L'enquête publiée par la CNIL le 3 juillet 2026 sur les délégués à la protection des données et l'intelligence artificielle révèle une situation précise : 55 % des délégués déclarent que le règlement européen sur l'IA fait déjà partie de leurs responsabilités (source : CNIL, enquête DPO et IA 2025, publiée le 3 juillet 2026). La même enquête indique que 85 % d'entre eux n'ont reçu aucune formation dédiée à ce règlement. La CNIL a tenu un webinaire sur ce sujet le 29 septembre 2026. Ce que ces deux données mises ensemble révèlent n'est pas un problème de formation : c'est un problème de gouvernance.
Un périmètre qui s'est étendu sans décision formelle
Le mandat du délégué à la protection des données est défini par le RGPD. Sa lettre de mission couvre la supervision de la conformité au règlement européen sur la protection des données : registre des traitements, analyses d'impact, formation des équipes, interface avec la CNIL. Ce périmètre n'a pas évolué formellement depuis l'entrée en vigueur du RGPD.
L'EU AI Act crée un ensemble d'obligations nouvelles : documentation technique, gestion des risques, journalisation, supervision humaine, notification d'incident pour les systèmes à haut risque. Ces obligations s'appliquent aux fournisseurs et aux déployeurs de systèmes d'IA. Lorsque le système en question traite des données personnelles, le périmètre naturel du DPO et celui de l'EU AI Act se superposent.
Les organisations ont géré cette superposition de la façon la plus simple : en confiant la question au DPO, sans modifier son mandat. Résultat : 55 % des délégués gèrent déjà l'EU AI Act dans les faits, mais 71 % souhaitent que ce périmètre soit officiellement élargi. Ils font le travail. Ils n'ont pas l'autorité qui va avec.
Ce que les chiffres ne disent pas explicitement
Deux statistiques de l'enquête méritent d'être lues ensemble. D'un côté, 70 % des organisations interrogées utilisent ou prévoient d'utiliser des systèmes d'IA, dont 81 % de l'IA générative. De l'autre, moins de 31 % ont engagé une préparation à l'EU AI Act. La conséquence directe : des systèmes d'IA sont déployés dans des organisations qui n'ont pas cartographié leurs obligations au titre du règlement.
Quand ce n'est ni le DG, ni le DSI, ni le RSSI qui porte formellement l'EU AI Act, c'est le DPO qui absorbe la question par défaut, parce que son mandat RGPD le rapproche naturellement du sujet. L'enquête montre que cette situation est courante : dans moins de 25 % des organisations, il existe une stratégie ou des politiques IA formalisées. C'est la même organisation qui pense que son DPO gère la conformité EU AI Act.
L'incident révélateur
Un scénario concret permet de mesurer où se situe réellement la lacune. Un prestataire auquel vous avez délégué un traitement RH utilise un outil d'aide au tri de candidatures. Ce système entre dans la catégorie des systèmes à haut risque au sens de l'Annexe III de l'EU AI Act : il touche à l'accès à l'emploi. Il traite des données personnelles de candidats. En septembre, ce prestataire subit une compromission : des milliers de dossiers de candidature sont exfiltrés.
Votre DPO doit notifier la CNIL dans les 72 heures au titre de l'Article 33 du RGPD, et évaluer si les personnes concernées doivent être informées au titre de l'Article 34. Mais qui évalue si le système d'IA respectait les obligations de documentation technique de l'Article 11 de l'EU AI Act ? Qui demande au prestataire ses journaux d'activité du système, obligatoires au titre de l'Article 12 ? Qui vérifie que l'évaluation de conformité prévue à l'Article 43 a bien été réalisée avant le déploiement ?
Si votre organisation n'a pas de responsable EU AI Act désigné, et si votre DPO n'a pas été formé aux obligations spécifiques du règlement, vous découvrez les réponses à ces questions au moment où vous en avez le moins le temps. Pour comprendre comment les systèmes d'IA autonomes créent des responsabilités nouvelles dans ce type de scénario, l'analyse des gouvernance AI Act et NIS2 face aux agents autonomes détaille les angles morts les plus fréquents.
Quatre mesures pour combler l'écart
Mettre à jour la lettre de mission du DPO. Si votre DPO supervise déjà les systèmes d'IA qui traitent des données personnelles, formalisez ce périmètre. Une lettre de mission qui lui confie explicitement la supervision des systèmes à haut risque au sens de l'EU AI Act lui donne les moyens d'agir : accès aux documentations techniques, droit de demander les évaluations de conformité aux fournisseurs, participation aux décisions d'achat ou de déploiement. Cette mise à jour ne crée pas de charge nouvelle : elle donne de l'autorité à une charge qui existe déjà.
Prévoir une formation EU AI Act avant que la situation l'impose. 85 % des DPOs n'ont reçu aucune formation dédiée. Les organismes de formation spécialisés proposent des formats de deux à trois jours couvrant les obligations des déployeurs : Annexe III, Article 9 (gestion des risques), Article 13 (transparence), Article 17 (politique de gouvernance). Attendre le premier incident ou le premier contrôle CNIL pour investir dans cette formation revient à former un pilote après un accident.
Cartographier les systèmes d'IA à haut risque qui traitent des données personnelles. Cette intersection est le périmètre naturel du DPO : chaque système qui entre dans l'Annexe III et traite des données identifiantes doit être documenté, son évaluation de conformité vérifiée, ses journaux d'activité accessibles. Ce recensement peut partir du registre des traitements existant : chaque fournisseur ou outil utilisant des modèles d'IA dans un traitement à haut risque est une entrée à qualifier.
Définir un protocole "incident IA-données". Pour chaque scénario où un système d'IA à haut risque traite des données personnelles et subit une défaillance ou une compromission, définissez en amont qui fait quoi : DPO pour la notification RGPD, référent EU AI Act pour les obligations spécifiques au règlement IA, RSSI pour l'incident de sécurité au titre de NIS2. Ces trois cadres se déclenchent en parallèle et ont des délais différents. L'improvisation dans les 72 premières heures coûte plus cher que la procédure écrite à l'avance.
Ce que le webinaire CNIL signale
La CNIL a organisé le 29 septembre 2026 un webinaire spécifiquement consacré au rôle du délégué à la protection des données à l'ère de l'intelligence artificielle. Ce choix de sujet par le régulateur n'est pas anodin : la CNIL envoie un signal sur la façon dont elle envisage les contrôles futurs. Les DPOs sont identifiés comme l'interlocuteur naturel sur les systèmes d'IA qui traitent des données personnelles.
La question à se poser n'est pas si votre DPO sera interrogé sur la gouvernance IA lors d'un contrôle. La question est de savoir si, lorsque cela se produit, il aura les éléments pour répondre : cartographie des systèmes à haut risque, documentation des évaluations de conformité, procédures d'incident formalisées. L'enquête indique que 27 % des DPOs déclarent une bonne connaissance du texte de l'EU AI Act. Si votre délégué fait partie des 73 % restants, le délai pour agir est court.