Le 2 décembre 2027, 450 K€ — c'est le coût médian de remédiation complète pour un système d'IA classifié haut risque qui n'a pas été anticipé. Ce chiffre, on le tire de 40 dossiers analysés en 18 mois. Votre DPO n'est pas en faute si vous n'êtes pas prêt. L'organisation l'a placé dans une situation impossible.
Depuis 2018, votre DPO est la sentinelle du RGPD. Il gère les registres de traitements, les DPIA, les demandes d'exercice de droits, la relation avec la CNIL. Il est compétent. Le problème : le RGPD et l'EU AI Act sont deux lois différentes, avec deux logiques différentes, et une séparation nette dans leur champ d'application.
Deux lois, deux métiers
Le RGPD part de la donnée personnelle : toute organisation qui traite des données sur des personnes physiques y est soumise. Le périmètre est large, la formation est standardisée, la certification CNIL est établie.
L'EU AI Act part du système d'IA et de son impact potentiel : classification par niveau de risque, obligations techniques sur le cycle de vie du modèle, exigences de robustesse, de traçabilité et de supervision humaine effective. Un système peut être soumis à l'EU AI Act sans traiter aucune donnée personnelle — et un traitement de données personnelles peut ne pas déclencher les obligations AI Act les plus contraignantes.
En pratique, votre DPO a été formé sur la logique RGPD. L'AI Act exige une expertise différente : compréhension du cycle de vie ML, lecture de l'Annexe III, maîtrise du système de gestion des risques qualité (QMS) distinct d'une politique de données. Ce n'est pas dans le référentiel CNIL actuel. Ce n'est pas un reproche — c'est un constat de timing.
Dans la majorité des PME et scale-ups que nous analysons, le DPO a été nommé responsable "conformité IA" par défaut — sans formation spécifique AI Act, sans budget additionnel, et sans accès aux équipes techniques qui développent les modèles. C'est une exposition réglementaire que l'organisation n'a pas vue.
Les 3 angles morts de votre conformité interne
La classification haut risque que personne n'a vérifiée
Art. 6 + Annex III L'EU AI Act définit une liste de systèmes d'IA automatiquement classifiés "haut risque" : tout ce qui touche à l'accès à l'emploi, au crédit, à l'assurance, aux services essentiels, aux infrastructures critiques, à l'éducation, à la justice. La liste est précise, pas générique.
Le problème : cette classification n'est pas une décision que vous prenez. C'est une qualification juridique qui s'applique à votre système indépendamment de votre intention. Et dans la quasi-totalité des dossiers analysés, personne en interne n'a formellement vérifié si les systèmes IA en production tombaient ou non dans l'Annexe III. L'hypothèse par défaut est "on n'est pas concernés". C'est rarement fondé.
Un outil de scoring client pour un établissement de crédit : haut risque. Un algorithme de sélection de CV : haut risque. Un système de notation de fournisseurs qui conditionne des contrats : probablement haut risque. Ces classifications ne sont pas négociables et ne dépendent pas de la taille de l'entreprise.
Le QMS — un système de gestion des risques, pas une politique de données
Art. 9 Pour tout système haut risque, l'EU AI Act exige un Quality Management System documenté, maintenu et auditable. Ce n'est pas une politique de confidentialité étendue. Ce n'est pas votre registre RGPD avec un onglet "IA".
Un QMS AI Act couvre : l'identification et l'évaluation continue des risques du modèle, les procédures de test et de validation, les mesures de gestion des biais, les procédures de surveillance post-déploiement, et les mécanismes de signalement d'incidents. C'est un référentiel opérationnel qui implique vos équipes Data Science et Engineering — pas seulement la conformité.
Le coût de mise en place d'un QMS conforme pour un système haut risque : 80 à 120 K€ en médiane, selon la complexité du système et l'état de la documentation existante. Découvrir ce besoin en cours de DD investisseur ou d'appel d'offres client, c'est subir le calendrier de l'autre.
La supervision humaine effective vs déclarative
Art. 14 L'EU AI Act exige que les systèmes haut risque soient conçus pour permettre une supervision humaine effective. Le mot-clé est "effective" — pas "déclarée dans la documentation".
