Le DPO et intelligence artificielle sont désormais indissociables : c’est le constat principal de l’Observatoire 2026 du métier de DPO, publié le 3 juillet par la CNIL, le Ministère du Travail et l’AFCDP, et réalisé par l’Agence pour la formation professionnelle des adultes (Afpa). Cinquième édition de cette étude longitudinale, elle livre des chiffres inédits sur les usages de l’IA dans les organisations, le positionnement des DPO face au règlement IA (dit RIA ou encore AI Act), et l’émergence d’un rôle nouveau : le LegalOps.
Un portrait des DPO en 2025 : diversité maintenue, pression accrue
La photographie du corps professionnel reste contrastée. Selon l’étude menée par l’Afpa auprès d’un panel représentatif de DPO français :
- 79 % des DPO exercent en tant que DPO internes, dont 85 % à temps partiel.
- 54 % sont issus d’autres domaines que le juridique ou l’informatique, confirmant la pluridisciplinarité de la fonction.
- 45 % ont plus de 6 ans d’expérience en protection des données.
- La représentation hommes/femmes est équilibrée.
Ces chiffres confirment une réalité bien connue des praticiens : le DPO « à temps plein » reste l’exception. La majorité jongle entre la conformité RGPD et d’autres responsabilités, dans un contexte où les sujets à traiter se sont multipliés.
70 % des organisations utilisent ou prévoient d’utiliser l’IA
L’enquête dresse un état des lieux de l’adoption de l’IA dans les organisations représentées :
- 70 % utilisent ou prévoient d’utiliser l’IA, avec une forte corrélation avec la taille de la structure.
- Parmi eux, 81 % s’appuient sur de l’IA générative, achetée auprès de fournisseurs externes dans 2/3 des cas.
- Seulement un quart des organisations dispose d’une stratégie ou politique formelle sur l’IA.
- Moins d’un tiers ont mis en place des actions de sensibilisation des salariés ou adopté une charte d’utilisation de l’IA.
- 31 % ont commencé à se préparer à l’entrée en application du règlement IA.
Autrement dit, les organisations déploient l’IA, mais leur gouvernance interne reste en retard sur l’adoption technologique. Le DPO se retrouve souvent en première ligne pour combler ce décalage, même sans mandat officiel.
Le DPO et intelligence artificielle : une extension de périmètre souhaitée mais peu formalisée
Le règlement IA (RIA) ne mentionne pas explicitement le DPO dans les chaînes de gouvernance. Pourtant, les résultats de l’enquête révèlent une forte appropriation de fait :
- 55 % des DPO déclarent que le règlement IA fait déjà partie de leur périmètre de responsabilité.
- 71 % souhaitent un élargissement formel de leur fonction à la conformité RIA.
- Plus de la moitié sont souvent ou systématiquement associés aux projets IA de leur organisation.
Mais le niveau de connaissance reste faible : seulement 27 % déclarent maîtriser le texte, et 85 % n’ont pas encore suivi de formation spécifique sur l’IA. L’écart entre la volonté de s’emparer du sujet et les compétences disponibles est considérable.
Enfin, au-delà de l’intégration des exigences réglementaires, le DPO est l’un des acteurs juridiques les mieux placés pour se saisir des nouvelles technologies et porter une vision, des projets IA structurants pour l’entreprise, tout en respectant des contraintes de souveraineté.
Vers le LegalOps : le DPO comme pivot de la transformation juridique à l’ère de l’IA
Au-delà des chiffres de l’enquête, une tendance de fond se dessine, que les directions juridiques commencent à percevoir : l’émergence du LegalOps. Ce rôle, né dans les grands cabinets et les services juridiques des multinationales, désigne la capacité à piloter les opérations juridiques comme un processus industriel : cartographie des risques, automatisation des tâches répétitives, pilotage de la performance conformité, intégration des outils IA dans le flux de travail juridique.
Le DPO, par sa position transversale, est naturellement le mieux placé pour incarner ce rôle dans les organisations qui ne disposent pas encore d’une fonction LegalOps dédiée. Il connaît les données, les processus, les risques et les réglementations. Il sait dialoguer avec la DSI, les équipes métier et la direction générale. Il est désormais attendu sur le règlement IA, NIS2, et demain sur d’autres textes sectoriels.
Mais au-delà de cette maîtrise technique et juridique, c’est ailleurs que réside sa véritable valeur ajoutée : dans son réflexe opérationnel à penser la conformité by design. Là où d’autres fonctions interviennent souvent en aval, pour corriger ou encadrer, le DPO a l’habitude d’intégrer en amont les exigences de robustesse, de souveraineté et de conformité dans la conception même des systèmes. Un réflexe nécessaire à l’heure où le règlement IA, NIS2, et demain d’autres textes sectoriels, imposent de penser la conformité dès l’architecture des outils.
👉 Pour comprendre en détail cette transformation du métier, consultez notre article DPO en 2026 : comment le métier évolue vers le LegalOps.
Le CCOS : une méthode pensée pour ce basculement
C’est précisément ce constat qui a conduit MDP Data Protection à structurer sa méthode CCOS (Continuous Compliance Operating System) autour d’une chaîne unique en six maillons — Activité, Obligation, Risque, Mitigation, Preuve, Couverture — plutôt que d’un traitement séparé par réglementation. Concrètement, l’organisation part de ce qu’elle fait réellement (traitements, fournisseurs, systèmes IA, projets), et en dérive les obligations applicables, tous référentiels confondus.
