L'AI Act et le RGPD ne traitent pas le même sujet : le RGPD protège les données personnelles, l'AI Act encadre les systèmes d'intelligence artificielle. Les deux textes s'appliquent en même temps dès que votre IA touche à des données de clients, de salariés ou de prospects. Pour une PME, la vraie question n'est pas de choisir l'un ou l'autre, mais de faire tenir les deux dans une seule démarche de conformité.
Lire le guide complet
AI Act 2026 : le guide de conformité complet pour PME et associations
Répondez à quelques questions et obtenez un diagnostic personnalisé avec des recommandations adaptées à votre secteur.
Évaluer ma maturité IAArticles liés
Approfondissez le sujet avec ces articles complémentaires.
L'AI Act (règlement UE 2024/1689) s'applique à votre PME ou association dès que vous utilisez un outil d'IA, même un simple abonnement ChatGPT. Depuis février 2025, vous devez former vos équipes ; le 2 août 2026, les obligations de transparence et le régime de sanctions entrent en application.
L'AI Act et le RGPD ne traitent pas le même sujet : le RGPD protège les données personnelles, l'AI Act encadre les systèmes d'intelligence artificielle. Les deux textes s'appliquent en même temps dès que votre IA touche à des données de clients, de salariés ou de prospects. Pour une PME, la vraie question n'est donc pas de choisir l'un ou l'autre, mais de faire tenir les deux dans une seule démarche de conformité. Ce comparatif reprend les différences concrètes, les points de recouvrement et ce que vous devez faire en pratique. Pour la vue d'ensemble, appuyez-vous sur notre guide complet de l'AI Act pour PME.
Le RGPD protège les personnes à travers leurs données ; l'AI Act protège les personnes à travers les systèmes d'IA. Le RGPD, c'est le règlement UE 2016/679, en vigueur depuis mai 2018. Il s'applique dès qu'une donnée permet d'identifier quelqu'un, directement ou indirectement : un nom, un email, un numéro client, une adresse IP. Son périmètre est le traitement de données personnelles, quel que soit l'outil utilisé.
L'AI Act, c'est le règlement UE 2024/1689, entré en vigueur le 1er août 2024. Il ne parle pas de données mais de systèmes d'IA, qu'il classe par niveau de risque : interdit, haut risque, risque limité (obligation de transparence), risque minimal. Un système peut relever de l'AI Act même sans données personnelles, par exemple un modèle qui note des dossiers uniquement à partir de données techniques anonymes.
En clair : le RGPD regarde ce que vous faites des données, l'AI Act regarde ce que fait le système et le danger qu'il représente pour les droits des personnes.
Dès qu'un système d'IA traite des données personnelles, RGPD et AI Act se cumulent. C'est le cas le plus fréquent en PME : un outil de tri de CV, un chatbot qui répond aux clients, un logiciel de scoring commercial. Vous devez alors respecter les deux régimes, pas arbitrer entre eux.
Un exemple parlant : vous voulez entraîner ou affiner un modèle sur vos échanges clients. Côté RGPD, cet entraînement est un traitement, il vous faut une base légale (intérêt légitime, consentement, contrat), une information des personnes et une durée de conservation. Côté AI Act, il faut vérifier la catégorie de risque du système, documenter son fonctionnement et prévoir une supervision humaine si le cas d'usage le justifie. Les deux obligations coexistent sur le même projet.
C'est aussi vrai pour l'IA générative grand public. Utiliser ChatGPT ou Claude avec des données clients déclenche le RGPD (transfert et traitement de données), pendant que l'AI Act impose ses obligations de transparence sur les contenus générés. Pour savoir précisément qui porte quelle obligation dans la chaîne, consultez notre article sur qui est concerné par l'AI Act.
Le tableau ci-dessous résume les écarts qui comptent pour une PME.
| Critère | RGPD (UE 2016/679) | AI Act (UE 2024/1689) |
|---|---|---|
| Objet protégé | Les données personnelles | Les systèmes d'IA et leurs effets |
| Déclencheur | Traiter une donnée identifiante | Développer, fournir ou utiliser un système d'IA |
| Logique | Une seule obligation, quel que soit le risque | Obligations graduées selon le niveau de risque |
| Document clé | Registre des traitements, AIPD | Registre des IA, documentation technique |
| Autorité en France | La CNIL | La CNIL (autorité désignée pour l'IA), en lien avec l'AI Office européen |
| En vigueur depuis | Mai 2018 | 1er août 2024, application par étapes jusqu'en 2028 |
| Sanction maximale | 20 M€ ou 4 % du CA mondial | 35 M€ ou 7 % du CA mondial |
Les deux textes partagent une même philosophie : documenter, tracer, garder l'humain dans la boucle. Beaucoup d'entreprises découvrent que leur travail RGPD leur donne une longueur d'avance sur l'AI Act.
