Beaucoup de DSI ont abordé l'AI Governance Act avec le réflexe RGPD : cartographier, documenter, nommer un responsable, attendre que les normes se précisent.  

Ce réflexe est compréhensible, et partiellement utile. Mais il masque une réalité structurelle : les deux règlements ne fonctionnent pas selon la même logique, ne s'adressent pas aux mêmes objets, et ne produisent pas les mêmes obligations. Les confondre, c'est prendre le risque de construire une conformité incomplète - formellement rassurante, opérationnellement insuffisante.  

Dans cet article, décryptez les 6 différences clés entre le regulatory framework de l'AI Act et le RGPD, pour que vous sachiez exactement ce qui change, ce qui se cumule, et ce que votre DSI doit maîtriser en priorité. 

En bref

• Le RGPD encadre la donnée personnelle, l'AI Act encadre le système d'IA : les deux cadres se superposent dès qu'un système traite des données personnelles.

• Le RGPD impose des obligations uniformes, tandis que l'AI Act proportionne ses exigences au niveau de risque de chaque système, un par un.

• Les rôles diffèrent : responsable de traitement et sous-traitant côté RGPD, fournisseur, déployeur et importateur côté AI Act, souvent cumulés par la DSI.

• La documentation exigée par l'AI Act est bien plus granulaire que le registre des traitements RGPD, et doit être produite au fil du développement, pas après coup.

• La conformité RGPD offre une base réutilisable et plusieurs mois d'avance, mais ne couvre ni la qualification système par système, ni la supervision humaine exigée par l'AI Act.

Rappel : qu'est-ce que l'AI Governance Act ? 

Premier cadre réglementaire mondial dédié à l'intelligence artificielle, le Règlement (UE) 2024/1689 (dit AI Act ou AI Governance Act) encadre le développement, la mise sur le marché et l'utilisation des systèmes d'IA dans l'Union européenne.  

Adopté par la Commission européenne le 13 juin 2024, entré en vigueur le 1er août 2024, il s'applique en dehors des frontières européennes : toute organisation dont les systèmes d'IA produisent des effets sur des personnes situées dans l'UE est concernée, quelle que soit sa localisation géographique. Son application est progressive, échelonnée jusqu'en décembre 2027. 

Ce qui distingue vraiment l'AI Governance Act du RGPD 

Différence #1 - L'objet : la donnée vs le système 

Le RGPD s'applique dès qu'une organisation traite des données personnelles, indépendamment de la technologie utilisée. L'AI Governance Act, lui, s'applique dès qu'un système d'IA est développé, déployé ou utilisé, qu'il traite ou non des données personnelles. 

Cette distinction a une conséquence directe : les deux règlements se superposent dès qu'un système d'IA traite des données personnelles. Un outil de scoring RH, un chatbot de service client, ou une API d'IA générative connectée à un outil métier : tous ces exemples relèvent simultanément du RGPD pour la donnée, et de l'AI Act pour le système. Être conforme à l'un ne dispense pas de l'être à l'autre. 

Pour la DSI, cela signifie qu'une même initiative IA peut déclencher deux cadres réglementaires distincts, avec des exigences documentaires, des rôles et des autorités de contrôle différents. Votre data governance existante est un point de départ, pas une couverture. 

Comment vous mettre en conformité avec l'AI Act ?

Télécharger le guide

Différence #2 - La logique : obligations uniformes vs proportionnelles au risque 

C'est l'une des ruptures les plus structurantes entre les deux textes. Le RGPD impose des obligations largement uniformes à toute organisation traitant des données personnelles : consentement, minimisation, droits des personnes, registre des traitements. La règle s'applique à l'entité, quelle que soit la nature de ses traitements. 

