AI Act et DPO : ce que révèle l'observatoire CNIL 2025

L'AI Act doit-il devenir une mission du DPO ? La dernière vague de l'observatoire du métier des DPO, menée par l'Afpa pour la CNIL, le ministère du Travail et l'AFCDP, apporte une réponse nuancée : 55 % des 2 390 DPO interrogés ont déjà l'AI Act dans leur périmètre, et 71 % souhaitent qu'il y reste. Mais le règlement européen, lui, ne les mentionne nulle part.

Ce que révèle l'observatoire CNIL 2025

L'enquête, lancée en novembre 2025 et dont les résultats ont été publiés cet été, a recueilli les réponses de 2 390 DPO : 1 896 DPO internes, 234 DPO mutualisés et 260 DPO externes. Le constat de la CNIL est sans détour : aucune des deux lectures possibles de l'AI Act — extension naturelle des missions du DPO, ou sujet hors périmètre — ne s'impose « avec la force de l'évidence ».

Côté conformité, seules 6 % des structures utilisant ou prévoyant d'utiliser de l'IA se disent bien préparées à l'AI Act. 25 % sont en cours d'évaluation des impacts, 28 % ont conscience des enjeux sans avoir engagé d'action concrète, 27 % s'estiment peu ou pas informées, et 10 % se déclarent non concernées. Seules 19 % des organisations disposent d'une stratégie IA formalisée — un chiffre qui grimpe à 50 % au-delà de 1 000 salariés, mais tombe à 36 % sous les 50 salariés.

Pourquoi c'est important : deux règlements, une seule expertise disponible

La CNIL avait posé le cadre dès le lancement de l'enquête : les DPO doivent être associés aux traitements de données mis en œuvre par des systèmes d'IA, sans pour autant devenir les chefs de file de la conformité AI Act. Le règlement européen mobilise en effet des compétences qui, selon la Commission elle-même, « ne sont pas nécessairement celles attendues du DPO ». Elle appelle malgré tout à une « mobilisation judicieuse » de leur expertise, tant les deux textes se ressemblent : approche par les risques, principe de responsabilité, exigences de documentation et de transparence.

Cette proximité méthodologique explique pourquoi 39 % des DPO deviennent, de fait, l'un des principaux responsables de la gouvernance IA lorsqu'une stratégie existe ou se prépare — juste derrière les DSI/CTO (44 %). Quand un comité d'éthique IA existe (ce qui ne concerne que 20 % des structures interrogées), 66 % des DPO y siègent régulièrement. Sur le terrain des projets concrets, 42 % des DPO sont impliqués sur l'ensemble du cycle de vie : 24 % dès l'idéation, seulement 9 % sur l'entraînement des modèles, 26 % avant mise en production, 18 % en exploitation.

Le point de friction est ailleurs : la charge de travail. Sur le volet RGPD appliqué à l'IA, les DPO citent la minimisation des données (57 %), la gestion du cycle de vie (54 %), la transparence des décisions algorithmiques (53 %) et la sécurité des modèles (51 %) comme principaux défis — terrain qu'ils maîtrisent déjà via l'AIPD. Sur le volet spécifiquement AI Act, la difficulté change de nature : identifier le niveau de risque d'un système d'IA (62 %), documenter et obtenir la documentation des prestataires (53 %), ou encore articuler AIPD et analyse d'impact sur les droits fondamentaux (41 %) — un exercice qui suppose des compétences plus techniques que juridiques.

Ce que ça change pour les organisations

Trois signaux de l'observatoire méritent une action immédiate. D'abord, la formation : seuls 15 % des DPO interrogés avaient suivi une formation IA au moment de l'enquête, et les deux tiers déclarent manquer d'outils ou de méthodes pour évaluer la conformité AI Act. Prioriser l'articulation RGPD/AI Act et les méthodologies d'évaluation des risques IA dans le plan de formation 2026-2027 est donc une urgence, pas une option.

Ensuite, la clarification du mandat. Un DPO « impliqué » n'est pas un DPO « responsable » : les directions doivent trancher explicitement le rôle du DPO dans la gouvernance IA (pilote, contributeur, ou simple consulté) plutôt que de laisser le flou s'installer, sous peine de voir 33 % des DPO ressentir cette extension comme une pure surcharge sans les moyens qui vont avec.

Enfin, la classification des systèmes d'IA par niveau de risque reste le goulot d'étranglement numéro un (62 % des DPO le citent). C'est la première brique à sécuriser avant toute documentation ou AIPD, car c'est elle qui détermine l'ensemble des obligations applicables à un système donné.

Ce que Leto pense de cette décision

Ce chiffre de 6 % de structures « bien préparées » à l'AI Act, dix-huit mois après son entrée en vigueur, devrait alerter davantage qu'il ne rassure. L'observatoire confirme ce que nous observons chez nos clients : le DPO devient de fait le point de passage de la conformité IA, par défaut plutôt que par mandat clair, simplement parce qu'il est le seul profil déjà rompu à l'approche par les risques et à la documentation exigeante. Ne pas trancher ce mandat, c'est reporter le problème — et l'aggraver, puisque les échéances haut risque de l'AI Act, même reportées par l'Omnibus, continuent d'avancer. Notre conviction : mieux vaut un DPO officiellement co-pilote de la gouvernance IA, formé et outillé, qu'un DPO informellement débordé.

Sources : Silicon.fr, « L'AI Act doit-il être l'affaire des DPO ? », CNIL, observatoire du métier des DPO face à l'IA (rapport complet), CNIL, lancement de l'enquête (novembre 2025).