Data protection officers in France are divided over whether the EU’s AI Act should fall within their scope. A survey of 2,390 DPOs—1,896 internal, 234 shared, and 260 external—shows 55% already have AI Act compliance as part of their responsibilities, and 71% want their role to encompass it. The CNIL, France’s data protection authority, sees no obvious answer. While it has reminded organisations of the obligation to involve DPOs in AI-related data processing, it stresses that the AI Act does not mention the role and demands skills “not necessarily those expected of a DPO,” though it recommends “judicious mobilisation” of GDPR expertise given overlapping risk-based approaches, accountability, documentation, and transparency requirements.

For AI systems, the main GDPR challenges reported are data minimisation (57% of respondents), managing the data lifecycle (54%), algorithmic transparency and explainability (53%), and securing data and models (51%). The AI Act adds distinct hurdles: identifying system risk levels tops the list (62%), followed by obtaining documentation from providers (53%), aligning data protection impact assessments with fundamental rights impact assessments (41%), and detecting or correcting biases (40%). Ensuring reliability of AI outputs and explainability remain pressing concerns.

Preparedness is thin. Only 6% of organisations using or planning to use AI are well-prepared for the AI Act, while 25% are in preparation (conducting impact analyses), 28% are aware but have taken no action, and 27% are poorly informed. Formal AI strategies exist in just 19% of organisations; 46% are drafting one, more commonly in structures with over 1,000 employees (50%) than in those with fewer than 50 (36%). Where strategies are in place or being developed, DPOs lead governance in 39% of cases—slightly behind CIOs/CTOs (44%)—and 66% regularly sit on ethics or AI committees, though such bodies exist in only 20% of organisations.

DPOs are involved across the full AI project lifecycle in 42% of cases, with peak engagement just before deployment (26%) and at the ideation stage (24%). Most (58%) say this makes their role more complex and technical; 27% see it as more strategic. It is viewed as an opportunity for professional growth by 37%, but a clear workload increase by 33%. Skills gaps are stark: only 15% have undergone specific AI training, and two-thirds lack tools to assess AI Act compliance. Priority training needs are the interplay with GDPR and AI-specific risk assessment methodologies.

The study, conducted by Afpa for the CNIL, the Ministry of Labour, and the AFCDP, captures a profession at an inflection point, with expanding expectations that outpace clarity and resources. Except where noted, all figures relate to organisations that use AI.

Chez les DPO, il y a ceux qui perçoivent la conformité à l’AI Act comme un « prolongement naturel » de leurs missions. Et ceux qui estiment qu’elle ne relève pas de leur périmètre.

De ces deux orientations, aucune « n’apparaît s’imposer avec la force de l’évidence », pour reprendre les propos de la CNIL. La dernière vague de l’observatoire du métier des DPO* en témoigne… dans une certaine mesure. Ils sont 2390 à avoir répondu à l’enquête (1896 internes, 234 mutualisés, 260 externes). 55 % ont déjà l’AI Act dans leur périmètre de responsabilité et 71 % souhaitent que leur fonction l’englobe.

Le DPO, pas mentionné dans l’AI Act

En novembre 2025, au lancement de l’enquête, la CNIL avait rappelé l’obligation d’impliquer les DPO sur les traitements de données mis en œuvre par l’IA. Cela ne suppose toutefois pas forcément d’en faire les chefs de file sur la conformité à l’AI Act, avait-elle précisé. D’autant que le règlement ne mentionne pas explicitement les DPO.

La Commission avait ajouté que l’application de l’AI Act nécessiterait la mobilisation de compétences qui « ne sont pas nécessairement celles attendues du DPO ». Elle avait néanmoins appelé à une « mobilisation judicieuse » de leur expertise RGPD, vu les similarités entre les deux règlements (approche par les risques, principe de responsabilité, exigence de documentation et de transparence, etc.).

