Le DPO ne doit pas devenir le responsable IA

Le délégué à la protection des données était déjà la personne à qui l’on apportait les projets trop tard. Une application était choisie, un fournisseur avait fait sa démonstration, les données circulaient presque, puis quelqu’un demandait au DPO de « valider le RGPD ».

L’intelligence artificielle ajoute une tentation inverse. Puisque les systèmes manipulent souvent des données personnelles, que leur documentation est incertaine et que le règlement IA arrive, le DPO deviendrait naturellement responsable de l’ensemble. Il tiendrait le registre, relirait les contrats, classerait les risques, rédigerait la charte, formerait les équipes et finirait par répondre de chaque usage.

L’enquête publiée le 3 juillet 2026 par la CNIL, le ministère du Travail et des Solidarités, l’AFCDP et l’Afpa montre que ce glissement a déjà commencé. Parmi les 2 390 DPO interrogés, 55 % déclarent avoir le règlement IA dans leur périmètre de responsabilité et 71 % souhaitent que leur fonction s’étende au contrôle de cette conformité.

Ce désir est compréhensible. Il ne constitue pas une architecture de gouvernance.

Le DPO doit être présent dans les projets IA qui touchent aux données personnelles. Il ne doit pas devenir la personne qui décide pourquoi l’outil existe, comment il fonctionne dans le métier et quels risques l’entreprise accepte. Sinon, on demande au contrôleur de contrôler ses propres décisions.

Un rôle s’étend plus vite que ses moyens

Le rapport dessine d’abord un paradoxe de ressources. Soixante-dix pour cent des organismes interrogés utilisent ou prévoient d’utiliser l’IA. Parmi les systèmes déployés ou préparés, 81 % reposent sur l’IA générative et 58 % traitent des données personnelles. Le DPO est donc logiquement appelé.

Mais l’organisation qui l’appelle est rarement prête. Seuls 19 % des organismes ont formalisé une stratégie ou une politique dédiée à l’IA. Trente et un pour cent ont commencé à se préparer au règlement IA. La technologie est entrée par les outils avant que les responsabilités soient distribuées.

Le DPO absorbe alors le vide. Or 85 % des DPO internes ou mutualisés exercent leur fonction à temps partiel. Soixante pour cent y consacrent au plus un quart de leur temps, 66 % n’ont pas de budget et 77 % travaillent seuls. Dans le même échantillon, seuls 27 % estiment avoir une bonne connaissance du règlement IA et 85 % n’ont suivi aucune formation spécifique à l’IA.

Ces chiffres ne décrivent pas une profession incompétente. Ils montrent une fonction à laquelle on ajoute un deuxième règlement, des systèmes plus techniques et une responsabilité diffuse sans retirer aucune mission précédente.

Une petite structure peut croire qu’elle simplifie en donnant « tout ce qui est conformité » à une seule personne. Elle déplace surtout l’ambiguïté. Le projet conserve son propriétaire réel — direction, ressources humaines, marketing, opérations — mais celui-ci devient invisible derrière le DPO dès qu’une question difficile apparaît.

Être associé ne signifie pas être propriétaire

Le RGPD donne au DPO une place précise. Il informe et conseille, contrôle le respect des règles, accompagne les analyses d’impact et coopère avec l’autorité de contrôle. L’organisation doit l’associer correctement et assez tôt aux sujets qui concernent les données personnelles. Elle doit aussi lui fournir des ressources et préserver son indépendance.

Cette indépendance n’est pas une préférence de méthode. L’article 38 autorise le DPO à exercer d’autres tâches, mais impose qu’elles ne créent pas de conflit d’intérêts. La Cour de justice de l’Union européenne a précisé en 2023 qu’un conflit peut exister si ces autres fonctions conduisent le DPO à déterminer lui-même les finalités et les moyens d’un traitement de données personnelles.

La frontière utile se trouve là.

Le DPO peut demander pourquoi un assistant reçoit des comptes rendus de réunion. Il peut conseiller de retirer certaines données, examiner le contrat du fournisseur, vérifier la base juridique, réclamer une durée de conservation ou recommander une analyse d’impact. Il peut aider à concevoir le registre et signaler qu’une fonction de profilage change le risque.

Il ne devrait pas décider que l’assistant sera déployé dans toute l’entreprise, choisir seul ses catégories d’utilisateurs, fixer la finalité métier du traitement, définir le niveau d’erreur acceptable puis attester que l’ensemble est convenable. À cet instant, le conseiller devient concepteur et le contrôleur examine sa propre copie.

Le règlement IA ne résout pas cette frontière en nommant le DPO. Il ne le fait pas. Le texte répartit plutôt les obligations entre fournisseurs, déployeurs, importateurs, distributeurs et fabricants, selon le rôle tenu autour du système. Il exige notamment que fournisseurs et déployeurs prennent des mesures de littératie IA adaptées. Il ne transforme pas automatiquement le délégué à la protection des données en responsable universel de l’IA.

Le piège du guichet unique

Le guichet unique est séduisant pour une direction. Une adresse reçoit les demandes, un tableau centralise les outils et un nom apparaît dans les comptes rendus. La gouvernance semble exister.

