AI Act vs RGPD : quelles différences pour votre PME ?
L'AI Act et le RGPD ne traitent pas le même sujet : le RGPD protège les données personnelles, l'AI Act encadre les systèmes d'intelligence artificielle. Les deux textes s'appliquent en même temps dès que votre IA touche à des données de clients, de salariés ou de prospects. Pour une PME, la vraie question n'est donc pas de choisir l'un ou l'autre, mais de faire tenir les deux dans une seule démarche de conformité. Ce comparatif reprend les différences concrètes, les points de recouvrement et ce que vous devez faire en pratique. Pour la vue d'ensemble, appuyez-vous sur notre guide complet de l'AI Act pour PME.
AI Act et RGPD ne protègent pas la même chose
Le RGPD protège les personnes à travers leurs données ; l'AI Act protège les personnes à travers les systèmes d'IA. Le RGPD, c'est le règlement UE 2016/679, en vigueur depuis mai 2018. Il s'applique dès qu'une donnée permet d'identifier quelqu'un, directement ou indirectement : un nom, un email, un numéro client, une adresse IP. Son périmètre est le traitement de données personnelles, quel que soit l'outil utilisé.
L'AI Act, c'est le règlement UE 2024/1689, entré en vigueur le 1er août 2024. Il ne parle pas de données mais de systèmes d'IA, qu'il classe par niveau de risque : interdit, haut risque, risque limité (obligation de transparence), risque minimal. Un système peut relever de l'AI Act même sans données personnelles, par exemple un modèle qui note des dossiers uniquement à partir de données techniques anonymes.
En clair : le RGPD regarde ce que vous faites des données, l'AI Act regarde ce que fait le système et le danger qu'il représente pour les droits des personnes.
Les deux textes s'appliquent en même temps, pas l'un à la place de l'autre
Dès qu'un système d'IA traite des données personnelles, RGPD et AI Act se cumulent. C'est le cas le plus fréquent en PME : un outil de tri de CV, un chatbot qui répond aux clients, un logiciel de scoring commercial. Vous devez alors respecter les deux régimes, pas arbitrer entre eux.
Un exemple parlant : vous voulez entraîner ou affiner un modèle sur vos échanges clients. Côté RGPD, cet entraînement est un traitement, il vous faut une base légale (intérêt légitime, consentement, contrat), une information des personnes et une durée de conservation. Côté AI Act, il faut vérifier la catégorie de risque du système, documenter son fonctionnement et prévoir une supervision humaine si le cas d'usage le justifie. Les deux obligations coexistent sur le même projet.
C'est aussi vrai pour l'IA générative grand public. Utiliser ChatGPT ou Claude avec des données clients déclenche le RGPD (transfert et traitement de données), pendant que l'AI Act impose ses obligations de transparence sur les contenus générés. Pour savoir précisément qui porte quelle obligation dans la chaîne, consultez notre article sur qui est concerné par l'AI Act.
Tableau comparatif : AI Act vs RGPD
Le tableau ci-dessous résume les écarts qui comptent pour une PME.
| Critère | RGPD (UE 2016/679) | AI Act (UE 2024/1689) |
|---|---|---|
| Objet protégé | Les données personnelles | Les systèmes d'IA et leurs effets |
| Déclencheur | Traiter une donnée identifiante | Développer, fournir ou utiliser un système d'IA |
| Logique | Une seule obligation, quel que soit le risque | Obligations graduées selon le niveau de risque |
| Document clé | Registre des traitements, AIPD | Registre des IA, documentation technique |
| Autorité en France | La CNIL | La CNIL (autorité désignée pour l'IA), en lien avec l'AI Office européen |
| En vigueur depuis | Mai 2018 | 1er août 2024, application par étapes jusqu'en 2028 |
| Sanction maximale | 20 M€ ou 4 % du CA mondial | 35 M€ ou 7 % du CA mondial |
Les deux textes partagent une même philosophie : documenter, tracer, garder l'humain dans la boucle. Beaucoup d'entreprises découvrent que leur travail RGPD leur donne une longueur d'avance sur l'AI Act.
Là où AI Act et RGPD se recouvrent : l'analyse d'impact
Le point de recouvrement le plus utile est l'analyse d'impact, que vous pouvez largement mutualiser. Le RGPD impose une analyse d'impact relative à la protection des données (AIPD, article 35) quand un traitement présente un risque élevé pour les personnes. L'AI Act, lui, prévoit à son article 27 une analyse d'impact sur les droits fondamentaux pour certains systèmes à haut risque.
Ces deux exercices ne se confondent pas, mais ils s'alimentent. La cartographie des données, l'évaluation des risques et la description des mesures de protection sont largement communes. Une PME bien organisée mène une seule démarche documentaire qui répond aux deux besoins, plutôt que deux projets parallèles. Vous gagnez du temps et vous évitez les contradictions entre documents.
Autre zone commune : la supervision humaine. Le RGPD encadre la décision entièrement automatisée (article 22), l'AI Act exige une supervision humaine sur les systèmes à haut risque. Concrètement, vous devez pouvoir dire qui contrôle la machine, comment, et à quel moment un humain peut reprendre la main. Si votre cas d'usage relève du haut risque, notre article sur les systèmes d'IA à haut risque détaille ces obligations.
Le calendrier : le RGPD est en place, l'AI Act se déploie par étapes
Le RGPD s'applique déjà en totalité ; l'AI Act arrive par vagues, dont certaines ont été repoussées en 2026. Voici les jalons à retenir :
- Pratiques interdites (article 5) : applicables depuis le 2 février 2025.