Principal défi : identifier le niveau de risque

Un élément ne plaide pas en faveur de la prise en charge de l’AI Act par les DPO : la charge de travail que représente déjà le RGPD. Y compris appliqué aux systèmes d’IA. Principaux défis en la matière :

Garantir la minimisation des données (57 % des DPO ont sélectionné cette option)

Gérer le cycle de vie des données (54 %)

Assurer la transparence et l’explicabilité des décisions algorithmiques (53 %)

Sécuriser les données et les modèles d’IA (51 %)

Respecter le principe de la limitation des finalités (47 %)

Gérer les droits des personnes concernées (46 %)

Réaliser les études d’impact sur la protection des données personnelles (AIPD ; 45 %)

L’AI Act engendre d’autres défis :

Identifier le niveau de risque des systèmes d’IA (62 %)

Documenter et obtenir de la documentation auprès des prestataires (53 %)

Assurer l’articulation entre AIPD et AIPF (analyses d’impact sur la protection des droits fondamentaux ; 41 %)

Détecter, prévenir et corriger les biais (40 %)

Assurer la fiabilité des prédictions/décisions et des données produites (39 %)

Assurer l’explicabilité des systèmes d’IA (38 %)

Peu de politiques IA formalisées jusque-là

Selon les DPO, parmi les structures qui utilisent des systèmes d’IA ou qui le prévoient, 6 % sont bien préparées à l’application de l’AI Act. Elles sont 25 % en phase de préparation (analyse des impacts en cours). 28 % sont « conscientes des enjeux » mais n’ont pas lancé d’actions concrètes. 27 % se disent peu ou pas informées. 10 % se déclarent non concernées (pas d’utilisation d’IA à risque).

Environ une sur cinq (19 %) a une stratégie ou une politique formelle pour l’IA. 46 % en ont une en cours de préparation (50 % dans les structures de plus de 1000 salariés ; 36 % dans celles de moins de 50).

Lorsqu’une stratégie existe ou est en préparation, les DPO font partie des principaux responsables de la gouvernance dans 39 % des cas (44 % pour les DSI/CTO). Ils sont plus nombreux (66 %) à participer régulièrement aux comités d’éthique – ou autres organes similaires dédiés à l’IA -… lorsque ces derniers existent (20 % des cas).

Une opportunité d’évolution, mais une nette charge de travail

42 % des DPO se disent impliqués tout au long des projets d’IA. Détail phase par phase :

24 % sur l’idéation/conception initiale

9 % sur le développement/entraînement des modèles

14 % dans les tests/validations

26 % avant le déploiement en production

18 % pendant l’exploitation

Les DPO estiment que l’accompagnement de ces projets rend leur rôle plus stratégique (27 %), mais aussi plus complexe et technique (58 %). Si c’est une opportunité d’évolution (37 %), c’est aussi une nette augmentation de la charge de travail (33 %).

Au moment de répondre à l’enquête (novembre 2025), peu avaient suivi une formation spécifique à l’IA (15 %). Les deux tiers disaient manquer d’outils ou de méthodes adaptés pour évaluer la conformité à l’AI Act. Les priorités de formation vont à l’articulation avec le RGPD et aux méthodologies d’évaluation des risques spécifiques à l’IA.

À consulter en complément :

Comment interpréter les obligations de transparence de l’AI Act

La CNIL joue les généalogistes des modèles d’IA

REGALIA, une synthèse des enjeux de régulation des algorithmes

Le projet PANAME teste sa bibliothèque d’audit de confidentialité des LLM

L’omnibus numérique fait tiquer les CNIL européennes

Face aux saisines, une société ne peut invoquer les droits RGPD de ses salariés

* Étude de l’Agence nationale pour la formation professionnelle des adultes (Afpa), pour la CNIL, le ministère du Travail et l’Association française des correspondants à la protection des données (AFCDP). Sauf si précisé, les taux annoncés sont rapportés aux structures qui utilisent de l’IA.

Illustration générée par IA

The post L’AI Act doit-il être l’affaire des DPO ? appeared first on Silicon.fr.