Pourquoi les PME de Marseille ont besoin d'un DPO IA en 2026
En avril 2026, la plupart des dirigeants de PME à Marseille, Aix-en-Provence, Vitrolles ou Nice utilisent déjà des outils d'intelligence artificielle au quotidien : ChatGPT pour les emails, Copilot pour les devis, un logiciel de recrutement avec scoring, un chatbot sur le site. Le problème : quasiment aucune de ces PME n'a formalise de gouvernance conformité autour de ces outils.
Le 25 mai 2018, le RGPD a impose aux entreprises européennes de réfléchir à leurs données personnelles. Depuis le 2 août 2026, l'EU AI Act impose la même discipline pour l'intelligence artificielle, et son volet haut risque arrivera le 2 décembre 2027. Et comme pour le RGPD, la majorité des PME attendront la dernière minute, voire le premier controle, pour s'organiser.
Digital Work accompagne depuis Vitrolles les PME de la région PACA sur leurs obligations réglementaires. Cet article explique concrètement pourquoi vous avez besoin d'un DPO étendu aux obligations IA, combien ça coute, et comment choisir entre DPO interne et DPO externalisé.
Qu'est-ce qu'un DPO IA et pourquoi maintenant ?
Le DPO classique (RGPD)
Le Delegue à la Protection des Données (DPO) est un rôle créé par le RGPD en 2018. Son rôle est simple : veiller à ce que l'entreprise respecte les obligations de protection des données personnelles, documenter les traitements, former les equipes, et être l'interlocuteur de la CNIL en cas de controle.
La désignation d'un DPO est obligatoire dans trois cas : autorité ou organisme public, suivi régulier et systématique a grande échelle, traitement a grande échelle de données sensibles. En pratique, la grande majorité des PME ne sont pas obligées d'en designer un, mais beaucoup le font quand même pour se protéger en cas de controle.
Le DPO étendu a l'IA Act
Avec l'entrée en application de l'EU AI Act depuis le 2 août 2026, les obligations s'étendent. Le règlement n'impose pas formellement la création d'un nouveau poste, mais il introduit des obligations qui recoupent largement le rôle du DPO :
- Inventaire des systèmes d'IA utilises dans l'entreprise (article 6)
- Classification des risques (minimal, limite, haut risque, inacceptable)
- Documentation technique pour chaque système haut risque (article 11 et Annexe IV)
- Analyse d'impact sur les droits fondamentaux (FRIA, article 27) pour les organismes publics et prestataires de services publics
- Transparence vis-a-vis des personnes concernées (article 52)
- Supervision humaine formalisée (article 14)
En pratique, pour une PME PACA, la solution la plus efficace est de confier ces obligations à un DPO étendu a l'IA, souvent designe comme "DPO IA" ou "Réfèrent Conformité IA et Données". C'est le même profil, le même interlocuteur, avec des compétences élargies.
Les 3 options pour une PME PACA
Option 1 : DPO interne a plein temps
Recruter un DPO en CDI. Coût salarial complet : entre 55 000 et 80 000 euros par an (salaire + charges patronales) pour un profil senior capable de traiter RGPD et AI Act. C'est l'option la plus solide, mais elle n'est justifiée que pour des PME de 100 salaries et plus, ou pour des entreprises très exposées (santé, RH, finance).
Pour une PME PACA de 10 à 50 salaries, c'est disproportionné.
Option 2 : DPO interne a temps partiel
Former un collaborateur existant (RSSI, juriste, DAF) aux obligations RGPD et AI Act, et lui allouer 20 à 30 pourcent de son temps au rôle de DPO. Coût : formation initiale 2 000 à 4 000 euros + temps interne (variable). C'est une option courante dans les PME, mais elle présente trois limites : surcharge de la personne désignée, montée en compétence lente, absence d'indépendance (le DPO doit pouvoir contester les décisions de sa direction).
