DPO à l'heure de l'IA et de l'inflation réglementaire : vers un « DPO augmenté » ?
À l'occasion d'une table ronde organisée par l'AFCDP, Anthony Coquer, directeur général de Lexing Technologies, a proposé une réflexion prospective sur l'avenir du délégué à la protection des données (DPO), dix ans après l'émergence de cette fonction sous l'impulsion du RGPD. Une intervention qui a suscité un débat nourri parmi les professionnels présents, révélant les interrogations profondes qui traversent aujourd'hui la profession.
Dix ans après l'entrée en vigueur du RGPD (Règlement Général sur la Protection des Données) en 2018, la fonction de Délégué à la Protection des Données (DPO) fait face à un environnement radicalement transformé. Le contexte initial, marqué par une logique de conformité formelle, a évolué vers une approche d’accountability (responsabilisation), où les organisations doivent prouver leur respect des règles plutôt que de simplement déclarer leurs traitements. Selon Anthony Coquer, expert interrogé, le DPO doit désormais concilier ses missions traditionnelles avec les défis posés par l’inflation réglementaire (multiplication des textes comme l’AI Act, NIS2, DORA ou le Cyber Resilience Act) et la transformation numérique, notamment l’essor de l’intelligence artificielle (IA). Cette évolution s’ajoute à la mutation déjà opérée en 2018, passant du statut de Correspondant Informatique et Libertés (CIL), chargé de formalités administratives, à celui de DPO, acteur stratégique de la gouvernance des données.
La profession de DPO est aujourd’hui extrêmement variée, loin du modèle unique imaginé en 2018. Les données de la CNIL (Commission Nationale de l'Informatique et des Libertés) révèlent une croissance forte du nombre de désignations : environ 21 000 en 2020 contre plus de 34 000 en 2024. Cette hausse masque cependant une grande hétérogénéité des profils. On trouve des DPO internes (salariés de l’entreprise), externes (prestataires), ou mutualisés (partagés entre plusieurs organisations), ainsi que des profils aux compétences variées : juridiques, techniques ou organisationnelles. Certains exercent leur mission à temps plein, d’autres à temps partiel. Anthony Coquer résume cette diversité par la formule : « autant de DPO que d’entreprises ». Cette pluralité explique les difficultés rencontrées, comme un temps insuffisant alloué à la mission, des budgets limités ou un manque de soutien hiérarchique, autant de facteurs qui alimentent les tensions autour de la fonction.
L’intelligence artificielle (IA) représente à la fois un nouveau champ de conformité et un outil pour les DPO. Anthony Coquer souligne que les systèmes d’IA soulèvent des enjeux dépassant la simple protection des données personnelles, comme les biais algorithmiques, les discriminations, la transparence ou le respect des droits fondamentaux. Par exemple, une application excessive du principe de minimisation des données (limiter la collecte au strict nécessaire) pourrait réduire la qualité des jeux de données et renforcer les risques de discrimination. Face à ces défis, Coquer envisage une extension progressive du rôle du DPO, dont la mission pourrait demain s’inscrire dans une logique plus large de protection des droits fondamentaux, et non plus seulement des données personnelles. Cependant, cette vision reste débattue, notamment sur sa faisabilité juridique et opérationnelle.
Christophe Champoussin, administrateur de l’AFCDP (Association Française des Correspondants à la Protection des Données Personnelles), met en garde contre une extension non maîtrisée des missions du DPO. Juridiquement, ses prérogatives restent définies par l’article 39 du RGPD, qui ne mentionne pas l’AI Act. Selon lui, faire porter au DPO l’ensemble des nouvelles réglementations sans cadre juridique clair ni moyens supplémentaires risquerait de le « faire exploser en vol ». Anthony Coquer partage partiellement cette analyse, rappelant que les garanties spécifiques du DPO (indépendance, confidentialité, absence de conflit d’intérêts) ne s’appliquent pas automatiquement à des missions élargies. Ce débat oppose prudence et opportunité : certains défendent une approche offensive, estimant que l’approche par les risques du RGPD pourrait irriguer la gouvernance de l’IA, tandis que d’autres craignent une dilution de la mission première du DPO.
Au-delà d’être un sujet de conformité, l’intelligence artificielle pourrait devenir un allié pour les DPO. Anthony Coquer estime que les tâches administratives (tenue des registres, analyses d’impact, veille réglementaire ou documentation) sont déjà largement automatisables grâce à l’IA générative et aux agents spécialisés. La valeur ajoutée humaine se déplacerait alors vers des missions plus stratégiques : arbitrage des risques, dialogue avec les directions générales ou création de confiance. Coquer distingue plusieurs profils de DPO : le DPO régalien (centré sur les missions historiques), le DPO innovant (utilisant les nouveaux outils), le DPO pionnier (investissant de nouveaux champs) et le DPO augmenté (combinant innovation et extension des missions). Cette évolution soulève la question de l’équilibre entre automatisation et expertise humaine.
Aucun consensus ne se dégage aujourd’hui sur l’avenir de la fonction de DPO. Tous s’accordent cependant sur son rôle incontournable dans la gouvernance des données. En revanche, la question de son implication dans la régulation de l’*IA* reste ouverte. Les positions oscillent entre extension naturelle des compétences, opportunité stratégique pour renforcer la visibilité de la fonction, et risque de surcharge ou de dilution des responsabilités. Une certitude émerge des débats : l’évolution du cadre réglementaire, des technologies et des attentes des organisations oblige les DPO à repenser leur positionnement. La question n’est plus de savoir si la fonction va évoluer, mais jusqu’où elle pourra le faire sans perdre son identité propre, notamment ses garanties d’indépendance et de proximité avec les métiers.
