Les DPO à l’heure de l’IA. Rapport CNIL. Enquête 2025

L’intelligence artificielle transforme progressivement les organisations, mais aussi les métiers chargés d’encadrer les usages numériques. Parmi eux, le délégué à la protection des données, ou DPO, occupe une place centrale.

Dans son enquête 2025 intitulée « Les DPO à l’heure de l’IA », la CNIL, en partenariat avec la DGEFP, l’Afpa et l’AFCDP, dresse un état des lieux de la manière dont les DPO appréhendent l’IA, le RGPD et le nouveau règlement européen sur l’intelligence artificielle. L’étude repose sur les réponses de 2 390 DPO, recueillies en novembre 2025. 

Une IA déjà bien présente dans les organisations

L’un des premiers enseignements du rapport est clair : l’intelligence artificielle n’est plus un sujet futur. Elle est déjà bien installé dans une majorité d’organisations ayant désigné un DPO.

Aujourd’hui, 70 % des organismes interrogés utilisent ou prévoient d’utiliser l’IA. Sans surprise, les grandes structures sont les plus avancées. Plus la structure est grande, plus le mouvement est net.

L’IA générative domine largement, représentant 81% des systèmes déployés ou en préparation. Elle est utilisée notamment pour produire des contenus (textes, images, audio, vidéo), mais aussi dans des domaines comme la communication, la relation client, la conformité ou la sécurité.

Une gouvernance de l’IA encore en construction

Même si les usages progressent vite, la gouvernance, elle, peine à suivre. Seules 19% des organisations disposent d’une véritable stratégie formalisée sur l’IA. Dans beaucoup de cas, les réflexions sont encore en cours… ou inexistantes.

Le rapport montre aussi que les DPO sont souvent associés aux projets d’IA, mais pas toujours suffisamment tôt. Or, leur intervention en amont est essentielle pour identifier les risques, anticiper les obligations réglementaires et intégrer les principes de protection des données dès la conception des systèmes.

Cette situation révèle un décalage : les outils d’IA se diffusent rapidement, tandis que les mécanismes internes de contrôle, de documentation et de gouvernance avancent plus lentement.

Le RGPD reste au cœur des enjeux liés à l’IA

L’IA pose directement des questions de protection des données personnelles. D’après l’enquête, 58 % des systèmes d’IA utilisés traitent des données personnelles. Cela signifie que les principes du RGPD restent pleinement applicables. 

Les DPO font face à des difficultés concrètes : limiter les données utilisées, gérer leur cycle de vie, garantir la transparence des algorithmes, ou encore adapter les analyses d’impact.

L’enjeu n’est donc pas seulement de savoir si une organisation utilise l’IA, mais de comprendre comment ces systèmes fonctionnent, quelles données sont traitées, avec quels prestataires, et dans quel cadre juridique.

Le règlement IA : un cadre encore flou

Le règlement européen sur l’intelligence artificielle constitue une nouvelle étape importante. Pourtant, l’enquête montre qu’il reste difficile à saisir pour beaucoup de DPO. Seulement 27 % des DPO déclarent avoir une bonne connaissance du règlement IA. La majorité estime encore avoir un niveau de connaissance limité ou basique.

Les principales difficultés portent sur l’identification du niveau de risque des systèmes d’IA, l’obtention d’une documentation claire auprès des fournisseurs, l’articulation entre les analyses d’impact RGPD et les analyses prévues par le règlement IA, ainsi que la détection des biais ou risques de discrimination.

Ce constat montre que la conformité à l’IA ne se résume pas à une question juridique. Elle demande aussi une compréhension technique, organisationnelle et éthique des systèmes déployés.

Le rôle du DPO évolue, mais se complexifie

L’un des points les plus importants du rapport concerne l’évolution du métier de DPO. Pour 42 % des répondants, l’utilisation de l’IA a déjà entraîné une évolution de leurs missions. Cette transformation est encore plus visible dans les grandes organisations, où les projets IA sont plus nombreux et plus structurés.

Le rapport met aussi en évidence une attente forte : 71 % des DPO souhaitent que leur rôle soit élargi au contrôle de la conformité au règlement IA. Par ailleurs, 55 % indiquent que ce sujet entre déjà dans leur périmètre de responsabilité.

Cependant, cette évolution n’est pas sans difficulté. Les DPO soulignent que l’IA rend leur rôle plus complexe, plus technique et plus exigeant. Beaucoup y voient une opportunité professionnelle, mais aussi une charge supplémentaire.

Un besoin urgent de formation et d’outils pratiques

Le rapport insiste également sur un point essentiel : les DPO ne sont pas encore suffisamment formés à l’IA.

Selon l’enquête, 85 % des DPO n’ont pas suivi de formation spécifique sur l’intelligence artificielle. Pourtant, 65 % considèrent que l’IA impose de nouvelles compétences.

Quelles sont les besoins prioritaires ? L’articulation entre RGPD et règlement IA, les méthodes d’évaluation des risques liés à l’IA, la compréhension technique des systèmes, la gouvernance de l’IA et la gestion des prestataires.

Ce que les DPO attendent surtout, ce sont des ressources opérationnelles tel que des fiches pratiques, guides, modèles d’analyses d’impact, retours d’expérience et outils directement réutilisables.

Sur ce point vous trouverez notre formation et la certification AIGP de l’IAPP : https://www.dataprivacy.pro/iapp-aigp/

L’IA comme outil au service des DPO

Enfin, le rapport montre que l’IA n’est pas qu’un objet de contrôle pour les DPO. Elle peut aussi devenir un outil d’aide au quotidien. Aujourd’hui, 30 % des DPO utilisent déjà des technologies d’IA dans leur travail, surtout pour la rédaction, la synthèse de longs documents, la veille juridique, l’analyse de textes ou la préparation de supports internes.

La majorité des DPO ne voit pas l’IA comme une menace directe pour leur métier. Au contraire, beaucoup la considèrent comme un outil pour faciliter certaines tâches, à condition de garder une expertise humaine forte et un contrôle rigoureux.

Conclusion : vers un DPO plus stratégique dans la gouvernance de l’IA

L’enquête 2025 de la CNIL montre que l’IA transforme en profondeur l’environnement des DPO. Les usages se généralisent, les risques se complexifient et les exigences réglementaires se renforcent.

Le DPO apparaît ainsi comme un acteur essentiel de la gouvernance de l’intelligence artificielle, surtout lorsque les systèmes traitent des données personnelles. Toutefois, cette évolution suppose des moyens adaptés comme du temps, de la formation, des outils, une implication précoce dans les projets et une meilleure coopération avec les équipes techniques, juridiques et métiers.

L’IA ne remplace donc pas le DPO. Au contraire, elle renforce la nécessité de son intervention, à condition que son rôle soit clairement défini et soutenu par des ressources suffisantes.

Pour plus de détails, vous pouvez consulter le rapport complet de la CNIL ici  : https://www.cnil.fr/fr/enquete-dpo-ia