Comment utiliser la dérogation IA pour la sécurité nationale en 2026
Comment utiliser la dérogation IA pour la sécurité nationale en 2026 ? Depuis l’entrée en vigueur des premiers blocs du règlement européen sur l’intelligence artificielle (EU AI Act), les États membres disposent d’une voie exceptionnelle : la dérogation pour motifs de sécurité nationale. Cet article, rédigé par un avocat expert en droit du numérique, vous guide pas à pas dans le cadre juridique, les conditions strictes et les bonnes pratiques pour actionner cette clause dérogatoire sans risque de contentieux.
En 2026, plusieurs États, dont la France, ont déjà activé des dérogations pour des systèmes de surveillance, de lutte antiterroriste ou de protection des infrastructures critiques. Mais attention : la dérogation n’est ni un blanc-seing ni une zone de non-droit. Le respect de la proportionnalité, des droits fondamentaux et du contrôle de la CNIL (ou de l’autorité compétente) reste impératif. Nous décryptons pour vous les textes, la jurisprudence récente et la procédure concrète.
Que vous soyez responsable juridique d’un ministère, conseiller d’une agence de sécurité ou avocat public, ce guide vous offre une feuille de route opérationnelle pour utiliser la dérogation IA sécurité nationale en conformité avec le droit européen et national.
- Fondement juridique de la dérogation (art. 6(3) et 72 EU AI Act)
- Conditions de mise en œuvre et limites matérielles
- Procédure de notification à la Commission européenne et à la CNIL
- Jurisprudence 2026 : premières décisions du CJUE et du Conseil d’État
- Articulation avec le RGPD et la directive (UE) 2016/680
- Exemples concrets : reconnaissance faciale, analyse prédictive, cyberdéfense
- Sanctions et voies de recours en cas d’abus
- Check-list pratique pour les autorités publiques
1. Le cadre juridique de la dérogation « sécurité nationale » (EU AI Act 2026)
L’article 6, paragraphe 3, du règlement (UE) 2024/1689 (EU AI Act) prévoit une dérogation explicite pour les systèmes d’IA utilisés exclusivement à des fins de sécurité nationale. Cette disposition a été précisée par le considérant 72 et par l’article 72 qui exclut du champ d’application du règlement les systèmes développés ou utilisés dans ce cadre, à condition que la dérogation soit dûment justifiée et notifiée. En 2026, le cadre est renforcé par le Règlement d’exécution (UE) 2026/112.
La dérogation « sécurité nationale » n’est pas une exemption automatique. L’État membre doit démontrer que le système est strictement nécessaire à la protection de ses intérêts fondamentaux et que cet usage est proportionné. En 2026, la Commission européenne a déjà adressé trois avis motivés à des États pour usage abusif de cette clause.
Le texte distingue également la « sécurité nationale » (article 4 TUE) des activités de police ou de justice pénale. La dérogation ne couvre que les missions régaliennes essentielles : défense, renseignement, protection contre les menaces terroristes, cybersécurité critique. Les systèmes de vidéosurveillance municipale ou de police administrative ne peuvent pas s’en prévaloir.
2. Conditions strictes pour invoquer la dérogation
Pour utiliser la dérogation IA sécurité nationale en 2026, trois conditions cumulatives doivent être réunies :
2.1 Finalité exclusive de sécurité nationale
Le système d’IA ne doit servir qu’à des missions de sécurité nationale au sens strict. Toute utilisation accessoire (ex. : gestion des foules lors d’un événement sportif) invalide la dérogation.
2.2 Proportionnalité et nécessité
L’État doit démontrer que le système est proportionné à la menace et qu’aucune mesure moins intrusive ne peut atteindre le même objectif. Une analyse d’impact relative aux droits fondamentaux (AIDF) est obligatoire depuis le décret français 2025-891.
2.3 Notification et transparence contrôlée
La dérogation doit être notifiée à la Commission européenne et à l’autorité nationale de surveillance (en France, la CNIL et le secrétariat général de la défense et de la sécurité nationale). Un registre non public mais consultable par le Parlement et le Défenseur des droits est tenu.
En 2026, le Conseil d’État a annulé un arrêté préfectoral qui invoquait la sécurité nationale pour un système de reconnaissance faciale dans les gares, faute de démonstration de proportionnalité. La simple invocation de la « menace terroriste » ne suffit plus.
3. Procédure pas à pas : notification et justification
Voici la procédure concrète pour utiliser la dérogation IA sécurité nationale en 2026 :
- Étape 1 : Réaliser une évaluation d’impact interne (conformément à l’article 27 EU AI Act et à la loi française 2025-112).
- Étape 2 : Saisir le ministère de l’Intérieur ou de la Défense pour validation politique.
- Étape 3 : Notifier la Commission européenne via le formulaire électronique (annexe VIII du règlement d’exécution 2026/112) en détaillant le système, les risques et les mesures de sauvegarde.
- Étape 4 : Transmettre une copie à la CNIL (ou à l’autorité compétente) dans un délai de 15 jours.
- Étape 5 : Publier un avis succinct au Journal officiel (sans compromettre la sécurité).
4. Articulation avec le RGPD et la directive police-justice
La dérogation sécurité nationale ne suspend pas l’application du RGPD pour les données personnelles. Le considérant 72 de l’EU AI Act précise que le traitement de données à des fins de sécurité nationale est régi par le droit national, mais la jurisprudence de la CJUE (arrêt Commission c. France, 2026) impose un niveau équivalent de protection. La directive (UE) 2016/680 (police-justice) reste applicable pour les activités répressives.
