RGPD + AI Act : la double conformité pour PME avant août 2026

Le 2 août 2026, l’essentiel du Règlement (UE) 2024/1689 - dit AI Act - entre en application. Pour la plupart des dirigeants de PME wallonnes et bruxelloises, la première réaction est légitime : « j’ai déjà fait le RGPD en 2018, ça devrait couvrir ». Cette intuition est fausse. Le RGPD et l’AI Act sont deux règlements complémentaires, qui se chevauchent sur certains points et divergent sur d’autres. L’un ne remplace pas l’autre, et un audit AI Act bien mené démarre presque toujours par un constat de dette RGPD résiduelle.

Cet article ne refait pas la checklist AI Act seule, traitée dans AI Act pour PME belges : checklist août 2026. Il décrit comment articuler concrètement les deux règlements en PME belge, où ils convergent, où ils divergent, et ce qu’il faut produire avant le 2 août 2026.

Pourquoi le 2 août 2026 change la donne

L’AI Act est entré en vigueur le 1er août 2024, mais son application est échelonnée. Trois jalons sont déjà derrière nous : les interdictions et la littératie IA (Art. 4) depuis le 2 février 2025, les obligations applicables aux modèles à usage général (Art. 51 et suivants) et la gouvernance depuis le 2 août 2025. Le 2 août 2026, c’est le cœur du règlement qui s’active : les obligations applicables aux systèmes à haut risque listés à l’Annexe III, la transparence de l’Art. 50, et le régime complet de sanctions de l’Art. 99.

1. 1 août 2024
   Entrée en vigueur de l'AI Act Publication au Journal officiel et début du décompte d'application progressive.
2. 2 février 2025
   Pratiques interdites + littératie IA Art. 5 (interdictions : scoring social, manipulation, biométrie sauvage) et Art. 4 (formation des collaborateurs utilisant des systèmes IA) deviennent contraignants.
3. 2 août 2025
   Modèles à usage général et gouvernance Obligations des fournisseurs de modèles fondationnels (Art. 51-55), mise en place de l'AI Office et des autorités nationales compétentes.
4. 2 août 2026
   Cœur de l'AI Act Systèmes haut risque (Art. 6 + Annexe III), transparence (Art. 50), sanctions complètes (Art. 99). C'est l'échéance qui touche le plus de PME.
5. 2 août 2027
   Grandfathering haut risque Mise en conformité des systèmes haut risque déjà sur le marché avant août 2026, sous le régime transitoire de l'Art. 111.

Commission européenne - Regulatory framework for AI, calendrier officiel, vérifié le 19 mai 2026

Le RGPD, lui, est pleinement applicable depuis le 25 mai 2018. Il n’a pas été modifié par l’AI Act. Le Considérant 9 du Règlement 2024/1689 le rappelle explicitement : l’AI Act s’applique « sans préjudice » du RGPD. Concrètement, cela signifie que dès qu’un système IA traite des données à caractère personnel, il est soumis aux deux textes, simultanément, et que la non-conformité à l’un n’efface pas l’autre.

Ce qui se chevauche : DPIA et documentation systèmes haut risque

L’analyse d’impact relative à la protection des données (AIPD ou DPIA) est exigée par l’Art. 35 RGPD lorsqu’un traitement est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes. C’est typiquement le cas des systèmes IA qui prennent ou alimentent une décision affectant un individu : tri de CV, scoring crédit, ciblage marketing comportemental, détection de fraude. L’EDPB, dans son Opinion 28/2024 adoptée le 18 décembre 2024, a clarifié plusieurs points sur l’usage de données personnelles pour entraîner des modèles d’IA : conditions d’anonymat du modèle, recours à l’intérêt légitime comme base juridique (Art. 6 §1 f du RGPD), et conséquences d’un entraînement réalisé sur des données traitées illicitement.

De son côté, l’Art. 11 de l’AI Act impose au fournisseur d’un système haut risque la tenue d’une documentation technique : finalité, description, architecture, données utilisées, performance, capacités, limites, mesures de gestion des risques. L’Art. 26 §6 ajoute, pour le déployeur, l’obligation de conserver les journaux générés automatiquement et de surveiller le fonctionnement du système.

Le chevauchement est réel mais partiel. Une AIPD bien faite couvre :

• L’identification du traitement et de sa finalité.
• La description des flux de données et des catégories de personnes concernées.
• L’analyse de la nécessité et de la proportionnalité.
• L’évaluation des risques pour les personnes.
• Les mesures de mitigation envisagées.

Ces éléments alimentent directement la documentation technique de l’Art. 11 AI Act, mais ne couvrent pas :

• L’architecture détaillée du système (modèle, pipeline, dépendances).
• Les métriques de performance et les tests (Art. 15 AI Act sur exactitude, robustesse, cybersécurité).
• La traçabilité automatique des sorties (Art. 12 AI Act sur journalisation).
• La procédure de surveillance humaine (Art. 14 AI Act).

Autrement dit, l’AIPD est un point de départ utile mais insuffisant. Pour un système haut risque, il faut produire un dossier technique séparé, qui prend appui sur l’AIPD mais la dépasse largement.