Option 3 : DPO externalisé
Confier le rôle à un prestataire externe specialise, avec un forfait mensuel ou annuel. C'est l'option retenue par la majorité des PME PACA entre 5 et 100 salaries. Coût : entre 200 et 800 euros par mois selon le niveau d'accompagnement. Digital Work propose cette prestation à Marseille, Aix, Vitrolles, Toulon et Nice, avec une approche qui combine trames documentaires prêtes et expertise humaine.
Ce que fait concrètement un DPO externalisé Digital Work
Mois 1 : audit initial
- Cartographie des traitements de données personnelles (RGPD)
- Inventaire des systèmes d'IA utilises (EU AI Act)
- Identification des zones a risque (recrutement, scoring, santé, surveillance)
- Diagnostic de conformité et priorisation des actions
- Remise d'un rapport écrit avec un plan d'action sur 6 mois
Mois 2 à 3 : mise en conformité documentaire
- Production ou mise à jour du registre des traitements RGPD
- Production de l'Annexe IV pour chaque système d'IA haut risque
- Réalisation des FRIA (analyses d'impact sur les droits fondamentaux)
- Mise à jour de la politique de confidentialité et des mentions légales
- Rédaction des procédures internes : droits des personnes, violation de données, réponse à un controle CNIL
Mois 4 et au-delà : suivi continu
- Interlocuteur designe auprès de la CNIL et de l'autorité de surveillance IA
- Veille réglementaire (nouvelles recommandations CNIL, lignes directrices européennes, jurisprudence)
- Formation des equipes (2 à 4 sessions par an)
- Réponse aux demandes d'exercice de droits (accès, effacement, opposition)
- Audits de conformité semestriels
- Support en cas d'incident de sécurité ou de controle
Combien coute un DPO externalisé à Marseille ?
Les tarifs varient selon la taille de l'entreprise, le nombre de traitements et les risques spécifiques. Voici une grille indicative pour une PME PACA :
Forfait Starter (200 à 350 euros/mois)
Pour une PME de 5 à 20 salaries, sans usage sensible (pas de santé, pas de recrutement automatise, pas de scoring). Comprend : audit initial, registre des traitements, politique de confidentialité, 1 point mensuel, interlocuteur CNIL.
Forfait Standard (400 à 600 euros/mois)
Pour une PME de 20 à 50 salaries avec usage modere de l'IA (ChatGPT, copilots, chatbot client). Comprend tout le Starter + analyses d'impact IA, formation annuelle des equipes, veille réglementaire, audit semestriel.
Forfait Premium (700 à 1 200 euros/mois)
Pour une PME de 50 à 150 salaries avec usages IA a haut risque (recrutement, scoring crédit, santé, éducation). Comprend tout le Standard + production complete des Annexes IV et FRIA, 2 formations par an, audit trimestriel, support incident 24h.
Comparaison : une mise en demeure CNIL coute entre 3 000 et 20 000 euros en frais d'avocat pour la réponse initiale, sans compter l'amende. Un DPO externalisé Standard sur 12 mois coute 4 800 à 7 200 euros et prévient la quasi totalité des risques de controle. Le retour sur investissement est immédiat des qu'il y à un début de controle.
DPO externalisé Digital Work : pourquoi cette combinaison ?
Digital Work est une agence basée à Vitrolles qui intervient dans toute la région PACA. Notre approche DPO externalisé repose sur trois piliers :
1. Un outil SaaS qui automatise 70 pourcent du travail
Nous partons de trames documentaires déjà structurées (Annexe IV, FRIA) pour gagner du temps sur la production. Le DPO Digital Work valide, adapte et personnalise chaque document à votre entreprise.
Résultat : une prestation plus rapide et moins coûteuse qu'un cabinet d'avocats parisien qui facture chaque document en heures.
2. Proximité et connaissance du terrain PACA
Nous ne sommes pas un cabinet parisien qui vient en visio une fois par trimestre. Nous sommes bases à Vitrolles, nous intervenons sur site à Marseille, Aix, Toulon ou Nice, nous connaissons les PME de la région (artisans, commerce, santé, services, industrie). Nous parlons le langage des dirigeants de PME, pas celui des juristes d'un grand groupe.
