CNIL IA et RGPD 2026 : nouvelles obligations et conformité

1. Classification des systèmes d’IA en 2026

Le règlement européen (EU AI Act) entre en application progressive. Depuis février 2026, les systèmes d’IA sont classés en quatre catégories : risque inacceptable (interdit), risque élevé (contrôle strict), risque limité (transparence) et risque minimal. La CNIL a publié en mars 2026 une grille de classification qui intègre le RGPD : tout système traitant des données personnelles est présumé à risque élevé sauf preuve du contraire.

« Avec la grille CNIL 2026, un chatbot qui collecte des préférences utilisateur bascule en risque élevé. Les entreprises doivent documenter leur analyse dès la phase de conception. » – Direction de la conformité numérique, CNIL.

Les critères incluent : la finalité du traitement, le volume de données, la prise de décision automatisée, et le contexte d’utilisation (santé, éducation, justice, ressources humaines).

2. Analyse d’impact (AIPD) IA : nouveau standard

L’AIPD (analyse d’impact relative à la protection des données) devient obligatoire pour tout système d’IA classé à risque élevé. Depuis le 1er janvier 2026, le format doit impérativement inclure une évaluation des biais algorithmiques, une cartographie des flux transfrontières et un plan de supervision humaine. La CNIL IA et RGPD 2026 impose une mise à jour annuelle de l’AIPD, et non plus uniquement lors de modifications substantielles.

Contenu obligatoire de l’AIPD IA (CNIL 2026)

• Description détaillée du modèle et de ses données d’entraînement
• Analyse des biais potentiels (genre, origine, âge, etc.) avec métriques
• Mesures de supervision humaine et de correction
• Registre des décisions automatisées impactant des personnes
• Plan de test d’équité (fairness) pré-déploiement

3. Registre des traitements : modèle CNIL 2026

Le registre des traitements, déjà obligatoire sous le RGPD, évolue. Depuis février 2026, la CNIL impose un registre distinct pour les traitements basés sur l’IA. Ce registre doit être tenu à jour en continu et accessible lors des contrôles. Les rubriques supplémentaires incluent : origine des données d’apprentissage, mesures de pseudonymisation, fréquence des réentraînements, et indicateurs de performance éthique.

« Le registre IA n’est pas une simple extension du registre RGPD. Il doit détailler la chaîne de responsabilité, du concepteur au déployeur. » – Guide pratique CNIL, mars 2026.

Les PME peuvent utiliser le modèle allégé « Registre IA Essentiel » (moins de 250 employés), mais avec les mêmes obligations de fond.

4. Gouvernance, DPO et documentation technique

À partir de 2026, toute organisation qui développe ou utilise un système d’IA à risque élevé doit désigner un DPO spécialisé IA (ou justifier d’une expertise interne). La documentation technique doit comprendre : l’architecture du modèle, les hyperparamètres, les jeux de données de validation, et les rapports de biais. La CNIL recommande d’adopter un cycle de conformité continue (approche « by design »).

Documentation minimale exigée

• Fiche d’identité du système d’IA (version, date, responsable)
• Schéma de flux des données (collecte, traitement, stockage)
• Rapport d’évaluation des incidences sur les droits fondamentaux
• Plan de maintenance et de mise à jour du modèle

5. IA générative et modèles de fondation

Les IA génératives (LLM, génération d’images, audio) sont particulièrement ciblées par la CNIL IA et RGPD 2026. Tout modèle de fondation déployé en Europe doit respecter des règles de transparence renforcées : publier un résumé des données d’entraînement, respecter le droit d’auteur (directive 2025/...), et intégrer un mécanisme de filtrage des contenus illicites. La CNIL peut exiger un audit indépendant du modèle avant mise à disposition du public.

6. Sanctions, contrôles et délais de mise en conformité

L’échelle des sanctions évolue : jusqu’à 7 % du chiffre d’affaires annuel mondial pour les infractions les plus graves (traitement non autorisé, défaut d’AIPD, absence de registre). La CNIL a déjà mené 12 contrôles ciblés en janvier-mars 2026. Les entreprises ont jusqu’au 31 décembre 2026 pour se mettre en conformité sur les systèmes existants, mais tout nouveau système déployé après le 1er mars 2026 doit être conforme dès sa mise en service.

« La période de transition est terminée. Nous attendons des acteurs une conformité effective, pas une simple déclaration d’intention. » – Secrétaire général de la CNIL, février 2026.

7. Droits des personnes : opposition et explicabilité

Le RGPD 2026 renforce le droit d’opposition aux décisions automatisées (article 22). Tout citoyen peut exiger une explication intelligible d’une décision prise par un système d’IA, et demander une révision humaine. La CNIL impose un délai de réponse de 15 jours. Les entreprises doivent mettre en place une interface de contestation et conserver l’historique des décisions contestées.

De plus, le droit à l’effacement (RGPD article 17) s’applique aux données d’entraînement : si une personne retire son consentement, le modèle doit être réentraîné sans ses données, sous réserve de faisabilité technique.

8. Checklist conformité CNIL + RGPD 2026

• ✅ Classification de votre système d’IA (outil CNIL)
• ✅ AIPD IA réalisée et signée par le DPO
• ✅ Registre des traitements IA à jour (modèle 2026)
• ✅ Documentation technique complète (biais, données, supervision)
• ✅ DPO IA désigné ou compétence justifiée
• ✅ Mécanisme de droit d’opposition et d’explicabilité
• ✅ Plan de réentraînement en cas de retrait de données
• ✅ Audit externe programmé (pour IA à risque élevé)