Par Qontinuity.ai — Juillet 2026
Le chiffre qui devrait faire tressaillir tous les dirigeants
70 % des organisations françaises utilisent déjà l'intelligence artificielle ou prévoient de le faire. C'est le premier enseignement de la 5e édition de l'Observatoire du métier de DPO, publiée le 3 juillet 2026 par la CNIL, la DGEFP, l'AFCDP et l'Afpa. Mais c'est le second chiffre de cette étude qui devrait provoquer un électrochoc : 85 % des Délégués à la Protection des Données n'ont reçu aucune formation spécifique à l'IA. (source)
Derrière cette statistique se cache un paradoxe redoutable : nous déployons une technologie à un rythme sans précédent, tout en laissant sans outils les personnes mêmes dont la mission est d'en maîtriser les risques.
Ce que l'étude révèle vraiment
Un fossé entre usages et gouvernance
Les chiffres de l'enquête dessinent un tableau cohérent, et cohéremment inquiétant. Si 70 % des organisations sont déjà dans ou vers l'IA, et si 81 % d'entre elles sont concernées par l'IA générative, la gouvernance ne suit pas du tout le même rythme :
- Moins d'un quart des organisations disposent d'une stratégie ou d'une politique IA formelle ;
- Moins d'un tiers ont mis en place des actions de sensibilisation ou adopté une charte d'utilisation ;
- Seulement 31 % ont commencé à se préparer à l'application du Règlement européen sur l'IA (RIA).
Ce décalage n'est pas anodin. Il signifie qu'une majorité d'organisations déploient des systèmes d'IA dans un vide de gouvernance — sans politique formelle, sans charte, sans préparation réglementaire.
Le DPO : en première ligne, sans équipement
Seuls 27 % des DPO déclarent disposer d'un bon niveau de connaissance du Règlement IA. Pourtant, l'enquête révèle aussi que 55 % d'entre eux gèrent déjà le sujet IA au sein de leur organisation. On a donc des professionnels qui pilotent sans carte, qui naviguent sans boussole réglementaire sur un terrain qu'ils n'ont pas eu le temps de cartographier.
Autre donnée structurante : 58 % des systèmes d'IA déployés dans les organisations traitent des données personnelles. Ce chiffre illustre à quel point l'IA n'est plus une couche séparée du RGPD — elle en est désormais inséparable. Et pourtant, les outils et méthodes pour articuler RGPD et RIA manquent encore à la quasi-totalité des DPO.
Pourquoi c'est urgent : le RIA est déjà là
Un calendrier d'application qui n'attend pas
On aimerait croire que c'est un problème futur. Ce n'est pas le cas. L'AI Act (Règlement UE 2024/1689) est entré en vigueur le 1er août 2024 et son application se déroule par phases. Le Digital Omnibus, adopté par le Parlement européen le 16 juin 2026, a ajusté certaines échéances — mais les obligations les plus immédiates restent en vigueur : (source)
- Depuis le 2 février 2025 : les pratiques d'IA à risque inacceptable sont interdites, et l'obligation de maîtrise des compétences IA (article 4) est en vigueur ;
- Depuis le 2 août 2025 : les obligations sur les modèles d'IA à usage général (GPT, Claude, Gemini…) s'appliquent, et le régime de sanctions est activé ;
- 2 août 2026 : obligations de transparence (art. 50) — les chatbots et agents IA doivent se déclarer comme tels ;
- 2 décembre 2027 (post-Digital Omnibus, report de 16 mois) : application complète pour les systèmes d'IA à haut risque de l'Annexe III — RH, scoring crédit, santé, éducation… ;
- 2 août 2028 (post-Digital Omnibus) : systèmes haut risque intégrés dans des produits réglementés (Annexe I).
Le report de l'Annexe III ne signifie pas « vous pouvez attendre » — les interdictions, la littératie IA obligatoire et la transparence des chatbots sont déjà applicables. Et le délai supplémentaire ne fait que raccourcir la fenêtre de préparation pour les systèmes les plus critiques.
