Lorsque vous utilisez ou développez un système d’intelligence artificielle, plusieurs cadres juridiques peuvent entrer en ligne de compte. Selon les situations, l’AI Act peut s’appliquer seul, le RGPD peut s’appliquer seul, ou les deux réglementations peuvent trouver à s’appliquer simultanément.
Il est donc primordial de déterminer dans quels cas ces régimes juridiques se cumulent et, surtout, à identifier à quel moment une analyse d’impact doit être réalisée et sur quel fondement réglementaire elle repose.
L’analyse d’impact au sens du RGPD
L’analyse d’impact relative à la protection des données (AIPD) prévue par le RGPD évalue les risques élevés pour les droits et libertés des personnes physiques liés aux traitements de leurs données personnelles.
Elle s’impose notamment en cas de décisions automatisées produisant des effets juridiques, de traitements à grande échelle ou de surveillance systématique d’une zone publique accessible.
Les autorités nationales comme l’APD en Belgique peuvent préciser cette liste.
Il n’y a actuellement pas de modèle officiel d’analyse, mais il est possible d’utiliser un logiciel gratuit, tel que celui mis à disposition par l’autorité de contrôle française, la CNIL, pour réaliser cette analyse d’impact.
Cependant, la récente proposition Omnibus Digital (novembre 2025) propose de mettre fin à cette fragmentation nationale en imposant un modèle commun d’AIPD.
Élaboré par le CEPD, ce modèle fixe les traitements nécessitant une AIPD, ceux exemptés, ainsi qu’une méthodologie et un modèle uniforme. Grâce à cela, une AIPD réalisée sur cette base sera valide dans toute l’Union européenne.
L’analyse d’impact au sens de l’AI Act
L’IA Act ajoute une AIPD spécifique pour les systèmes d’IA à haut risque (annexes II et III), comme ceux en gestion RH, urbanisme ou encore services publics, visant à identifier et atténuer les risques techniques et sociétaux sur les droits fondamentaux.
L’analyse ne doit pas uniquement porter sur les risques concernant les données à caractère personnel. Elle est plus large, puisqu’il s’agit d’une analyse d’impact sur les droits fondamentaux (AIDF) (souvent évoquée sous sa dénomination anglaise « Fundamental Rights Impact Assessment » ou FRIA).
Le Bureau de l’IA (AI Office) fournira un modèle (template) pour faciliter cette démarche
Leur articulation pratique
Bien que leurs contenus divergent – le RGPD ciblant les données personnelles, l’IA Act les biais et impacts systémiques –, l’article 27 de l’IA Act prévoit que l’AIDF complète l’AIPD RGPD existante pour éviter les doublons.
Points clés des deux types d’analyse :
| AIPD – RGPD | AIDF – IA Act | |
| Description et contexte | Description du traitement et finalité ; Présentation des traitements | Contexte de déploiement et finalité prévue ; Acteurs impliqués |
| Nécessité et proportionnalité | Nécessité et proportionnalité ; Légalité du traitement | Nécessité et proportionnalité ; Durée opérationnelle et fréquence |
| Droits des personnes | Risques pour les droits et libertés | Risques pour tous les droits fondamentaux ; Biais |
| Sécurité | Mesures de sécurité et d’atténuation des risques | Mesures d’atténuation des risques ; Mesures de contrôle humain |
Notre conseil :
Vérifiez si vos systèmes d’IA impliquent des traitements de données qui :
- correspondent aux cas obligatoires définis pas le RGPD (article 35) ou l’APD belge,
- ou constituent un systèmes à haut risque défini par l’IA Act,
- ou relèvent des deux réglementations simultanément.
Dans ces 3 situations, une analyse d’impact s’impose.
La méthode reste flexible mais doit intégrer les exigences du RGPD et de l’IA Act.
