L’intelligence artificielle est aujourd’hui au cœur des enjeux de conformité liés au numérique. Son développement s’inscrit dans un environnement réglementaire dense, où les obligations se multiplient. Désormais, un même produit ou service peut relever simultanément de l’AI Act, lorsqu’il intègre un système ou un modèle d’IA, du Cyber Resilience Act, lorsqu’il constitue un produit comportant des éléments numériques, et du RGPD, dès lors qu’il implique un traitement de données à caractère personnel. Dans ce contexte, les organisations ne peuvent plus analyser les réglementations numériques de manière isolée.
Le Cyber Resilience Act (CRA), l’AI Act et le RGPD constituent trois piliers complémentaires de la réglementation numérique européenne. Chacun répond toutefois à une logique propre : le CRA encadre la cybersécurité des produits comportant des éléments numériques, l’AI Act régit les modèles et systèmes d’IA mis sur le marché, mis en service ou utilisés, tandis que le RGPD s’applique, quant à lui, dès lors qu’un traitement de données à caractère personnel est mis en œuvre.
Pour les organisations, la difficulté ne consiste donc pas à choisir entre ces textes, mais à identifier les situations dans lesquelles ils s’appliquent seuls, se cumulent ou doivent être articulés pour assurer leur conformité.
I- Comprendre les finalités propres au CRA, à l’AI Act et au RGPD
Le CRA : assurer la sécurité du produit comportant des éléments numériques
Le Cyber Resilience Act repose sur une logique de sécurité du produit. Il ne vise pas seulement les systèmes d’IA ou les traitements de données personnelles, mais plus largement tous les produits comportant des éléments numériques, comme les logiciels, matériels connectés, composants logiciels et solutions numériques.
Cet objectif de sécurité du produit se traduit par l’introduction d’exigences obligatoires de cybersécurité applicables aux fabricants, importateurs et distributeurs de produits comportant des éléments numériques mis sur le marché de l’Union européenne. Ces exigences couvrent l’ensemble du cycle de vie du produit, depuis sa conception, son développement et sa production jusqu’à sa maintenance, la gestion des vulnérabilités et la fourniture de mises à jour de sécurité.
En pratique, le CRA invite les organisations à appréhender la cybersécurité comme une exigence intégrée au produit lui-même, et non comme une mesure ajoutée a posteriori. La conformité doit donc être pensée dès la conception du produit, puis suivie tout au long de son cycle de vie, afin de garantir un niveau de sécurité adapté à ses usages et aux risques qu’il peut présenter.
L’AI Act : encadrer les risques liés aux systèmes et modèles d’IA
L’AI Act repose sur une logique de régulation des risques liés à l’intelligence artificielle. Il ne vise pas les produits numériques en tant que tels, mais les systèmes et modèles d’IA mis sur le marché, mis en service ou utilisés dans l’Union européenne.
Cet objectif se traduit par une approche par les risques, avec des obligations différentes selon que le système relève d’une pratique interdite, d’un système à haut risque, d’un système soumis à des obligations de transparence, d’un modèle d’IA à usage général ou d’un usage présentant un risque limité.
En pratique, l’AI Act invite les organisations à qualifier leurs systèmes d’IA dès la phase de conception ou d’acquisition, afin d’identifier le niveau de risque applicable et les mesures de gouvernance à mettre en place. La conformité doit ainsi être intégrée tout au long du cycle de vie du système, depuis sa conception jusqu’à son déploiement, son suivi et ses éventuelles évolutions.
Le RGPD : protéger les personnes concernées par les traitements de données personnelles
Le RGPD repose sur une logique de protection des personnes concernées. Il ne s’applique pas en raison de la nature numérique d’un produit ou de l’utilisation d’une technologie d’IA, mais dès lors qu’un traitement de données à caractère personnel est mis en œuvre.
Cet objectif se traduit par l’encadrement des conditions dans lesquelles les données personnelles peuvent être collectées, utilisées, conservées, partagées ou supprimées. Le RGPD impose notamment que les traitements soient licites, transparents, proportionnés et limités à ce qui est nécessaire au regard des finalités poursuivies.
En pratique, le RGPD invite les organisations à intégrer la protection des données dès la conception des produits, services ou systèmes concernés. La conformité suppose donc d’identifier les données traitées, les finalités poursuivies, les personnes concernées et les garanties nécessaires pour préserver leurs droits et libertés tout au long du traitement.
II- L’articulation des textes face aux nouveaux usages numériques
Pendant longtemps, les sujets liés à la cybersécurité, à la protection des données à caractère personnel et à l’intelligence artificielle étaient traités séparément, par des équipes différentes. Les produits numériques étaient principalement analysés sous l’angle technique et sécurité, les systèmes d’IA sous l’angle data ou innovation, et les traitements de données personnelles sous l’angle juridique ou conformité.