La supervision déclarative, c'est écrire dans vos CGU ou votre documentation interne qu'un humain peut intervenir sur les décisions du système. La supervision effective, c'est démontrer que cet humain a les outils, les données, la formation et l'autorité réelle pour contester et corriger les outputs du système dans des conditions normales d'exploitation.
En pratique, dans la majorité des déploiements analysés, la supervision humaine est nominale. L'opérateur qui "supervise" n'a pas accès aux logs de décision, ne comprend pas les variables du modèle, et ne conteste jamais les outputs parce que le volume ne le permet pas. C'est ce que les régulateurs cherchent en premier lors d'une investigation.
Ce que ça coûte concrètement : deux secteurs
Les angles morts ne sont pas théoriques. Voici deux profils sectoriels avec les chiffres réels d'exposition.
Coût de remédiation complète si détecté en DD M&A : QMS (80 K€) + data governance (200 K€) + supervision humaine effective (120 K€) + documentation technique (50 K€). Sans compter le haircut de valorisation : 15 à 25% sur l'EV si le système est le core du produit.
Exposition cumulée : amende CNIL (RGPD Art. 22 si décision automatisée sans information) + obligations AI Act Art. 9–15 + coût de conformité si non anticipé. Un refus de prêt basé sur un modèle non documenté peut déclencher une double investigation réglementaire simultanée.
Les systèmes d'IA qui traitent des données personnelles pour prendre des décisions automatisées sont soumis simultanément au RGPD (Art. 22, 35) et à l'EU AI Act (Art. 9–15). Les sanctions sont cumulables. Un scoring crédit non conforme peut faire l'objet d'investigations parallèles de la CNIL et de l'autorité nationale AI Act désignée.
Ce que ça change pour votre prochain RFP ou renouvellement assureur
Le sujet sort des directions juridiques pour entrer dans les clauses commerciales. Deux évolutions concrètes que nous observons depuis le début 2026.
Appels d'offres grands comptes et secteur public. Les RFP intègrent désormais des clauses de conformité EU AI Act sur les systèmes IA fournis. Les grands donneurs d'ordre — banques, assureurs, grandes entreprises industrielles — demandent une attestation de conformité ou un score indépendant avant signature. Répondre "notre DPO supervise" n'est plus suffisant. Ce qui passe, c'est un dossier documenté avec une évaluation tierce.
Assureurs W&I et cyber. Les souscripteurs IA des compagnies comme AXA XL ou Howden commencent à conditionner la couverture à une classification formelle des systèmes AI Act. Un système haut risque non déclaré dans le questionnaire de souscription peut invalider la police en cas de sinistre. Ce n'est pas hypothétique — les premières clauses de ce type sont dans les polices renouvelées en 2026.
| Critère | DD interne DPO | Score D7™ MB AI |
|---|---|---|
| Classification Annex III | ~ Partielle si formation acquise | ✓ Systématique, 7 dimensions |
| Analyse QMS (Art. 9) | ✗ Hors périmètre RGPD standard | ✓ Dimension D2 dédiée |
| Supervision humaine effective (Art. 14) | ✗ Vérification documentaire uniquement | ✓ Évaluation opérationnelle |
| Utilisable en RFP / DD investisseur | ✗ Pas de format standardisé | ✓ Rapport structuré, défendable |
| Délai | Semaines (si disponibilité) | 48h |
Ce que ça change pour votre DPO — et pour vous
L'objectif n'est pas de remplacer votre DPO. C'est de lui donner ce qui lui manque : un interlocuteur spécialisé sur la partie AI Act, un score documenté qui couvre les angles morts que son périmètre RGPD ne lui permet pas d'instruire, et un format de rapport utilisable dans vos prochains RFP, DD ou renouvellements d'assurance.
Le D7™ Standard couvre les trois angles morts en 48–72h : classification Annex III (D1), analyse du QMS et du risque modèle (D2), gouvernance des données (D3). Votre DPO récupère un dossier structuré sur la partie AI Act — et peut se recentrer sur ce qu'il maîtrise.
Votre DPO a enfin un interlocuteur sur l'AI Act
7 dimensions complètes — exposition réglementaire, risque modèle, gouvernance des données, contrôles AI Act. Rapport structuré, défendable en DD et en RFP. Module +RGPD™ disponible.
Demander le D7™ Standard Commander en ligne Questions ? david.roux@mb-ai.fr — réponse sous 24h ouvrées.