La loi sur l’IA pour les délégués à la protection des données : quelles sont les dispositions applicables après le report ?

Résumé pour la direction

• Le régime à haut risque a été reporté au 2 décembre 2027 (annexe III) et au 2 août 2028 (annexe I)
• Quatre blocs d’obligations s’appliquent déjà, dont l’obligation de transparence de l’article 50
• Un report déplace les priorités, il ne supprime pas le travail
• RGPD et AI Act se recoupent sans se couvrir mutuellement ; coordonner les deux évaluations est payant
• La maîtrise de l’IA est une norme ouverte, donc un choix organisationnel, pas une checklist
• Sans une compréhension exploitable de la technique, vous ne pouvez pas évaluer le risque

L’AI Act a été reporté. Votre rôle de DPO, non.

La date que beaucoup de DPO avaient notée dans leur agenda depuis deux ans — le 2 août 2026 pour l’IA à haut risque — a été reportée. Ce qui n’a pas bougé, en revanche, ce sont les obligations applicables depuis 2025, et les applications d’IA qui ont entre-temps été mises en service dans votre organisation. C’est précisément dans cet écart que se situe votre travail aujourd’hui.

Un report donne de l’air. En pratique, il déplace surtout vos priorités : moins d’urgence à boucler un dossier de conformité pour des systèmes qui n’ont pas encore d’échéance, davantage d’attention pour ce qui est déjà contraignant aujourd’hui et que la plupart des organisations n’ont pas encore réglé.

Un report n’est pas une pause. C’est de la marge. Reste à savoir si vous utilisez cette marge ou si vous la laissez filer.

Qu’est-ce qui a été reporté exactement, et qu’est-ce qui ne l’a pas été ?

Le Digital Omnibus on AI a repoussé les obligations les plus lourdes. Le reste du règlement est inchangé.

Pour les systèmes à haut risque déjà mis en service avant le 2 août 2026, la période transitoire initiale jusqu’en décembre 2030 reste d’application.

Ce tableau contient un piège qui passe facilement inaperçu : l’article 50 n’a pas été reporté. Votre organisation publie des contenus générés par l’IA ou utilise un chatbot ? L’obligation de transparence s’applique dès maintenant. Pour de nombreux services communication et clientèle, c’est un problème plus concret qu’un dossier à haut risque qui ne se posera qu’à la fin de 2027.

Pourquoi le DPO a de toute façon sa place autour de la table

Formellement, l’AI Act n’est pas une législation destinée au DPO. En pratique, la question aboutit pourtant chez vous, pour une raison très simple : vous êtes déjà la personne à qui l’organisation pose ses questions sur les données, la licéité et les risques pour les personnes concernées.

Le RGPD regarde les données à caractère personnel. L’AI Act regarde le système. Ces deux regards se recoupent, mais ne se confondent pas. Une application d’IA peut être parfaitement conforme au RGPD et tomber malgré tout sous une interdiction de l’article 5. À l’inverse, un système peut échapper au régime à haut risque et exiger quand même une AIPD.

Quelqu’un dans l’organisation doit pouvoir expliquer cette différence — au business, à l’IT et à la direction. Dans la plupart des organisations, c’est le DPO, que ce rôle lui ait été formellement attribué ou non.

Qu’implique concrètement la maîtrise de l’IA ?

L’article 4 oblige les organisations qui utilisent l’IA à veiller à ce que leur personnel dispose d’un niveau suffisant de maîtrise de l’IA. C’est une norme ouverte : il n’existe donc pas de checklist à cocher.

Concrètement, cela se résume à trois choses. Vos collaborateurs savent-ils quels systèmes d’IA ils utilisent, y compris lorsqu’ils sont intégrés à des logiciels existants ? Comprennent-ils ce qu’un modèle peut faire et ne pas faire, y compris son comportement face à un output peu fiable ? Et savent-ils à qui s’adresser avant de mettre quelque chose en production ?

Cette troisième question est la plus difficile, et c’est rarement une question de connaissances. La question est rarement de savoir si le modèle est autorisé. La question est de savoir qui, dans l’organisation, peut décider qu’il l’est. Tant que ce n’est pas établi, la gouvernance de l’IA reste une série d’avis isolés plutôt qu’un processus.

Pourquoi vous devez pouvoir suivre la technique

Si la gouvernance de l’IA bute plus souvent sur la technique que sur le droit, c’est pour une raison simple : on ne peut pas évaluer un risque que l’on ne comprend pas.

Pour une application d’IA, il s’agit de savoir d’où viennent les données d’entraînement, ce qu’il advient de ces données pendant le fine-tuning, quel output le modèle produit et ce qui est conservé de cet output. Ce ne sont pas des questions juridiques. Mais sans une vision exploitable de ces éléments, vous ne pouvez pas rendre un avis pertinent, et encore moins dialoguer avec les personnes qui construisent le système.

C’est pourquoi une bonne formation à l’IA pour les DPO accorde autant d’attention à l’architecture et aux modèles de données qu’au règlement. Non pas pour faire de vous un ingénieur, mais pour faire de vous un interlocuteur.

Par où commencer ?

1. Faites l’inventaire de vos applications d’IA, y compris les fonctions d’IA intégrées à des logiciels existants. C’est presque toujours à ce stade que les organisations sont surprises par leur propre liste.
2. Commencez par l’article 5. Les pratiques interdites s’appliquent dès maintenant, sans période transitoire.
3. Vérifiez vos obligations au titre de l’article 50. Chatbots, contenus générés par l’IA, deepfakes. Cela touche directement le marketing et le service clientèle.
4. Formalisez votre approche de la maîtrise de l’IA, en précisant qui reçoit quelle formation et quand.
5. Définissez le processus de décision. Qui évalue une nouvelle initiative d’IA, et à quel moment du projet ?
6. Utilisez le temps gagné pour l’annexe III. Le 2 décembre 2027 paraît lointain, mais les normes harmonisées ne sont pas encore finalisées — le travail préparatoire peut toutefois déjà commencer.

Dialoguez sur l’IA, y compris avec ceux qui la construisent

La formation L’IA pour les DPD a été entièrement retravaillée cette année, précisément parce que le sujet a lui aussi profondément évolué. Trois jours, articulés autour de trois modules :

• AI Lab et AI ethics — comprendre les données et la technologie, en pratique
• L’AI Act et les modèles de risque et de gouvernance
• L’intersection entre l’IA et le RGPD, à travers une étude de cas

Vous suivez les cours de quatre formateurs, chacun avec son propre angle : Pieter De Buysser, Koen Simoens, Bart van Buitenen et Anneleen Van de Meulebroucke. À l’issue de la formation, vous êtes en mesure de contribuer à la réflexion sur l’utilisation de l’IA dans votre organisation, au lieu d’en rédiger un avis après coup.

12–14 octobre 2026 — Van der Valk Hôtel Nivelles-Sud, en français.
Également en néerlandais (12–14 octobre 2026, Gand) et en anglais (16–18 novembre 2026, Diegem).
2 195 € HTVA, 1 750 € pour les institutions publiques, lunch et supports de cours compris.

Découvrez le programme complet et inscrivez-vous dès aujourd’hui

Sources et pour aller plus loin

• Règlement (UE) 2024/1689 (AI Act) — EUR-Lex
• Digital Omnibus on AI, règlement (UE) 2026/1744 — EUR-Lex
• Règlement (UE) 2016/679 (RGPD) — EUR-Lex
• Data Protection & Technology — pour comprendre d’abord la technique sous-jacente
• Stay Tuned as DPO — pour rester informé de ce qui évolue encore

Questions fréquentes