AI Act et RGPD : comment les deux textes s'articulent

Les deux textes s'additionnent. L'AI Act encadre les systèmes d'IA selon leur niveau de risque ; le RGPD (règlement général sur la protection des données) encadre tout traitement de données personnelles, avec ou sans IA. La CNIL (Commission nationale de l'informatique et des libertés) le résume ainsi : le règlement sur l'IA « ne remplace pas les exigences du RGPD ». Un même projet peut donc relever des deux, d'un seul, ou d'aucun.

Quatre situations, selon la CNIL

Les ponts entre les deux textes

Plusieurs articles de l'AI Act renvoient directement au RGPD :

• Article 26, paragraphe 9 : le déployeur d'un système à haut risque utilise les informations du fournisseur pour réaliser, le cas échéant, son analyse d'impact relative à la protection des données (AIPD, article 35 du RGPD).
• Article 26, paragraphe 6 : la durée minimale de conservation des journaux (six mois) cède devant une autre règle, notamment de protection des données.
• Article 27 : l'analyse d'impact sur les droits fondamentaux peut reprendre ou renvoyer à l'AIPD déjà réalisée. Voir l'analyse d'impact sur les droits fondamentaux.
• Article 50, paragraphe 3 : le déployeur d'un système de reconnaissance des émotions ou de catégorisation biométrique traite les données dans le respect du RGPD.
• Article 4a, ajouté par l'omnibus de 2026 : il autorise, à titre exceptionnel et sous six conditions cumulatives, le traitement de catégories particulières de données pour détecter et corriger les biais. Il s'applique en plus du RGPD, sans le remplacer.

La CNIL ajoute que le respect de l'AI Act peut aider à celui du RGPD, par exemple grâce à la documentation produite pour un système à haut risque.

L'omnibus « données » : une proposition, pas une loi

Ne confondez pas les deux volets de l'omnibus numérique. Le volet IA est adopté et en vigueur depuis le 27/07/2026 (voir l'omnibus numérique sur l'IA). Le volet « données », qui modifierait le RGPD, les règles sur les cookies et d'autres textes (procédure 2025/0360(COD)), n'est pas adopté : le Conseil a arrêté sa position de négociation le 21/10/2026, le Parlement européen n'a pas encore la sienne. D'ici là, le RGPD s'applique dans sa version actuelle.

Pour le volet technique du RGPD

Cette page se limite à l'articulation des deux textes. Les questions techniques de protection des données dans un projet d'IA (sous-traitants, transferts hors de l'Union, durées de conservation, sécurité) relèvent du RGPD et des recommandations de la CNIL, qui reste « pleinement compétente » pour l'appliquer. Pour un projet précis, associez votre délégué à la protection des données, s'il y en a un, ou un professionnel du droit.