Le DPO ne peut pas porter seul la gouvernance de l’IA, mais il en est souvent le premier maillon. C’est le principal enseignement de la table ronde « L’évolution du métier du DPO à l’ère de l’IA », organisée le 15 octobre 2026 lors de la journée dédiée aux clients "'Dastra Connect".
Autour de la table, cinq regards complémentaires : la CNIL (service des délégués), la Direction générale des entreprises (DGE), une DPO de groupe, un RSSI et une responsable juridique.
1. L’IA est déjà là, la gouvernance pas encore
Selon l’enquête de la CNIL sur le métier de DPO à l’heure de l’IA (2 400 répondants, données 2025), 70 % des organismes utilisent ou prévoient d’utiliser l’IA. Pourtant, seuls 19 % disposent d’une politique ou d’une stratégie formelle, et 6 % se disent bien préparés à l’AI Act.
Les usages progressent bien plus vite que leur encadrement, et cet écart ne tient pas compte du shadow AI.
Le mouvement est souvent porté par les métiers eux-mêmes. Selon l’un des intervenants, les outils d’IA embarqués font gagner aux équipes environ 30 % de temps : sans eux, il faudrait environ 50 % de personnel en plus pour accomplir le même travail. Face à de tels gains, la gouvernance court après les usages.
2. L’AI Act ne crée pas de « DPO de l’IA »
Contrairement au RGPD, l’AI Act ne désigne aucune fonction dédiée. Il n’existe donc pas de modèle unique. Dans les grands groupes, la direction de la conformité récupère souvent le sujet, avec une gouvernance transverse. Dans les structures plus petites, tout se joue au cas par cas, souvent sur la base du volontariat.
3. Des DPO volontaires, mais à bout de ressources
Selon l'enquête de la CNIL, 71 % des DPO voient l’IA comme une opportunité professionnelle et plus de la moitié sont déjà embarqués dans les projets, dès lors qu’ils impliquent des données personnelles. Mais 85 % n’ont reçu aucune formation à l’IA, et leurs moyens n’augmentent pas.
Sur le terrain, la tension est réelle :
- les demandes d’exercice de droits augmentent de 20 à 30 % par an selon plusieurs participants ;
- le travail réactif absorbe le temps nécessaire au pilotage et au contrôle.
L’un des intervenants consacre habituellement un tiers de son temps au réactif et deux tiers au constructif. Ces derniers mois, l’équilibre s’est inversé : 92 % de réactif pour seulement 8 % de constructif.
Le service juridique est souvent à l’initiative des projets IA. Dans une entreprise, un des intervenants a proposé à la direction, il y a deux ans, de lancer la démarche. Elle a conduit à la création d’une task force « data et IA », à la formation de l’ensemble des collaborateurs et à une cartographie des cas d’usage du groupe. Le service juridique y a gagné en visibilité et s’est positionné comme un véritable business partner.
Toutefois, ce volontarisme a ses limites. Comme l’a résumé un participant : on commence par expliquer pourquoi une nouvelle réglementation n’est pas dans le périmètre du DPO, et six mois plus tard, on se retrouve à le piloter.
4. La gouvernance de l’IA est d’abord une question d’organisation
Avant les outils, il faut savoir capter les projets, les qualifier et décider qui fait quoi. Plusieurs pratiques ont fait leurs preuves :
- des relais mutualisés plutôt que des correspondants trop dispersés ;
- un binôme DPO et Chief Data Officer pour avoir la visibilité sur tous les projets IA ;
- un comité IA adossé au comité data existant ;
- un réseau d’ambassadeurs ou de « champions » IA, formés en ateliers pratiques, qui diffusent les bonnes pratiques dans leurs équipes.
Dans l'une des entreprises des intervenants, un responsable de l’encadrement de l’IA vient d’être nommé. Il s’appuie sur la DPO pour l’expertise juridique et sur le RSSI pour l’expertise technique. Selon l'intervenant, à terme, le sujet pourrait revenir à la DPO, qui connaît déjà l’ensemble des traitements : plus de 90 % des systèmes y traitent des données personnelles.
5. DPO et RSSI : un duo de plus en plus proche
À main levée, la plupart des DPO présents ont dit travailler étroitement avec leur RSSI, ce qui n’était pas forcément le cas il y a quelques années. Dans l'une des entreprises, le partage des rôles est clair : par exemple, lors d’une AIPD, l’équipe sécurité évalue la vraisemblance des scénarios de risque, tandis que le DPO et les métiers apprécient l’impact. Pour l'un des intervenants, l’IA vient simplement s’ajouter à une analyse de risques que le DPO maîtrise déjà.
6. Le DPO conseille, il ne décide pas
Le DPO informe, conseille et alerte, mais la décision et l’acceptation du risque appartiennent aux métiers et à la direction. Plusieurs participants recommandent de tracer cette acceptation du risque dans les fiches et les questionnaires.
Émettre un avis défavorable documenté peut parfois suffire. Dans un cas partagé dans l'audience lors de la table ronde, un projet à faible enjeu a été maintenu malgré l’avis négatif de la DPO, puis a échoué. Cette expérience a davantage sensibilisé le métier que n’importe quelle note de conformité.
7. Fournisseurs et IA embarquée : un angle mort
L’IA arrive souvent sans prévenir, via une nouvelle fonctionnalité dans un outil existant : logiciel SaaS, CRM, équipement métier. Or l’ajout d’une fonctionnalité chez un sous-traitant déjà référencé ne déclenche pas forcément de notification. Et obtenir des informations fiables des fournisseurs d’IA reste l’une des principales difficultés.
Face à cela, certaines organisations adoptent :
- des clauses imposant de notifier l’ajout de toute fonctionnalité ou de tout sous-traitant IA ;
- mettre à jour le règlement intérieur et la charte informatique, en interdisant certains outils, permet de poser un cadre de responsabilité clair ;
- une charte de souveraineté qui module le choix des fournisseurs selon le niveau de sensibilité des données.
Dans un groupe*, une charte de souveraineté IA et numérique classe les données en quatre niveaux de sensibilité. Plus les données sont sensibles, plus la solution doit être souveraine. Les directions ne peuvent pas contracter si la charte n’est pas respectée, et toute la chaîne de sous-traitance est examinée.*
8. Réduire le risque dès la conception
Avant de déployer, la bonne question reste : de quoi avons-nous vraiment besoin ?
L’AI Act ne se résume pas à une liste d’obligations : il contient aussi des définitions précises et des dérogations. Bien les maîtriser permet de qualifier correctement chaque système, et parfois de réduire fortement son niveau de risque. Retirer une fonctionnalité superflue peut ainsi changer la qualification d’un outil et éviter une procédure de conformité lourde pour un usage qui ne la justifie pas.
Exemple partagé : désactiver une analyse de sentiments que personne n’utilisait dans un outil de synthèse de réunions, et ne garder que la transcription relue par un humain. Ceci évite de tomber dans la qualification d'IA à haut risque ou encore une utilisation interdite. Une information préalable des participants, avec la possibilité de s’y opposer a également été mise en place.
Le mot de la fin : un changement d’échelle
Ni fardeau, ni simple évolution : l’IA représente un changement d’échelle pour le DPO. Il ne peut ni tout faire, ni tout savoir, ni tout porter seul. Mais sa connaissance des traitements et de l’analyse de risques en fait un pilier naturel de la gouvernance de l’IA. Comme lors de l’arrivée du RGPD, la profession montera en compétence collectivement.