Le règlement européen sur l'intelligence artificielle n'impose pas de nommer un « référent IA », contrairement au RGPD qui rend le DPO obligatoire dans certains cas. Mais il impose des obligations — notamment un niveau suffisant de maîtrise de l'IA chez les personnes qui l'utilisent, et une supervision humaine pour les systèmes à haut risque. Dans les faits, ces obligations supposent que quelqu'un en soit responsable. Le DPO, lui, reste obligatoire dans les cas prévus par le RGPD, indépendamment de l'IA.
Autrement dit : le DPO répond d'une obligation légale identifiée, le référent IA répond d'un besoin organisationnel créé par des obligations qui n'en désignent pas le titulaire.
La désignation d'un délégué à la protection des données est obligatoire dans trois cas : lorsque le traitement est effectué par une autorité ou un organisme public, lorsque l'activité de base exige un suivi régulier et systématique des personnes à grande échelle, ou lorsqu'elle porte sur des données sensibles ou relatives à des condamnations à grande échelle.
Hors de ces cas, la désignation est facultative mais recommandée. Le DPO peut être interne ou externe, et son rôle est distinct de celui d'un responsable informatique : il exerce en indépendance et rend compte au plus haut niveau.
Point de vocabulaire fréquemment confondu : il n'existe pas de « certification DPO » délivrée par la CNIL elle-même. La CNIL agrée des organismes qui certifient les compétences des personnes selon son référentiel. Une attestation de formation, même de plusieurs dizaines d'heures, n'est pas une certification de personne au sens de ce dispositif.
Le règlement européen sur l'IA est entré en vigueur en 2024 et s'applique par étapes. Deux obligations concernent directement toutes les entreprises qui utilisent des systèmes d'IA, quel que soit leur niveau de risque :
Les fournisseurs et les déployeurs doivent prendre des mesures pour garantir un niveau suffisant de maîtrise de l'IA chez leur personnel et chez les personnes qui utilisent ces systèmes pour leur compte, en tenant compte de leurs connaissances, de leur formation et du contexte d'utilisation. Concrètement : une politique de formation, et sa trace.
Pour les systèmes classés à haut risque — dont plusieurs usages en ressources humaines, en accès au crédit ou en évaluation — le règlement exige une supervision humaine effective. Cela suppose des personnes désignées, formées, dotées de l'autorité de contester ou d'interrompre une décision du système.
Aucune de ces obligations ne prescrit un titre ni un poste. Elles prescrivent des résultats. Le « référent IA » est une réponse organisationnelle, pas une obligation légale.
| DPO | Référent IA | |
|---|---|---|
| Base légale | RGPD, obligatoire dans trois cas définis | Aucune. Réponse à des obligations de l'AI Act |
| Objet | Protection des données personnelles | Conformité, qualité et supervision des systèmes d'IA |
| Indépendance | Exigée par le règlement | Non encadrée |
| Notification | À la CNIL | Aucune |
| Peut être externalisé | Oui | Oui |
Les deux rôles se recoupent : un système d'IA qui traite des données personnelles relève des deux régimes. Dans une PME, il est fréquent qu'une même personne porte les deux, à condition d'avoir le temps et les compétences. Dans une organisation plus grande, la séparation est préférable — les compétences juridiques et techniques attendues ne sont pas les mêmes.
Sur 200 déploiements d'IA en entreprise documentés en France (2022-2025), ceux qui comportent une supervision humaine documentée atteignent 83,6 % de mise en production contre 73,9 % sans, avec un ratio gain/investissement médian de 131,4 % contre 51,5 %.
Il s'agit d'une corrélation observationnelle sur une cohorte non représentative, pas d'un effet causal démontré. Mais elle va dans le même sens que l'exigence réglementaire : la supervision humaine n'est pas seulement une contrainte de conformité, elle est associée à de meilleurs résultats opérationnels.
Non. Le règlement européen sur l'IA n'impose pas de désigner un référent IA. Il impose des obligations de résultat — notamment un niveau suffisant de maîtrise de l'IA chez le personnel et une supervision humaine pour les systèmes à haut risque — sans prescrire de titre ni de poste. Le référent IA est une réponse organisationnelle, pas une obligation légale.
Le RGPD rend la désignation d'un délégué à la protection des données obligatoire dans trois cas : traitement par une autorité ou un organisme public, activité de base impliquant un suivi régulier et systématique des personnes à grande échelle, ou traitement à grande échelle de données sensibles ou relatives à des condamnations.
Pas directement. La CNIL agrée des organismes qui certifient les compétences des personnes selon son référentiel. Une attestation de formation, même de plusieurs dizaines d'heures, n'est pas une certification de personne au sens de ce dispositif.
Oui, et c'est fréquent en PME, à condition qu'il en ait le temps et les compétences. Dans une organisation plus grande, la séparation est préférable : les compétences juridiques et techniques attendues sur les deux rôles ne sont pas les mêmes.
Un inventaire des usages d'IA y compris non déclarés, une charte d'usage précisant les données et usages autorisés, une politique de formation documentée avec sa trace, des points de supervision humaine identifiés sur les usages sensibles, et un registre des systèmes d'IA qui rend la conformité démontrable.
Diagnostic de 30 minutes, sans engagement : cadrage du besoin, ordre de grandeur budgétaire et faisabilité.
Demander un diagnostic