Ce qui diverge : registre traitements RGPD vs registre systèmes IA

L’Art. 30 RGPD impose au responsable du traitement (et au sous-traitant) la tenue d’un registre des activités de traitement. C’est un document interne, présenté à l’autorité de contrôle sur demande. Il liste, pour chaque traitement : finalité, catégories de données, catégories de personnes, destinataires, transferts hors UE, délais d’effacement, mesures de sécurité.

L’AI Act introduit une logique différente. Il n’impose pas un « registre IA » au sens du RGPD, mais empile plusieurs obligations documentaires selon le rôle joué :

• Fournisseur d’un système haut risque (Art. 16) : documentation technique (Art. 11), système de gestion de la qualité (Art. 17), conservation des logs (Art. 19), déclaration de conformité UE (Art. 47), marquage CE.
• Déployeur d’un système haut risque (Art. 26) : enregistrement de l’usage, surveillance, conservation des logs, information des personnes concernées dans certains cas, AIPD complémentaire le cas échéant.
• Fournisseur de modèle à usage général (Art. 53) : documentation technique du modèle, résumé du contenu d’entraînement, politique de respect du droit d’auteur.

L’objet documenté diffère : le RGPD documente des traitements, l’AI Act documente des systèmes et des modèles. Un même outil ChatGPT Enterprise utilisé par une PME peut générer trois lignes différentes : un traitement RGPD (« traitement des prompts collaborateurs »), un système IA inventorié comme déployeur, et un usage haut risque ou non selon le cas.

En PME, la solution pratique consiste à tenir un tableau unique, avec deux jeux de colonnes : colonnes RGPD (finalité, base légale, durée, destinataires) et colonnes AI Act (rôle, classification de risque, fournisseur, version, AIPD, surveillance humaine). L’outil de tenue importe peu, à condition que le tableau soit à jour et présentable.

Les quatre catégories d’exposition PME

L’AI Act ne définit pas explicitement une typologie « PME », mais l’analyse pratique fait émerger quatre situations distinctes selon le rôle joué par l’entreprise.

Règlement UE 2024/1689, Articles 4, 11, 26, 50, 51-55, vérifié le 19 mai 2026

La grande majorité des PME wallonnes et bruxelloises tombent en catégorie A. Les catégories B et D restent l’exception. La catégorie C est le piège classique : une PME qui acquiert un logiciel de tri de CV alimenté par IA devient déployeur d’un système haut risque au sens de l’Annexe III, point 4 (emploi, gestion des travailleurs et accès à l’emploi indépendant). Le fournisseur du logiciel porte les obligations lourdes, mais la PME conserve celles de l’Art. 26.

La transparence Article 50 : ce qui s’applique aux PME qui publient du contenu IA

L’Art. 50 du Règlement 2024/1689 est l’article qui touche le plus de PME en 2026, parce qu’il s’applique indépendamment du niveau de risque du système. Il distingue les obligations qui pèsent sur le fournisseur (Art. 50 §1 et §2) et celles qui pèsent sur le déployeur (Art. 50 §3 et §4).

Côté fournisseur, deux obligations principales :

1. Chatbots et systèmes conversationnels (Art. 50 §1) : un système destiné à interagir directement avec des personnes physiques doit être conçu pour que l’utilisateur sache qu’il interagit avec une IA, sauf si cela est évident pour une personne raisonnablement bien informée.
2. Marquage machine-readable des contenus synthétiques (Art. 50 §2) : un système qui génère ou manipule audio, image, vidéo ou texte synthétique doit marquer la sortie dans un format détectable et lisible par machine (watermark, métadonnées C2PA, IPTC).

Côté déployeur, qui est le rôle de la PME utilisatrice :

3. Reconnaissance d’émotions et catégorisation biométrique (Art. 50 §3) : information explicite des personnes exposées, en plus du RGPD.
4. Deepfakes (Art. 50 §4) : tout contenu image, audio ou vidéo qui ressemble de manière trompeuse à une personne, un objet, un lieu ou un événement existant doit être étiqueté comme artificiellement généré ou manipulé. Exception : œuvres artistiques, créatives ou satiriques, où la mention « contenu généré par IA » peut être plus discrète.
5. Textes IA d’intérêt public (Art. 50 §4 al. 2) : texte publié pour informer le public sur des sujets d’intérêt général doit être étiqueté, sauf s’il a fait l’objet d’un contrôle éditorial humain.

Pour une PME qui publie un blog, des images marketing ou des vidéos sociales générées par IA, l’obligation pratique est claire : mention visible et machine-readable. Une PME qui n’utilise un copilote IA que pour relire ou reformuler du contenu humain n’est pas concernée par l’Art. 50 §4 al. 2 si le contrôle éditorial humain est réel.

AI Act - Article 50 (texte officiel consolidé), vérifié le 19 mai 2026

Comment articuler concrètement RGPD et AI Act dans une PME

La méthode qui fonctionne en cabinet, sur les dossiers PME que nous traitons depuis 2024, tient en cinq étapes. Aucune n’est révolutionnaire ; chacune doit être documentée.

