Article mis à jour le 9 juillet suite à la publication, le 3 juillet 2026, par la CNIL des résultats de l'enquête intitulée "Le métier de DPO à l'heure de l'intelligence artificielle".
L'AI Act, ou le Règlement sur l'intelligence artificielle (Règlement (UE) 2024/1689 du Parlement européen et du Conseil du 13 juin 2024) a fait naître un marché entier d'outils dédiés à la gouvernance de l'IA. Mais les organisations les plus avancées ne partent pas de zéro, elles s'appuient plutôt sur ce qu'elles ont déjà construit.
Les équipes Privacy, Conformité et Gestion des risques sont en train de devenir, de facto, les premières équipes AI Governance des entreprises. Ce n'est pas un choix délibéré de stratégie organisationnelle : c'est une conséquence directe du fait que les questions posées par l'IA sont, pour l'essentiel, des questions que ces équipes savent déjà traiter.
Pour documenter cette évolution, nous avons croisé les données publiées par l'IAPP, Cisco, IBM, Microsoft et McKinsey, ainsi que plusieurs sources institutionnelles européennes. Ce que ces études révèlent ensemble est plus significatif que ce qu'elles disent séparément : RGPD, gouvernance des données et gouvernance IA convergent, et cette convergence est déjà en cours.
La publication, le 3 juillet 2026, des résultats de la 5ᵉ édition de l'Observatoire du métier de DPO, enquête menée par le ministère du Travail et des Solidarités (DGEFP), la CNIL et l'AFCDP, apporte une confirmation de terrain, côté français : ce sont les DPO eux-mêmes qui décrivent, dans leurs mots, cette prise en charge progressive de l'AI Act. Leur témoignage nuance aussi le tableau : l'appétit est réel, les compétences et les outils suivent plus lentement.
Les équipes Privacy deviennent progressivement les équipes AI Governance
L'un des enseignements les plus frappants des études récentes tient moins aux chiffres eux-mêmes qu'à ce qu'ils révèlent sur la recomposition silencieuse des organisations : la gouvernance IA ne se construit pas à partir d'une feuille blanche. Elle s'adosse, presque partout, aux équipes déjà en charge de la protection des données, de la gouvernance des données ou de la conformité.
Cette tendance n'est pas un hasard. Les premières questions posées lors du déploiement d'un système d'IA concernent invariablement les données : leur provenance, leur qualité, les personnes concernées, les risques liés à leur traitement. Ce sont précisément les questions que les équipes Privacy ont appris à poser depuis des années.
Statistiques clés
- 69 % des Chief Privacy Officers ont désormais des responsabilités en AI Governance.
- Plus de 80 % des équipes Privacy ont aujourd'hui des responsabilités dépassant le seul cadre réglementaire du RGPD.
- 55 % des professionnels Privacy travaillent dans des organisations où la fonction Privacy participe à la gouvernance IA.
- 22 % des organisations confient la responsabilité principale de la gouvernance IA à la fonction Privacy, contre 22 % aux équipes Juridique et Compliance, 17 % à l'IT, et 10 % aux équipes Data Governance
- 67 % des organisations dont la gouvernance IA est portée par la fonction Privacy se déclarent confiantes dans leur capacité à respecter les exigences de l'AI Act.
Ce que confirme l'enquête CNIL/AFCDP en France
Le même mouvement s'observe chez les DPO français, avec une intensité qui surprend même le régulateur :
- 55 % des DPO déclarent que le RIA est déjà dans leur périmètre de responsabilité, alors même que le règlement ne mentionne nulle part la fonction de DPO et ne l'impose donc dans aucune chaîne de gouvernance interne.
- 71 % souhaitent un élargissement formel du périmètre de leur fonction à la conformité au RIA.
- Plus de la moitié des DPO interrogés indiquent être souvent ou systématiquement associés aux projets IA de leur organisation.
