CNIL IA RGPD formation : obligations et conformité en 2026

4. Information et droits des apprenants

Les articles 13 et 14 du RGPD imposent une information transparente sur les traitements de données. Dans le contexte CNIL IA RGPD formation, l’information doit préciser : l’existence d’un système d’IA, son fonctionnement, les données collectées, la logique décisionnelle, et les conséquences pour l’apprenant. En 2026, la CNIL exige que cette information soit délivrée avant le début de la formation, de manière intelligible et non noyée dans des conditions générales.

« Le droit d’opposition (article 21) est particulièrement important : l’apprenant peut s’opposer au profilage pédagogique à des fins de marketing ou d’orientation non nécessaire. Le responsable de formation doit prévoir un mécanisme simple, par exemple un bouton dans l’interface. » — Guide CNIL « IA et éducation », version 2026.

4.1 Portabilité et accès aux données générées par l’IA

Les données d’interaction (logs, réponses, temps passé, parcours) sont des données personnelles. L’apprenant peut demander leur portabilité dans un format structuré. La CNIL a sanctionné en 2026 un organisme de formation qui refusait de fournir les traces d’apprentissage générées par son IA.

5. Données sensibles et biométrie en formation

L’utilisation de données biométriques (reconnaissance faciale pour vérifier l’assiduité, analyse des expressions faciales pour mesurer l’attention) est strictement encadrée. L’article 9 du RGPD interdit en principe le traitement de données sensibles, sauf exceptions. En 2026, la CNIL a interdit plusieurs dispositifs de « surveillance attentionnelle » dans des centres de formation, les jugeant disproportionnés.

5.1 Les exceptions possibles

Le consentement explicite ou la nécessité pour l’exécution d’une obligation légale peuvent permettre le recours à la biométrie, mais la CNIL adopte une interprétation restrictive. Pour les formations à distance, la vérification d’identité par biométrie est tolérée si elle est ponctuelle et sans stockage prolongé. Une décision du Conseil d’État du 2 avril 2026 (req. n° 478932) a annulé un arrêté autorisant la reconnaissance faciale dans les examens en ligne, faute de garanties suffisantes.

« La biométrie en formation est une zone rouge. Mon conseil : privilégiez des méthodes alternatives (QR code, double authentification sans données physiques) et, si vous devez utiliser la biométrie, réalisez une AIPD renforcée et consultez la CNIL via la procédure de consultation préalable. » — Maître Delphine Roussel, avocate spécialiste IA & RGPD.

6. Sous-traitance et responsabilité des éditeurs

La plupart des organismes de formation utilisent des plateformes EdTech hébergées par des tiers (LMS, générateurs de contenu IA). Le RGPD impose un contrat de sous-traitance conforme à l’article 28. En 2026, la CNIL a renforcé les obligations : le sous-traitant doit garantir la sécurité des modèles d’IA, ne pas réutiliser les données des apprenants pour améliorer ses propres systèmes sans accord explicite, et permettre les audits.

6.1 Responsabilité conjointe possible

Si l’éditeur d’IA détermine les finalités et les moyens du traitement (par exemple, un correcteur automatique qui impose ses propres règles de notation), il devient co-responsable. La jurisprudence 2026 (CA Paris, 23 janvier 2026, n°25/00123) a retenu la responsabilité solidaire d’un éditeur et d’un centre de formation pour défaut d’information sur le fonctionnement de l’IA.

7. Jurisprudence 2026 : précédents clés

Plusieurs décisions récentes balisent le terrain de la CNIL IA RGPD formation :

• CJUE, 12 mars 2026, aff. C-487/25 : le profilage pédagogique sans consentement explicite est illicite, même si l’organisme invoque un intérêt légitime.
• Conseil d’État, 2 avril 2026, n°478932 : annulation de l’utilisation de la reconnaissance faciale pour les examens en ligne dans l’enseignement supérieur.
• CNIL, délibération SAN-2026-005 : amende de 850 000 € contre un organisme de formation professionnelle pour défaut d’information et absence d’AIPD pour son outil de recommandation de parcours.
• CA Paris, 23 janvier 2026, n°25/00123 : responsabilité conjointe entre un éditeur de chatbot pédagogique et un centre de formation pour biais discriminatoire dans les évaluations.

« Ces décisions montrent que les juges et la CNIL ne se contentent plus de déclarations de principe. Ils exigent des preuves concrètes de conformité : registre, AIPD, audit des algorithmes. En 2026, le risque contentieux est réel. » — Analyse de jurisprudence, Gazette du Palais, avril 2026.

8. Checklist conformité CNIL IA RGPD formation

Pour vous aider à structurer votre démarche, voici les points essentiels à vérifier avant la rentrée 2026 :

• ✅ AIPD réalisée et mise à jour pour chaque système d’IA utilisé en formation.
• ✅ Registre des activités de traitement incluant les finalités « IA pédagogique ».
• ✅ Information individuelle des apprenants (article 13/14) avec mention explicite de l’IA.
• ✅ Mécanisme d’opposition et de recours humain pour les décisions automatisées.
• ✅ Contrats de sous-traitance conformes à l’article 28 et à l’IA Act.
• ✅ Analyse des biais et tests de non-discrimination pour les algorithmes d’évaluation.
• ✅ Procédure de notification des violations de données (72h).
• ✅ Désignation d’un DPO (obligatoire si le traitement implique un suivi systématique à grande échelle).