Cette approche en silos devient toutefois de moins en moins adaptée aujourd’hui. Les produits et services numériques combinent désormais plusieurs couches technologiques et fonctionnelles. Un même service peut ainsi constituer :
- un produit comportant des éléments numériques, susceptible de relever du CRA ;
- un système d’IA, ou intégrer un modèle d’IA, susceptible d’entrer dans le champ de l’AI Act ;
- un traitement de données à caractère personnel, soumis au RGPD.
Par exemple, un objet connecté de santé intégrant une fonctionnalité d’analyse prédictive peut être à la fois un produit numérique, un système d’IA et un traitement de données personnelles. De même, une application d’assistance client intégrant un agent conversationnel peut relever de l’AI Act, du RGPD et, selon la manière dont elle est mise à disposition, du CRA.
La bonne approche consiste alors à partir du cas d’usage concret pour déterminer, étape par étape, si le produit ou service relève du CRA, de l’AI Act, du RGPD, ou d’une combinaison de plusieurs de ces textes.
III- Identifier les principales configurations d’applications concrètes
1. Le produit comporte uniquement des éléments numériques
Lorsqu’un produit comporte des éléments numériques, sans intégrer de système d’IA, ni impliquer de traitement de données à caractère personnel, il relève principalement du CRA, sans entrer dans le champ d’application de l’AI Act ou du RGPD.
C’est le cas, par exemple, d’un logiciel embarqué dans une machine industrielle connectée, utilisé pour piloter le fonctionnement de la machine à partir de données purement techniques, qui relève du CRA sans entrer dans le champ de l’AI Act ni du RGPD.
Dans cette hypothèse, l’enjeu est d’assurer la cybersécurité du produit tout au long de son cycle de vie en se conformant aux exigences instaurées par le règlement sur la cyberrésilience. L’analyse porte donc sur la sécurité du produit numérique lui-même, ses vulnérabilités potentielles, ses mises à jour et sa capacité à résister à des risques de compromission.
2. Le produit comporte des éléments numériques et intègre un système ou un modèle d’IA
Lorsqu’un produit comportant des éléments numériques intègre un système d’IA ou un modèle d’IA, le CRA et l’AI Act peuvent s’appliquer conjointement.
C’est le cas par exemple, d’une application de prévision météo qui utilise un modèle d’IA pour analyser des données météorologiques et proposer des prévisions locales, qui peut relever du CRA en tant que produit numérique, et de l’AI Act en raison de la fonctionnalité d’IA intégrée.
Dans cette configuration, les deux textes ne couvrent pas exactement le même objet : le CRA vise la sécurité du produit numérique, tandis que l’AI Act encadre les risques liés au système ou au modèle d’IA intégré. L’organisation devra donc qualifier le produit au regard du CRA et qualifier le système ou modèle d’IA au regard de l’AI Act.
3. Le produit comporte des éléments numériques, intègre un système d’IA et traite des données personnelles
Il s’agit de l’hypothèse la plus complète : un même produit ou service peut relever simultanément du CRA, de l’AI Act et du RGPD lorsqu’il comporte des éléments numériques, intègre un système ou un modèle d’IA et implique un traitement de données à caractère personnel.
Par exemple, une application qui utilise les données de localisation d’un utilisateur et un système d’IA pour proposer des trajets personnalisés peut relever des trois textes. Le CRA peut s’appliquer à la cybersécurité de l’application, l’AI Act à la fonctionnalité d’optimisation ou de recommandation de trajet, et le RGPD au traitement des données de localisation et d’utilisation de l’application.
Dans ce cas, les trois textes doivent être articulés dans une même démarche de conformité. L’enjeu n’est pas de conduire trois démarches de conformité totalement séparées, mais d’articuler les analyses autour d’un même cas d’usage, en tenant compte à la fois de la sécurité du produit, des risques liés à l’IA et de la protection des données personnelles.
4. Le produit comporte des éléments numériques et traite des données personnelles, sans intégrer de système d’IA
Un produit numérique peut également relever du CRA et du RGPD, sans entrer dans le champ de l’AI Act.
C’est le cas d’un logiciel de gestion de rendez-vous utilisé par une entreprise pour permettre à ses clients de réserver un créneau en ligne, qui peut relever du CRA et du RGPD.
Dans cette hypothèse, l’analyse doit combiner les exigences relatives à la cybersécurité du produit et celles relatives à la protection des données personnelles. Cette configuration montre que l’absence d’IA ne signifie pas absence d’obligations. La sécurité du produit et la protection des données doivent être pensées conjointement tout au long du cycle de vie du produit.
