Personne n’a réécrit la fiche de poste. Les missions du délégué à la protection des données figurent toujours à l’article 39 du RGPD, dans les mêmes termes qu’en 2018 : informer et conseiller, contrôler le respect du règlement, conseiller sur les analyses d’impact, coopérer avec l’autorité de contrôle, servir de point de contact. Aucun texte n’y a ajouté une ligne depuis.
Et pourtant, le travail de la semaine ne ressemble plus à celui de 2018. Ce n’est pas la définition qui a bougé, c’est le terrain sur lequel elle s’applique. La question utile n’est donc pas « le métier change-t-il ? », elle est : qu’est-ce qui entre réellement dans votre périmètre, qu’est-ce qui n’y entre pas, et quelles compétences faut-il aller chercher en premier. Voici la réponse, dans cet ordre.
Le métier de DPO a-t-il changé, ou seulement grossi ?
Il a grossi, puis il s’est déplacé. Trois mouvements se sont additionnés en peu d’années.
Le premier est l’élargissement du corpus. Le RGPD ne se lit plus seul. La directive (UE) 2022/2555 dite NIS2 pose une gouvernance de la cybersécurité avec ses propres obligations de notification et sa propre responsabilité des organes de direction. Le règlement (UE) 2024/1689 sur l’intelligence artificielle ajoute une classification par niveau de risque, des obligations de transparence et une exigence de littératie applicable depuis le 2 février 2025, l’essentiel de ses obligations générales s’appliquant depuis le 2 août 2026. Ces textes ne se substituent pas au RGPD : ils se superposent, avec des périmètres qui se recoupent partiellement et des interlocuteurs différents.
Le deuxième mouvement est plus discret et plus lourd. Les traitements ne se déclarent plus. Un service qui achetait autrefois un logiciel passait par la direction des systèmes d’information, donc par un point de contrôle. Aujourd’hui, une équipe active une fonction d’assistant dans un outil déjà en place, ou souscrit un abonnement à quinze euros par mois avec une carte bancaire. Le traitement existe, il n’a franchi aucun guichet, et votre registre l’ignore.
Le troisième est le changement de nature de la preuve attendue. Une politique signée et un registre à jour au 31 décembre ne suffisent plus à démontrer grand-chose quand les systèmes évoluent chaque mois par mise à jour. Ce qu’on vous demandera de montrer, c’est une trace continue : qui a décidé quoi, quand, sur la base de quel avis.
Qu’est-ce que le règlement sur l’IA ajoute vraiment à votre quotidien ?
Moins de choses qu’on ne le dit, mais des choses précises. Trois tâches nouvelles apparaissent concrètement dans un agenda de délégué.
Il faut d’abord savoir répondre à une question de qualification : cet outil est-il un système d’IA au sens du règlement, et si oui, à quel niveau de risque, et l’organisation en est-elle fournisseur ou déployeur ? Cette qualification ne relève pas de vous seul, mais personne d’autre ne la posera si vous ne la posez pas.
Il faut ensuite tenir un inventaire. Le registre des systèmes d’IA n’est pas le registre des traitements, même si les deux se croisent souvent. Un système d’IA peut ne traiter aucune donnée personnelle et rester dans le champ du règlement ; un traitement peut mobiliser une fonction d’IA sans que le fournisseur l’ait jamais mentionnée.
Il faut enfin articuler l’analyse d’impact relative à la protection des données avec les exigences propres au règlement sur l’IA. Les deux exercices partagent une matière commune, les finalités, les données, les risques pour les personnes, mais ils ne répondent pas aux mêmes questions. Les mener séparément double le travail, les confondre produit un document qui ne satisfait ni l’un ni l’autre.
Le reste du bruit ambiant relève surtout de la culture générale. Utile, mais pas prioritaire.
Êtes-vous devenu le responsable de la conformité IA de votre organisation ?
Non, et c’est le point le plus important de cet article.
Le règlement sur l’intelligence artificielle ne crée pas de fonction de délégué à l’IA, ne rend obligatoire aucune désignation équivalente, et ne transfère au délégué à la protection des données aucune responsabilité nouvelle. Les obligations pèsent sur le fournisseur et sur le déployeur, c’est-à-dire sur l’organisation elle-même et sur sa direction. La même logique vaut pour NIS2, où la directive vise expressément la responsabilité des organes de direction.
Cette précision n’est pas un confort d’esprit. Elle protège votre position. Un délégué qui accepte silencieusement d’endosser la conformité de l’IA, celle de la cybersécurité et celle des achats numériques se retrouve responsable de tout et décisionnaire de rien, avec les ressources de 2018. L’article 38 du RGPD prévoit que le responsable du traitement fournit les ressources nécessaires à l’exercice des missions. Ce n’est pas une formule de politesse, c’est l’argument à poser sur la table quand le périmètre s’élargit sans que rien d’autre ne bouge.
Le bon positionnement tient en une phrase : vous êtes celui qui sait poser les questions, tracer les réponses et alerter. Vous n’êtes pas celui qui décide à la place de la direction. C’est exactement ce que dit déjà le cadre des missions du délégué, et c’est ce qui rend le rôle tenable.
Quelles compétences faut-il acquérir en priorité ?
