CNIL, IA et RGPD : Guide complet 2026 de la conformité française

1. Le cadre 2026 : CNIL, RGPD et AI Act

Depuis l’entrée en application progressive de l’EU AI Act (règlement 2024/1689), la France a renforcé le rôle de la CNIL en tant qu’autorité de surveillance unique pour les systèmes d’IA à risque. En 2026, la CNIL IA RGPD est devenue une expression courante dans les audits de conformité. La CNIL a publié en janvier 2026 sa délibération n°2026-001 qui précise les critères de qualification des « décisions individuelles automatisées » au sens de l’article 22 du RGPD, en y intégrant les biais algorithmiques.

L’article 22 RGPD n’est plus une option : toute décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques est interdite sauf exceptions strictes. L’IA générative utilisée pour évaluer des candidats ou attribuer des prestations sociales entre dans le champ. L’absence de supervision humaine réelle expose à des sanctions allant jusqu’à 4% du chiffre d’affaires mondial.

La CJUE, dans un arrêt du 12 février 2026 (affaire C-142/25), a confirmé que les systèmes d’IA « boîte noire » utilisés par les administrations françaises doivent être audités par un organisme habilité, et que la CNIL peut ordonner la suspension du traitement en cas de non-respect du principe de minimisation. Cette décision fait désormais référence pour toute CNIL IA RGPD.

2. Définition et classification des systèmes d’IA

Le règlement européen distingue quatre catégories : risque minimal, risque limité (transparence renforcée), risque élevé (soumis à évaluation de conformité) et risque inacceptable (interdit). La CNIL a ajouté une couche nationale : tout système déployé dans le service public ou dans les relations de travail est présumé à risque élevé, sauf démonstration contraire. Cette interprétation extensive, validée par le Conseil d’État en 2025, renforce la CNIL IA RGPD comme standard dual.

2.1 IA générative et données personnelles

Les grands modèles de langage (LLM) et les générateurs d’images sont particulièrement surveillés. La CNIL considère que l’entraînement sur des données personnelles sans consentement explicite ou sans base légale adaptée viole l’article 6 du RGPD. Trois amendes records ont été infligées en 2025-2026 pour utilisation de données biométriques sans information préalable.

Un éditeur d’IA générative qui ne peut pas prouver que les données d’entraînement ont été licitement collectées s’expose à une interdiction de traitement sur le territoire français. La CNIL a désormais le pouvoir d’ordonner le retrait immédiat d’un modèle en cas de violation grave (délibération CNIL 2026-007).

3. Analyse d’impact (AIPD) renforcée

L’AIPD est devenue le pivot de la conformité CNIL IA RGPD. L’article 35 RGPD, combiné à l’article 27 de l’AI Act, impose une évaluation des risques pour les droits et libertés. La CNIL exige désormais que l’AIPD inclue une cartographie des biais potentiels, une mesure de l’équité algorithmique et un plan de correction. Depuis le 1er janvier 2026, les AIPD doivent être transmises à la CNIL pour les systèmes déployés dans le secteur public ou concernant des données sensibles (santé, biométrie, opinions politiques).

4. Transparence, loyauté et information des personnes

L’article 13 et 14 RGPD imposent une information claire et accessible. La CNIL a renforcé cette obligation pour les systèmes d’IA : toute interaction avec un agent conversationnel ou un outil décisionnel doit être signalée. Le défaut d’information est la première cause de plainte en 2026. La CNIL IA RGPD exige une mention visible « Décision assistée par IA » et la possibilité de demander une intervention humaine.

4.1 Mentions obligatoires

• Identité du responsable de traitement
• Finalité et fonctionnement de l’IA
• Logique sous-jacente (explicabilité simplifiée)
• Droit d’accès et de rectification
• Droit de ne pas faire l’objet d’une décision automatisée (article 22)

La transparence algorithmique ne se limite pas à un lien vers une page légale. L’information doit être dynamique, contextualisée, et si possible visuelle. La CNIL recommande des « fiches IA » accessibles en un clic.

5. Registre des traitements et documentation technique

Le registre des activités de traitement (article 30 RGPD) doit désormais inclure une section dédiée aux systèmes d’IA. La CNIL a publié un modèle standardisé en janvier 2026. Chaque IA doit être répertoriée avec son niveau de risque, la base légale, les catégories de données et les mesures de sécurité. La documentation technique de l’AI Act (conception, performance, mesures de robustesse) doit être conservée et mise à jour.

5.1 Obligations documentaires

• Fiche d’identité du modèle (nom, version, fournisseur)
• Jeux de données d’entraînement, de validation et de test
• Métriques de performance et de biais
• Procédure de mise à jour et de retrait
• Registre des incidents et des réclamations

La charge de la preuve incombe au responsable de traitement. En cas de contrôle CNIL, l’absence de registre ou une documentation incomplète est immédiatement sanctionnée. En 2026, l’amende moyenne pour défaut de registre est de 150 000 €.

6. Droits des personnes : rectification, opposition et explicabilité

Les droits prévus par le RGPD (articles 15 à 22) s’appliquent pleinement aux décisions fondées sur l’IA. Le droit d’opposition (article 21) est particulièrement sollicité : une personne peut s’opposer à tout moment au profilage. La CNIL a précisé que l’opposition doit être traitée sans délai et sans conséquence négative. En 2026, le droit à l’explicabilité est consacré : toute personne a le droit de connaître les principaux paramètres ayant conduit à une décision automatisée.

L’explicabilité ne signifie pas révéler le code source complet, mais fournir une explication intelligible et utile. La CNIL recommande un « rapport de décision » pour chaque évaluation individuelle automatisée.

7. Sanctions CNIL 2026 et jurisprudence

La CNIL a intensifié ses contrôles. En 2025, 37 sanctions liées à l’IA ont été prononcées, dont 12 amendes supérieures à 1 million d’euros. En 2026, la tendance se confirme. La délibération CNIL 2026-019 a fixé un barème indicatif : défaut d’AIPD : 2% du CA ; manquement à la transparence : 3% ; utilisation de données sans base légale : 4%.

7.1 Jurisprudence marquante 2026

• CJUE 12 février 2026 (C-142/25) : obligation d’audit indépendant pour les IA utilisées par les administrations.
• Conseil d’État, 8 janvier 2026 (n° 478954) : validation de la présomption de risque élevé pour les IA RH.
• Cour d’appel de Paris, 14 mars 2026 : annulation d’un licenciement fondé sur une évaluation IA non explicable.
• CNIL, délibération SAN-2026-004 : amende de 2,3 millions d’euros pour défaut d’information sur un chatbot de recouvrement.

La jurisprudence 2026 confirme que la CNIL IA RGPD est un couple indissociable. Ignorer l’un des deux textes, c’est s’exposer à des sanctions cumulatives.

8. Recommandations sectorielles et checklist PME

Les exigences varient selon le secteur. La CNIL a publié des fiches pratiques pour la santé, l’éducation, les RH et le service public. Pour les PME, un guide simplifié « IA & RGPD en 10 étapes » est disponible. Voici les points essentiels :

• Santé : AIPD obligatoire, consentement explicite pour les données médicales, supervision humaine.
• Ressources humaines : information préalable, interdiction du scoring basé sur des données sensibles, droit à l’explication.
• Éducation : évaluation des biais, protection des mineurs, pas de décision automatisée d’orientation sans validation humaine.
• Service public : transparence totale, registre public des algorithmes (loi pour une République numérique).

Les PME ne sont pas exemptées. La CNIL a créé un « pack conformité allégé » pour les structures de moins de 50 salariés, mais les principes de base restent les mêmes : licéité, loyauté, transparence.