Le métier de DPO à l’heure de l’intelligence artificielle : publication des résultats de l’enquête

Depuis 2018, la Délégation générale à l’emploi et la formation professionnelle (DGEFP) et la CNIL, en partenariat avec l’Association française des correspondants à la protection des données (AFCDP), étudient les enjeux d’emploi et de compétences liés au RGPD en suivant de près l’évolution de la fonction de délégué à la protection des données (DPO).

Pour sa 5^ème édition, l’Observatoire du métier de DPO s’est intéressé aux perspectives d’évolution du métier de délégué à la protection des données induites par l’intelligence artificielle et le règlement IA (RIA).

Réalisée par l’Agence pour la formation professionnelle des adultes (Afpa), l’étude apporte un éclairage inédit sur les transformations en cours à travers le regard des DPO. Elle permet de mieux comprendre les usages de l’IA au sein des organisations et la manière dont s’organise leur gouvernance. Elle met également à jour les principaux enjeux de conformité identifiés par les DPO au titre du RGPD et du RIA. Enfin, elle s’intéresse aux perspectives d’évolution du métier et aux besoins concrets d’accompagnement des DPO.

Le profil des DPO en 2025

L’enquête vient confirmer certaines grandes tendances de la précédente étude :

• 79 % des DPO exercent leur fonction en tant que DPO internes ;
• 54 % des DPO sont issus d’autres domaines d’expertise que le juridique et l’informatique ;
• 85 % des DPO internes et mutualisés exercent à temps partiel ;
• 45 % ont une expérience dans le domaine de la protection des données de plus de 6 ans ;
• la représentation des hommes et des femmes dans la fonction est équilibrée.

Les profils des DPO restent très diversifiés que ce soit en termes d’expériences, de domaine d’origine, de ressources, de temps consacré à la fonction ou encore selon la taille de la structure dans laquelle ils travaillent.

Des usages de l’IA qui se développent, une gouvernance encore en construction

Les résultats montrent que 70 % des organismes répondants utilisent ou prévoient d’utiliser l’IA. Parmi eux :

• le recours à des systèmes d’IA générative est très largement majoritaire puisqu’il concerne 81% des organismes ;
• 2/3 achètent leur solution auprès de fournisseurs externes, contre 22 % qui les développent en interne.

Cette utilisation est fortement corrélée à la taille des organismes, les plus grandes structures y recourant plus fréquemment.

Pour accompagner ce développement rapide des usages, une gouvernance IA se met progressivement en place. Toutefois, l’enquête montre que cette gouvernance reste encore peu structurée dans la majorité des cas :

• moins d’un quart des organisations disposent d’une stratégie ou d’une politique formelle sur le sujet ;
• moins d’un tiers ont mis en place des actions de sensibilisation des salariés ou adopté une charte d’utilisation de l’IA ;
• 31 % ont commencé à se préparer à l’entrée en application du règlement IA.

Selon les DPO, les systèmes d’IA sont majoritairement amenés à traiter des données personnelles, plaçant la conformité RGPD au cours des enjeux.

Plus de la moitié des DPO interrogés indiquent être souvent ou systématiquement associés aux projets IA.

Le règlement IA, un nouveau champ d’action pour le DPO ?

S’il ne fait aucun doute que le DPO doit être associé dès lors que l’IA traite des données personnelles, la question de l’extension des compétences du DPO à la conformité au règlement IA (RIA) reste pleinement ouverte.

Le RIA ne mentionnant pas le DPO, son rôle ne s’impose pas dans les chaînes de gouvernance interne.

À cet égard, les résultats de l’étude sont particulièrement significatifs et illustrent, en pratique, une forte propension des DPO à s’emparer du RIA :

• 55 % des DPO déclarent qu’ils ont déjà le RIA dans leur périmètre de responsabilité.
• 71 % souhaitent un élargissement du périmètre de la fonction à la conformité au RIA.

Le règlement IA reste toutefois encore peu maitrisé par les DPO :

• Seuls 27 % des DPO déclarent disposer d’un bon niveau de connaissance du texte.
• 85 % des DPO n’ont pas encore suivi de formation spécifique sur l’IA.

Si les DPO sont globalement outillés pour évaluer les aspect RGPD de l’IA, ils manquent encore souvent d’outils et de méthodes pour aborder les aspects RIA.

Les répondants sont conscients que le développement de l’IA nécessite l’acquisition de nouvelles compétences et rend leur rôle plus complexe et technique, même s’il peut également représenter une opportunité d’évolution professionnelle.

Face aux nombreux enjeux soulevés par l'intelligence artificielle et le RIA, la CNIL poursuivra son rôle d'accompagnement des DPO en continuant à développer des outils et ressources pratiques pour faciliter l’application du RGPD aux systèmes d’IA et pour aider les professionnels dans la compréhension et l'application de ce nouveau texte.