Les listes de compétences publiées un peu partout mélangent l’indispensable et l’accessoire. Voici un classement de praticien, par retour sur le temps investi.
| Compétence | Ce qu’elle vous permet de faire | Priorité |
|---|---|---|
| Qualifier un système d’IA | Trancher entre système d’IA et automatisation ordinaire, situer le niveau de risque, distinguer fournisseur et déployeur | Immédiate |
| Lire un contrat de prestation numérique | Repérer une sous-traitance ultérieure non déclarée, une clause d’entraînement sur vos données, une réversibilité incomplète | Immédiate |
| Interroger un fournisseur par écrit | Obtenir des réponses opposables plutôt que des assurances orales, et créer la trace même quand la réponse tarde | Immédiate |
| Comprendre une chaîne technique | Suivre un flux de données du poste de travail au sous-traitant ultérieur, sans dépendre entièrement de la parole de l’éditeur | Haute |
| Piloter par indicateurs | Présenter un état de conformité en cinq chiffres plutôt qu’en quarante pages, et rendre visible ce qui manque | Haute |
| Animer et former en interne | Répondre à l’exigence de littératie et réduire à la source les usages non déclarés | Haute |
| Sécurité opérationnelle | Dialoguer avec la direction des systèmes d’information sur les incidents et les délais de notification | Moyenne |
| Certification technique approfondie | Utile en spécialisation, rarement déterminante au quotidien | Basse |
Une remarque sur ce tableau. Les trois compétences classées en priorité immédiate ne sont pas techniques. Elles relèvent de la lecture attentive et de la formulation précise, c’est-à-dire du cœur historique du métier. Ce n’est pas un hasard : ce qui change n’est pas la nature du travail, c’est le nombre d’objets auxquels il faut l’appliquer.
Comment prouver ce travail sans y passer vos soirées ?
C’est le vrai sujet, et celui dont on parle le moins. Un délégué compétent qui ne peut pas montrer ce qu’il a fait se retrouve dans la même position qu’un délégué qui n’a rien fait, le jour où on lui demande des comptes.
Le piège classique est la reconstitution. En novembre, on ouvre un document vierge intitulé bilan annuel, et on part à la recherche des avis rendus dans les fils de courriels, des réunions dans les agendas, des alertes dans les messageries instantanées. Le résultat est toujours en deçà de la réalité du travail accompli, parce que la mémoire ne restitue que les dossiers marquants. Vous sous-vendez votre propre activité auprès de la seule personne qui peut vous accorder des moyens.
La parade tient en une discipline : consigner au moment où cela se produit, dans un endroit unique, l’avis rendu, la réunion tenue, l’écart constaté et l’action décidée. Cinq minutes le jour même valent trois jours en décembre.
C’est exactement ce que fait le module feuilles de temps et bilan de DPO SUITE : les avis rendus, les réunions, les non-conformités et les actions correctives se consignent au fil de l’eau, et le bilan annuel se génère à partir du réel au lieu d’être reconstitué de mémoire.
Que répondre à une direction qui élargit votre périmètre sans rien ajouter ?
Trois formulations, testées en réunion, valent mieux qu’un long plaidoyer.
- « Le règlement sur l’IA ne désigne pas de délégué à l’IA. Les obligations pèsent sur l’organisation en tant que déployeur. Je peux instruire les dossiers et vous alerter, la décision reste la vôtre. »
- « Voici les traitements et les systèmes que je suis aujourd’hui, et voici ceux que je ne suis pas, faute de temps. Dites-moi lesquels vous acceptez de laisser sans suivi, ou donnons-moi les moyens de les couvrir. »
- « L’article 38 du RGPD prévoit que vous me fournissiez les ressources nécessaires à mes missions. Je vous propose de le formaliser dans ma lettre de mission, en même temps que l’élargissement du périmètre. »
La troisième est la plus efficace, parce qu’elle transforme une plainte en proposition écrite. Elle fonctionne aussi bien pour un délégué interne que pour un délégué externe qui voit son forfait s’éroder à mesure que le périmètre s’étend. Le même raisonnement vaut pour la cybersécurité, où le rôle du délégué face à NIS2 mérite d’être écrit noir sur blanc plutôt que supposé.
Par où commencer ce trimestre ?
Quatre chantiers, dans cet ordre, tiennent en quelques demi-journées et changent la position.
- Recensez les fonctions d’IA déjà actives dans les outils de l’organisation, y compris celles apparues par mise à jour. Commencez par les trois logiciels les plus utilisés, pas par les plus visibles.
- Envoyez une demande écrite de déclaration à vos prestataires les plus sensibles : finalité de la fonction d’IA, fournisseur du modèle, données traitées, durées, sous-traitants ultérieurs, supervision humaine, notification des changements.
- Ouvrez un journal de vos avis rendus, même sommaire, et tenez-le à partir de la semaine prochaine. Pas de rattrapage rétroactif, il ne se fera jamais.
- Mettez à jour votre lettre de mission ou votre contrat pour y inscrire le périmètre réel et les moyens associés. C’est le document qui vous protégera, pas votre courriel d’alerte de mars.
Sur le fond du sujet réglementaire lui-même, le décryptage du règlement sur l’IA pour les délégués complète utilement ce qui précède, et les positions de la CNIL sur l’intelligence artificielle restent la première source à suivre en français.
Le métier ne se transforme pas en autre chose. Il se densifie, et il exige désormais qu’on sache dire où il s’arrête. Les délégués qui tiendront la distance ne seront pas ceux qui auront accumulé le plus de certifications, mais ceux qui auront gardé une trace lisible de ce qu’ils ont conseillé, alerté et obtenu.
