DPO : le grand New Deal en attendant l'IA

De la déclaration préalable à l’accountability

Le cadre opérationnel établi par le RGPD en 2018 arrive à un point de rupture, imposant le passage d’un DPO « administratif », simple gestionnaire de formalités, à un « DPO augmenté », juge ainsi l’intervenant face à un parterre de DPO.

Dans ce paysage mêlant technologies et nouvelles régulations, le DPO se positionnerait comme le garant technique et éthique des droits fondamentaux au sein de l’organisation. Et son rôle ? Être capable d’arbitrer des risques dépassant la seule donnée personnelle.

« Le cadre opérationnel établi par le RGPD en 2018 arrive à un point de rupture »

Cela représente a priori un saut quantique pour le DPO, dont « l’avenir s’éclaire à la lumière du passé ». Entre 2004 et 2018, s’étire l’ère du Correspondant Informatique et Libertés (CIL) et du régime de « déclaration » : une description préalable des traitements soumise à la CNIL pour appréciation de conformité.

Le RGPD a renversé ce modèle au profit de l’accountability. Désormais, la responsabilité est interne et continue. Le DPO n’est plus un intermédiaire administratif vers la CNIL, mais le pilote d’une conformité documentée et démontrable.

Un métier sous tension maximale et une complexité accrue

Le nombre de DPO est passé de 20 000 en 2020 à 34 400 en 2024. Ce chiffre reste dérisoire au regard des 7,2 millions d’entreprises en France, considère néanmoins Anthony Coquer. La protection des données est encore loin d’être une préoccupation nationale généralisée, juge-t-il.

En outre, poursuit le consultant, le concept de « One DPO » relève de l’illusion. La réalité de terrain est celle d’une hétérogénéité de masse. 50 % des DPO ne sont ni juristes ni informaticiens. Ils exercent majoritairement en PME, souvent seuls et à temps partiel.

Par ailleurs, entre les statuts internes, externes ou mutualisés, les budgets et le temps alloué sont chroniquement sous-estimés. Enfin, la fonction est sous tension maximale. Des projections indiquent qu’un DPO sur cinq sera directement confronté à une violation de données ou à un incident de sécurité majeur.

Le législateur ne contribue pas à alléger cette tension. En cause l’agrégation de nouveaux textes européens (NIS2, DORA, AI Act, CRA) qui ne se substituent pas au RGPD, mais s’y imbriquent. L’analyse des points d’adhérence révèle une densification extrême : NIS2 comporte 24 références au RGPD, et l’AI Act pas moins de 38.

Le projet « Omnibus » illustre le paradoxe d’une simplification qui complexifie. Sous couvert d’harmonisation, il modifie des piliers doctrinaux tels que les définitions de la « donnée à caractère personnel » et du « traitement », introduit de nouvelles exceptions et intègre les dispositions relatives aux cookies.

Parallèlement, l’EDPB impose de nouveaux formats de notification, de violations et d’analyses d’impact (PIA). Pour les seules violations, 57 différences notables apparaissent par rapport aux pratiques actuelles.

Cette standardisation, si elle sert les grands groupes internationaux, constitue en revanche une barrière à l’entrée et une source d’insécurité juridique pour les DPO de structures plus modestes, analyse le dirigeant de Lexing Technologies.

L’IA et le quantique : vers un délégué aux droits fondamentaux

L’émergence de l’IA et, à terme, du quantique – qui portera la capacité de traitement à un niveau de complexité inédit – exigerait de dépasser l’article 8 de la Charte des droits fondamentaux (protection des données) pour intégrer l’article 1 (Dignité) et l’article 21 (Non-discrimination).

« La protection des données est encore loin d’être une préoccupation nationale généralisée »

Le cas d’Amazon, dont l’outil de recrutement automatisé a discriminé les femmes en se basant sur des données historiques (privilégiant les hommes), révèle un paradoxe opérationnel : le principe de minimisation (Article 5 du RGPD) peut entraver la détection des biais.

Sans données qualifiées et représentatives, le DPO ne peut garantir l’absence de discrimination. Sa mission mute donc. Il doit devenir le « Délégué à la protection des droits fondamentaux ». Cela signifie d’être capable d’arbitrer entre la protection de la vie privée et la lutte contre les biais algorithmiques pour préserver la dignité humaine.