Le RIA ne confie donc rien au DPO sur le papier, mais les DPO s'en emparent dans les faits. C'est très exactement le phénomène que documentaient les études internationales : l'AI Governance ne se construit pas sur une fonction nouvelle et dédiée, elle se construit sur l'appropriation, par les équipes Privacy existantes, d'un périmètre que personne ne leur a formellement attribué.
L'adoption de l'IA progresse beaucoup plus vite que les dispositifs de gouvernance
L'adoption de l'intelligence artificielle en entreprise est désormais massive et documentée. Ce qui est moins visible, et plus préoccupant, c'est l'écart structurel qui se creuse entre la vitesse de déploiement des outils IA et la capacité des organisations à les encadrer.
Le phénomène du Shadow AI (collaborateurs utilisant des outils IA sans validation préalable, souvent par peur d'être perçus comme en retard) est en train de devenir le premier risque de gouvernance IA en entreprise.
Statistiques clés
- 75 % des travailleurs du savoir utilisent déjà l'IA au travail
- 78 % des utilisateurs apportent leurs propres outils IA au travail
- 52 % des utilisateurs hésitent à déclarer leur utilisation de l'IA et 53 % craignent d'être perçus comme remplaçables s'ils y recourent
- 79 % des dirigeants considèrent l'IA comme nécessaire à leur compétitivité, mais 60 % reconnaissent ne pas disposer d'une stratégie IA claire
- 77 % des organisations estiment que l'adoption de l'IA progresse plus vite que leurs capacités de gouvernance
- Seulement 11 % se considèrent pleinement préparées à un déploiement IA à grande échelle
Sources : Microsoft Work Trend Index 2024 / IBM Institute for Business Value (CEO & CTO Generative AI Study
Ce que confirme l'enquête CNIL/AFCDP en France
L'enquête 2025 chiffre précisément cet écart côté organisations françaises :
- 70 % des organismes répondants utilisent ou prévoient d'utiliser l'IA, dont 81 % ont recours à des systèmes d'IA générative.
- Or, en face de cette adoption massive, moins d'un quart des organisations disposent d'une stratégie ou d'une politique formelle sur le sujet.
- Moins d'un tiers ont mis en place des actions de sensibilisation des salariés ou adopté une charte d'utilisation de l'IA.
- Seules 31 % ont commencé à se préparer à l'entrée en application du règlement IA.
Les incidents liés à l'IA ressemblent davantage à des problèmes de gouvernance qu'à des problèmes algorithmiques
Les débats autour de l'intelligence artificielle se concentrent souvent sur les modèles, leurs performances ou leurs biais.
Pourtant, les études les plus récentes montrent que les incidents observés dans les entreprises trouvent souvent leur origine ailleurs : absence de gouvernance, contrôle des accès insuffisant, mauvaise gestion des fournisseurs tiers, manque de visibilité sur les usages réels : les causes profondes des incidents IA sont des problèmes de gouvernance des données, pas des problèmes de paramétrage des modèles.
Ces problématiques sont déjà bien connues des équipes Privacy, Sécurité et Conformité.
Statistiques clés
- 51 % des organisations utilisant l'IA ont déjà subi au moins une conséquence négative liée à l'IA
- Les organisations gèrent en moyenne deux fois plus de risques IA qu'en 2022
- 20 % des entreprises ont déjà subi une violation liée au Shadow AI, dont 63 % ne disposaient pas de politique formelle de gouvernance IA, et 97 % n'avaient pas de contrôles d'accès IA adéquats
- Les violations impliquant du Shadow AI coûtent en moyenne 670 000 dollars supplémentaires
- Le coût moyen mondial d'une violation de données atteint 4,4 millions de dollars
Sources : McKinsey – The State of AI 2025 / IBM Cost of a Data Breach Report 2025 / Cybersecurity Dive – Analysis of IBM Cost of a Data Breach Report
Un facteur de risque supplémentaire, mis en lumière par l'enquête CNIL/AFCDP : le déficit de formation des DPO eux-mêmes
L'enquête française apporte une pièce manquante à ce constat : le maillon censé porter la gouvernance IA au quotidien n'est lui-même pas encore équipé pour le faire.
