Le Règlement général sur la protection des données (RGPD) est entré en vigueur le 25 mai 2018. Il a été suivi, le 20 juin 2018, par la publication au Journal officiel de la loi relative à la protection des données personnelles, qui transpose le RGPD en droit français.

Par rapport à la loi Informatique et libertés, le RGPD introduit un changement majeur : il place désormais la responsabilité de la protection des données sur les acteurs qui les traitent. Ceux-ci doivent non seulement mettre en œuvre toutes les mesures nécessaires pour protéger les données personnelles, mais aussi être en mesure de prouver leur conformité.

C'est dans ce cadre que le RGPD oblige toute collectivité territoriale, indépendamment de sa taille, à nommer un délégué à la protection des données (DPO ou data protection officer), chargé de piloter sa mise en conformité (pour en savoir plus sur la désignation des DPO, consultez le guide de la Cnil). 

Chaque année depuis 2018, la Cnil mène une enquête sur le métier des délégués à la protection des données. Pour cette cinquième édition, « l’Observatoire du métier de DPO s’est intéressé aux perspectives d’évolution du métier de délégué à la protection des données induites par l’intelligence artificielle et le règlement IA (RIA) ». 2 390 DPO (1 896 internes, 234 internes mutualisés, 260 externes) ont été interrogés.

Le DPO, un acteur clé encore top peu associé et formé 

La Cnil montre que 79 % des DPO exercent leur fonction en interne, 11% en externe et 10 % sont internes et mutualisés c’est-à-dire qu’un DPO peut être employé par exemple par une intercommunalité et intervenir au sein de plusieurs communes membres. 85 % des DPO internes et mutualisés exercent à temps partiel et 60 % y consacrent 25 % ou moins de leur temps.

Les dernières enquêtes mettaient en évidence une fonction en constante évolution avec un développement parfois plus difficile dans les petites structures et qu’un manque de formation est parfois à déplorer pour certains DPO.

Cette nouvelle enquête dédiée à l’intelligence artificielle (IA) montre que les DPO souhaitent jouer un rôle central dans le développement de l’IA : « Face à la diffusion rapide de l’IA générative et à l’entrée en application du règlement européen sur l’IA, une partie des DPO perçoit la mise en conformité à ce nouveau cadre réglementaire comme le prolongement naturel de leurs missions. » 

Mais cette envie se heurte à un manque de moyens et d'implication en amont des projets. Dans le secteur public, 48 % des DPO estiment ne pas être impliqués assez tôt dans les projets IA, contre 34 % dans le privé. Le niveau de collaboration entre le DPO et les équipes techniques est jugé plus distant dans le public (45 % de collaboration faible, contre 35 % dans le privé).

De même, 41 % des DPO du secteur public rapportent une augmentation significative de leur charge de travail liée à l'IA (contre 30 % dans le privé), et 72 % estiment avoir besoin de nouvelles compétences (contre 61 % dans le privé). Malgré cela, tous secteurs confondus, 85 % des DPO n'ont suivi aucune formation spécifique sur l'IA, un chiffre qui n'a quasiment pas évolué depuis 2024.

L’intelligence artificielle et le secteur public 

Cette enquête permet également de mesurer l’installation de l’IA dans les structures du secteur public. Globalement, 70 % des structures interrogées utilisent ou prévoient d'utiliser l'IA, un usage qui devient la norme dans les grandes structures.

Cependant le secteur public est moins avancé sur la question. En effet, seulement 25 % des structures publiques se disent préparées ou en cours de préparation au règlement européen sur l'IA, contre 35 % dans le privé. Comme l’explique la Cnil, le règlement européen sur l'IA (RIA) vise à « encadrer le développement, la mise sur le marché et l'utilisation de systèmes d'intelligence artificielle (IA), qui peuvent poser des risques pour la santé, la sécurité ou les droits fondamentaux ». Elle rappelle au passage sur son site que lorsque « des données personnelles sont utilisées pour le développement d'un système d'IA, le RGPD et le règlement sur l'IA s'appliquent tous les deux ».

La Cnil estime enfin que la gouvernance de l’IA n’est encore qu’« en construction ». Dans le secteur public et privé, seules 19 % des organisations ont formalisé une stratégie ou une politique dédiée à l’IA et 31 % des organisations ont commencé à se préparer à l’entrée en application du règlement IA. 

Suivez Maire info sur Twitter : @Maireinfo2