Des sanctions qui ne font pas dans la dentelle
L'AI Act prévoit trois paliers de sanctions :
| Violation | Amende maximale |
|---|---|
| Pratiques d'IA interdites (art. 5) | 35 M€ ou 7 % du CA mondial |
| Non-respect des obligations (systèmes haut risque) | 15 M€ ou 3 % du CA mondial |
| Informations inexactes ou incomplètes | 7,5 M€ ou 1 % du CA mondial |
Un point souvent mal connu : le défaut de formation des collaborateurs à l'IA relève du palier intermédiaire, soit jusqu'à 15 millions d'euros ou 3 % du chiffre d'affaires mondial. (source) Et cerise sur le gâteau juridique : l'AI Act et le RGPD pouvant s'appliquer simultanément pour les mêmes faits, une organisation non conforme peut cumuler les sanctions des deux textes.
Le DPO à l'ère de l'IA : un rôle qui se réinvente
Pas d'« AI Officer » obligatoire, mais un DPO stratégique de fait
L'AI Act ne crée pas de « Délégué à l'IA » au sens où le RGPD a créé le DPO. Mais dans la réalité des organisations, le DPO devient le point de coordination naturel de la conformité IA, pour une raison simple : il est déjà au carrefour des données, des risques et des processus.
Son rôle évolue concrètement vers de nouvelles missions :
- Inventaire des systèmes d'IA : identifier tous les outils déployés, y compris les SaaS tiers et les usages non recensés ;
- Classification par niveau de risque : distinguer les systèmes à haut risque (Annexe III) des usages à risque minimal ;
- Articulation AIPD / FRIA : intégrer les analyses d'impact spécifiques à l'IA dans les processus RGPD existants ;
- Gouvernance transverse : participer aux comités IA, conseiller en amont des projets, former les équipes.
La CNIL le confirme explicitement : les organisations doivent définir les modalités d'une implication appropriée du DPO dès le début des réflexions sur les systèmes d'IA, et prévoir des actions de formation adaptées. (source)
Le shadow IA : la bombe à retardement silencieuse
L'absence de gouvernance a un effet direct et souvent sous-estimé : le shadow IA. En 2026, 68 % des salariés français utilisent des outils IA non approuvés au moins une fois par semaine, et 27 % des usages professionnels de l'IA sont non encadrés. (source)
Le shadow IA n'est pas seulement un risque de cybersécurité. C'est une exposition directe au RGPD (transfert de données personnelles vers des tiers non qualifiés), une violation potentielle de l'AI Act (usage de systèmes non évalués ni documentés), et un problème de responsabilité qui remonte jusqu'à la direction et au DPO. Sans politique formelle ni formation, l'organisation ne peut même pas savoir qu'elle est exposée.
Ce que les organisations doivent faire — maintenant
L'enquête elle-même pointe trois chantiers prioritaires :
1. Cartographier les systèmes d'IA effectivement utilisés. Beaucoup d'organisations découvrent encore des usages non recensés au moment de l'audit. Sans inventaire complet — y compris les outils SaaS et les usages terrain — aucune conformité n'est démontrable.
2. Formaliser une politique de gouvernance IA minimale. Charte d'utilisation, circuit de validation avant déploiement, association systématique du DPO aux projets IA : ces éléments ne nécessitent pas des mois de travail, mais ils doivent exister.
3. Investir dans la formation. C'est le chantier le plus urgent au vu des chiffres : 55 % des DPO citent eux-mêmes l'articulation RGPD / Règlement IA comme leur premier besoin de formation. La maîtrise du RIA ne s'improvise pas — elle se construit, et l'écart entre les DPO qui gèrent le sujet et ceux qui le maîtrisent vraiment est aujourd'hui le signal le plus clair d'un besoin urgent.
Le mot de la fin : une opportunité autant qu'une obligation
Il serait trop facile de réduire ce constat à une liste de risques et de sanctions. La réalité est que les organisations qui forment leur DPO et structurent leur gouvernance IA aujourd'hui prennent une longueur d'avance — sur leurs concurrents, sur les contrôles, et sur elles-mêmes.
Le DPO formé à l'IA n'est pas seulement un bouclier contre les amendes. Il devient un acteur stratégique capable de dire « oui, mais comment » plutôt que « non, parce que risque » — et c'est exactement ce dont les organisations ont besoin pour déployer l'IA de façon responsable, durable et compétitive.
L'étude de la CNIL, de la DGEFP, de l'AFCDP et de l'Afpa ne dit pas autre chose : le temps de la sensibilisation est terminé. Celui de la formation et de l'action a commencé.
Qontinuity.ai accompagne les TPE-PME et les professions libérales dans leur transformation par l'IA : conseil en gouvernance, déploiement de solutions et formations certifiées Qualiopi. Contactez-nous pour un diagnostic IA.