- Seuls 27 % des DPO déclarent disposer d'un bon niveau de connaissance du règlement IA.
- 85 % des DPO n'ont pas encore suivi de formation spécifique sur l'IA.
Si les DPO sont globalement outillés pour évaluer les aspects RGPD d'un système d'IA, ils manquent encore souvent d'outils et de méthodes pour aborder spécifiquement les aspects RIA (documentation technique, classification des risques, obligations selon le rôle de fournisseur/déployeur, etc.)
Les investissements Privacy produisent déjà les bénéfices recherchés dans les programmes AI Governance
Les responsables AI Governance cherchent généralement à améliorer la confiance, la transparence, la maîtrise des risques et la conformité.
Or ce sont précisément les bénéfices que les entreprises attribuent depuis plusieurs années à leurs programmes Privacy.
Les résultats publiés par Cisco montrent que les investissements réalisés dans ce domaine sont aujourd'hui largement perçus comme créateurs de valeur.
Statistiques clés
- 96 % des organisations considèrent que les bénéfices de leurs investissements Privacy dépassent leurs coûts.
- Le ROI médian déclaré est de 1,6x, avec 53 % des entreprises observant un retour entre 1x et 2x
- 86 % estiment que les réglementations relatives à la protection des données ont un impact positif sur leur organisation.
- 99 % considèrent les mécanismes indépendants d'assurance et de certification comme importants dans le choix de leurs fournisseurs.
- Les organisations dépensent en moyenne 2,7 millions de dollars par an dans leurs programmes Privacy.
Sources : Cisco Data Privacy Benchmark Study 2025
L'AI Act repose largement sur des mécanismes déjà présents dans les programmes RGPD
Lorsqu'on examine les obligations imposées par l'AI Act, une partie importante des exigences concerne les données, la documentation, la gestion des risques et la traçabilité.
Ces mécanismes sont déjà familiers aux organisations ayant structuré leur conformité RGPD.
L'AI Act n'est pas le RGPD. Ses périmètres, ses logiques et ses acteurs ne sont pas identiques. Mais il partage avec lui une architecture de gouvernance fondée sur les données, la documentation et la responsabilité.
Exemples de convergences
| AI Act | Programmes Privacy |
|---|---|
| Inventaire des systèmes IA | Registre des traitements |
| Gouvernance des données | Cartographie des données |
| Gestion des risques | Analyse d'impact (DPIA) |
| Documentation technique | Accountability |
| Gestion des fournisseurs IA | Gestion des sous-traitants |
| Monitoring post-déploiement | Contrôles continus de conformité |
Références réglementaires : European Data Protection Board (EDPB) – AI Act and Data Protection Authorities Position Paper / EU AI Act – Article 10 (Data and Data Governance)
Ce que ces chiffres révèlent
Pris isolément, chacun de ces chiffres est intéressant, mais pris ensemble, ils dessinent une évolution beaucoup plus profonde : les équipes Privacy deviennent progressivement des acteurs centraux de la gouvernance IA.
Les organisations investissent dans des mécanismes de confiance qui profitent à la fois au RGPD et à l'AI Act. Les incidents observés sont souvent liés à des problématiques de gouvernance des données, de contrôle des accès ou de gestion des fournisseurs. Enfin, les exigences réglementaires reposent largement sur des actifs déjà présents dans les programmes Privacy : inventaires, cartographies, analyses d'impact, contrôles et documentation.
L'enjeu n'est donc pas de déterminer si le RGPD et l'AI Act sont identiques. Ils ne le sont pas. La question est plutôt de savoir s'il est pertinent de maintenir deux référentiels de gouvernance distincts pour piloter les mêmes données, les mêmes risques, les mêmes fournisseurs et, de plus en plus souvent, les mêmes équipes.
Les chiffres suggèrent que les organisations les plus avancées ont déjà tranché.
Séparer les outils, c’est fragmenter la responsabilité. Unifier, c’est maîtriser.
Dastra centralise votre gouvernance Privacy et AI sur une seule plateforme. Découvrez-la par ici.