L'AI Governance Act fonctionne différemment. Il proportionne les exigences au niveau de risque de chaque système d'IA, selon quatre niveaux :  

• Risque inacceptable (pratiques interdites depuis février 2025) 

• Haut risque (obligations substantielles) 

• Risque limité (transparence obligatoire) 

• Risque minimal (aucune obligation spécifique) 

Une même organisation peut donc avoir des obligations radicalement différentes selon les outils qu'elle déploie - y compris au sein d'un même département. 

Ce n'est pas une logique de conformité uniforme, mais une logique de portefeuille : qualifier chaque système, appliquer le niveau d'exigence correspondant, documenter la démarche.  

Pour le CIO et le CIO Office, cela suppose une visibilité exhaustive sur l'ensemble des systèmes d'IA actifs dans le SI... y compris ceux adoptés directement par les métiers sans passage en revue Architecture. 

Pour approfondir le sujet, consultez l'article "Audit IA : comment cartographier vos systèmes pour l'AI Act ".

Ce dont vous avez besoin pour votre mise en conformité

La qualification système par système suppose d'abord de savoir ce qui tourne dans votre SI. C'est précisément le problème que beaucoup d'organisations découvrent au moment de s'y mettre : en effet, les métiers achètent plus d'applications SaaS que ce dont la DSI a conscience. Sans recensement exhaustif et maintenu en continu, la logique de risque proportionnel de l'AI Act reste inapplicable.  

Pour vous aider dans cette tâche constante, le Registre des usages et l'AI Value Stream Map de Smoteo structurent cette visibilité : cartographie de l'ensemble des agents IA actifs par département, qualification du niveau de risque, rattachement à l'architecture et aux processus métier concernés. 

Différence #3 - Les rôles : responsable de traitement/sous-traitant vs fournisseur/déployeur/importateur 

Le RGPD structure la responsabilité autour de deux rôles principaux : le responsable de traitement, qui détermine les finalités et les moyens du traitement, et le sous-traitant, qui agit pour son compte. Ce schéma est connu, documenté, et la plupart des DSI savent où elles se situent. 

De son côté, l'AI Governance Act introduit une cartographie de rôles différente.  

Trois acteurs sont distingués :  

• Le fournisseur, qui développe ou met sur le marché un système d'IA  

• Le déployeur, qui utilise ce système dans un contexte professionnel - y compris lorsqu'il s'agit d'une solution SaaS achetée à un tiers  

• L'importateur ou distributeur, qui met un système développé hors UE à disposition sur le marché européen 

La nuance critique : la DSI cumule fréquemment ces trois rôles simultanément. Elle est fournisseur lorsqu'elle développe des outils internes, déployeur lorsqu'elle intègre des solutions IA du marché, et potentiellement importatrice lorsque ces solutions sont développées hors Union européenne.  

Chaque rôle entraîne des obligations spécifiques, et le fait d'acheter une solution à un fournisseur tiers ne délègue pas la responsabilité du déploiement. Le fournisseur est responsable de son système, tandis que le déployeur est responsable de son usage. 

Pour vous, cela change la nature du dialogue avec vos éditeurs : les contrats, les clauses de conformité, la documentation technique fournis par les tiers deviennent des éléments de gouvernance à part entière - pas de simples annexes juridiques. 

Différence #4 - La documentation centrale : registre des traitements vs registre des usages IA + Annexe IV 

Le RGPD exige la tenue d'un registre des traitements, complété d'analyses d'impact (PIA) pour les traitements présentant un risque élevé pour les droits et libertés des personnes. C'est une documentation centrée sur l'entité et ses activités de traitement, structurante mais généraliste. 

L'AI Governance Act va beaucoup plus loin, et s’avère beaucoup plus granulaire.  

Pour chaque système d'IA à haut risque, le règlement impose une documentation technique complète, conforme à l'Annexe IV, comprenant  

• Description du système et de sa destination 

• Données d'entraînement, de validation et de test utilisées (Article 10) 

• Architecture technique 

• Métriques de performance  

• Mesures de cybersécurité 

• Évaluation des risques résiduel 

Cette documentation n'est pas un livrable ponctuel. Elle doit être mise à jour à chaque modification substantielle du système, et tenue à disposition des autorités nationales compétentes sur demande. 