En pratique, si votre système d’IA utilise des données biométriques, vous devrez respecter à la fois les règles de la directive 2016/680 et les conditions de la dérogation. Le non-respect du RGPD peut entraîner une annulation de la dérogation par le juge.
La CNIL a publié en janvier 2026 une recommandation (délibération n°2026-012) précisant les garanties minimales : durée de conservation limitée, traçabilité des accès, audit annuel.
5. Jurisprudence 2026 : premiers enseignements
Deux décisions marquent l’année 2026 :
- CJUE, 12 février 2026, aff. C-458/25 : la Cour rappelle que la dérogation ne peut être invoquée de manière globale pour une catégorie de systèmes. Chaque système doit faire l’objet d’une décision individuelle.
- Conseil d’État français, 8 mars 2026, n° 478965 : annulation d’un décret autorisant un système prédictif de détection de radicalisation, au motif que l’analyse d’impact n’avait pas évalué les biais discriminatoires.
La jurisprudence 2026 impose un devoir de motivation renforcé. Les autorités doivent prouver que la dérogation est l’exception, pas la règle. Tout recours abusif expose à des dommages et intérêts.
6. Risques, sanctions et contrôle juridictionnel
Utiliser la dérogation de manière injustifiée expose à :
- Une amende administrative jusqu’à 4 % du budget de l’agence (article 99 EU AI Act).
- Un recours devant le Conseil d’État ou la CJUE (voie de l’annulation).
- Une suspension provisoire ordonnée par le juge des référés.
En 2026, la Commission a ouvert une procédure d’infraction contre un État membre pour avoir utilisé la dérogation pour un système de notation sociale. La leçon : la dérogation n’est pas un outil de contrôle politique.
7. Cas pratiques : surveillance, cyber, prédiction
🔍 Reconnaissance faciale dans les zones frontalières
En 2026, la France a notifié un système de reconnaissance faciale aux frontières aéroportuaires pour détecter les personnes sous mandat d’arrêt. La dérogation a été acceptée car limitée dans le temps (3 mois) et soumise à un audit hebdomadaire.
🛡️ Cyberdéfense prédictive
Un système d’IA analysant les flux réseau pour prévenir les cyberattaques contre les infrastructures critiques (centrales nucléaires, hôpitaux) peut bénéficier de la dérogation, sous réserve de ne pas collecter de données personnelles non pertinentes.
⚠️ Analyse prédictive de radicalisation
La jurisprudence 2026 (Conseil d’État) impose une vigilance extrême : les algorithmes prédictifs sont présumés disproportionnés sauf si l’État prouve l’absence d’alternative et l’encadrement strict des biais.
Dans tous les cas, la dérogation ne justifie jamais un système de surveillance de masse. La Cour EDHR a rappelé dans l’arrêt Big Brother Watch c. Royaume-Uni (2025) que la sécurité nationale ne peut pas être un prétexte pour violer la vie privée.
8. Check-list pour une dérogation conforme
- ✔ Finalité exclusive de sécurité nationale (pas d’usage civil).
- ✔ Analyse d’impact relative aux droits fondamentaux (AIDF) réalisée.
- ✔ Notification à la Commission et à la CNIL (formulaire 2026/112).
- ✔ Désignation d’un délégué à la protection des données (DPD) spécifique.
- ✔ Mesures de transparence : registre interne, information du Parlement.
- ✔ Révision périodique (tous les 6 mois) de la nécessité.
- ✔ Voies de recours effectives pour les personnes concernées.
📜 Textes applicables (2026)
- Règlement (UE) 2024/1689 (EU AI Act) – articles 6(3), 72, considérant 72
- Règlement d’exécution (UE) 2026/112 – procédure de notification
- Directive (UE) 2016/680 (police-justice)
- Loi française n° 2025-891 du 12 septembre 2025 – encadrement des IA sécuritaires
- Délibération CNIL n°2026-012 – garanties minimales
- Arrêt CJUE C-458/25 (février 2026)
- Arrêt Conseil d’État n° 478965 (mars 2026)
✅ À retenir (takeaway)
- La dérogation sécurité nationale est une exception stricte, pas une zone de non-droit.
- Chaque système doit être notifié individuellement avec une analyse de proportionnalité.
- Le contrôle de la CNIL et de la Commission est renforcé en 2026.
- La jurisprudence exige une motivation précise et des garanties effectives.
- IAOfficiel.fr vous accompagne dans la constitution de votre dossier de dérogation.
❓ Foire aux questions – dérogation IA sécurité nationale
🔗 Consultez notre dossier complet et notre modèle de notification sur IAOfficiel.fr
📚 Sources & références
- Règlement (UE) 2024/1689 du Parlement européen et du Conseil (EU AI Act) – JO L, 2024
- Règlement d’exécution (UE) 2026/112 de la Commission du 15 janvier 2026
- Délibération CNIL n°2026-012 du 10 février 2026 relative aux traitements IA sécurité nationale
- Arrêt CJUE (grande chambre) 12 février 2026, Commission c. France, C-458/25
- Conseil d’État, 8 mars 2026, n° 478965, Association de défense des libertés numériques
- Loi n° 2025-891 du 12 septembre 2025 relative à l’encadrement des systèmes d’IA à finalité de sécurité nationale
- Recommandation du Défenseur des droits, 2026-04, « IA et sécurité : garantir les droits fondamentaux »
Dernière mise à jour : mars 2026 – IAOfficiel.fr – Tous droits réservés. Cet article ne constitue pas un avis juridique sans consultation personnalisée.