
Piloter cette cartographie suppose toutefois une expertise propre au RSSI : analyse des vulnérabilités techniques, connaissance de l'architecture réseau et des dispositifs de continuité d'activité — un socle de compétences distinct de la culture juridique du DPO et de l'expertise data/modèle du responsable IA.
Une coordination indispensable
La coordination entre DPO, responsable IA et RSSI est la clé d'une démarche de conformité efficace — et elle devient plus indispensable encore sur le terrain des incidents, où chaque minute compte.
Un même incident déclenche en effet souvent plusieurs obligations à la fois : une faille de sécurité touchant à la fois des données personnelles et un système d'IA relève potentiellement des trois textes, mais chacun impose sa propre procédure — notification à la CNIL sous 72h pour une violation de données (RGPD), signalement des dysfonctionnements graves des systèmes à haut risque aux autorités compétentes (AI Act), notification en plusieurs temps — alerte sous 24h, notification sous 72h, rapport final sous un mois — pour tout incident significatif (NIS2). Le déclencheur est souvent le même, mais les autorités, délais et modalités diffèrent selon le texte concerné.
Le Digital Omnibus, en cours de discussion au niveau européen, répond justement à cette difficulté : il prévoit un guichet unique de signalement (RGPD et NIS2), un seuil RGPD relevé aux violations à haut risque et un délai étendu de 72 à 96 heures — celui de 24h propre à NIS2 restant inchangé. Le texte n'est pas encore adopté, mais il confirme la tendance à converger vers une procédure de qualification initiale unique.
En attendant cette harmonisation, la coordination reste entre les mains des équipes — instances communes de pilotage des risques, cartographies partagées, plans d'action alignés — non pas une fusion des rôles, mais une coordination structurée, gage d'efficacité et de gain de temps.
Un même incident déclenche en effet souvent plusieurs obligations à la fois : une faille de sécurité touchant à la fois des données personnelles et un système d'IA relève potentiellement des trois textes, mais chacun impose sa propre procédure — notification à la CNIL sous 72h pour une violation de données (RGPD), signalement des dysfonctionnements graves des systèmes à haut risque aux autorités compétentes (AI Act), notification en plusieurs temps — alerte sous 24h, notification sous 72h, rapport final sous un mois — pour tout incident significatif (NIS2). Le déclencheur est souvent le même, mais les autorités, délais et modalités diffèrent selon le texte concerné.
Le Digital Omnibus, en cours de discussion au niveau européen, répond justement à cette difficulté : il prévoit un guichet unique de signalement (RGPD et NIS2), un seuil RGPD relevé aux violations à haut risque et un délai étendu de 72 à 96 heures — celui de 24h propre à NIS2 restant inchangé. Le texte n'est pas encore adopté, mais il confirme la tendance à converger vers une procédure de qualification initiale unique.
En attendant cette harmonisation, la coordination reste entre les mains des équipes — instances communes de pilotage des risques, cartographies partagées, plans d'action alignés — non pas une fusion des rôles, mais une coordination structurée, gage d'efficacité et de gain de temps.
C'est exactement l'approche que porte RGPD Pilot : une plateforme unique de pilotage de la conformité RGPD, AI Act et NIS2, centralisant diagnostic, plans d'action, registres (traitements, systèmes d'IA...), AIPD, cartographie des risques, documentation et suivi des incidents avec une méthodologie commune et une capitalisation des travaux réalisés — tout en laissant à chaque expert la maîtrise de son périmètre.