Si votre organisation conçoit, déploie ou utilise de l'IA dans le recrutement, la notation de crédit, les infrastructures critiques ou les contextes frontaliers et répressifs, le 2 août 2026 était une échéance à ne pas manquer. C'est la date à laquelle les obligations du règlement européen sur l'IA visant les systèmes à haut risque sont devenues pleinement applicables — et le RGPD n'est donc plus le seul texte sur les données capable de faire dérailler votre budget conformité.
Pour la première fois, deux régimes de sanctions européens distincts s'appliquent en parallèle à la même activité sous-jacente : le traitement de données à caractère personnel par un système d'IA. Comprendre où ils se recoupent, où ils divergent et où ils peuvent frapper simultanément est la question de conformité du second semestre 2026.
Ce qui a changé le 2 août
Les systèmes d'IA à haut risque — tels que définis à l'annexe III du règlement, couvrant des usages comme le recrutement, l'évaluation de la solvabilité, la gestion d'infrastructures numériques critiques et le contrôle aux frontières — doivent désormais disposer, entre autres, de :
- Un système de gestion des risques maintenu sur tout le cycle de vie du système
- Des normes de gouvernance des données pour les jeux d'entraînement et de validation, y compris la détection des biais
- Une documentation technique suffisamment solide pour résister à un audit réglementaire
- Une journalisation automatique du fonctionnement du système
- Des dispositions de transparence permettant aux déployeurs et aux personnes concernées de comprendre ce que fait le système
- Des mécanismes de contrôle humain permettant d'intervenir ou d'arrêter le système à tout moment
- Des normes d'exactitude, de robustesse et de cybersécurité adaptées à la finalité du système
Les fournisseurs étaient censés avoir achevé les évaluations de conformité, finalisé la documentation technique, apposé le marquage CE et effectué l'enregistrement dans la base de données de l'UE à l'échéance.
Si plusieurs de ces obligations vous semblent familières, c'est normal. Le RGPD imposait déjà des analyses d'impact relatives à la protection des données, une analyse de risque documentée, la transparence envers les personnes concernées et des garanties autour de la décision automatisée. Le règlement IA ne remplace rien de tout cela — il se superpose, avec sa propre base juridique, ses propres exigences documentaires et ses propres amendes.
Où les deux textes se recoupent réellement
Les points de collision les plus nets :
Gouvernance des données. L'article 10 du règlement IA impose une gouvernance des jeux de données d'entraînement et de validation — pertinence, représentativité, détection des biais. Les principes de minimisation et d'exactitude du RGPD (article 5) régissent déjà les données personnelles contenues dans ces mêmes jeux de données. Un jeu d'entraînement défaillant peut désormais constituer une violation des deux cadres à la fois, appréciée selon deux tests différents.
Analyses d'impact. Le RGPD exige une analyse d'impact relative à la protection des données (AIPD) pour les traitements à haut risque. Le règlement IA exige une analyse d'impact sur les droits fondamentaux (AIDF) pour certains déploiements à haut risque, en particulier par des organismes publics et dans des secteurs sensibles. Ce ne sont pas les mêmes documents, mais ils reposent largement sur la même analyse de risque sous-jacente — ce qui signifie qu'une AIPD mal cadrée a maintenant un second texte prêt à rattraper ce qu'elle laisse passer.
Transparence. Les articles 12 à 14 du RGPD imposent une information claire des personnes concernées sur le traitement. Le règlement IA impose séparément aux fournisseurs de fournir aux déployeurs des instructions d'utilisation sûre ainsi que des informations sur l'exactitude et les limites du système, et exige que les personnes soient averties lorsqu'elles interagissent avec un système d'IA. Deux régimes de transparence, deux publics, deux séries d'obligations d'information.
Contrôle humain et décision automatisée. L'article 22 du RGPD encadre les décisions exclusivement automatisées produisant des effets juridiques ou significatifs. L'exigence de contrôle humain du règlement IA est plus large et s'applique que la décision soit ou non « exclusivement » automatisée — autrement dit, un système qui franchit la barre de l'article 22 parce qu'un humain examine formellement les sorties peut malgré tout échouer face à l'exigence plus élevée du règlement IA sur ce qu'est un contrôle effectif.
Le calcul des sanctions
C'est là que cela se durcit. L'article 99 du règlement IA établit une structure à trois niveaux :
- Jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial pour les violations des pratiques interdites (article 5)
- Jusqu'à 15 millions d'euros ou 3 % du chiffre d'affaires pour les manquements relatifs aux systèmes à haut risque
- Jusqu'à 7,5 millions d'euros ou 1 % du chiffre d'affaires pour la fourniture d'informations inexactes ou trompeuses aux autorités
Le plafond supérieur dépasse désormais le maximum du RGPD, fixé à 20 millions d'euros ou 4 % du chiffre d'affaires mondial, faisant du règlement IA le plus sévère des deux régimes à son sommet.
