La conformité RGPD des petites structures à l'épreuve de l'intelligence artificielle. Par Cyprien Alloy, Etudiant en droit.
Huit ans après l'entrée en application du règlement (UE) 2016/679 (RGPD), la mise en conformité des petites structures demeure largement inaboutie. La logique de responsabilisation (accountability, art.
Le RGPD (Règlement Général sur la Protection des Données), entré en vigueur en 2018, encadre le traitement des données personnelles en Europe. Il impose aux organisations des obligations strictes comme la tenue d’un registre des activités de traitement (article 30), l’information des personnes concernées (articles 13 et 14), ou encore l’analyse d’impact (article 35) pour les traitements à risque. Depuis 2025, le RIA (Règlement sur l’Intelligence Artificielle), adopté en Europe, s’applique en parallèle dès qu’un système d’IA utilise des données personnelles. Ce nouveau cadre introduit des règles spécifiques, comme l’interdiction de certaines pratiques d’IA (article 4) ou des obligations pour les fournisseurs de modèles d’IA générative (depuis août 2025). Pour les petites structures, cette superposition de normes crée une complexité juridique accrue, d’autant que le calendrier du RIA est instable : certaines obligations sont reportées au 2 décembre 2027, tandis que d’autres, comme les pratiques interdites, sont déjà applicables depuis février 2025.
Les petites structures, souvent dépourvues de ressources, peinent à se conformer au RGPD et au RIA. Selon une enquête de 2026, 85 % des DPO (Data Protection Officer, responsable de la protection des données) internes ou mutualisés travaillent à temps partiel, et 54 % d’entre eux ne sont pas juristes ou informaticiens. Pour les structures trop petites pour désigner un DPO, la fonction conformité est souvent absente ou dispersée. Pourtant, les obligations restent les mêmes : tenir un registre des traitements, informer les personnes concernées, ou encadrer la sous-traitance (article 28 du RGPD). La CNIL (Commission Nationale de l’Informatique et des Libertés, autorité française de protection des données) a renforcé ses contrôles, ciblant désormais les manquements élémentaires, ce qui expose davantage les petites structures à des sanctions. L’enquête révèle aussi une méconnaissance du RIA : seulement 24 % des organismes ont une politique de gouvernance formelle, et 31 % ont commencé à se préparer à son application.
L’automatisation, notamment via l’IA générative, permet de réduire les coûts de conformité pour les petites structures. Des tâches répétitives comme la cartographie des traitements, la rédaction des mentions d’information, ou la préparation des analyses d’impact peuvent être réalisées par des outils automatisés. Selon l’enquête, 70 % des organismes utilisent ou prévoient d’utiliser l’IA, et 66 % externalisent la conformité via des solutions automatisées. Cette approche rend la conformité plus accessible financièrement, car les prestations manuelles, autrefois facturées en journées de conseil, deviennent abordables. Cependant, cette automatisation ne supprime pas les obligations légales : le responsable de traitement reste tenu de prouver sa conformité (article 5, paragraphe 2 du RGPD) et ne peut s’exonérer en invoquant un outil défaillant.
Bien que l’automatisation facilite la conformité, elle ne remplace pas l’expertise humaine. Le responsable de traitement doit toujours superviser les documents générés par l’IA, car une documentation non revue par un expert n’est qu’une conformité de façade. De plus, l’outil d’IA lui-même peut être considéré comme un traitement de données, voire un système d’IA au sens du RIA, ce qui soulève de nouvelles questions : sous-traitance, transferts de données, ou respect du secret professionnel pour les professions réglementées. Enfin, les compétences des DPO en matière d’IA restent insuffisantes : seulement 27 % déclarent un bon niveau de connaissance du RIA, et 85 % n’ont suivi aucune formation spécifique. L’automatisation prépare les décisions, mais ne les prend pas : les arbitrages juridiques (qualification de la base légale, appréciation des risques) restent de la responsabilité humaine.
