RGPD 2026 : les changements pour les entreprises

Le RGPD s’applique depuis 2018 et reste en 2026 le socle du traitement des données à caractère personnel. L’utilisation de l’IA entraîne des obligations de transparence supplémentaires issues du règlement sur l’IA pour certains systèmes. Les transferts de données vers les États-Unis et les incidents de sécurité nécessitent chacun un examen au cas par cas. Les entreprises devraient documenter les flux de données, les responsabilités et les procédures de notification.

Examiner l’utilisation de l’IA et la protection des données

Tout traitement de données à caractère personnel à l’aide d’un outil d’IA nécessite une base juridique appropriée et une information des personnes concernées conformément aux dispositions du RGPD. Les entreprises devraient consigner les données traitées, les finalités du traitement et les prestataires qui y ont accès.

Une analyse d’impact relative à la protection des données est nécessaire lorsqu’un traitement est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes physiques. Cette appréciation dépend de l’usage concret. L’article 22 du RGPD vise les décisions fondées exclusivement sur un traitement automatisé et produisant des effets juridiques ou des effets similaires significatifs à l’égard d’une personne. Des garanties particulières et des exceptions s’appliquent à ces décisions.

Depuis le 2 août 2026, certaines obligations de transparence du règlement sur l’IA s’appliquent également. Elles comprennent, sous certaines conditions, l’information d’une personne lorsqu’elle interagit avec un système d’IA. L’obligation applicable dépend notamment du rôle de fournisseur ou de déployeur.

Contrôler les transferts de données vers les États-Unis

La décision d’adéquation relative au cadre UE-États-Unis de protection des données, ou Data Privacy Framework, permet le transfert de données à caractère personnel vers les organisations américaines certifiées dans le cadre de ce dispositif. Avant tout transfert, les entreprises devraient vérifier que le destinataire concerné et le traitement en question sont couverts par la certification. Les autres obligations du RGPD continuent de s’appliquer.

En l’absence de fondement approprié reposant sur une décision d’adéquation, les clauses contractuelles types peuvent notamment constituer des garanties appropriées. Il convient alors de vérifier si le niveau de protection est assuré pour le transfert concerné et si des mesures supplémentaires sont nécessaires. Les flux de données et les bases contractuelles devraient être documentés de manière traçable.

Notifier les violations de données et les incidents de sécurité

Une violation de données à caractère personnel doit en principe être notifiée à l’autorité de contrôle compétente dans les meilleurs délais et, si possible, dans les 72 heures après en avoir pris connaissance. La notification n’est pas nécessaire si la violation n’est pas susceptible d’engendrer un risque pour les droits et libertés des personnes physiques. En cas de risque élevé, une communication aux personnes concernées peut également être nécessaire.

Pour les entités importantes et particulièrement importantes, le § 32 de la loi allemande sur le BSI prévoit, en cas d’incident de sécurité significatif, une alerte précoce dans les 24 heures et une notification supplémentaire dans les 72 heures auprès du point de notification commun. Cette obligation s’applique au plus tôt à partir de la mise en place du canal de notification. Il convient d’examiner séparément si un incident relève des deux règles. Un plan d’action commun définissant clairement les responsabilités aide à engager les deux examens dans les délais.

Questions fréquentes

Chaque question est fermée. Appuyez pour afficher la réponse.

Une analyse d’impact relative à la protection des données est-elle nécessaire pour chaque outil d’IA ?

Non. Le critère déterminant est de savoir si le traitement concerné est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes physiques.

Le Data Privacy Framework suffit-il pour chaque prestataire américain ?

Non. Le destinataire concerné doit être certifié dans le cadre du dispositif pour le traitement en question. Les autres exigences du RGPD continuent également de s’appliquer.

Chaque cyberincident doit-il faire l’objet de deux notifications ?

Non. Le RGPD concerne les violations de données à caractère personnel soumises à notification. La loi allemande sur le BSI couvre les incidents de sécurité significatifs touchant les entités concernées. Les deux conditions peuvent être réunies simultanément.

Sélection de la rédaction

À lireCheckliste NIS2 2026 : Ce que les entreprises doivent mettre en œuvre dès maintenantÀ lireAI Act 2026 : Ce que le règlement européen sur l’IA signifie pour la cybersécuritéÀ lireSécurité Multi-Cloud 2026 : Les 5 principaux risques et comment les résoudre

Plus du réseau MBF Media

cloudmagazinTendances cloud 2026 : Les priorités IT à surveiller d’urgenceMyBusinessFutureIA « Made in Germany » : 935 startups et un écosystème qui mûrit