"Il existe 60 points d'interconnexion entre l'AI Act et le RGPD", Paul-Olivier Gibert (AFCDP)

Le Club Data Protection : Le jeudi 6 février s’est ouverte la 19e édition de l’Université de l'Association Française des Correspondants à la protection des Données à caractère Personnel (AFCDP) des DPO. Que pouvez-vous nous dire sur cet événement ?

Paul-Olivier Gibert : Nous attendons plus de 1000 personnes à la Maison de la Chimie, qui est un bel endroit à Paris. Durant deux jours, nous proposons des conférences sur des sujets clés comme la conformité des systèmes d’intelligence artificielle, l’évolution du métier de DPO, le rôle du DPO dans l’OSINT… Dans ce cadre, nous recevons des experts renommés, parmi lesquels Louis Dutheillet de Lamothe, secrétaire général de la Commission nationale de l’informatique et des libertés (Cnil), Emmanuel Naegëlen, le directeur adjoint de l’Agence nationale de la sécurité des systèmes d’information (Anssi), ou encore Marie-Anne Frison-Roche, directrice du Journal of Regulation & Compliance (JoRC), qui est une des plus grandes expertes sur les problèmes de conformité.

C’est un événement intéressant, car il est hybride. Après ces deux jours, l’AFCDP propose des sessions numériques entre mars et novembre 2025 pour pouvoir approfondir et travailler sur des thématiques spécifiques.

Cette année, le thème est : "Gouvernance des données : enjeux juridiques, éthiques et technologiques pour les DPO". Pourquoi ?

L’AFCDP est une association qui fonctionne avec un modèle bottom-up. Ce qui est important, c’est le travail effectué par les adhérents. Ainsi, le conseil d’administration et les salariés ont pour objectif de soutenir le travail et les échanges entre adhérents. Cela nous permet d’avoir une remontée et une connaissance assez fine des enjeux du terrain. Le choix du thème a été fait en fonction de ces informations.
A noter que le thème a été fixé en juillet dernier. Il faut donc faire un pari pour s’assurer que ce qui a été perçu à ce moment-là sera toujours d’actualité en février.

Justement sur le terrain, constatez-vous de grandes tendances ?
La fonction de DPO continue à s’affirmer et à asseoir ses responsabilités dans l’entreprise et les organisations. C’est une fonction centrale, en particulier dans un monde de plus en plus numérisé, pour ne pas dire exclusivement numérisé. De plus, le DPO est particulièrement exposé aux nouvelles réglementations, telles que NIS 2, dont la loi de transposition n'a pas encore été adoptée. Dans ce cadre, l’AFCDP est très favorable au dialogue au sein des organisations avec la direction des systèmes d’information (DSI), par exemple.

Le début de l’année 2025 a notamment été marqué par l’investiture de Donald Trump à la tête des Etats-Unis. En quelques jours, il a remis en cause l'existence de nombreux organismes, tels que le Privacy and Civil Liberties Oversight Board (PCLOB), un comité qui sous-tend la légalité du Data Privacy Framework (DPF), le texte qui autorise le transfert de données personnelles des Européens vers les Etats-Unis. Qu'en pensez-vous ?

Evidemment, l'arrivée de Donald Trump pose des questions centrales dans les relations entre l'Europe et les Etats-Unis, en particulier dans les traitements de données. La démission des membres démocrates du PCLOB fragilise le Data Privacy Framework. C'est un sujet relativement important.

Le début de l'année 2025 est également marqué par l'entrée en application d'une partie de l'Artificial Intelligence Act (AI Act). Ce texte soulève-t-il des problématiques particulières ?

L'AI Act n'est pas un accessoire du RGPD, mais il y a 60 points d'interconnexion identifiés entre ces deux textes. Cela affecte évidemment le métier du DPO. Il y a un certain nombre de traitements qui ne sont pas des traitements sensibles au titre du RGPD mais qui le deviennent s'ils sont effectués en utilisant des outils d'IA.

Est-ce que ces changements majeurs, conjugués au climat politique et géopolitique actuel, inquiètent les membres de l'AFCDP ?

En effet, nous pouvons sentir un peu d'inquiétude. Mais, en même temps, il y a aussi beaucoup de choses qui avancent, qui se mettent en place, de manière efficace et positive. Évidemment, il y a du travail à faire et il faut être conscient que nous allons évoluer dans un environnement turbulent durant l'année 2025.

Pour les aider dans leur quotidien, on voit fleurir des logiciels de mise en conformité avec le RGPD. Sont-ils réellement efficaces ?

Nous avons une position de neutralité vis-à-vis des produits et des offres. Ce que nous pouvons dire, c'est qu'ils ont une certaine utilité. Concernant leur efficacité, parmi nos membres, nous n'avons pas d'écho très marquant ni dans un sens, ni dans l'autre. . En réalité, cela dépend beaucoup de l'organisation et de sa structure. En revanche, c'est un sujet qui nous intéresse au sein de l'association. L'année dernière, nous avions proposé un atelier sur le thème : "J'ai abandonné mon outil de gestion de mise en conformité".

Le manque de budget des DPO, limitant leurs missions, est un sujet qui revient régulièrement sur la table. Cela se vérifie-t-il sur le terrain ?

Oui, c'est quelque chose qui revient dans les témoignages de nos membres. Mais c'est un sujet qui ne se pose pas avec la même acuité dans toutes les organisations et toutes les entreprises. En effet, celles qui ont identifié la mission et la fonction du DPO lui donnent les moyens de faire son travail. En revanche, il y a un certain nombre de DPO qui n'ont pas le budget nécessaire pour effectuer leurs missions. C'est un vrai sujet de préoccupation, car c'est une population qui est un peu en déshérence. Il faudra s'en occuper dans les années qui viennent.

J'imagine que c'est l'une des missions de l'AFCDP.

En effet. En dehors de l'Université, trois réunions se tiennent chaque semaine. Nous avons également un outil de prise de parole et d'échange libre, baptisé "Agora". Au sein de l'association, il y a une véritable écoute confraternelle. Pour les cas les plus extrêmes, nous avons mis en place un service d'accompagnement psychologique pour aider un DPO confronté à des difficultés. Attention, ce n'est pas une thérapie.

Sélectionné pour vous

Une organisation sur deux a déjà écarté une solution IT pour des raisons de souveraineté

Droits d'auteur : Anthropic met fin à un procès en payant 1,5 milliard de dollars

Supply chain, gouvernance, audibilité : Les leçons à tirer du stress test sur la sécurisation de l'IA