1. Inventaire des systèmes IA réellement utilisés. Pas seulement ChatGPT déclaré, mais aussi les modules IA enfouis dans le CRM, le logiciel comptable, l’ATS de recrutement, le SI de production. Cet inventaire conditionne tout le reste. Sans lui, le périmètre RGPD reste incomplet et le périmètre AI Act inexistant.

2. Qualification du rôle pour chaque système. Fournisseur, déployeur, importateur, distributeur (Art. 3 §3, §4, §6, §7). La PME est presque toujours déployeur. Mais si vous revendez à un client un outil interne intégrant de l’IA, vous devenez fournisseur, avec un paquet d’obligations supplémentaires.

3. Classification du risque AI Act. Haut risque (Art. 6 + Annexe III), risque limité avec transparence (Art. 50), risque minimal. À ce stade, identifier aussi les pratiques interdites (Art. 5) pour les écarter immédiatement.

4. Inventaire des traitements RGPD associés. Pour chaque système IA traitant des données personnelles, vérifier l’inscription dans le registre Art. 30, la base légale (Art. 6), l’éventuelle nécessité d’une AIPD (Art. 35), et la conformité aux obligations de droit des personnes (Art. 13-22, dont l’Art. 22 sur la décision automatisée individuelle).

5. Documentation croisée. Produire pour chaque système la fiche conjointe RGPD + AI Act : finalité, données, base légale, classification AI Act, AIPD si requise, documentation technique si haut risque, plan de surveillance humaine, mention de transparence Art. 50 si applicable.

La brochure de l’APD belge sur les systèmes IA et le RGPD reprend, pour la partie RGPD, ces principes : licéité, loyauté, transparence, minimisation, sécurité, droits des personnes. L’APD a confirmé en septembre 2025 son rôle d’autorité de contrôle attentive à la fois au RGPD et à l’AI Act, et a annoncé une coopération renforcée avec les autres autorités belges compétentes.

À noter : à la date de cet article, le législateur belge n’a pas encore adopté la loi nationale d’exécution de l’AI Act qui désignera formellement les autorités compétentes et leurs sanctions. Le cadre européen s’applique néanmoins directement, comme tout règlement.

Les sanctions : un régime à trois étages

L’Art. 99 du Règlement 2024/1689 fixe trois plafonds de sanctions administratives. Les PME bénéficient d’un cap réduit (Art. 99 §6) : le montant retenu est le plus faible des deux entre montant fixe et pourcentage du chiffre d’affaires mondial.

Règlement UE 2024/1689, Article 99, vérifié le 19 mai 2026

Côté RGPD, les sanctions de l’Art. 83 demeurent applicables : 20 M€ ou 4 % du CA mondial. Un même fait peut, sous certaines conditions, donner lieu à des procédures parallèles. La logique du « ne bis in idem » (Art. 50 Charte des droits fondamentaux) restreint l’addition pure des sanctions, mais elle ne dispense pas du double respect.

Checklist actionnable avant le 2 août 2026

Le calendrier serré impose des arbitrages. La checklist suivante priorise ce qui doit être en place le 2 août 2026 pour une PME en catégorie A (déployeur sans usage haut risque). Pour les catégories B, C et D, ajouter le travail spécifique au rôle joué.

• Politique d'usage IA interne rédigée et diffusée (Art. 4 AI Act, déjà obligatoire depuis février 2025)
• Formation littératie IA des collaborateurs avec traces formelles (Art. 4 AI Act)
• Inventaire à jour des systèmes IA utilisés dans l'entreprise, y compris modules enfouis dans les SaaS
• Qualification du rôle pour chaque système (fournisseur, déployeur, importateur)
• Classification du risque AI Act pour chaque système, et exclusion explicite des pratiques interdites (Art. 5)
• Registre des activités de traitement (Art. 30 RGPD) mis à jour pour inclure les traitements IA
• AIPD réalisée pour les traitements à risque élevé (Art. 35 RGPD), y compris ceux alimentés par IA
• Mention de transparence Art. 50 sur tous les contenus publics générés ou manipulés par IA
• Chatbot public conçu pour révéler sa nature IA dès le premier message (Art. 50 §1)
• Procédure d'information des personnes en cas d'usage de reconnaissance d'émotion ou de catégorisation biométrique (Art. 50 §3)
• Fiche unique par système croisant RGPD et AI Act (finalité, base légale, classification, AIPD, surveillance humaine)
• Politique d'usage IA et registre intégrés dans le système de gestion documentaire (auditable à tout moment)
• Personne référente identifiée en interne (DPO, juriste, dirigeant délégué) pour coordonner les deux règlements

Le 2 août 2026 n’est pas une date après laquelle tout doit être parfait. C’est une date après laquelle les obligations sont opposables. Une PME qui présente, le 3 août, un inventaire honnête, une qualification claire, un registre RGPD croisé et une démarche documentée de littératie et de transparence est dans une position défendable face à l’APD, même si chaque pièce du dossier n’est pas finalisée. À l’inverse, une PME qui découvre la question en septembre 2026 part avec deux ans de retard et un risque cumulé sur les deux règlements.