Gouvernance de l'IA : maîtrise de l'IA, organisation et articulation avec le RGPD

La maîtrise de l'IA désigne les compétences, connaissances et compréhension qui permettent d'utiliser des systèmes d'IA en connaissance de cause et de mesurer leurs possibilités, leurs risques et les préjudices qu'ils peuvent causer (article 3, point 56). L'article 4, réécrit par l'omnibus, demande aux fournisseurs et aux déployeurs de prendre des mesures pour favoriser cette maîtrise chez leur personnel et chez les autres personnes qui utilisent les systèmes pour leur compte, en tenant compte :

• de leurs connaissances techniques, de leur expérience, de leur éducation et de leur formation ;
• du contexte dans lequel les systèmes seront utilisés ;
• des personnes ou groupes de personnes sur lesquels ils seront utilisés.

Le nouveau texte précise que l'obligation n'impose pas de garantir un niveau précis de maîtrise pour chaque personne. La Commission et les États membres doivent accompagner les entreprises, notamment les PME, et la Commission publiera des exemples pratiques. Elle indique dans ses questions-réponses qu'aucun certificat n'est requis et propose un socle : comprendre ce qu'est l'IA et quels systèmes l'organisation utilise, savoir si l'on est fournisseur ou déployeur, connaître les risques de ces systèmes, et adapter la formation au niveau des personnes et au contexte.

Les éléments qui suivent ne sont pas imposés tels quels par le règlement : ce sont des moyens de remplir ses obligations et de pouvoir le démontrer. Ils s'intègrent dans la démarche GRC existante plutôt que de créer une organisation à part.

Pour un cadre de management complet, la norme ISO 42001 décrit un système de management de l'IA certifiable, compatible avec un SMSI ISO 27001. Elle n'est pas exigée par l'AI Act. Pour l'usage de l'IA dans les métiers de la conformité eux-mêmes, voyez aussi IA et GRC : ce que l'automatisation change, et ses limites.

La CNIL le rappelle dans ses questions-réponses mises à jour en août 2026 : le règlement sur l'IA ne remplace pas les exigences du RGPD, il les complète. Dès qu'un système d'IA traite des données personnelles, ce qui est le cas de presque tous les usages en ressources humaines, les deux textes s'appliquent ensemble.

• AIPD : la CNIL indique que l'analyse d'impact relative à la protection des données sera présumée requise pour le fournisseur et le déployeur d'un système à haut risque. Le déployeur peut s'appuyer sur les informations de la notice (article 26, paragraphe 9) et sur l'AIPD du fournisseur. Voir notre article sur l'AIPD.
• Analyse d'impact sur les droits fondamentaux : quand elle est due, elle peut renvoyer à l'AIPD ou en reprendre les éléments (article 27, paragraphe 4) ; la CNIL indique que les deux analyses peuvent être réunies dans un document unique.
• Décision automatisée : l'article 22 du RGPD donne le droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé, y compris le profilage, qui produit des effets juridiques ou affecte la personne de manière significative. Un tri de candidatures doit donc laisser la décision à une personne.
• Registre et sous-traitance : l'outil d'IA apparaît dans le registre des traitements, et l'éditeur qui traite les données pour votre compte signe un contrat de sous-traitance.

Dans le recrutement et la gestion du personnel, l'AI Act s'ajoute à des obligations françaises plus anciennes :