Conformité des collectivités locales : RGPD, AI Act & NIS2

Pourquoi le secteur « Collectivité » est concerné

La collectivité traite des données très variées et parfois sensibles : données d’enfants (périscolaire, restauration scolaire), données sociales (CCAS), état civil, vidéoprotection de l’espace public. Chaque service a ses finalités et ses bases légales, ce qui rend la cartographie exigeante.

Les services locaux s’appuient de plus en plus sur l’IA : relation usager, gestion des demandes, parfois pré-instruction d’aides. Certains de ces usages, lorsqu’ils touchent à l’accès à des prestations, peuvent relever du haut risque au sens de l’AI Act.

Enfin, les collectivités sont des cibles récurrentes de rançongiciels, avec un impact direct sur les usagers (état civil bloqué, services interrompus). NIS2, selon la transposition et la taille, renforce leurs obligations de cybersécurité — alors même que beaucoup disposent de moyens limités.

RGPD — la diversité des traitements locaux

La collectivité est responsable d’une mosaïque de traitements : état civil, listes électorales, périscolaire (données d’enfants), action sociale, vidéoprotection. Chacun exige une base légale, une information et des durées propres, et la vidéoprotection comme les données d’enfants appellent une vigilance particulière.

La désignation d’un DPO est obligatoire ; il est souvent mutualisé entre collectivités.

Obligations clés

• Registre couvrant l’ensemble des services.
• Bases légales et information par service.
• Vigilance sur données d’enfants et vidéoprotection.
• DPO obligatoire (souvent mutualisé).

AI Act — les services publics locaux

L’IA des services locaux (relation usager, pré-instruction) relève souvent du risque limité, mais peut basculer en haut risque lorsqu’elle évalue l’accès à des prestations. La collectivité déployeuse doit alors assurer supervision, transparence et, le cas échéant, une FRIA.

Obligations clés

• Qualifier les usages d’IA locaux.
• Supervision humaine et transparence.
• FRIA pour les usages à haut risque.
• Maîtrise des biais.

NIS2 — la cybersécurité des collectivités

Selon la transposition nationale et la taille, les collectivités entrent dans le champ de NIS2. Face à des rançongiciels fréquents, elles doivent renforcer leur sécurité, préparer la continuité des services et, souvent, mutualiser les moyens.

Obligations clés

• Mesures de gestion des risques (art. 21).
• Continuité des services publics locaux.
• Sécurité de la chaîne d’approvisionnement (éditeurs, prestataires).
• Notification des incidents.

Vue comparée des réglementations

Comment ces réglementations s’articulent

La collectivité doit conjuguer une grande diversité de traitements RGPD, des usages d’IA hétérogènes et une cybersécurité souvent sous-dotée. La mutualisation (DPO, RSSI, outils) entre collectivités est la réponse la plus réaliste, d’autant que les trois textes partagent un socle de gouvernance et de sécurité.

Un téléservice local d’accès à une aide illustre le cumul : RGPD (données usagers, parfois d’enfants), AI Act (si pré-instruction par IA) et NIS2 (sécurité et continuité).

Calendrier d’application

• 1RGPD. En vigueur ; DPO obligatoire.
• 2AI Act. haut risque : À partir du 2 août 2026 pour l’accès aux prestations.
• 3NIS2. Transposition française en cours ; périmètre des collectivités à confirmer.

Sanctions encourues

Des plafonds spécifiques peuvent s’appliquer aux organismes publics selon le droit national ; l’AI Act prévoit jusqu’à 35 M€ ou 7 %. L’impact d’un rançongiciel sur les usagers est immédiat et très visible.

La contrainte de moyens rend la mutualisation et l’accompagnement externalisé particulièrement pertinents.

Feuille de route de mise en conformité

• 1Cartographier les services. Recenser état civil, périscolaire, social, vidéoprotection, IA locales.
• 2Mutualiser. Partager DPO, RSSI et outils entre collectivités.
• 3Sécuriser (NIS2). Mesures et continuité des services locaux.
• 4Encadrer l’IA. Qualifier les usages et réaliser FRIA si nécessaire.
• 5Piloter. Désigner un DPO et impliquer les élus.

Comment Data Comply One accompagne le secteur

Data Comply One couvre RGPD, AI Act et NIS2 sur une plateforme unique, avec DPO et RSSI externalisés — adaptés aux collectivités disposant de peu de moyens internes, via la mutualisation et l’accompagnement.

DCO propose des modèles adaptés au monde local (registre multi-services, AIPD vidéoprotection, procédures d’incident).

Questions fréquentes