Les deux textes ne se substituent pas l’un à l’autre : ils se cumulent. L’AI Act encadre des systèmes, le règlement général sur la protection des données encadre des traitements, et un même projet relève des deux à des titres différents.
L’article 2, paragraphe 7 disposait que le règlement « n’a pas d’incidence sur le règlement (UE) 2016/679 ». L’omnibus y a inséré une réserve : « sans préjudice des articles 4 bis et 59 du présent règlement ».
Le principe de non-incidence porte désormais deux exceptions nommées. Deux articles, deux brèches — dont une seule est vraiment nouvelle.
L’IA Act remplace-t-il le RGPD ?
Non, il s’y ajoute, et le texte le dit lui-même. Le règlement sur l’IA ne porte pas atteinte au droit de l’Union sur la protection des données : les deux régimes se cumulent, avec leurs qualifications propres, leurs autorités propres et leurs calendriers propres.
Le droit de l’Union en matière de protection des données à caractère personnel, de respect de la vie privée et de confidentialité des communications s’applique aux données à caractère personnel traitées en lien avec les droits et obligations énoncés dans le présent règlement. Sans préjudice des articles 4 bis et 59 du présent règlement, le présent règlement n’a pas d’incidence sur le règlement (UE) 2016/679 ou le règlement (UE) 2018/1725, ni sur la directive 2002/58/CE ou la directive (UE) 2016/680.
D’autres corps de règles sont également préservés : le régime de responsabilité des prestataires intermédiaires du règlement sur les services numériques, le droit de la consommation et de la sécurité des produits, et le droit du travail national plus protecteur.
Et la transparence ne dispense de rien. L’article 50, paragraphe 6 précise que les obligations de transparence de l’AI Act s’appliquent « sans préjudice des autres obligations de transparence prévues par le droit de l’Union ou le droit national ». Informer qu’on parle à une IA ne remplace pas l’information des articles 12 à 14 du RGPD.
Que change l’article 4 bis inséré par l’omnibus ?
Il ouvre une porte étroite, et sous six conditions cumulatives. L’article 4 bis autorise, à titre exceptionnel, le traitement de catégories particulières de données au sens de l’article 9 du RGPD, aux seules fins de détection et correction des biais. Deux régimes distincts s’y logent, l’un pour les fournisseurs de systèmes à haut risque, l’autre au-delà.
Cet article autorise, à titre exceptionnel, le traitement de catégories particulières de données au sens de l’article 9 du RGPD, aux seules fins de détection et correction des biais. Deux régimes, à ne pas confondre.
Pour les fournisseurs de systèmes à haut risque, paragraphe 1 : le traitement est possible « dans la mesure strictement nécessaire », sous six conditions cumulatives. Les deux plus contraignantes en pratique : il faut démontrer que la détection des biais « ne peut être satisfaite de manière efficace en traitant d’autres données, y compris des données synthétiques ou anonymisées » ; et le registre des activités de traitement doit comprendre « les raisons pour lesquelles le traitement était strictement nécessaire », ainsi que « la raison pour laquelle cet objectif n’a pas pu être atteint par le traitement d’autres données ».
Les quatre autres imposent des limitations techniques et des mesures de sécurité avancées dont la pseudonymisation, des contrôles stricts avec documentation des accès, l’interdiction de transmettre ces données à des tiers, et leur suppression dès que le biais est corrigé ou que la période de conservation expire, à la première de ces deux échéances.
Pour tous les autres, paragraphe 2 : fournisseurs et déployeurs d’autres systèmes et modèles, et déployeurs de systèmes à haut risque, peuvent traiter ces données à deux conditions, que ce soit strictement nécessaire pour corriger des biais susceptibles de porter atteinte à la santé et à la sécurité, d’affecter les droits fondamentaux ou de conduire à une discrimination interdite, et que toutes les conditions du paragraphe 1 soient remplies.
« Le présent paragraphe ne crée aucune obligation de procéder à cette détection et à cette correction des biais. »
L’article 4 bis est une faculté encadrée. Le présenter comme « le droit de traiter des données sensibles pour l’IA » se trompe de sens ; le présenter comme une obligation d’audit de biais se trompe deux fois.
Où les deux règlements se croisent-ils ?