3. Combinaison RGPD + AI Act + création de site
Digital Work est aussi une agence web et une société de développement. Nous refondons votre site internet en intégrant la conformité des le design (bandeau cookies propre, politique de confidentialité, mentions légales, sécurité). Quand un DPO externalisé traditionnel pointe un problème sur votre site, il vous envoie chez un développeur. Nous, nous corrigeons directement.
FAQ : les questions que les PME PACA nous posent
Notre entreprise est obligée d'avoir un DPO ?
Techniquement non, sauf si vous etes un organisme public, si vous faites du suivi systématique a grande échelle (plateforme en ligne, application mobile très utilisée) ou si vous traitez des données sensibles a grande échelle (santé, données génétiques, opinions politiques). Mais sans DPO, vous vous exposez à un risque en cas de controle. La grande majorité des PME PACA au dessus de 10 salaries ont intérêt à avoir au moins un réfèrent formel.
Je peux designer mon responsable informatique comme DPO ?
Non. Le RGPD interdit les conflits d'intérêt. Votre RSI configure les outils, il ne peut pas en même temps être celui qui contrôle la conformité de ces mêmes outils. De même pour le DAF qui valide les achats. La bonne pratique est de designer un DPO indépendant : soit un collaborateur non opérationnel (juriste, qualité, secrétaire général), soit un DPO externalisé.
L'EU AI Act s'applique même si j'utilise juste ChatGPT ?
Oui, même ChatGPT. Si vous envoyez des données de candidats, de clients ou de salaries dans ChatGPT, vous etes concerne à la fois par le RGPD (transfert de données personnelles vers un prestataire hors UE pour la version grand public) et par l'EU AI Act (usage d'une IA qui peut influencer des décisions). L'obligation est proportionnelle : si l'usage est a risque limite, vous avez juste une obligation de transparence et de formation.
Combien de temps faut-il pour une mise en conformité complete ?
Pour une PME standard, comptez 3 à 6 mois pour atteindre un niveau satisfaisant de conformité : audit, documentation, registre, formation. Ensuite, c'est un travail continu. L'erreur classique est de vouloir tout faire en 2 semaines : la conformité n'est pas un état qu'on atteint une fois, c'est un processus.
Quelle est la sanction maximale pour une PME ?
Pour le RGPD : 20 millions d'euros ou 4 pourcent du CA mondial. Pour l'EU AI Act : 15 millions d'euros ou 3 pourcent du CA. En pratique, les PME ne reçoivent pas directement une amende maximale : la première visite d'une autorité de controle se solde souvent par une mise en demeure avec délai de mise en conformité. Mais il arrive de plus en plus fréquemment que la CNIL publie le nom des PME sanctionnées, avec un impact reputationnel considérable.
Pourquoi Digital Work plutôt qu'un cabinet parisien ?
Prix, proximité, operationnalite. Un cabinet parisien facture entre 1 500 et 3 000 euros par mois pour une prestation DPO similaire à notre Standard à 500 euros. Nous sommes à 30 minutes de Marseille et de Aix. Et surtout, nous sommes aussi votre agence web et votre expert IA, donc quand il y à un problème technique, nous le réglons immédiatement au lieu de vous rediriger vers trois prestataires différents.
Conclusion : prenez de l'avance sur l'échéance de décembre 2027
La deadline EU AI Act approche et la plupart des PME PACA ne sont pas préparées. Designer un DPO étendu aux obligations IA est la solution la plus simple pour se mettre en conformité et dormir tranquille. Digital Work propose un accompagnement concret, à un prix adapte aux PME, avec une présence physique en région PACA.
Si vous etes à Marseille, Aix-en-Provence, Vitrolles, Toulon, Nice ou ailleurs en PACA et que vous voulez savoir ou vous en etes, prenez contact. Le diagnostic initial est gratuit et vous donnera une feuille de route claire.