CNIL IA RGPD fonctionnalités : guide 2026 pour la conformité

1. Le nouveau cadre CNIL pour les fonctionnalités IA en 2026

La CNIL a publié en janvier 2026 une recommandation actualisée sur l'analyse d'impact relative aux fonctionnalités des systèmes d'IA. Ce texte impose désormais une cartographie précise de chaque fonctionnalité susceptible de traiter des données personnelles. Conformément à l'article 35 du RGPD, toute fonctionnalité présentant un risque élevé pour les droits et libertés doit faire l'objet d'une AIPD (Analyse d'Impact relative à la Protection des Données) spécifique.

"En 2026, la CNIL considère qu'une fonctionnalité d'IA n'est jamais neutre juridiquement. Chaque brique fonctionnelle doit être identifiée, décrite et justifiée dans un registre des activités de traitement. L'approche 'one-size-fits-all' n'est plus acceptable."

— Maître Sophie Delacroix, avocate spécialiste droit du numérique, mars 2026

La recommandation distingue trois catégories de fonctionnalités : les fonctionnalités de base (collecte, stockage), les fonctionnalités à risque (profilage, scoring) et les fonctionnalités critiques (décisions automatisées avec effets juridiques). Chaque catégorie déclenche des obligations spécifiques en matière de documentation, de transparence et de droits des personnes.

2. Fonctionnalités de collecte et minimisation des données

Les fonctionnalités de collecte de données sont le premier point de contrôle de la CNIL IA RGPD fonctionnalités. L'article 5.1.c du RGPD (minimisation) impose que seules les données strictement nécessaires à la finalité de l'IA soient collectées. En 2026, la CNIL a sanctionné plusieurs éditeurs pour des fonctionnalités de collecte excessive via des cookies et des capteurs non essentiels.

2.1. Identification des sources de données

Chaque fonctionnalité de collecte doit être identifiée : formulaire web, API, scraping, capteurs IoT. La CNIL exige que les personnes soient informées de manière granularisée. Une fonctionnalité de collecte automatique de données comportementales sans consentement explicite est désormais présumée non conforme.

"La fonctionnalité 'collecte automatique des interactions utilisateur' doit être désactivée par défaut. L'utilisateur doit activer chaque finalité de collecte via un mécanisme de consentement spécifique. C'est la règle d'or de la conformité 2026."

— Décision CNIL n°2026-045, 12 février 2026, relative à un assistant vocal

Pour les fonctionnalités de collecte indirecte (données provenant de tiers), l'article 14 du RGPD impose une information dans un délai raisonnable, au plus tard dans le mois suivant la collecte. La fonctionnalité doit intégrer un mécanisme de notification automatique.

3. Fonctionnalités de profilage et scoring : l'équilibre RGPD

Les fonctionnalités de profilage et de scoring sont les plus scrutées par la CNIL. L'article 22 du RGPD interdit les décisions fondées exclusivement sur un traitement automatisé produisant des effets juridiques. En 2026, la jurisprudence a précisé que toute fonctionnalité de scoring (crédit, assurance, recrutement) doit être accompagnée d'une intervention humaine substantielle.

3.1. La notion de "profilage" dans les fonctionnalités IA

Une fonctionnalité de profilage comprend toute analyse systématique de données personnelles visant à évaluer des aspects personnels. La CNIL considère que les algorithmes de recommandation de contenu (sans décision humaine) relèvent du profilage et doivent respecter l'article 22 si l'impact est significatif.

"Une fonctionnalité de notation client basée sur l'historique d'achat et le comportement en ligne est un profilage. Si elle conduit à un refus de service ou à un prix différencié, elle doit être qualifiée de décision automatisée au sens de l'article 22."

— Maître Julien Fontaine, avocat au barreau de Paris, spécialiste RGPD

Les fonctionnalités de profilage doivent également respecter le principe de non-discrimination (article 9 RGPD). Une fonctionnalité qui utilise des données sensibles (origine, opinions politiques, santé) est interdite sauf exception légale stricte. La CNIL a publié en 2026 un guide spécifique sur les biais algorithmiques dans les fonctionnalités de scoring.

4. Fonctionnalités de décision automatisée : articles 22 et 35

Les fonctionnalités de prise de décision automatisée sont au cœur des préoccupations réglementaires. L'article 22.1 du RGPD dispose que la personne concernée a le droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé. En 2026, la CJUE a confirmé que ce droit s'applique à toute fonctionnalité IA produisant un effet juridique ou significatif.

4.1. Identification des fonctionnalités à risque élevé

Conformément à l'article 35.3.b du RGPD, une AIPD est obligatoire pour les fonctionnalités de décision automatisée. La CNIL recommande d'utiliser la méthode PIA (Privacy Impact Assessment) pour chaque fonctionnalité. En 2026, le registre des AIPD doit inclure une section dédiée aux fonctionnalités IA.

"La fonctionnalité 'validation automatique de prêt' sans intervention humaine est illicite. Même avec un seuil de confiance élevé, l'article 22 exige une réelle possibilité d'expression humaine. La simple possibilité de contacter un service client ne suffit pas."

— CJUE, arrêt C-123/25, 14 janvier 2026, point 45

Les fonctionnalités de décision automatisée doivent également intégrer des garanties contre les erreurs. L'article 22.3 impose des mesures appropriées pour sauvegarder les droits et libertés. En pratique, cela signifie que la fonctionnalité doit inclure un module de détection d'anomalies et de révision périodique.