Point essentiel : l'article 99, paragraphe 8, prévoit une règle « même fait, une seule sanction » — si un même fait constitue une violation du règlement IA et d'un autre texte européen comme le RGPD, les autorités n'infligent que la plus élevée des deux amendes applicables. Mais cette protection est plus étroite qu'il n'y paraît. Si un système d'IA enfreint les règles de gouvernance des données du règlement IA par un jeu d'entraînement biaisé, et enfreint séparément les principes d'exactitude ou de minimisation du RGPD par la façon dont ces mêmes données ont été collectées ou conservées, ce sont deux violations distinctes — sanctionnables séparément.
Juridiquement, il ne s'agit pas d'une interdiction de la double peine au sens où beaucoup d'équipes conformité l'imaginent. L'appréciation se fait violation par violation — et plus les pratiques de données de votre système d'IA sont imbriquées avec des données personnelles relevant du RGPD, plus cette séparation vous expose.
Ce que cela change concrètement
Le réflexe consistant à traiter le règlement IA et le RGPD comme deux check-lists à dérouler l'une après l'autre est actuellement l'erreur la plus coûteuse possible. Quelques pistes à privilégier :
- Faites correspondre vos AIPD et vos AIDF plutôt que de les commander séparément. Si un système requiert les deux, l'analyse de risque sous-jacente doit être un socle commun, et non deux exercices déconnectés qui se contredisent en silence. Si vous n'avez pas encore de processus AIPD, commencez par là — l'AIDF se construit très mal sur du vide.
- Confrontez vos mentions d'information RGPD existantes aux exigences d'information du règlement IA. Elles couvrent des informations différentes, et une mention conçue uniquement pour le RGPD risque fort de ne pas contenir ce que le règlement IA exige désormais en plus — le tout au moment où le CEPD a fait de la transparence au titre des articles 12 à 14 sa priorité d'action coordonnée pour 2026. Les deux côtés regardent les mêmes mentions cette année, pour des raisons différentes.
- Traitez le contrôle humain comme une exigence de conception, pas comme une déclaration de politique. Sous les deux régimes, les autorités demanderont la preuve qu'un humain peut intervenir utilement, pas seulement qu'un humain figure nominalement dans la boucle. Notre check-list de supervision de l'IA détaille à quoi ressemble cette preuve en pratique.
- Faites dialoguer dès maintenant les équipes juridiques et la documentation technique. Les exigences du règlement IA en matière de documentation technique et de journalisation deviendront de plus en plus la base probatoire sur laquelle les autorités évalueront aussi la conformité RGPD, car les deux reposent sur la capacité à démontrer — et pas seulement affirmer — comment un système traite réellement les données personnelles.
Le contexte répressif rend le sujet urgent, pas théorique
Tout cela n'atterrit pas dans un environnement calme.
Les amendes RGPD ont déjà dépassé 7,1 milliards d'euros cumulés, dont plus de 600 millions d'euros au seul premier semestre 2026. Les notifications quotidiennes de violation ont progressé de 22 % sur un an pour atteindre 443 par jour — la première fois que ce chiffre dépasse 400 depuis l'entrée en application du RGPD en 2018. Et la répression a nettement dépassé les géants du numérique : plus d'amendes ont été prononcées contre des PME depuis janvier 2023 que durant les cinq années précédentes réunies.
Ajoutez à cette trajectoire un second régime de sanctions au plafond plus élevé, et le message pour les équipes conformité est simple : le règlement IA n'a pas seulement ajouté un texte à suivre. Il a ajouté un second régulateur, avec sa propre conception de ce que votre système d'IA doit aux personnes dont il touche les données — en même temps, sur les mêmes systèmes, souvent sur les mêmes faits.
Si vous ne savez pas de quel côté de la ligne « haut risque » se situent vos systèmes, c'est la première question à trancher : les obligations ci-dessus ne mordent qu'à l'intérieur de l'annexe III, mais la qualification elle-même doit être documentée. Réservez une consultation gratuite avec GDPRGard →
Sources
- Règlement européen sur l'IA — article 99, sanctions
- Règlement européen sur l'IA — annexe III, systèmes à haut risque
- Commission européenne — calendrier de mise en œuvre du règlement IA
- CMS GDPR Enforcement Tracker
- Comité européen de la protection des données — cadre d'action coordonnée
À lire également :
- Le report du règlement IA ne couvre pas votre chatbot
- Pourquoi toute entreprise SaaS a besoin d'une AIPD avant de lancer des fonctionnalités IA
- Actualités IA : ce qui alimente réellement la croissance portée par l'IA