Sur six sujets, et jamais par substitution de l’un à l’autre. Analyse d’impact, information des personnes, décision automatisée, données d’entrée du déployeur, sécurité et biométrie hors répression relèvent des deux textes en même temps, avec des fondements distincts. Satisfaire l’un ne libère de rien du côté de l’autre : le tableau donne, sujet par sujet, l’article de chaque règlement.
| Sujet | Côté AI Act | Côté RGPD |
|---|---|---|
| Analyse d’impact | Analyse d’impact sur les droits fondamentaux, article 27, sur les seuls systèmes de l’annexe III, point 2 exclu : pour les organismes de droit public et les entités privées fournissant des services publics, et pour tous les déployeurs des points 5 b) et 5 c) | Analyse d’impact relative à la protection des données, article 35. L’article 27, paragraphe 4 permet le renvoi ou l’intégration, pas la substitution |
| Information des personnes | Article 26, paragraphe 11, et article 50, paragraphes 1, 3 et 4 | Articles 12 à 14. Deux obligations distinctes, deux fondements |
| Décision automatisée | Contrôle humain, article 14. Droit à l’explication, article 86 | Article 22. Le concours entre les deux n’est réglé par aucun texte |
| Données d’entrée du déployeur | Article 26, paragraphe 4 : pertinence et représentativité, pour autant qu’il en ait le contrôle | Exactitude et minimisation, article 5 |
| Sécurité | Exactitude, robustesse et cybersécurité, article 15 | Article 32 |
| Biométrie hors répression | Article 5, paragraphe 1, dernier alinéa, sans préjudice de l’article 9 du RGPD | Article 9 |
Le point le plus ouvert de ce tableau est l’articulation entre l’article 86 et l’article 22. L’article 86 ouvre un droit à l’explication à la personne concernée par une décision d’un déployeur, dans des conditions restrictives, et son paragraphe 3 précise qu’il « ne s’applique que dans la mesure où le droit visé au paragraphe 1 n’est pas prévu par ailleurs dans le droit de l’Union ». Aucune source officielle ne dit ce que cette clause emporte au regard de l’article 22. Nous ne l’écrivons donc ni comme un complément, ni comme un remplacement.
Les trois pages de ce silo
La doctrine de la CNIL
Seize pages, dont quatorze fiches, en quatre vagues, et trois bornes que la Commission nationale de l’informatique et des libertés (CNIL) pose elle-même : elles ne couvrent que le développement, que le RGPD, et ne sont pas contraignantes. C’est le corpus le plus utilisé du sujet, et le plus mal présenté.
→ Ce que dit la CNIL, et jusqu’où elle engage
Les deux analyses d’impact
Deux analyses coexistent, sur deux fondements, avec deux champs et deux débiteurs. Deux articles seulement les relient, l’article 26, paragraphe 9 et l’article 27, paragraphe 4, et aucun ne dit comment les mener ensemble.
→ AIPD et analyse d’impact sur les droits fondamentaux
Le statut du modèle
Un modèle d’IA n’est ni anonyme ni identifiant par nature. La CNIL propose un faisceau de neuf indices, et pose deux verrous que presque personne ne reprend : pas d’anonymat par confidentialité, pas d’anonymat par contrat.
→ Un modèle contient-il encore des données personnelles ?
Que change le cumul des deux textes en pratique ?
Deux qualifications, deux calendriers, deux autorités — et une seule est en place en France. Rien ne se déduit d’un texte à l’autre : le même acteur peut être fournisseur au sens de l’IA Act et sous-traitant au sens du RGPD.
Deux qualifications à mener séparément. Être fournisseur au sens de l’article 3, point 3 de l’AI Act ne dit rien de la qualification de responsable de traitement ou de sous-traitant. Le même acteur peut être fournisseur d’un côté et sous-traitant de l’autre.
Deux calendriers. Le RGPD s’applique depuis 2018 et n’attend rien. Les obligations du haut risque relèvent du 2 décembre 2027 et du 2 août 2028. Une organisation qui découvre l’IA par l’AI Act découvre souvent qu’elle est en retard sur le RGPD depuis des années.
Deux autorités, et une seule est en place en France. La CNIL est pleinement compétente sur le terrain du RGPD. Au titre de l’AI Act, en revanche, au 24 août 2026, date de notre dernière vérification, aucun texte français d’application du règlement n’a été identifié comme en vigueur : ni loi, ni ordonnance, ni décret.
→ Où en est la désignation française
Un pont contraignant, dans un sens qu’on n’attend pas. La CNIL fait de l’interdiction posée par l’article 5 de l’AI Act une cause d’illicéité au sens du RGPD : le développement d’un système exclusivement destiné à un usage interdit ne peut pas être fondé sur l’intérêt légitime. Une pratique interdite par un texte contamine donc la base légale de l’autre.
Ce qui reste à écrire, et que nous ne remplaçons pas
Les lignes directrices conjointes de la Commission et du Comité européen de la protection des données sur l’articulation entre l’AI Act et le droit de la protection des données sont annoncées, non publiées. La Commission les classe parmi ses travaux en cours au 31 juillet 2026.
