DPO et AI Act : rôle, limites et articulation avec le RGPD.
Le DPO apporte une expertise essentielle lorsque l’IA traite des données personnelles, mais il n’est pas le responsable unique de la conformité AI Act. La gouvernance doit préserver son indépendance et répartir les décisions entre métier, direction, juridique, risques, sécurité, données et technique.
Le DPO conseille et contrôle la conformité RGPD, contribue aux analyses d’impact et éclaire les risques sur les personnes. Il peut participer à la gouvernance AI Act, sans devenir propriétaire de tous les systèmes ni décideur opérationnel. Le responsable métier conserve la finalité et l’usage, tandis que les fonctions techniques et de conformité assument leurs domaines.
Cluster éditorial : AI Act et RGPD · Intention : Définir le rôle du DPO dans la conformité AI Act
En bref
L’essentiel à retenir
01
DPO conseiller, pas propriétaire universel
02
AIPD RGPD distincte mais coordonnée avec la FRIA
03
Décisions réparties selon les responsabilités
04
Dossier commun sans confondre les finalités
01
Placer le DPO au bon niveau de responsabilité
Le DPO informe, conseille, contrôle et coopère avec l’autorité de protection des données. Il doit disposer de ressources et agir avec indépendance. Le nommer propriétaire de tous les projets IA créerait une confusion : il ne choisit pas la finalité métier, ne conçoit pas l’architecture et ne peut pas valider seul un risque opérationnel ou de sécurité.
Dans le comité IA, il examine les traitements, la minimisation, les droits, les transferts, la sous-traitance et l’AIPD. Il formule des avis et des réserves tracées. Le sponsor et le propriétaire métier prennent les décisions dans leur mandat. Le juridique, la sécurité, les données et la technique apportent leurs validations. Cette séparation évite que le DPO soit juge et partie.
Coordonner AIPD et analyse des droits fondamentaux
L’AIPD du RGPD examine un traitement susceptible d’engendrer un risque élevé pour les droits et libertés. L’analyse d’impact sur les droits fondamentaux de l’article 27 vise certains déployeurs et systèmes à haut risque. Les périmètres peuvent se recouvrir, mais les déclencheurs et contenus ne sont pas identiques. Documentez chaque obligation avant de mutualiser les informations.
Une base factuelle commune réduit le travail : finalité, personnes, données, décisions, risques, mesures, recours et consultation. Produisez ensuite deux conclusions clairement identifiées. L’une traite le traitement de données et le risque résiduel RGPD. L’autre couvre les droits fondamentaux, la supervision et les obligations AI Act. Conservez les approbations et dates propres à chaque régime.
Le DPO doit être associé lorsque les choix restent ouverts : nécessité des données, catégories, sources, conservation, réutilisation, transferts, accès et information. Après la signature, le contrat et l’architecture limitent les alternatives. Un questionnaire fournisseur doit donc distinguer les preuves AI Act des informations requises au titre de la sous-traitance et de la sécurité RGPD.
Pour un modèle génératif, vérifiez les données saisies, la conservation, l’entraînement, les connecteurs et les sorties. Pour un système de décision, examinez les variables, la qualité, les biais, l’explication et la possibilité de contester. Le DPO alerte sur les incompatibilités sans décider seul de la performance, de la cybersécurité ou de la classification réglementaire.
Le registre des systèmes renvoie au registre des traitements lorsque des données personnelles sont impliquées. Il ne faut ni fusionner au point de perdre les finalités, ni recopier des informations divergentes. Utilisez des identifiants communs, un propriétaire et des liens vers la qualification, l’AIPD, la FRIA, le contrat, les tests et la notice.
Planifiez une revue après un changement de finalité, de données, de modèle, de fournisseur ou de population. Le DPO reçoit les alertes pertinentes et suit ses recommandations. Mesurez les avis non suivis, les AIPD en retard, les incidents et les demandes de personnes. Cette visibilité permet à la direction d’arbitrer les risques au lieu de les laisser au seul spécialiste.
