La conformité RGPD des petites structures à l'épreuve de l'intelligence artificielle. Par Cyprien Alloy, Etudiant en droit.

Huit ans après l'entrée en application du règlement (UE) 2016/679 (RGPD), la mise en conformité des petites structures demeure largement inaboutie. La logique de responsabilisation (accountability, art. 5, § 2, et 24 RGPD) fait peser sur tout responsable de traitement des obligations documentaires…

Résumé

RGPD et IA : deux cadres superposés

Le RGPD (Règlement Général sur la Protection des Données), entré en vigueur en 2018, encadre le traitement des données personnelles en Europe.

Il impose aux organisations des obligations strictes comme la tenue d’un registre des activités de traitement (article 30), l’information des personnes concernées (articles 13 et 14), ou encore l’analyse d’impact (article 35) pour les traitements à risque.

Depuis 2025, le RIA (Règlement sur l’Intelligence Artificielle), adopté en Europe, s’applique en parallèle dès qu’un système d’IA utilise des données personnelles.

Ce nouveau cadre introduit des règles spécifiques, comme l’interdiction de certaines pratiques d’IA (article 4) ou des obligations pour les fournisseurs de modèles d’IA générative (depuis août 2025).

Pour les petites structures, cette superposition de normes crée une complexité juridique accrue, d’autant que le calendrier du RIA est instable : certaines obligations sont reportées au 2 décembre 2027, tandis que d’autres, comme les pratiques interdites, sont déjà applicables depuis février 2025.