Conformité du secteur automobile : RGPD, AI Act, NIS2 & Data Act

Pourquoi le secteur « Automobile » est concerné

Le véhicule connecté est une plateforme de données : localisation, style de conduite, diagnostics, usage des services embarqués. Une grande partie de ces données est personnelle (rattachable au conducteur), ce qui place le RGPD au premier plan, notamment sur la géolocalisation, particulièrement sensible.

Le Data Act ouvre l’accès à ces données générées : le constructeur doit permettre à l’utilisateur d’y accéder et de les partager avec des tiers qu’il désigne (réparateurs indépendants, assureurs), enjeu majeur pour l’après-vente.

La conduite automatisée repose sur des systèmes d’IA jouant un rôle de sécurité, susceptibles d’être classés à haut risque par l’AI Act, en articulation avec la réception par type des véhicules. Enfin, la fabrication de véhicules relève de NIS2, avec une chaîne d’approvisionnement particulièrement étendue et exposée.

Data Act — les données du véhicule connecté

Le Data Act impose au constructeur de rendre accessibles à l’utilisateur les données générées par le véhicule et ses services associés, et d’en permettre le partage avec des tiers désignés. C’est un levier structurant pour l’accès des réparateurs indépendants et des assureurs aux données du véhicule.

La conception doit intégrer cet accès, et les contrats de services connectés être revus.

Obligations clés

• Accès de l’utilisateur aux données générées par le véhicule.
• Partage avec des tiers désignés (réparateurs, assureurs).
• Conception « accès aux données by design ».
• Révision des contrats de services connectés.

AI Act — l’IA de conduite comme composant de sécurité

Les systèmes d’IA jouant un rôle de sécurité dans la conduite automatisée peuvent être classés à haut risque, en articulation avec la réception par type. Les obligations sont lourdes : gestion des risques, qualité des données, supervision, documentation. D’autres usages (infodivertissement, assistants) relèvent de régimes plus légers.

Obligations clés

• Qualifier l’IA de conduite (potentiellement haut risque).
• Gestion des risques et qualité des données.
• Supervision humaine et documentation technique.
• Articulation avec la réception par type.

NIS2 — la fabrication de véhicules

La fabrication de véhicules et de matériels de transport figure parmi les entités importantes de NIS2, au-delà du seuil de taille. Les constructeurs et équipementiers doivent déployer les mesures de gestion des risques, sécuriser la convergence IT/OT et, surtout, une chaîne d’approvisionnement automobile particulièrement étendue.

Obligations clés

• Mesures de gestion des risques (art. 21) IT/OT.
• Sécurité d’une chaîne d’approvisionnement étendue.
• Notification des incidents significatifs.
• Responsabilité de la direction.

RGPD — données personnelles du conducteur

Le véhicule connecté produit des données personnelles : localisation, habitudes de conduite, contacts synchronisés. Le constructeur et les fournisseurs de services embarqués sont responsables ou co-responsables et doivent encadrer ces traitements, la géolocalisation appelant une vigilance particulière.

Obligations clés

• Base légale et information sur les données du véhicule.
• Encadrement renforcé de la géolocalisation.
• Répartition des rôles responsable / co-responsable / sous-traitant.
• Sécurité et durées de conservation.

CRA — composants à éléments numériques

Le Cyber Resilience Act peut concerner certains composants automobiles à éléments numériques, en articulation avec la réglementation sectorielle de réception par type, qui prévoit déjà des exigences de cybersécurité pour les véhicules. L’analyse doit être menée composant par composant.

Obligations clés

• Analyser l’applicabilité du CRA composant par composant.
• Articuler avec la réception par type (cybersécurité véhicule).
• Gestion des vulnérabilités des composants numériques.

Vue comparée des réglementations

Comment ces réglementations s’articulent

La donnée du véhicule est au centre de deux régimes : le RGPD (quand elle est personnelle : localisation, conduite) et le Data Act (accès et partage de toutes les données générées). Les deux doivent être traités ensemble, car une même donnée de localisation relève à la fois de la protection RGPD et du droit d’accès Data Act.

La sécurité, elle, se joue sur trois plans articulés : la réception par type (cybersécurité du véhicule), NIS2 (sécurité de la fabrication et de la chaîne) et, le cas échéant, le CRA (composants numériques). Une politique de sécurité cohérente couvrant produit, usine et composants évite les doublons et les angles morts.

Calendrier d’application

• 1RGPD. En vigueur ; vigilance forte sur la géolocalisation.
• 2Data Act. Obligations majoritaires depuis le 12 septembre 2025.
• 3AI Act. Interdictions depuis février 2025 ; haut risque selon le calendrier des produits (2026-2027).
• 4NIS2. Transposition française en cours ; anticiper sur une chaîne étendue.

Sanctions encourues

Les régimes se cumulent : AI Act jusqu’à 35 M€ ou 7 %, RGPD jusqu’à 20 M€ ou 4 %, NIS2 jusqu’à 10 M€ ou 2 %, CRA jusqu’à 15 M€ ou 2,5 %. Le Data Act renvoie aux sanctions nationales.

Le risque a une dimension de sécurité physique : un défaut de cybersécurité d’un véhicule connecté peut affecter la sûreté des occupants, au-delà de la sanction administrative.

Feuille de route de mise en conformité

• 1Cartographier les données du véhicule. Distinguer données personnelles (RGPD) et données générées (Data Act) et outiller leur accès.
• 2Qualifier l’IA de conduite. Identifier les systèmes à haut risque et produire la documentation, en lien avec la réception par type.
• 3Sécuriser produit, usine et chaîne. Articuler réception par type, NIS2 et CRA sur une politique de sécurité commune.
• 4Encadrer les services connectés. Réviser contrats et information (géolocalisation, tiers).
• 5Piloter. Impliquer la direction, désigner DPO et RSSI, revue périodique.

Comment Data Comply One accompagne le secteur

Data Comply One couvre RGPD, AI Act, NIS2 et DORA sur une plateforme unique, avec DPO et RSSI externalisés, et accompagne les acteurs automobiles sur l’articulation RGPD / Data Act (données du véhicule) et sécurité produit / usine.

DCO propose des modèles adaptés (registre, documentation AI Act, cartographie des données du véhicule connecté) pour traiter ces textes de façon coordonnée.

Questions fréquentes