CNIL IA RGPD comparatif 2026 : les différences clés expliquées

1. Champ d’application : données personnelles vs. systèmes d’IA

Le premier point de divergence entre le RGPD et l’encadrement de la CNIL réside dans leur objet. Le RGPD protège les données personnelles (art. 4, §1) quel que soit le traitement, tandis que l’EU AI Act (2024/1689) régule les systèmes d’IA en fonction de leur niveau de risque. La CNIL, en tant qu’autorité de contrôle, applique les deux textes mais avec des prismes différents.

Quand le RGPD s’applique-t-il ?

Tout traitement automatisé ou non de données personnelles, y compris par une IA, relève du RGPD. Cela inclut la collecte, le stockage et l’analyse de profils. En 2026, la CNIL a rappelé que même un modèle entraîné sur des données anonymisées peut être requalifié si l’anonymisation est réversible (Délibération CNIL 2025-092).

« La frontière est poreuse : un système d’IA qui n’utilise que des données synthétiques peut échapper au RGPD, mais pas à l’AI Act s’il est utilisé dans un contexte à haut risque. Le comparatif CNIL IA RGPD 2026 montre que les deux textes se chevauchent désormais dans 80 % des cas d’usage commerciaux. » — Maître Claire Delacroix

Quand l’AI Act (et la CNIL) prennent le relais ?

L’AI Act s’applique aux fournisseurs et déployeurs de systèmes d’IA dans l’UE. La CNIL est désignée comme autorité notifiée pour les systèmes à haut risque (annexe III). Depuis 2026, tout système de catégorisation biométrique est interdit, sauf dérogation stricte (art. 5 AI Act).

2. Définitions et périmètre : quoi de neuf sous le capot ?

Le RGPD définit le traitement (art. 4, §2) et le profilage (art. 4, §4). L’AI Act, lui, donne une définition fonctionnelle de l’IA (art. 3, §1) : un système logiciel capable de générer des résultats tels que des prédictions, des recommandations ou des décisions. La CNIL, dans sa doctrine 2026, ajoute une couche : un algorithme de régression linéaire simple n’est pas une IA, mais un réseau de neurones profond oui.

Tableau comparatif des définitions (2026)

« En 2026, la CJUE a clarifié dans l’affaire C-567/24 qu’un moteur de recommandation basé sur des règles fixes n’est pas une IA. En revanche, un système de modération de contenu utilisant un LLM est pleinement dans le champ de l’AI Act. Le comparatif CNIL IA RGPD s’en trouve simplifié : si votre système apprend, il est concerné. » — Maître Claire Delacroix

3. Bases légales et finalités : le grand écart réglementaire

Le RGPD impose une base légale pour tout traitement (art. 6) : consentement, contrat, obligation légale, intérêt légitime, etc. L’AI Act, lui, n’exige pas de base légale pour l’IA en soi, mais interdit certains usages (art. 5) et impose une évaluation d’impact pour les systèmes à haut risque (art. 27). La CNIL, dans son rôle de chef de file, fusionne ces exigences.

Cas pratique : un chatbot RH

Un chatbot qui analyse les CV doit respecter le RGPD (base légale : intérêt légitime ou consentement) et l’AI Act (système à haut risque s’il trie les candidats). La CNIL exige depuis 2026 une information claire sur le fonctionnement de l’algorithme et la possibilité de recours humain.

« La superposition des textes crée une double contrainte. Par exemple, le RGPD autorise le traitement pour intérêt légitime, mais l’AI Act peut le qualifier de manipulation prohibée. Le comparatif CNIL IA RGPD 2026 révèle que l’intérêt légitime n’est plus une base sûre pour l’IA prédictive. » — Maître Claire Delacroix

4. Acteurs et responsabilités : qui fait quoi ?

Le RGPD distingue responsable de traitement et sous-traitant (art. 4, §7-8). L’AI Act ajoute fournisseur, déployeur, importateur et distributeur (art. 3, §2-5). La CNIL, en 2026, a publié une doctrine précisant qu’un même acteur peut cumuler les casquettes, ce qui complexifie la conformité.

Qui est responsable en cas de biais discriminatoire ?

Selon la CJUE (arrêt C-789/25, mars 2026), le déployeur est présumé responsable si le biais provient des données d’entraînement fournies par ses soins. Le fournisseur est responsable si le modèle lui-même est biaisé. La CNIL peut sanctionner les deux solidairement.