5. Le projet implique uniquement un traitement de données personnelles
Enfin, certains projets ne relèvent ni du CRA ni de l’AI Act, mais restent soumis au RGPD dès lors qu’ils impliquent un traitement de données à caractère personnel.
Par exemple, une entreprise qui tient une base de contacts clients pour envoyer des communications commerciales traite des données personnelles, comme le nom, l’adresse e-mail ou l’historique des échanges. Si ce traitement ne repose pas sur un système d’IA et ne correspond pas à un produit comportant des éléments numériques mis sur le marché, il relève principalement du RGPD.
Dans cette hypothèse, la conformité porte sur l’encadrement du traitement de données personnelles : finalité poursuivie, base légale, information des personnes, durée de conservation et respect des droits des personnes concernées.
Une qualification à mener au cas par cas
Ces différentes configurations montrent que l’articulation entre le CRA, l’AI Act et le RGPD ne peut pas être déterminée de manière abstraite. Elle dépend des caractéristiques concrètes du produit ou du service, de ses fonctionnalités, des technologies utilisées, des données traitées et de ses modalités de mise à disposition.
Pour les organisations, la bonne approche consiste donc à partir du cas d’usage et à se poser successivement plusieurs questions :
- le produit comporte-t-il des éléments numériques ?
- Intègre-t-il un système ou un modèle d’IA ?
- Traite-t-il des données à caractère personnel ?
- Est-il mis sur le marché, mis en service ou utilisé dans l’Union européenne ?
Cette méthode permet d’identifier les textes applicables, de comprendre leurs points de cumul et d’organiser une conformité plus cohérente, en évitant à la fois les doublons documentaires et les angles morts réglementaires.
IV- Organiser une conformité intégrée entre CRA, AI Act et RGPD
L’articulation entre le CRA, l’AI Act et le RGPD ne représente pas seulement un exercice de qualification juridique mais implique également une organisation interne adaptée, capable de traiter simultanément et conjointement les enjeux liés à la cybersécurité, à l’intelligence artificielle et à la protection des données personnelles.
Dans les projets numériques, les mêmes informations peuvent souvent être utiles à plusieurs démarches de conformité. La description du produit ou du service, les fonctionnalités proposées, les données utilisées, les risques identifiés, les mesures de sécurité mises en place ou encore les décisions de gouvernance peuvent alimenter à la fois l’analyse CRA, l’analyse AI Act et l’analyse RGPD.
L’enjeu est donc d’éviter de créer trois démarches totalement séparées et imperméables. Une approche trop cloisonnée peut entraîner des doublons, des incohérences ou des angles morts. À l’inverse, une gouvernance intégrée permet de mutualiser les analyses, de renforcer la traçabilité des décisions et de mieux piloter la conformité tout au long du cycle de vie du produit ou du système.
En pratique, cela suppose notamment de :
- cartographier les produits, services, systèmes d’IA et traitements de données concernés ;
- qualifier les textes applicables dès la phase de conception ou d’acquisition du produit ou de début du traitement ;
- associer et coordonner les équipes produit, juridique, conformité, cybersécurité, data et protection des données ;
- documenter les décisions de qualification et les mesures mises en œuvre ;
- suivre les évolutions du produit ou du traitement dans le temps, et ce, tout au long de son cycle de vie ;
- mettre à jour les analyses lorsque les fonctionnalités, les données ou les usages évoluent.
Cette approche permet de passer d’une conformité par texte à une conformité par cas d’usage. Elle est particulièrement importante lorsque les produits ou services numériques évoluent rapidement, intègrent de nouvelles fonctionnalités d’IA ou reposent sur des traitements de données de plus en plus complexes.
Anticiper l’imbrication des réglementations numériques avec Naaia
Avec Naaia, les organisations peuvent structurer leur démarche de conformité en identifiant leurs systèmes d’IA, leurs cas d’usage numériques et les réglementations applicables. La plateforme permet aujourd’hui de documenter les analyses, de qualifier les obligations issues de l’AI Act et du RGPD, et d’assurer le suivi des actions de conformité associées. L’intégration prochaine du CRA permettra également d’accompagner les organisations dans l’identification et le pilotage des obligations liées à la cybersécurité des produits comportant des éléments numériques.
En centralisant la cartographie des systèmes, la qualification des cas d’usage, le pilotage des obligations et la traçabilité des décisions, Naaia aide les organisations à passer d’une conformité fragmentée à une gouvernance numérique plus cohérente, opérationnelle et adaptée aux nouveaux enjeux réglementaires.