Ainsi, votre registre RGPD existant est une base réutilisable, mais il ne couvre pas le niveau de granularité exigé par l'AI Act.  

Qui plus est, cette documentation ne peut pas être produite après coup : elle se construit au fil du cadrage et du développement de chaque système - sinon, elle n'est pas crédible. Ce que vous ne documentez pas au moment où vous concevez, vous ne pourrez pas le reconstituer au moment où vous en aurez besoin. 

Ce dont vous avez besoin pour votre mise en conformité

La documentation technique AI Act exige un cadrage structuré dès le lancement de chaque initiative IA : objectifs, données utilisées, dépendances, risques identifiés, mesures de supervision humaine. Ce niveau de rigueur ne s'improvise pas à la veille d'un audit.  

Les Epic Cards de Smoteo structurent ce cadrage système par système, dès la phase d'initialisation. Par ailleurs, le module AI Agent Governance maintient une vue vivante de chaque agent déployé : cas d'usage, données mobilisées, contraintes réglementaires associées, niveau de risque. Votre documentation devient ainsi un sous-produit naturel du pilotage - pas une charge supplémentaire. 

Différence #5 - La supervision : DPO vs responsable conformité IA + autorités nationales 

Le RGPD a imposé, pour les organisations concernées, la désignation d'un Data Protection Officer. Rôle bien défini, périmètre connu, interlocuteur identifié côté CNIL. La plupart des DSI savent qui appeler en cas de besoin. 

L'AI Governance Act ne crée pas de fonction équivalente aussi clairement normée. Mais il exige de fait un pilotage de conformité d'une nature très différente. Le responsable conformité IA doit disposer d'un mandat transversal réel : accès à la direction générale, légitimité sur la DSI, le DPO, le RSSI, le Juridique et les directions métiers. Ce n'est pas un rôle juridique, mais un rôle de gouvernance. 

Deux exigences renforcent cette dimension :  

• L'obligation de culture IA pour l'ensemble du personnel impliqué dans le développement ou le déploiement de systèmes d'IA - imposé par l’Article 4n, et applicable depuis février 2025.  

• Les autorités nationales compétentes (en France, la CNIL, la DGCCRF et l'Arcom selon les secteurs) peuvent intervenir avec des périmètres distincts selon la nature des systèmes concernés.  

Votre département doit donc être en mesure de produire, à tout moment, une vision consolidée et à jour de l'ensemble des systèmes IA déployés, de leurs niveaux de risque et de leurs statuts de conformité. 

C’est pourquoi l'AI Act ne se délègue pas à un juriste : il se pilote transversalement, avec la même rigueur et les mêmes outils qu'un portefeuille de projets complexes. 

Ce dont vous avez besoin pour votre mise en conformité

Piloter la conformité AI Act en continu suppose une source de vérité partagée sur l'ensemble des systèmes IA actifs dans votre Système d’Information : qui les opère, dans quel contexte, avec quel niveau de risque, sous quelles obligations.  

Grâce au méta-modèle de Smoteo qui connecte stratégie, Architecture, portefeuille et delivery dans un modèle de gouvernance vivant, vous disposez en permanence de la visibilité nécessaire pour piloter, arbitrer et rendre compte, sans reconstituer l'information à chaque comité. 

Différence #6 - Le niveau de sanction et la portée extraterritoriale 

Le RGPD a habitué les organisations à des sanctions significatives : jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial. L'AI Governance Act va plus loin sur les deux tableaux. 

Les amendes sont graduées selon le niveau de violation :  

• Jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial pour le non-respect des pratiques interdites 

• Jusqu'à 15 millions d'euros ou 3 % du CA pour les manquements aux obligations applicables aux systèmes à haut risque 

• Jusqu'à 7,5 millions d'euros ou 1 % du CA pour la fourniture d'informations inexactes aux autorités compétentes.  

