Conformité du secteur public : RGPD, AI Act & NIS2

Pourquoi le secteur « Secteur public » est concerné

Le secteur public traite des données personnelles de masse et souvent sensibles : état civil, données sociales, fiscales, de santé publique. L’échelle et la nature de ces traitements imposent une rigueur RGPD élevée et une exemplarité attendue de la puissance publique.

L’IA s’installe dans l’instruction automatisée des demandes et l’accès aux prestations. L’AI Act classe à haut risque les systèmes d’IA destinés à évaluer l’éligibilité aux prestations et services publics essentiels, ainsi que plusieurs usages régaliens : ces déploiements supportent les obligations les plus lourdes.

Enfin, l’administration publique figure parmi les entités visées par NIS2 (selon la transposition nationale, qui en France inclut de nombreux organismes publics). Les administrations sont des cibles privilégiées des rançongiciels, avec un fort impact sur la continuité du service public.

NIS2 — l’administration publique

NIS2 vise l’administration publique, avec une marge de transposition laissée aux États sur le périmètre exact (notamment le niveau local). En France, de nombreux organismes publics entrent dans le champ et doivent déployer les mesures de gestion des risques, notifier les incidents et impliquer leur direction.

La continuité du service public et la sécurité des données citoyens sont au cœur des enjeux.

Obligations clés

• Mesures de gestion des risques (art. 21).
• Notification des incidents significatifs.
• Continuité du service public.
• Sécurité de la chaîne d’approvisionnement (éditeurs publics, prestataires).

AI Act — les services publics à haut risque

L’AI Act classe à haut risque les systèmes d’IA destinés à évaluer l’éligibilité aux prestations et services publics essentiels et à les octroyer, réduire ou retirer, ainsi que plusieurs usages régaliens. Les administrations déployant ces systèmes supportent les obligations du haut risque.

Les usages internes ou informationnels relèvent de régimes plus légers.

Obligations clés

• Qualifier les IA d’accès aux services (souvent haut risque).
• Gestion des risques et qualité des données.
• Supervision humaine et transparence renforcée.
• Analyse d’impact sur les droits fondamentaux (FRIA).

RGPD — données citoyens à grande échelle

Le secteur public est responsable de traitements massifs et souvent sensibles. Il doit disposer de bases légales solides (mission d’intérêt public), d’une information claire, d’AIPD pour les traitements à risque et d’une sécurité à la hauteur des enjeux.

Obligations clés

• Base légale (mission d’intérêt public) et information.
• AIPD pour les traitements à risque élevé.
• Sécurité et durées de conservation.
• Encadrement des décisions automatisées.

Vue comparée des réglementations

Comment ces réglementations s’articulent

Le service public dématérialisé cumule les trois textes : une téléprocédure d’accès à une prestation combine RGPD (données citoyens), AI Act (si l’éligibilité est évaluée par IA, souvent haut risque) et NIS2 (sécurité et continuité du service). L’analyse d’impact sur les droits fondamentaux (FRIA) prévue par l’AI Act s’articule avec l’AIPD du RGPD.

La spécificité publique est l’exigence de transparence et de non-discrimination : une IA d’octroi de prestations mal maîtrisée peut créer une discrimination systémique à grande échelle.

Calendrier d’application

• 1RGPD. En vigueur.
• 2AI Act. haut risque : À partir du 2 août 2026 pour les services publics essentiels.
• 3NIS2. Transposition française en cours ; périmètre public à confirmer.

Sanctions encourues

Le RGPD prévoit jusqu’à 20 M€ ou 4 %, mais des plafonds spécifiques s’appliquent aux autorités et organismes publics selon le droit national. L’AI Act prévoit jusqu’à 35 M€ ou 7 %. NIS2 : régime selon la transposition.

Au-delà des sanctions, l’enjeu est la confiance des citoyens et la continuité du service public.

Feuille de route de mise en conformité

• 1Cartographier. Recenser traitements citoyens, IA d’instruction et systèmes critiques.
• 2Sécuriser (NIS2). Déployer les mesures et un plan de continuité du service public.
• 3Maîtriser l’IA à haut risque. Qualifier les IA d’accès aux services et réaliser FRIA et AIPD.
• 4Sécuriser les traitements RGPD. Bases légales, information, sécurité, durées.
• 5Piloter. Impliquer la direction et désigner un DPO.

Comment Data Comply One accompagne le secteur

Data Comply One couvre RGPD, AI Act et NIS2 sur une plateforme unique, avec DPO et RSSI externalisés, et accompagne les acteurs publics sur l’articulation FRIA / AIPD et la continuité du service public.

DCO propose des modèles adaptés au secteur public (AIPD mission d’intérêt public, FRIA, procédures d’incident).

Questions fréquentes