Le point de recouvrement le plus utile est l'analyse d'impact, que vous pouvez largement mutualiser. Le RGPD impose une analyse d'impact relative à la protection des données (AIPD, article 35) quand un traitement présente un risque élevé pour les personnes. L'AI Act, lui, prévoit à son article 27 une analyse d'impact sur les droits fondamentaux pour certains systèmes à haut risque.
Ces deux exercices ne se confondent pas, mais ils s'alimentent. La cartographie des données, l'évaluation des risques et la description des mesures de protection sont largement communes. Une PME bien organisée mène une seule démarche documentaire qui répond aux deux besoins, plutôt que deux projets parallèles. Vous gagnez du temps et vous évitez les contradictions entre documents.
Autre zone commune : la supervision humaine. Le RGPD encadre la décision entièrement automatisée (article 22), l'AI Act exige une supervision humaine sur les systèmes à haut risque. Concrètement, vous devez pouvoir dire qui contrôle la machine, comment, et à quel moment un humain peut reprendre la main. Si votre cas d'usage relève du haut risque, notre article sur les systèmes d'IA à haut risque détaille ces obligations.
Le RGPD s'applique déjà en totalité ; l'AI Act arrive par vagues, dont certaines ont été repoussées en 2026. Voici les jalons à retenir :
Ce report du haut risque ne veut pas dire que vous pouvez attendre. La formation reste due depuis 2025, et le RGPD n'a jamais bougé. Pour le détail des dates, notre calendrier complet de l'AI Act est tenu à jour, tout comme l'obligation de formation de l'article 4.
L'AI Act frappe plus fort que le RGPD sur les manquements les plus graves. Le RGPD plafonne ses amendes à 20 M€ ou 4 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. L'AI Act monte à 35 M€ ou 7 % pour l'usage d'une pratique interdite, et prévoit 15 M€ ou 3 % pour les autres manquements.
Un même incident peut d'ailleurs relever des deux régimes. Un système de notation client illégal et alimenté sans base légale peut vous exposer à la fois à une sanction RGPD (le traitement) et à une sanction AI Act (le système). Les autorités ne partagent pas la même grille, mais elles peuvent regarder le même dossier. Le détail des montants et des cas figure dans notre article sur les sanctions de l'AI Act.
Une conformité intégrée tient en quelques chantiers, à mener une seule fois pour les deux textes. Voici l'ordre qui fonctionne le mieux en pratique :
Cette approche évite le piège classique : traiter l'AI Act comme un projet neuf alors que 60 à 70 % du travail recoupe ce que vous avez déjà fait pour le RGPD.
L'AI Act remplace-t-il le RGPD ? Non. Les deux règlements coexistent. Le RGPD reste la référence pour toute donnée personnelle, l'AI Act ajoute une couche propre aux systèmes d'IA. Quand votre IA traite des données, les deux s'appliquent ensemble.
Ma PME est-elle concernée par l'AI Act si elle utilise seulement ChatGPT ? Oui, en tant qu'utilisateur (déployeur) d'un système d'IA. Vos obligations sont plus légères que celles d'un fournisseur, mais la formation de vos équipes et la transparence vis-à-vis de vos clients s'appliquent, en plus du RGPD sur les données saisies.
Puis-je réutiliser mon AIPD pour l'AI Act ? En grande partie. L'analyse d'impact sur les droits fondamentaux de l'article 27 partage beaucoup avec l'AIPD de l'article 35 du RGPD. Vous ne repartez pas de zéro : vous complétez le volet propre aux droits fondamentaux et au fonctionnement du système.
Quelle autorité contrôle quoi en France ? La CNIL supervise le RGPD et a été désignée comme l'une des autorités compétentes pour l'IA. Elle travaille avec l'AI Office européen sur les modèles à usage général. Un dossier peut donc concerner les deux régimes devant le même interlocuteur.
Le report du haut risque à décembre 2027 me laisse-t-il tranquille ? Non. Seule l'échéance des systèmes à haut risque de l'annexe III a bougé. Les pratiques interdites, l'obligation de formation et le RGPD restent pleinement en vigueur. Le report est un délai pour les cas les plus lourds, pas une pause générale.
Combien coûte une mise en conformité croisée pour une PME ? Cela dépend du nombre de systèmes et de la sensibilité des données. Une PME qui a déjà un socle RGPD solide traite surtout un travail de cartographie et de classification, souvent réalisable en quelques semaines avec un accompagnement ciblé.
Chez GrowthPerf, nous traitons l'AI Act et le RGPD comme une seule démarche, pas comme deux projets. Nous cartographions vos systèmes d'IA et vos traitements, nous classons les risques, et nous formons vos équipes à un usage conforme des outils d'IA, ce que l'article 4 de l'AI Act rend obligatoire. Notre formation IA en entreprise est certifiée Qualiopi et finançable, et nos audits partent de ce que vous avez déjà mis en place pour le RGPD afin d'éviter le travail en double. Pour la vision d'ensemble du cadre, revenez au guide complet de l'AI Act pour PME.
Vous voulez savoir où en est votre double conformité ? Réservez un audit croisé AI Act et RGPD de 30 minutes, gratuit et sans engagement.