Notez que des seuils plus modérés s'appliquent aux PME et startups. 

La portée extraterritoriale, ensuite, dépasse même celle du RGPD dans sa logique d'application. Toute organisation dont les systèmes d'IA produisent des effets sur des personnes situées dans l'Union européenne est concernée - qu'elle soit établie à Paris, Londres, Singapour ou San Francisco. L'AI Act s'impose de facto comme le standard mondial de référence en matière de gouvernance de l'intelligence artificielle, au même titre que le RGPD l'est devenu pour la protection des données. 

Comment vous mettre en conformité avec l'AI Act ?

Télécharger le guide

Ce que votre conformité RGPD vous apporte - et ce qu'elle ne remplace pas 

Si votre organisation a sérieusement travaillé sa conformité RGPD, elle dispose d'actifs réutilisables : un registre des traitements structuré, des PIA méthodologiquement solides, une culture de la donnée installée, des réflexes de documentation et de gouvernance.  

Ce capital n'est pas négligeable : il vous donne 6 à 12 mois d'avance sur les organisations qui partent de zéro. Mais il ne couvre pas l'essentiel de ce que l'AI Governance Act exige en plus. 

Ce que le RGPD ne remplace pas : 

• La qualification système par système selon les quatre niveaux de risque de l'AI Act 

• La documentation technique granulaire de chaque système à haut risque (Annexe IV) 

• Le registre des usages IA, vivant et maintenu en continu à l'échelle du SI 

• La supervision humaine formalisée pour chaque système à haut risque 

• La gestion des rôles spécifiques au règlement : fournisseur, déployeur, importateur 

• La culture IA du personnel impliqué, obligation applicable depuis février 2025 

La conformité RGPD vous donne la méthode. L'AI Act exige que vous l'appliquiez à un objet nouveau, plus granulaire, plus dynamique - et que vous le fassiez système par système, pas entité par entité. Ce n'est pas recommencer, mais aller plus loin, différemment. 

L'AI Governance Act : entre levier de gouvernance et contrainte réglementaire 

L’AI Act formalise réglementairement un problème que beaucoup de CIO connaissent déjà : les systèmes d'IA se déploient plus vite que la capacité des organisations à les gouverner. Les métiers adoptent, les fournisseurs livrent, les usages prolifèrent... et la DSI se retrouve à cartographier après coup ce qu'elle aurait dû cadrer en amont. 

En ce sens, l'AI Governance Act est autant une opportunité qu'une contrainte. Les organisations qui s'en sortiront ne seront pas celles qui auront coché le plus de cases, mais celles qui auront saisi ce moment pour construire une gouvernance IA réellement opérationnelle :  

• Un registre des usages vivant 

• Une documentation produite au fil du cadrage 

• Une supervision humaine intégrée aux processus de delivery 

• Une visibilité consolidée sur l'ensemble du portefeuille IA 

La vraie question n'est pas "comment se mettre en conformité avec l'AI Act ?", mais plutôt “comment construire une organisation capable de piloter son écosystème IA dans la durée, et d'en rendre compte à tout moment ?”. 

Smoteo structure cette gouvernance de bout en bout : recensement continu des initiatives, cadrage système par système, cartographie des agents et de leurs dépendances, pilotage du portefeuille dans un méta-modèle vivant qui connecte stratégie, architecture et delivery. Passez moins de temps à reconstituer l'information, et augmentez votre pouvoir de décider, arbitrer et prouver avec clarté. 

Découvrez comment Smoteo vous aide à piloter votre gouvernance IA. 

Guide pratique

Comment vous mettre en conformité avec l'AI Act ?

Calendrier des obligations, niveaux de risque et checklist complète pour accompagner votre projet

Télécharger le guide

Télécharger le guide