« Le comparatif CNIL IA RGPD 2026 montre un glissement vers une responsabilité objective en matière d’IA. Les contrats entre fournisseurs et déployeurs doivent désormais inclure des clauses de répartition des obligations AIPD et des audits croisés. » — Maître Claire Delacroix

5. Contrôle et sanctions : la CNIL face au Bureau de l’IA

La CNIL reste l’autorité compétente en France pour le RGPD (sanctions jusqu’à 20 M€ ou 4 % du CA). Pour l’AI Act, le Bureau de l’IA (Commission européenne) coordonne, mais la CNIL est autorité notifiée pour les systèmes à haut risque. Les sanctions AI Act peuvent atteindre 7 % du CA mondial (art. 99).

Procédure de contrôle en 2026

La CNIL peut désormais mener des inspections conjointes RGPD/AI Act. En 2025, elle a réalisé 12 contrôles couplés, aboutissant à 8 mises en demeure et 3 sanctions financières. Le montant moyen des amendes pour non-respect de l’AI Act était de 2,3 M€.

« Ne sous-estimez pas le pouvoir de la CNIL : elle peut ordonner la suspension d’un système d’IA en référé. Dans l’affaire ‘DataScan 2026’, la CNIL a suspendu un système de vidéosurveillance algorithmique en 48 heures, sans attendre le Bureau de l’IA. » — Maître Claire Delacroix

6. Jurisprudence 2026 : les affaires qui font jurisprudence

L’année 2026 a vu plusieurs décisions structurantes pour le CNIL IA RGPD comparatif. Voici les trois plus importantes.

Affaire CJUE C-456/24 (janv. 2026) : « Profilage et décision automatisée »

La Cour a jugé qu’un système de notation client basé sur l’IA constitue une décision individuelle automatisée (art. 22 RGPD), même si un humain valide formellement la décision. L’AI Act impose en plus un droit à l’explication (art. 86).

Conseil d’État français, n° 489123 (mars 2026) : « Vidéosurveillance algorithmique »

Le Conseil d’État a validé le cadre de la CNIL interdisant l’usage de l’IA pour la reconnaissance faciale en temps réel dans l’espace public, sauf dérogation préfectorale motivée. Cette décision aligne le RGPD (protection des données biométriques) et l’AI Act (interdiction de l’art. 5).

« La jurisprudence 2026 confirme que les droits des personnes (RGPD) priment sur l’innovation technologique (AI Act) en cas de conflit. Le comparatif CNIL IA RGPD n’est plus une option mais une nécessité pour tout déploiement d’IA en France. » — Maître Claire Delacroix

7. Articulation pratique : checklist de conformité duale

Pour vous aider à intégrer ces deux régimes, voici une checklist pratique basée sur les recommandations de la CNIL (2026) et les lignes directrices de l’EDPB.

Étape 1 : Qualification du système

Déterminez si votre système est une IA (AI Act) et s’il traite des données personnelles (RGPD). Utilisez l’outil d’auto-évaluation de la CNIL sur IAOfficiel.fr/qualif-ia.

Étape 2 : Analyse d’impact (AIPD + EIR)

Réalisez une AIPD RGPD et une évaluation d’impact relative aux droits fondamentaux (AI Act). La CNIL propose un modèle combiné depuis juin 2026.

Étape 3 : Documentation et transparence

Rédigez une notice d’information unique qui couvre à la fois l’article 13-14 RGPD et l’article 86 AI Act. Incluez : finalité, base légale, logique algorithmique, droit d’opposition et droit à l’explication.

8. Cas particuliers : IA générative, surveillance biométrique et santé

Certains secteurs concentrent les tensions entre RGPD et AI Act. Voici les trois cas les plus sensibles en 2026.

IA générative (LLM, diffusion models)

Les modèles comme GPT-6 ou Midjourney soulèvent des questions de droit d’auteur et de données d’entraînement. La CNIL impose une transparence sur les sources (art. 53 AI Act) et un opt-out pour les auteurs. Le RGPD exige une base légale pour l’utilisation de données publiques (intérêt légitime ou consentement).

Surveillance biométrique

Interdite dans l’espace public (sauf menaces graves), elle reste autorisée dans les lieux privés sous conditions. La CNIL a renforcé les contrôles en 2026 : tout système biométrique doit faire l’objet d’une autorisation préalable.

« Dans le secteur de la santé, un algorithme de diagnostic doit respecter le secret médical (RGPD) et les exigences de robustesse (AI Act). La CNIL recommande une certification unique délivrée par un organisme notifié. » — Maître Claire Delacroix