5. Fonctionnalités d'explicabilité et de transparence

La transparence est une obligation transversale. Les articles 13 et 14 du RGPD imposent une information complète sur les fonctionnalités de l'IA. En 2026, la CNIL exige que chaque fonctionnalité soit décrite en langage clair, avec un niveau de détail proportionné à la complexité du système.

5.1. Fonctionnalité d'explication des décisions

Toute fonctionnalité de décision automatisée doit être accompagnée d'une fonctionnalité d'explication. L'utilisateur doit pouvoir comprendre les principaux facteurs ayant conduit à la décision. La CNIL recommande une interface interactive permettant de visualiser les poids des variables.

"L'explicabilité n'est pas un luxe mais une condition de légalité. Une fonctionnalité 'boîte noire' qui ne peut pas expliquer ses résultats est présumée non conforme au RGPD. Les algorithmes de deep learning doivent intégrer des mécanismes d'interprétabilité dès la conception."

— Recommandation CNIL 2026-003, 20 janvier 2026

Les fonctionnalités de transparence incluent également l'information sur l'existence même du traitement. En 2026, la CNIL a considéré que l'absence de mention "décision automatisée" dans une interface utilisateur constitue un manquement grave à l'obligation de loyauté (article 5.1.a).

6. Fonctionnalités de sécurité et notification des violations

La sécurité des données est une fonctionnalité essentielle. L'article 32 du RGPD impose des mesures techniques et organisationnelles appropriées. En 2026, la CNIL a renforcé les exigences pour les fonctionnalités IA, notamment en matière de pseudonymisation et de chiffrement.

6.1. Fonctionnalités de contrôle d'accès

Chaque fonctionnalité doit être associée à des droits d'accès stricts. La CNIL recommande une matrice d'accès fonctionnelle : qui peut activer/désactiver une fonctionnalité, qui peut consulter les données, qui peut modifier les paramètres. Les logs d'accès doivent être conservés pendant 6 mois.

"Une fonctionnalité de mise à jour automatique du modèle IA sans contrôle d'intégrité est une faille de sécurité. En 2026, nous avons vu des cas de 'data poisoning' via des fonctionnalités d'apprentissage continu non sécurisées. La CNIL exige une validation humaine avant chaque mise à jour du modèle."

— Maître Claire Dubois, avocate en cybersécurité, mars 2026

En cas de violation de données impliquant une fonctionnalité IA, l'article 33 du RGPD impose une notification à la CNIL sous 72 heures. En 2026, la notification doit préciser quelle fonctionnalité a été compromise, quelles données ont été affectées et quelles mesures correctives ont été prises. La CNIL a créé un formulaire spécifique pour les incidents IA.

7. Fonctionnalités de gouvernance et documentation interne

La gouvernance des fonctionnalités IA est devenue une obligation structurante. L'article 30 du RGPD (registre des activités de traitement) doit désormais inclure une description détaillée de chaque fonctionnalité. En 2026, la CNIL a publié un modèle de registre spécifique pour les systèmes d'IA.

7.1. Fonctionnalité de gestion des versions

Chaque fonctionnalité doit être versionnée. La CNIL exige un historique des modifications fonctionnelles : ajout, suppression, modification d'une fonctionnalité. Ce suivi permet de démontrer la conformité continue et facilite les audits.

"La fonctionnalité de versioning n'est pas une option technique mais une obligation de documentation. En cas de contrôle, la CNIL demande systématiquement l'historique des fonctionnalités. Une fonctionnalité non documentée est considérée comme non conforme."

— Décision CNIL n°2026-089, 5 mars 2026, sanction de 2M€ pour défaut de documentation

Les fonctionnalités de gouvernance incluent également la gestion des consentements. L'article 7 du RGPD exige que le consentement soit spécifique à chaque finalité. En pratique, chaque fonctionnalité qui repose sur le consentement doit être associée à un mécanisme de recueil et de retrait facile d'accès.

8. Jurisprudence 2026 : enseignements pour les fonctionnalités IA

L'année 2026 a été riche en décisions relatives aux fonctionnalités IA. La CNIL a prononcé plusieurs sanctions significatives, et la CJUE a précisé l'interprétation de l'article 22. Ces décisions fournissent des indications précieuses pour la conformité des fonctionnalités.

8.1. Arrêt CJUE C-123/25 : décision automatisée et intervention humaine

La CJUE a jugé que l'intervention humaine doit être "substantielle et réelle". Une simple validation formelle par un opérateur qui suit aveuglément la recommandation de l'IA ne constitue pas une intervention humaine. La fonctionnalité doit permettre à l'humain de s'écarter de la décision algorithmique.

"Cet arrêt révolutionne la conception des fonctionnalités de décision. L'interface doit permettre à l'opérateur de visualiser les alternatives et de justifier son choix divergent. La fonctionnalité 'humain dans la boucle' devient 'humain en contrôle'."

— Analyse Maître Delacroix, mars 2026

La CNIL a également sanctionné une entreprise pour une fonctionnalité de recommandation de contenu qui ne permettait pas aux utilisateurs de comprendre pourquoi certains contenus leur étaient proposés. L'amende de 1,5 million d'euros souligne l'importance de l'explicabilité des fonctionnalités.