- Obligation de littératie et de formation IA (article 4) : applicable depuis le 2 février 2025.
- Obligations des modèles d'IA à usage général : applicables depuis le 2 août 2025.
- Systèmes à haut risque de l'annexe III : le règlement UE 2026/1744, dit Digital Omnibus sur l'IA, publié au Journal officiel le 24 juillet 2026, a reporté l'échéance du 2 août 2026 au 2 décembre 2027.
- IA intégrée à des produits déjà régis par la sécurité produit (annexe I) : échéance repoussée au 2 août 2028.
- Transparence sur les contenus générés (article 50) : application décalée au 2 décembre 2026 pour les systèmes déjà sur le marché.
Ce report du haut risque ne veut pas dire que vous pouvez attendre. La formation reste due depuis 2025, et le RGPD n'a jamais bougé. Pour le détail des dates, notre calendrier complet de l'AI Act est tenu à jour, tout comme l'obligation de formation de l'article 4.
Les sanctions ne se calculent pas de la même façon
L'AI Act frappe plus fort que le RGPD sur les manquements les plus graves. Le RGPD plafonne ses amendes à 20 M€ ou 4 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. L'AI Act monte à 35 M€ ou 7 % pour l'usage d'une pratique interdite, et prévoit 15 M€ ou 3 % pour les autres manquements.
Un même incident peut d'ailleurs relever des deux régimes. Un système de notation client illégal et alimenté sans base légale peut vous exposer à la fois à une sanction RGPD (le traitement) et à une sanction AI Act (le système). Les autorités ne partagent pas la même grille, mais elles peuvent regarder le même dossier. Le détail des montants et des cas figure dans notre article sur les sanctions de l'AI Act.
Ce qu'une PME doit faire concrètement
Une conformité intégrée tient en quelques chantiers, à mener une seule fois pour les deux textes. Voici l'ordre qui fonctionne le mieux en pratique :
- Recenser vos IA et vos traitements : listez chaque outil d'IA utilisé et, pour chacun, les données personnelles concernées. Ce recensement croisé sert de socle aux deux registres.
- Classer le risque : pour chaque système, déterminez sa catégorie AI Act (interdit, haut risque, transparence, minimal) et son niveau de risque RGPD.
- Documenter une seule fois : montez une analyse d'impact unique quand elle est requise, qui couvre données et droits fondamentaux.
- Cadrer les outils grand public : posez des règles claires sur ChatGPT, Claude ou Copilot, notamment sur les données que vos équipes ont le droit d'y saisir.
- Former les équipes : l'article 4 de l'AI Act rend la littératie IA obligatoire, et une équipe formée fait moins d'erreurs RGPD.
Cette approche évite le piège classique : traiter l'AI Act comme un projet neuf alors que 60 à 70 % du travail recoupe ce que vous avez déjà fait pour le RGPD.
Questions fréquentes
L'AI Act remplace-t-il le RGPD ? Non. Les deux règlements coexistent. Le RGPD reste la référence pour toute donnée personnelle, l'AI Act ajoute une couche propre aux systèmes d'IA. Quand votre IA traite des données, les deux s'appliquent ensemble.
Ma PME est-elle concernée par l'AI Act si elle utilise seulement ChatGPT ? Oui, en tant qu'utilisateur (déployeur) d'un système d'IA. Vos obligations sont plus légères que celles d'un fournisseur, mais la formation de vos équipes et la transparence vis-à-vis de vos clients s'appliquent, en plus du RGPD sur les données saisies.
Puis-je réutiliser mon AIPD pour l'AI Act ? En grande partie. L'analyse d'impact sur les droits fondamentaux de l'article 27 partage beaucoup avec l'AIPD de l'article 35 du RGPD. Vous ne repartez pas de zéro : vous complétez le volet propre aux droits fondamentaux et au fonctionnement du système.
Quelle autorité contrôle quoi en France ? La CNIL supervise le RGPD et a été désignée comme l'une des autorités compétentes pour l'IA. Elle travaille avec l'AI Office européen sur les modèles à usage général. Un dossier peut donc concerner les deux régimes devant le même interlocuteur.
Le report du haut risque à décembre 2027 me laisse-t-il tranquille ? Non. Seule l'échéance des systèmes à haut risque de l'annexe III a bougé. Les pratiques interdites, l'obligation de formation et le RGPD restent pleinement en vigueur. Le report est un délai pour les cas les plus lourds, pas une pause générale.
Combien coûte une mise en conformité croisée pour une PME ? Cela dépend du nombre de systèmes et de la sensibilité des données. Une PME qui a déjà un socle RGPD solide traite surtout un travail de cartographie et de classification, souvent réalisable en quelques semaines avec un accompagnement ciblé.
Comment GrowthPerf vous accompagne
Chez GrowthPerf, nous traitons l'AI Act et le RGPD comme une seule démarche, pas comme deux projets. Nous cartographions vos systèmes d'IA et vos traitements, nous classons les risques, et nous formons vos équipes à un usage conforme des outils d'IA, ce que l'article 4 de l'AI Act rend obligatoire. Notre formation IA en entreprise est certifiée Qualiopi et finançable, et nos audits partent de ce que vous avez déjà mis en place pour le RGPD afin d'éviter le travail en double. Pour la vision d'ensemble du cadre, revenez au guide complet de l'AI Act pour PME.
Vous voulez savoir où en est votre double conformité ? Réservez un audit croisé AI Act et RGPD de 30 minutes, gratuit et sans engagement.