DPO & IA : les 3 obligations RGPD à boucler avant juin 2026

Pourquoi juin 2026 change la donne pour votre DPO

La plupart des dirigeants de PME/ETI croient encore que le RGPD est une formalité administrative. Mais dès juin 2026, deux textes se superposent : le RGPD (révisé) et l’AI Act. Résultat : toute entreprise qui utilise un outil d’IA – CRM prédictif, chatbot, recrutement automatisé, scoring client – entre dans le champ des systèmes à haut risque. Et là, le DPO n’est plus une option.

Aujourd’hui, 40 % des PME françaises n’ont pas désigné de DPO, selon une enquête CNIL 2024. Pourtant, dès lors que vous traitez des données sensibles ou que vous utilisez une IA susceptible de produire des décisions automatisées avec effet juridique (ex : refus de crédit, évaluation de performance), la désignation devient obligatoire. L’AI Act durcit encore la règle : toute IA à haut risque doit être précédée d’une Analyse d’Impact sur la Protection des Données (AIPD).

Le piège : les sanctions s’alourdissent. Jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial pour non-respect des obligations RGPD + AI Act. Pour une PME de 50 personnes, cela peut représenter plusieurs centaines de milliers d’euros. L’échéance de juin 2026 n’est pas un simple rappel : elle marque le début d’un contrôle accru.

Les trois obligations concrètes à mettre en place dès maintenant

1. Désigner un DPO (ou vérifier qu’il est compétent sur l’IA)

Si vous n’avez pas encore de DPO, il est temps d’agir. La CNIL recommande une désignation au moins 6 mois avant la mise en conformité. Vous pouvez recruter en interne ou externaliser. L’essentiel : la personne doit maîtriser à la fois le RGPD et les spécificités de l’IA (biais, explicabilité, cycle de vie des modèles).

Check-list rapide :

• Vérifiez que le DPO est bien enregistré sur le site de la CNIL.
• Assurez-vous qu’il a accès à la direction (il doit pouvoir alerter sans filtre).
• Incluez l’IA dans sa lettre de mission.

2. Réaliser une AIPD pour chaque système d’IA

L’AIPD n’est pas un document générique. Pour chaque outil d’IA que vous utilisez – que ce soit un logiciel acheté ou développé en interne – il faut cartographier les risques : quelles données sont collectées, comment l’algorithme prend-il ses décisions, y a-t-il un risque de discrimination ? Un AIPD bien fait prend entre 3 et 8 semaines selon la complexité. Ne commencez pas en mai 2026.

Exemple concret : une PME de 80 salariés utilise un outil de tri de CV automatisé. L’AIPD doit montrer comment l’outil évite les biais de genre ou d’origine, et comment les candidats peuvent demander une révision humaine. Sans cela, l’entreprise risque une amende et une interdiction d’utilisation.

3. Mettre à jour le registre de traitement

Le registre des traitements est la colonne vertébrale de la conformité RGPD. Avec l’AI Act, il doit maintenant mentionner pour chaque traitement par IA :

• la catégorie de système d’IA (haut risque, risque limité, etc.)
• les mesures de surveillance humaine
• les droits des personnes concernées (information, opposition, portabilité)

Près de 60 % des PME ont un registre incomplet selon notre expérience chez Gapup. Un registre à jour est votre meilleure défense en cas de contrôle CNIL.

Ce que l’AI Act ajoute au RGPD

L’AI Act ne remplace pas le RGPD : il le renforce. Les systèmes d’IA à haut risque – tous ceux qui impactent les droits des personnes (santé, emploi, crédit, justice) – devront respecter des exigences supplémentaires :

• Documentation technique complète (transparence du modèle)
• Garantie de supervision humaine
• Mise en place d’un système de gestion des risques

Pour les PME, le plus simple est souvent de faire auditer son existant par un expert (DPO externe ou consultant spécialisé). Le coût d’un audit IA-RGPD varie de 3 000 € à 15 000 € selon la taille, c’est bien moins que le coût d’une sanction.

Piège à éviter : sous-traiter sans contrôle

Beaucoup de dirigeants pensent que, parce qu’ils achètent un outil SaaS clé en main, le fournisseur est responsable de la conformité. Erreur. En tant que responsable de traitement, vous êtes in fine le garant. Même si votre CRM utilise une IA fournie par un tiers, vous devez exiger les documents de conformité (AIPD du fournisseur, garanties contractuelles).

Conseil : intégrez des clauses RGPD/AI Act dans tous vos contrats SaaS avant juin 2026. Prévoyez un droit d’audit et une obligation de mise à jour en cas d’évolution réglementaire.

Conclusion

Juin 2026 n’est pas une échéance lointaine. Les audits et mises en conformité prennent 6 à 12 mois pour une structure de taille moyenne. DPO, AIPD, registre : ces trois piliers sont l’assurance-vie de votre entreprise face au nouveau cadre réglementaire. N’attendez pas le contrôle pour agir. Si vous voulez un plan d’action sur mesure, notre plateforme gapup.io vous met en relation avec l’un des 115 experts en conformité RGPD/IA partenaires.