À l’horizon 2027, le DPO doit cesser d’être perçu comme un centre de coût pour devenir un « Trust Officer » (générateur de confiance), plaide Anthony Coquer. Une telle évolution nécessiterait de délaisser les indicateurs purement quantitatifs (nombre de registres) au profit de KPI qualitatifs démontrant la valeur ajoutée métier et la réduction effective des risques.

DPO augmenté et obsolescence programmée du DPO v1

L’avenir de la fonction s’articulerait autour d’une matrice à plusieurs profils, dont l’aboutissement serait le DPO Augmenté. Ce dernier profil utilise l’IA générative pour automatiser jusqu’à 80 % de sa charge administrative.

Des tests réalisés par Anthony Coquer démontrent qu’un LLM peut générer une analyse d’impact (PIA) sur la vidéoprotection, structurée au format des outils de la CNIL, incluant les références légales et les plans d’action.

En déléguant la production documentaire, le DPO se recentre sur l’arbitrage des risques, la responsabilité et la coordination d’équipes pluridisciplinaires (data scientists, RSSI, experts juridiques). La fonction de DPO, telle que définie lors du lancement du RGPD, entrerait dès lors en obsolescence programmée.

Face à l’élargissement de son périmètre aux droits humains universels et aux technologies de rupture, le délégué sera « augmenté » par la technologie et l’expertise éthique. À défaut, il disparaîtra sous le poids de l’inflation réglementaire.

Son rôle final est de rendre le numérique digne de confiance, au-delà de la seule donnée. Mais tous les DPO se projettent-ils unanimement dans ce nouveau costume et un élargissement à la conformité avec le RIA ?

Un DPO champion évident du RIA ? Les avis divergent.

La CNIL prend le train de l’IA depuis plusieurs années déjà. Sur l’AI Act, elle est d’ailleurs prête à jouer son rôle, même si elle ne sera pas la seule autorité en charge de ces questions. Les DPO sont-ils eux aussi volontaires ?

D’après l’étude AFPA, 71 % souhaitent explicitement que la conformité au RIA soit intégrée à leurs missions. Mais 64 % des DPO admettent avoir une connaissance faible ou moyenne du texte, en l’absence de formation.

Le débat à l’issue de la présentation d’Anthony Coquer illustre clairement des divergences parmi les DPO sur la question de la prise en charge du RIA. Les témoignages traduisent des hésitations entre pragmatisme, opportunisme et prudence.

« Le DPO doit devenir le “Délégué à la protection des droits fondamentaux” »

Ainsi deux visions principales s’opposent. Pour certains, l’AI Act est une opportunité pour valoriser la fonction. Selon eux, l’avenir des DPO passe nécessairement par une implication active dans le RIA.

Plusieurs arguments sont avancés pour le justifier. Étendre son périmètre au RIA permettrait, par exemple, d’accroître la visibilité du DPO au sein de l’entreprise et de faciliter l’obtention de budgets et de ressources (qui manquent souvent).

L’approche par les risques a été initiée par le RGPD (où le mot « risque » figure 78 fois) et se retrouve massivement dans le RIA (où il apparaît 774 fois). Le DPO est donc jugé comme le professionnel le plus mature et le mieux armé pour analyser ces risques.

Enfin, vont valoir les partisans d’une extension, dans environ 90 % des cas, les systèmes d’IA s’appuieraient sur des données à caractère personnel. Résultat ? Ces projets entrent naturellement dans le champ de compétence historique du DPO.

À l’inverse, d’autres professionnels mettent en garde contre une « erreur de communication fondamentale » qui consisterait à attribuer d’office le RIA au DPO. Ils craignent notamment un risque de saturation. Ils risquent d’aller « au casse-pipe » par manque de compétences, de formation, de temps et de budget.

Ils signalent aussi que les missions réglementaires du DPO (définies par l’article 39 du RGPD) n’évoluent pas automatiquement tant que les textes de loi ne changent pas. De plus, arguent les prudents (voire sceptiques), le DPO n’est pas le responsable de la conformité au sein de l’entreprise.

Enfin, les systèmes d’IA posent des problèmes de sécurité, de disponibilité de la production ou d’aide à la décision qui s’éloignent de la protection de la vie privée. Pour un DPO, il sera très difficile d’expliquer à sa direction pourquoi il refuse de traiter un système d’IA sous prétexte qu’il ne contient pas de données personnelles, une fois qu’il aura accepté de gérer le RIA, anticipe un DPO.