Conformité des experts-comptables : RGPD & AI Act

Pourquoi le secteur « Experts-comptables » est concerné

Le cabinet occupe simultanément deux rôles au sens du RGPD, ce qui est la principale source de confusion et d’erreurs. Il est responsable de traitement pour ses propres données : gestion de son personnel, prospection commerciale, facturation. Il est sous-traitant pour la quasi-totalité des traitements réalisés pour le compte de ses clients : établissement des paies, tenue de la comptabilité, déclarations sociales et fiscales. Chaque rôle emporte des obligations distinctes, et le même dossier peut relever des deux.

La sensibilité des données aggrave l’enjeu. Les données de paie révèlent des informations sur la rémunération, parfois sur la santé (arrêts de travail) ou la situation familiale. Une fuite n’expose pas seulement le cabinet à une sanction : elle attaque le fondement même de la relation, la confiance. Le secteur comptable est par ailleurs une cible privilégiée des rançongiciels et des fraudes au président, du fait de son accès aux flux financiers de centaines d’entreprises.

Enfin, l’adoption rapide d’outils d’IA ajoute une couche réglementaire encore largement ignorée. Dès qu’un logiciel de saisie ou de prévision embarque de l’IA, le cabinet devient « déployeur » au sens de l’AI Act et hérite d’obligations de transparence et de supervision.

Le RGPD appliqué au cabinet comptable

En tant que responsable et sous-traitant, le cabinet doit tenir un registre des activités de traitement (article 30 du RGPD), sécuriser les accès aux dossiers, encadrer chacun de ses prestataires par un contrat de sous-traitance conforme (article 28), et être capable de répondre aux droits des personnes (accès, rectification, effacement, opposition).

La désignation d’un délégué à la protection des données (DPO) n’est pas juridiquement automatique, mais le suivi régulier et à grande échelle de données de salariés — cœur d’activité d’un cabinet — la rend fortement recommandée, voire attendue par les clients. En pratique, un DPO externalisé est souvent la solution la plus rationnelle.

Obligations clés

• Registre des traitements tenu pour les rôles responsable et sous-traitant.
• Contrats de sous-traitance (DPA) signés avec chaque logiciel et hébergeur.
• Mesures de sécurité proportionnées (chiffrement, gestion des accès, journalisation).
• Durées de conservation définies et purge des données échues.

L’AI Act appliqué au cabinet comptable

L’AI Act classe les systèmes d’IA par niveau de risque. La grande majorité des outils d’un cabinet — OCR, rapprochement bancaire, aide à la rédaction — relèvent du risque limité, dont l’obligation principale est la transparence : informer les personnes lorsque l’IA intervient. Le cabinet agit comme déployeur (utilisateur), et non comme fournisseur, ce qui allège nettement ses obligations par rapport à l’éditeur du logiciel.

Certains usages peuvent toutefois basculer en haut risque, notamment l’évaluation ou le tri automatisés de personnes (par exemple un score de solvabilité produit pour un client). Dans ce cas, des obligations renforcées s’appliquent : supervision humaine documentée, tenue de journaux, information des personnes concernées.

Obligations clés

• Inventaire (registre) des systèmes d’IA utilisés et de leur niveau de risque.
• Information des clients et des personnes lorsqu’une IA intervient dans une décision.
• Supervision humaine effective des sorties de l’IA.
• Conservation de la documentation de conformité fournie par l’éditeur.

Vue comparée des réglementations

Comment ces réglementations s’articulent

Le véritable angle mort se situe à l’intersection des deux textes. Dès qu’un outil d’IA est entraîné, paramétré ou simplement alimenté avec les données des clients du cabinet, les deux réglementations se superposent : il faut à la fois une base légale RGPD pour cet usage des données et la conformité AI Act de l’outil (transparence, supervision humaine, documentation).

Concrètement, un cabinet qui déploie un moteur de prévision de trésorerie « apprenant » sur les historiques de ses clients doit vérifier trois choses : que le contrat de sous-traitance autorise cet usage secondaire des données ; que les clients en sont informés ; et que l’éditeur fournit la documentation AI Act attendue. C’est ce triple contrôle que la plupart des cabinets omettent aujourd’hui.

Calendrier d’application

• 1RGPD. En vigueur depuis le 25 mai 2018 ; pleinement applicable, contrôles CNIL réguliers.
• 2AI Act. interdictions : Pratiques d’IA interdites applicables depuis le 2 février 2025.
• 3AI Act. modèles à usage général : Obligations applicables depuis le 2 août 2025.
• 4AI Act. systèmes à haut risque : Obligations principales applicables à partir du 2 août 2026 (et 2027 pour certains systèmes intégrés à des produits).

Sanctions encourues

Le RGPD prévoit deux paliers d’amendes administratives : jusqu’à 10 M€ ou 2 % du chiffre d’affaires mondial pour les manquements « organisationnels » (registre, sécurité, sous-traitance), et jusqu’à 20 M€ ou 4 % pour les manquements aux principes et aux droits des personnes. Le montant le plus élevé est retenu. La CNIL peut aussi prononcer des mises en demeure, des injonctions sous astreinte et des sanctions non pécuniaires (rappel à l’ordre, limitation de traitement).

Côté AI Act, les paliers sont supérieurs : jusqu’à 35 M€ ou 7 % du CA pour les pratiques interdites, 15 M€ ou 3 % pour les manquements aux obligations des systèmes à haut risque, et 7,5 M€ ou 1 % pour la fourniture d’informations inexactes aux autorités.

Feuille de route de mise en conformité

• 1Cartographier. Recenser tous les traitements et tous les outils, en distinguant les rôles responsable et sous-traitant, et en identifiant les briques d’IA embarquées.
• 2Documenter. Constituer le registre RGPD et le registre des systèmes d’IA, avec le niveau de risque de chaque outil.
• 3Contractualiser. Auditer et régulariser les contrats de sous-traitance (DPA) avec les éditeurs et hébergeurs ; vérifier les clauses relatives à l’usage des données par l’IA.
• 4Sécuriser. Formaliser la politique de sécurité, les durées de conservation et la procédure de notification des violations sous 72 heures.
• 5Piloter. Désigner un DPO (interne ou externalisé), former les collaborateurs et instaurer une revue périodique de conformité.

Comment Data Comply One accompagne le secteur

Data Comply One combine une plateforme de pilotage de la conformité (registre RGPD, cartographie des outils d’IA, suivi des DPA, gestion des demandes de droits) et un DPO externalisé dédié au cabinet. Le modèle « plateforme + expert » couvre à la fois le RGPD et l’AI Act sans mobiliser de ressource interne à temps plein.

Plus de 1 000 clients utilisent DCO, dont de nombreux cabinets d’expertise comptable, ce qui a permis de standardiser des modèles adaptés au métier (DPA type éditeurs de paie, charte d’usage de l’IA, registre des systèmes d’IA).

Questions fréquentes