L'AI Act impose-t-il un « DPO de l'IA » ?
Non. À la différence du RGPD, qui rend le DPO obligatoire dans certains cas (article 37 du RGPD), l'AI Act ne prévoit aucune fonction dédiée obligatoire. Cette absence est parfois mal comprise : elle ne signifie pas qu'il n'y a personne à responsabiliser, mais que le règlement laisse aux organisations la liberté de s'organiser. Or, sans responsabilité claire, aucune démarche ne tient dans la durée.
Pourquoi le DPO est un acteur naturel
Le DPO dispose de compétences directement transposables à l'AI Act : culture de la gouvernance des risques, maîtrise des analyses d'impact, tenue d'un registre, indépendance et positionnement transversal. Beaucoup d'obligations de l'AI Act font écho au RGPD (gouvernance des données, analyse d'impact sur les droits fondamentaux, transparence). Le DPO est donc souvent le mieux placé pour amorcer la démarche — à condition de ne pas confondre les deux régimes.
L'émergence du référent IA
De plus en plus d'organisations désignent un référent IA : une fonction, parfois nouvelle, dédiée au pilotage de la conformité et de la gouvernance de l'IA. Le référent IA peut être le DPO élargi, un juriste spécialisé, un responsable conformité ou un profil hybride. Son rôle : animer la cartographie, qualifier les usages, coordonner les acteurs et maintenir la veille. C'est le point de contact de la démarche.
Quel modèle d'organisation selon la taille ?
| Taille | Modèle recommandé | Pilote |
|---|---|---|
| TPE / petite PME | Responsabilité unique | Dirigeant ou responsable conformité |
| PME / ETI | Référent IA identifié | DPO élargi ou référent dédié |
| Grande entreprise | Comité IA pluridisciplinaire | Référent IA + juridique + DSI + métiers |
| Groupe international | Gouvernance en réseau | Référent central + relais locaux |
Comment articuler les responsabilités ?
La conformité à l'AI Act est par nature pluridisciplinaire : elle mêle droit, technique, métier et sécurité. Le pilote — DPO ou référent IA — ne peut pas tout porter seul. Une matrice de responsabilités (type RACI) clarifie qui décide, qui exécute, qui est consulté et qui est informé, pour chaque étape (qualification, documentation, contrôle humain, surveillance). C'est cette articulation, plus que le titre du pilote, qui fait la solidité du dispositif.
Questions fréquentes
Faut-il obligatoirement nommer un DPO pour l'AI Act ?
Non. L'AI Act n'impose pas de DPO ni de fonction équivalente. Le DPO du RGPD reste obligatoire dans ses propres cas, mais son rôle sur l'AI Act relève d'un choix d'organisation, pas d'une obligation du règlement.
Le DPO peut-il cumuler la responsabilité AI Act ?
Oui, et c'est fréquent : son expertise en gouvernance des risques et en analyse d'impact est un atout. À condition de lui donner un mandat explicite, du temps et l'appui de compétences techniques, car l'AI Act dépasse la seule protection des données.
Qu'est-ce qu'un référent IA ?
C'est la personne ou la fonction en charge du pilotage de la conformité et de la gouvernance de l'IA dans l'organisation. L'AI Act ne l'impose pas, mais la pratique le fait émerger comme point de contact et animateur de la démarche.
Une petite structure a-t-elle besoin d'un comité ?
Non. Dans une TPE ou une petite PME, une responsabilité unique (dirigeant ou responsable conformité) suffit. Le comité IA pluridisciplinaire se justifie surtout dans les organisations aux usages nombreux et sensibles.