# Quelle différence entre l’AI Act et le RGPD ? URL: https://ergostrat.com/fr/ai-act-readiness/ai-act-vs-gdpr.html Langues: [Български](https://ergostrat.com/ai-act-readiness/ai-act-vs-gdpr.html) · [English](https://ergostrat.com/en/ai-act-readiness/ai-act-vs-gdpr.html) · [Français](https://ergostrat.com/fr/ai-act-readiness/ai-act-vs-gdpr.html) · [Deutsch](https://ergostrat.com/de/ai-act-readiness/ai-act-vs-gdpr.html) Le RGPD encadre le traitement des données personnelles. L’AI Act encadre les systèmes d’IA selon leur usage, leur risque et votre rôle. Un outil peut relever des deux textes. Examinez chaque obligation séparément. ## Données ou risque : où se situe la différence ? Pour le RGPD, partez des données personnelles, de la finalité du traitement et du champ d’application matériel et territorial. Un nom, une adresse électronique ou une photo peuvent être des données personnelles. Leur présence ne suffit toutefois pas à trancher toute question d’applicabilité. Il existe aussi des exceptions. Pour l’AI Act, vérifiez la destination du système et le rôle de votre organisation. Un système peut entrer dans son champ sans traiter de données personnelles. Un composant de sécurité de la distribution d’électricité ou d’eau peut présenter un haut risque dans les conditions prévues par le texte ; cela ne classe pas tous les logiciels d’infrastructure dans cette catégorie. Pour le recrutement ou l’évaluation du crédit, examinez les deux régimes. Respecter l’un ne prouve pas que vous respectez l’autre. ## Comment les plafonds des amendes diffèrent-ils ? L’article 83 du RGPD prévoit, selon l’infraction, des plafonds de 10 millions d’euros ou 2 %, et de 20 millions d’euros ou 4 %. Pour une entreprise, on retient le montant le plus élevé entre la somme fixe et le pourcentage du chiffre d’affaires annuel mondial total de l’exercice précédent. L’article 99 de l’AI Act distingue plusieurs plafonds : 35 millions d’euros ou 7 % pour les pratiques interdites, 15 millions d’euros ou 3 % pour les autres manquements énumérés, 7,5 millions d’euros ou 1 % pour certains manquements à la fourniture d’informations. En règle générale, le montant le plus élevé s’applique ; les PME remplissant les critères bénéficient du plus faible. L’allègement prévu pour les petites entreprises à moyenne capitalisation (SMC) ne couvre pas le plafond des pratiques interdites. Le pourcentage porte, là aussi, sur le chiffre d’affaires annuel mondial total de l’exercice précédent. Ce sont des maxima, pas des sanctions automatiques. L’infraction, les circonstances, la catégorie d’entreprise et la procédure doivent être examinées séparément. Additionner les pourcentages ne permet pas de calculer votre responsabilité. ## Quelle différence entre DPIA et FRIA ? La DPIA est l’analyse d’impact relative à la protection des données. L’article 35 du RGPD l’exige avant un traitement susceptible d’engendrer un risque élevé pour les droits et libertés des personnes. L’utilisation d’IA n’est pas le seul critère. La FRIA est l’analyse d’impact sur les droits fondamentaux prévue par l’article 27 de l’AI Act. Elle vise certains déployeurs et usages à haut risque : organismes de droit public, organisations privées fournissant des services publics, et usages expressément visés en matière de crédit et d’assurance. Le point 2 de l’annexe III est exclu de ce périmètre. Une FRIA n’est pas requise pour chaque assurance ni pour chaque système d’IA. Lorsque des obligations ont déjà été remplies par une DPIA, la FRIA la complète. L’analyse existante ne remplace pas automatiquement celle requise par l’AI Act. Comparez les questions couvertes et les lacunes ; vérifiez la date d’application et les dispositions transitoires propres à l’usage considéré. ## Quelle autorité est compétente pour votre cas ? Le RGPD s’appuie sur les autorités nationales de protection des données, avec des règles pour les situations transfrontières. Pour l’AI Act, la compétence dépend du système, du rôle et de la procédure nationale ou européenne concernée. Ne supposez pas que les deux textes relèvent de la même autorité. Pour un cas précis, vérifiez les règles nationales en vigueur et l’autorité compétente de votre État membre. ## Questions ### Être prêt pour le RGPD suffit-il pour l’AI Act ? Non. La documentation sur les données peut aider, mais examinez séparément le rôle, l’usage et les obligations liées à l’AI Act. Consignez ce qui est couvert et ce qui reste à évaluer. ### Le RGPD interdit-il toutes les décisions automatisées ? L’article 22 concerne les décisions fondées exclusivement sur un traitement automatisé qui produisent des effets juridiques ou affectent une personne de manière similaire et significative. Des exceptions sous conditions et des garanties s’appliquent. Respecter l’AI Act ne dispense pas de cette vérification. ### L’AI Act peut-il s’appliquer sans données personnelles ? Oui. Vérifiez la destination, le rôle et les conditions légales de classement du système. L’absence de données personnelles ne constitue pas une exemption générale de l’AI Act. ## Sources - [Règlement (UE) 2016/679 — RGPD.](https://eur-lex.europa.eu/eli/reg/2016/679/oj/eng) - [Règlement (UE) 2024/1689 — AI Act.](https://eur-lex.europa.eu/eli/reg/2024/1689/oj/eng) - [Règlement (UE) 2026/1744 — modifications.](https://eur-lex.europa.eu/eli/reg/2026/1744/oj/eng) - [Comité européen de la protection des données — contrôle et amendes.](https://www.edpb.europa.eu/sme/find-practical-info/data-protection-authority-you_en) ## Pour poursuivre - [Faut-il signaler les contenus créés par IA ?](https://ergostrat.com/fr/ai-act-readiness/ai-content-labelling.html) - [Que demande l’article 4 de l’AI Act sur la maîtrise de l’IA ?](https://ergostrat.com/fr/ai-act-readiness/ai-literacy.html) - [Digital Omnibus : quelles dates de l’AI Act ont changé ?](https://ergostrat.com/fr/ai-act-readiness/digital-omnibus.html) ## Reliez chaque outil à une obligation et à sa source. La Préparation au règlement européen sur l’IA organise les outils, les usages et les obligations applicables avec leurs sources et leurs dates. Les questions de couverture au titre du RGPD sont relevées pour examen juridique ; il ne s’agit pas d’une certification de conformité au RGPD. [Parlons de votre Préparation au règlement européen sur l’IA](mailto:contact@ergostrat.com?subject=Question%20sur%20l%E2%80%99AI%20Act%20et%20le%20RGPD)