C'est une question que l'on me pose de plus en plus souvent, et elle est légitime.
Depuis que l'AI Act, le règlement européen sur l'intelligence artificielle, s'ajoute au RGPD, les entreprises se demandent si un même faux pas peut leur coûter deux amendes. La réponse courte : oui, les deux régimes se cumulent. Mais il faut comprendre pourquoi, et jusqu'où.
Prenons un exemple concret qui servira de fil rouge : un logiciel qui trie automatiquement des candidatures. C'est un système d'IA à haut risque au sens de l'AI Act, et il traite des données personnelles au sens du RGPD. S'il est mal encadré, il peut tomber sous le coup des deux textes à la fois.
La clé de tout, c'est de comprendre que le RGPD et l'AI Act ne protègent pas la même chose.
Le RGPD protège les données personnelles et les droits des personnes sur ces données. Sa question centrale est : ce traitement de données est-il licite, minimisé, transparent ?
L'AI Act protège la sécurité et les droits fondamentaux face aux systèmes d'IA. Sa question centrale est : ce système d'IA est-il sûr, documenté, encadré selon son niveau de risque ?
Le Comité européen de la protection des données (le CEPD) l'a résumé dans une déclaration officielle : ces deux instruments sont « complémentaires et se renforcent mutuellement ». Ils ne se remplacent pas, ils se superposent.
Puisque les deux textes protègent des intérêts différents et sanctionnent des faits différents, une même situation peut engager votre responsabilité sur les deux fondements.
Le fondement se trouve dans l'article 2, paragraphe 7, de l'AI Act, qui prévoit que le règlement « n'affecte pas » le RGPD : le droit de la protection des données continue de s'appliquer pleinement, en parallèle.
Les deux régimes coexistent donc, chacun avec ses propres sanctions. Soyons précis toutefois : aucun texte ne dit littéralement « vous serez sanctionné deux fois ». Le cumul se déduit de cette coexistence et du fait que les deux régimes protègent des intérêts différents.
Reprenons notre logiciel de tri de candidatures. S'il traite les CV sans base légale et sans informer les candidats, c'est un manquement au RGPD. Si, en parallèle, il ne respecte pas les obligations applicables aux systèmes à haut risque (documentation, supervision humaine, gestion des risques), c'est un manquement à l'AI Act. Deux manquements distincts, deux fondements, potentiellement deux sanctions.
Le cumul n'est pas illimité. Il existe un principe fondamental, « ne bis in idem », qui interdit de sanctionner deux fois la même personne pour le même fait, au titre du même intérêt protégé.
Ici, comme les intérêts protégés diffèrent (les données d'un côté, la sécurité du système de l'autre), le cumul reste en principe possible. Mais les autorités doivent respecter la proportionnalité et coordonner leur action pour éviter les incohérences. C'est justement le point sur lequel les régulateurs insistent le plus.
Pour le RGPD, c'est simple et connu : la CNIL.
Pour l'AI Act, la gouvernance française se construit encore.
À ce jour, toutes les autorités n'ont pas été formellement désignées, mais l'architecture se dessine comme sectorielle : la CNIL joue un rôle central dès qu'il y a des données personnelles.
Un point important : le CEPD et la CNIL demandent que les autorités de protection des données soient désignées comme autorités de surveillance du marché pour les systèmes d'IA à haut risque. Si cette position l'emporte, c'est souvent la même autorité, la CNIL, qui se retrouvera aux deux manettes lorsqu'il y a des données personnelles en jeu. Cela facilite la coordination, mais rend le cumul d'autant plus concret.
Les deux régimes n'ont ni la même échelle, ni la même logique.
Le RGPD prévoit deux paliers, et c'est le montant le plus élevé qui est retenu : jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires mondial pour les manquements aux obligations comme le registre, la sécurité ou la notification des violations, et jusqu'à 20 millions d'euros ou 4 % pour les atteintes aux principes, aux bases légales, aux droits des personnes ou aux règles de transfert. Le régulateur est la CNIL.
L'AI Act prévoit trois paliers : jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires pour les pratiques interdites, jusqu'à 15 millions d'euros ou 3 % pour les manquements aux obligations (systèmes à haut risque, transparence, obligations des déployeurs), et jusqu'à 7,5 millions d'euros ou 1 % pour les informations inexactes fournies aux autorités. Le régulateur est l'autorité de surveillance du marché.
Une nuance utile pour les TPE et PME : dans l'AI Act, c'est le montant le plus bas entre la somme fixe et le pourcentage qui s'applique, alors que pour les grandes entreprises c'est le plus élevé. Une protection bienvenue pour les petites structures.
Sur ce sujet, il faut être précis, car c'est là que beaucoup d'articles surinterprètent.
Le CEPD, dans sa déclaration 3/2024, affirme la complémentarité des deux textes, rappelle que le droit de la protection des données s'applique pleinement au cycle de vie des systèmes d'IA, et appelle à des « procédures claires » de coopération entre autorités, au nom du principe de coopération loyale. La CNIL relaie cette position et plaide pour une articulation harmonieuse des deux règlements.
En revanche, et c'est la nuance honnête à connaître, ni le CEPD ni la CNIL n'ont publié, à ce jour, de position explicite tranchant précisément la question du cumul des montants d'amendes ou du ne bis in idem dans ce contexte.
Le discours officiel porte sur la complémentarité et la coordination, pas sur une doctrine du double montant. Le cumul se déduit de la coexistence des textes (l'AI Act, à son article 2, précise qu'il n'affecte pas le RGPD), mais son articulation fine reste à préciser par la pratique et la jurisprudence.
La bonne nouvelle, c'est que vous n'avez pas à gérer deux chantiers séparés. Une gouvernance claire répond aux deux régimes en même temps : identifier vos systèmes d'IA et leur niveau de risque, sécuriser les données qu'ils traitent, documenter, former vos équipes, encadrer les usages. Ce sont les mêmes réflexes qui vous protègent sur les deux tableaux.
Le vrai risque n'est pas de subir deux amendes théoriques. C'est de découvrir, lors d'un contrôle, que personne dans l'entreprise ne savait qui utilisait quel outil, avec quelles données, et sous quel cadre.
Chez DataTreat, nous auditons vos systèmes d'IA à la double lumière du RGPD et de l'AI Act : cartographie, qualification des risques, documentation, formation et gouvernance. Un seul chantier, deux régimes couverts.
Lisez nos derniers articles et restez informés sur l'IA.
.png){kind=icon}