Fiche concept

Gouvernance des données — RGPD et Règlement IA UE pour SAP Analytics

À jour au 2026-09-27

Édité par Cédric Mary, éditeur et directeur de la publication — 27 ans d'écosystème SAP. Comment ces pages sont produites, et où intervient l'automatisation.

Qu'est-ce que Gouvernance des données ?

Le RGPD (Art. 6, 5(1)(c), 15-22) et le Règlement IA UE (Art. 9-49, obligations haut risque effectives le 2027-12-02, Omnibus numérique (en vigueur depuis le 2026-07-27)) engagent les choix d'architecture SAP analytics — chaque système haut risque exige 200-800 jours-homme de conformité.

De quoi il s'agit

Deux règlements européens encadrent désormais tout programme SAP analytics déployé en UE : le Règlement Général sur la Protection des Données (Règlement UE 2016/679, en vigueur depuis mai 2018) et le Règlement sur l'Intelligence Artificielle (Règlement UE 2024/1689, avec obligations haut risque effectives le 2 décembre 2027). Ensemble ils gouvernent ce que les plateformes analytiques peuvent collecter, comment les fonctionnalités IA peuvent l'utiliser, et quelle documentation doit accompagner chaque déploiement haut risque. Le consultant SAP analytics ne peut pas déléguer cela à l'équipe juridique du client — les choix d'architecture au design décident si le client est conforme ou porte une responsabilité réglementaire mesurable.

La surface RGPD pour l'analytique. Les quatre piliers qui touchent l'analytique directement : base légale (Art. 6 — tout traitement de données personnelles dans un modèle analytique a besoin d'une base documentée : consentement, contrat, intérêt légitime, obligation légale), minimisation des données (Art. 5(1)(c) — l'analytique ne doit détenir que ce qui est nécessaire à la finalité; une Story affichant l'historique transactionnel client a une base différente d'un agrégat de revenu par région), limitation de finalité (les données collectées pour de l'analytique des ventes ne peuvent pas être réutilisées pour de l'analytique RH sans nouvelle base), et droits de la personne concernée (Art. 15-22 — accès, rectification, effacement, portabilité, opposition; les plateformes analytiques doivent supporter la cascade de rectification depuis la source amont).

Pourquoi c'est important

Une Story affichant l'historique transactionnel client a besoin d'une base légale Art. 6 différente d'une Story affichant un revenu agrégé par région — la granularité elle-même change l'exigence de conformité.
Des données collectées pour l'analytique des ventes ne peuvent pas être réutilisées pour l'analytique RH sans nouvelle base légale, selon le principe de limitation de finalité.
Les cas d'usage IA haut risque (scoring de crédit, recrutement, ID biométrique, entre autres) portent des obligations documentées de gestion des risques, gouvernance des données et supervision humaine avant déploiement.

Points clés

RGPD (UE 2016/679) — en vigueur depuis mai 2018 ; base légale de l'art. 6, minimisation des données de l'art. 5(1)(c), droits des personnes des art. 15-22, applicable à tout modèle analytique contenant des données personnelles.
AI Act européen (UE 2024/1689) — obligations haut risque effectives au 2 décembre 2027 (Omnibus numérique, en vigueur depuis le 27 juillet 2026) ; obligations IA à usage général effectives au 2 août 2027 selon le registre §17.11.
Domaines à haut risque de l'annexe III — crédit, recrutement, éducation, service public, application de la loi, justice, migration, identification biométrique ; 200 à 800 jours-personne de conformité par système à haut risque.
Obligations des art. 9 à 49 — système de gestion des risques, gouvernance des données, documentation technique, tenue de registres, transparence, supervision humaine, exactitude, robustesse, cybersécurité.
Amendes — jusqu'à 7 % du chiffre d'affaires mondial pour les violations de systèmes interdits, 3 % pour la non-conformité haut risque au titre de l'AI Act ; les amendes RGPD atteignent séparément jusqu'à 4 % du chiffre d'affaires mondial ou 20 millions d'euros.
Depuis le 22/09/2026, l'AI Agent Hub de SAP inventorie les agents Joule/LLM/serveurs MCP et classe automatiquement le risque AI Act/NIST — un inventaire de départ, pas un substitut à la question de la base légale de l'article 6 du RGPD.
Le test de classification de l'AI Act dépend de ce à quoi sert un score (emploi, crédit, services essentiels), pas de la sophistication du modèle sous-jacent.

Termes employés sur cette page

Base légale (art. 6 RGPD): Le fondement juridique sous lequel des données personnelles sont traitées — l'une de six : consentement, contrat, obligation légale, intérêts vitaux, mission d'intérêt public, intérêt légitime ; documenté par activité de traitement dans le registre (art. 30).
Système d'IA à haut risque (art. 6 AI Act): Un système d'IA classé à haut risque au titre de l'annexe III ou comme composant de sécurité au titre de l'annexe I ; porte l'ensemble des obligations des art. 9 à 49, dont gestion des risques, gouvernance des données, documentation technique et supervision humaine.
Annexe III: Le tableau de l'AI Act listant huit domaines de cas d'usage à haut risque : identification biométrique, infrastructures critiques, éducation, emploi, services publics, application de la loi, migration, justice ; tout système d'IA dans ces domaines est à haut risque.
Délégué à la protection des données (DPO): Le rôle exigé par le RGPD pour les organisations effectuant une surveillance systématique ou un traitement à grande échelle de données de catégorie particulière ; le DPO conseille sur la conformité et sert de point de contact pour l'autorité de contrôle.
Intérêt légitime (art. 6, § 1, point f, RGPD): Une base légale permettant le traitement lorsqu'il est proportionné à un besoin métier réel et qu'un test de mise en balance documenté favorise le responsable de traitement sur les intérêts de la personne concernée.
Registre des traitements (art. 30 RGPD): L'inventaire documenté que tout responsable de traitement doit tenir de ses activités de traitement, y compris la base légale invoquée pour chacune — l'artefact où se consigne une décision au titre de l'article 6 pour un modèle analytique.
AI Agent Hub (SAP): Le registre et la couche de gouvernance multi-éditeurs de SAP pour les agents, les LLM et les serveurs MCP ; depuis le 22/09/2026, son AI Governance Assistant classe automatiquement le risque AI Act/NIST quand un scénario inventorié change.

Sources

Fiche complète réservée aux abonnés. Ce que la fiche complète ajoute : le cadre de décision complet · la comparaison SAP · Snowflake · Databricks · Fabric · les pièges courants et leur correctif · l'aide-mémoire · les schémas d'architecture · les blocs de code · les chiffres à citer.

Ouvrir dans l'application →

Gouvernance des données — RGPD et Règlement IA UE pour SAP Analytics

Qu'est-ce que Gouvernance des données ?

De quoi il s'agit

Pourquoi c'est important

Points clés

Termes employés sur cette page

Sources

Concepts liés

Modules d'académie associés

Études approfondies

Guides SAP analytics & TJM