Pour un DPO qui absorbe de fait le périmètre du règlement IA sans mandat ni formation dédiés, cette approche change concrètement la donne : la preuve de conformité se génère avec l’activité plutôt que d’être reconstituée à l’audit, et le DPO peut se concentrer sur l’arbitrage plutôt que sur la production documentaire. C’est aussi pour cette raison que MDP propose trois niveaux d’accompagnement DPO — augmenté, partagé ou externalisé — pour absorber cette montée en charge sans attendre qu’une fonction LegalOps dédiée se crée en interne.
FAQ — DPO et intelligence artificielle
Le DPO est-il obligatoire dans la chaîne de gouvernance IA selon le règlement IA ?
Non. Le règlement IA (RIA) ne mentionne pas explicitement le DPO dans les structures de gouvernance. Cependant, dès lors que les systèmes d’IA traitent des données personnelles, le DPO doit impérativement être associé : c’est une obligation RGPD, pas une option. En pratique, 55 % des DPO ont déjà intégré le RIA dans leur périmètre sans attendre de mandat formel.
Quelles nouvelles compétences le DPO doit-il acquérir pour travailler sur l’IA ?
L’enquête CNIL 2026 pointe plusieurs lacunes : connaissance technique du RIA (seulement 27 % des DPO maîtrisent le texte), méthodes d’évaluation des systèmes d’IA, analyse d’impact spécifique (AIPD pour l’IA), et culture LegalOps. Des formations spécifiques sont indispensables : 85 % des DPO n’en ont pas encore suivi.
Qu’est-ce que le LegalOps et en quoi concerne-t-il le DPO ?
Le LegalOps (Legal Operations) désigne la gestion industrielle des opérations juridiques : automatisation, pilotage par la donnée, intégration des outils IA dans les flux de travail juridiques. Le DPO, par sa position transversale, est un candidat naturel pour piloter ce chantier dans les organisations qui n’ont pas encore de fonction LegalOps dédiée. Retrouvez notre article dédié sur DPO et LegalOps.
Comment structurer la relation DPO / direction juridique face à l’IA ?
La frontière doit être définie explicitement : le DPO prend en charge le volet données personnelles et la conformité RGPD/RIA des systèmes IA, tandis que le juriste spécialisé traite les questions de responsabilité, de propriété intellectuelle et de contrats avec les fournisseurs IA. Un comité de gouvernance IA interne associant les deux fonctions est une bonne pratique documentée.
La gouvernance IA est-elle obligatoire en 2026 ?
Le règlement IA impose des obligations spécifiques selon le niveau de risque des systèmes déployés. Pour les systèmes à haut risque (RH, crédit, sécurité critique), des obligations documentaires, de traçabilité et de surveillance humaine s’appliquent dès août 2026. Pour les autres usages, la mise en place d’une gouvernance IA interne reste une bonne pratique fortement recommandée par la CNIL.
Comment la méthode CCOS aide-t-elle un DPO à absorber cette charge supplémentaire ?
La méthode CCOS de MDP Data Protection structure la conformité en continu autour de six maillons (Activité, Obligation, Risque, Mitigation, Preuve, Couverture), tous référentiels confondus. Pour un DPO, cela signifie moins de reconstitution documentaire ponctuelle et davantage de temps consacré à l’arbitrage sur les projets IA. Voir notre page dédiée à la méthode CCOS.
🔎 Vous avez une question plus générale sur la conformité RGPD ou la cybersécurité ? Consultez notre FAQ générale.
En résumé
L’Observatoire 2026 confirme que le DPO et intelligence artificielle forment désormais un binôme incontournable. Si 70 % des organisations adoptent l’IA, seul un tiers s’y prépare réellement sur le plan réglementaire. Le DPO, souvent désigné comme référent IA par défaut, doit monter en compétence rapidement. L’émergence du LegalOps offre une opportunité structurante pour repositionner la fonction au cœur de la transformation digitale des directions juridiques.
Sources
- Le métier de DPO à l’heure de l’intelligence artificielle : publication des résultats de l’enquête — CNIL, 3 juillet 2026
- Enquête DPO 2025 : Les DPO à l’heure de l’IA — Afpa / CNIL / AFCDP / Ministère du Travail, juillet 2026 (PDF)
- Règlement (UE) 2024/1689 du 13 juin 2024 établissant des règles harmonisées concernant l’intelligence artificielle (règlement IA) — Journal officiel de l’UE, 12 juillet 2024
Pour aller plus loin
- CNIL - Nouvelle édition : Guide 2024 de la sécurité des données personnelles
- MDP Data Protection - Logiciel RGPD : comment choisir la solution idéale pour votre entreprise
Les solutions MDP Data Protection
MDP Data Protection et sa technologie IA accompagne les organisations dans la mise en conformité multi-réglementaire (RGPD, NIS2 et IA Act...), avec une approche opérationnelle et évolutive.
- SimplyRGPD : Pilotage de votre conformité au quotidien.
- MDP CAMPUS : Notre parcours de sensibilisation en vidéos pédagogiques de 3 à 7 minutes.
- MDP Diagnostic : Diagnostic instantané de votre niveau de conformité.
Notre Méthode : le Continuous Compliance Operating System - CCOS
Et si votre conformité vivait en continu, au lieu d'être un livrable de plus ?
À propos de l’auteur
Christophe SAINT-PIERRE – Fort de plus de 20 ans d’expérience, Christophe accompagne les organisations dans leur mise en conformité réglementaire (RGPD, NIS2, AI Act) en combinant expertise juridique, vision stratégique et approche opérationnelle. Au sein de MDP Data Protection, il pilote une démarche axée sur l’excellence, l’innovation et la valorisation réglementaire. Son objectif : transformer les contraintes légales en opportunités business pour ses clients.