Elle n’existe que si les décisions restent attribuées.

Prenons un outil qui classe des candidatures. Les ressources humaines portent la raison d’utiliser le système, les critères de succès, les personnes affectées et la décision de continuer ou d’arrêter. L’informatique et la sécurité portent l’intégration, les accès, les journaux et les incidents techniques. Le fournisseur répond de ce qu’il fournit et documente. Le DPO conseille sur les données personnelles, vérifie la conformité et conserve la possibilité de contester l’ensemble.

Si tout remonte au DPO, les responsabilités opérationnelles ne disparaissent pas. Elles deviennent seulement plus difficiles à voir. Lorsque le classement produit une erreur, la question ne sera pas uniquement de savoir si une notice d’information existait. Il faudra savoir qui a choisi les critères, qui a testé les résultats, qui pouvait suspendre l’outil et qui a accepté l’écart observé.

Le DPO ne peut pas répondre seul à ces questions parce qu’elles appartiennent au travail lui-même.

L’enquête de la CNIL apporte ici son propre contrepoint. Une majorité des DPO souhaite élargir la fonction et beaucoup y voient une évolution professionnelle. Ce mouvement peut être fécond : la protection des données apporte à la gouvernance IA une culture de documentation, d’analyse des risques et de droits des personnes que peu d’autres fonctions possèdent.

Mais une compétence utile n’implique pas la propriété entière du problème. Le comptable comprend la dépense sans posséder chaque projet. Le responsable sécurité évalue une exposition sans décider seul de chaque produit. Le DPO peut devenir un acteur central de l’IA sans devenir son propriétaire.

Quatre places suffisent

Une PME n’a pas besoin de créer un comité permanent de douze personnes, un poste de « chief AI officer » et trois registres concurrents. Elle a besoin que quatre places soient occupées, même si certaines personnes portent plusieurs casquettes.

Place	Question dont elle répond
Propriétaire métier	Pourquoi cet usage existe-t-il, quel résultat attend-on et quand l’arrête-t-on ?
Technique et sécurité	Comment le système est-il intégré, accessible, surveillé et secouru ?
DPO	Les données personnelles, les droits et les garanties sont-ils correctement traités ?
Coordination juridique ou risque	Quelles obligations du règlement IA et des autres textes s’appliquent, et quelles preuves faut-il garder ?

Dans une petite organisation, la quatrième place peut être coordonnée par le DPO, un juriste externe ou une personne chargée des risques. Le choix compte moins que la limite : la coordination ne doit pas donner à cette personne le pouvoir de définir seule l’usage puis d’en certifier la conformité.

Le document minimal tient sur une page par système. Il nomme le propriétaire métier, l’objectif, les données utilisées, le fournisseur, les personnes touchées, le validateur humain, l’erreur grave, la trace conservée et la personne qui peut suspendre l’usage. Le guide d’auto-évaluation de la CNIL suit la même logique de fond : définir un objectif, attribuer les responsabilités et documenter le traitement.

Cette page ne remplace ni une analyse d’impact ni les documents exigés pour un système à haut risque. Elle empêche simplement le projet de commencer sans propriétaire et de finir sur le bureau du DPO par défaut.

L’indépendance se voit dans le droit de dire non

Le test le plus simple n’est pas l’organigramme. C’est la possibilité réelle de désaccord.

Le DPO peut-il écrire que les données ne doivent pas être envoyées au fournisseur choisi ? Peut-il demander une analyse d’impact alors que le lancement est annoncé ? Peut-il recommander l’arrêt d’un usage sans devoir défendre le budget, le calendrier ou les résultats qu’il a lui-même promis ? Peut-il porter son avis directement au niveau de direction ?

Si la réponse est non, l’organisation n’a pas intégré le DPO. Elle l’a incorporé au projet jusqu’à faire disparaître sa distance.

L’IA rend cette distance plus importante, pas moins. Les systèmes sont achetés à des fournisseurs externes dans 73 % des cas observés par l’enquête. Leur documentation peut être incomplète, leurs fonctions évoluer rapidement et leurs sorties être difficiles à auditer. Dans ce contexte, l’entreprise a besoin de quelqu’un qui ne soit pas récompensé pour la vitesse du déploiement et qui puisse demander une preuve de plus.

Elle a aussi besoin de quelqu’un d’autre qui assume la décision de déployer.

Ce que Jachère retient

L’arrivée de l’IA dans le travail du DPO est inévitable dès que les usages touchent aux données personnelles. L’extension de ses compétences peut améliorer la qualité des projets et éviter que le règlement IA soit traité séparément du RGPD alors que les mêmes systèmes soulèvent souvent les deux questions.

La mauvaise conclusion serait d’en faire le propriétaire de toute l’IA. Ce raccourci charge une fonction déjà exercée à temps partiel dans la majorité des organisations, brouille son indépendance et offre aux métiers une sortie commode hors de leurs propres décisions.

Le DPO doit rester assez proche pour comprendre le système et assez distinct pour le contester. Entre ces deux exigences, la gouvernance n’a pas besoin d’un grand programme. Elle a besoin de noms placés devant les bonnes questions.