Les lignes directrices du Comité européen de la protection des données sur l’anonymisation et le moissonnage pour l’IA générative, adoptées le 7 juillet 2026, sont en consultation publique jusqu’au 30 octobre 2026.
Attention au sigle. En français, « CEPD » désigne indifféremment le Comité européen de la protection des données et le Contrôleur européen de la protection des données, et il ne faut jamais écrire ce sigle seul. Les lignes directrices annoncées avec la Commission sont celles du Comité ; c’est le Contrôleur qui surveille les institutions de l’Union au titre de l’AI Act.
Sur quoi ce silo s’appuie
Les articles 2, 4 bis, 10, 14, 26, 27, 50, 59 et 86 du règlement (UE) 2024/1689 dans sa version consolidée au 27 juillet 2026, telle que modifiée par le règlement (UE) 2026/1744. Le règlement (UE) 2016/679. Et les recommandations de la CNIL sur l’intelligence artificielle, qui relèvent du seul RGPD et ne sont pas contraignantes.
Le texte qui fait foi reste celui publié au Journal officiel, la version consolidée n’ayant qu’une valeur documentaire.
Une réserve de méthode : les pages de la CNIL sont publiées en HTML et leurs citations n’ont pas pu être contrôlées par le procédé de vérification utilisé pour les documents en PDF de la Commission européenne. Elles sont reproduites telles que relevées le 24 août 2026.
Sources. Règlement (UE) 2024/1689, version consolidée au 27 juillet 2026, règlement (UE) 2026/1744, règlement (UE) 2016/679 et recommandations de la CNIL sur l’intelligence artificielle, consultés les 24 et 28 août 2026.
Questions fréquentes
L’AI Act remplace-t-il le RGPD sur les projets d’IA ?
Non. L’article 2, paragraphe 7 dispose que le règlement « n’a pas d’incidence sur le règlement (UE) 2016/679 », et les deux textes s’appliquent en parallèle. L’omnibus a toutefois introduit une réserve nouvelle : « sans préjudice des articles 4 bis et 59 du présent règlement ». Ce que l’omnibus change ici, c’est la **réserve** inscrite à l’article 2, paragraphe 7 : le principe de non-incidence porte désormais deux exceptions nommées. L’article 59 existait dès 2024 et l’article 4 bis, paragraphe 1 reprend l’ancien article 10, paragraphe 5 ; c’est son paragraphe 2, qui étend le mécanisme aux déployeurs, qui est neuf.
Peut-on traiter des données sensibles pour corriger les biais d’un modèle ?
L’article 4 bis, introduit par l’omnibus, l’autorise à titre exceptionnel et sous six conditions cumulatives, aux seules fins de détection et de correction des biais. Mais il précise expressément que « le présent paragraphe ne crée aucune obligation de procéder à cette détection et à cette correction des biais ». Cette phrase ne vaut que pour le paragraphe 2 : ce qui est facultatif, c’est l’usage de données sensibles pour détecter les biais, non la détection elle-même, que l’article 10, paragraphe 2, points f) et g) impose au fournisseur d’un système à haut risque.
Notre analyse d’impact RGPD suffit-elle pour l’AI Act ?
Non. L’article 27, paragraphe 4 permet d’inclure dans l’analyse d’impact sur les droits fondamentaux des renvois aux sections pertinentes de l’analyse d’impact relative à la protection des données, ou d’en intégrer les parties pertinentes. L’article 26, paragraphe 9 organise le mouvement inverse, en imposant, le cas échéant, d’utiliser pour l’AIPD les informations fournies au titre de l’article 13. Deux économies de rédaction, pas une substitution.
La Commission nationale de l’informatique et des libertés est-elle compétente sur l’AI Act ?
Sur le terrain du RGPD, elle l’est pleinement et indépendamment de l’AI Act. Au titre du règlement (UE) 2024/1689, aucun texte français en vigueur ne l’a désignée : au 24 août 2026, date de notre dernière vérification, aucun texte français d’application du règlement n’a été identifié comme en vigueur : ni loi, ni ordonnance, ni décret. Ce constat n’a pas pu être vérifié directement sur Legifrance, resté inaccessible ce jour-là avec une erreur HTTP 403 : aucune recherche négative n’a été conduite sur le corpus réglementaire français, décrets et arrêtés compris, et le constat repose sur cinq sources officielles concordantes. Elle écrivait elle-même en avril 2026 qu’elle « se prépare à être désignée ».
Ce contenu est une ressource d’information technique et réglementaire. Il ne constitue pas un conseil juridique.