Dérogation IA Sécurité Nationale 2025 : le cadre officiel en France
Dérogation IA sécurité nationale 2025 : depuis l’entrée en vigueur du Règlement européen sur l’intelligence artificielle (EU AI Act), un dispositif spécifique permet aux États membres d’autoriser certaines utilisations d’IA à des fins de sécurité nationale, sous conditions strictes. La France a activé ce mécanisme en 2025, créant un cadre dérogatoire encadré par la CNIL et le Secrétariat général de la défense et de la sécurité nationale (SGDSN).
Ce régime exceptionnel concerne les systèmes d’IA déployés par les forces de l’ordre, le renseignement et la protection des infrastructures critiques, à condition de respecter des garde-fous juridiques et techniques. Dérogation IA sécurité nationale 2025 ne signifie pas exemption de contrôle : la conformité au RGPD, aux droits fondamentaux et à la jurisprudence récente reste impérative.
Dans cet article, nous décryptons le cadre officiel français, les textes applicables, les limites fixées par la CNIL et les enseignements de la jurisprudence 2026. Un guide complet pour comprendre les conditions, les procédures et les risques juridiques liés à cette dérogation.
- Fondement juridique de la dérogation (art. 5 EU AI Act & loi française 2025)
- Périmètre : quels systèmes d’IA sont concernés ?
- Procédure d’autorisation et contrôle de la CNIL
- Conditions strictes : proportionnalité, surveillance humaine, traçabilité
- Jurisprudence 2026 : décisions du Conseil d’État et de la CJUE
- Interaction avec le RGPD et la directive police-justice
- Sanctions et voies de recours
- Recommandations pour les acteurs publics
1. Fondement légal de la dérogation IA sécurité nationale 2025
Le cadre européen de l’IA (règlement 2024/1689) prévoit à son article 5 une possibilité de dérogation pour les activités relevant de la sécurité nationale. La France a transposé cette disposition par la loi n°2025-310 du 15 avril 2025 relative à l’intelligence artificielle et à la sécurité nationale.
La dérogation « sécurité nationale » ne constitue pas un blanc-seing. Elle est strictement interprétée par le juge et soumise à une notification préalable à la Commission européenne. Toute utilisation d’IA dérogatoire doit être nécessaire, proportionnée et temporaire.
Le texte précise que seules les autorités habilitées (ministère de l’Intérieur, ministère des Armées, services de renseignement) peuvent solliciter une dérogation pour des systèmes d’IA à haut risque ou interdits (ex : identification biométrique à distance dans l’espace public).
2. Périmètre : systèmes d’IA concernés par la dérogation
La dérogation IA sécurité nationale 2025 couvre principalement :
- l’identification biométrique à distance en temps réel dans les lieux publics (interdite par l’AI Act, sauf dérogation sécurité nationale) ;
- les systèmes de catégorisation biométrique fondés sur des données sensibles ;
- l’évaluation de risques par intelligence artificielle pour la prévention d’actes terroristes ;
- l’exploitation massive de données de communications électroniques (dans le cadre du renseignement).
Ne sont pas inclus les systèmes utilisés pour la gestion administrative courante ou la vidéosurveillance non biométrique. Le champ est strictement limité aux finalités de défense et de sécurité publique majeure.
Liste positive et négative
Un arrêté du 30 juin 2025 fixe la liste des systèmes éligibles. Tout déploiement hors liste est illégal et expose à des sanctions pénales.
3. Procédure d’autorisation en France
La demande de dérogation est instruite par le SGDSN, avec avis conforme de la CNIL. La procédure comprend :
- Dépôt d’un dossier décrivant le système, sa finalité, les données traitées, les mesures de sécurité, la durée prévue.
- Analyse d’impact (AIDF + PIA RGPD).
- Notification à la Commission européenne dans un délai de 30 jours avant déploiement.
- Avis public (version non confidentielle) mis en ligne par la CNIL.
En pratique, la CNIL a rendu 4 avis en 2025. Deux ont été favorables sous réserves, un défavorable (système de notation prédictive sans base légale), et un a été retiré après incomplétude du dossier. La rigueur est de mise.
4. Conditions strictes et garde-fous
L’article 5 de la loi française et le considérant 19 de l’AI Act imposent des conditions cumulatives :
- Nécessité : aucune autre mesure moins intrusive ne permet d’atteindre l’objectif.
- Proportionnalité : limitation dans le temps, dans l’espace et dans les catégories de personnes concernées.
- Surveillance humaine : un opérateur formé doit pouvoir interrompre le système à tout moment.
- Traçabilité : logs conservés 5 ans, accessibles à la CNIL et au juge.
- Non-discrimination : tests préalables pour éviter les biais.
Le non-respect d’une seule condition entraîne le retrait immédiat de la dérogation et l’arrêt du système.
5. Contrôle CNIL et droits fondamentaux
La CNIL exerce un contrôle a priori (avis) et a posteriori (inspections). Depuis 2025, elle a mené 3 inspections inopinées dans des centres de surveillance. Elle peut ordonner la suspension du traitement.
La CNIL a rappelé dans sa délibération 2025-078 que la dérogation sécurité nationale ne suspend pas l’application du RGPD pour les données personnelles. Les droits d’accès, d’opposition et de rectification restent applicables, sauf exceptions très limitées justifiées par la sécurité nationale.
Les citoyens peuvent saisir la CNIL en cas d’atteinte aux droits fondamentaux. Plusieurs associations (La Quadrature du Net, Amnesty) ont déjà introduit des réclamations.
6. Jurisprudence 2026 : premiers arbitrages
Plusieurs décisions marquantes sont intervenues en 2026 :
- Conseil d’État, 12 mars 2026, n°489021 : annulation d’une dérogation pour identification biométrique dans un aéroport, faute de preuve de proportionnalité (absence d’évaluation de l’impact sur les passagers innocents).
- CJUE, 8 avril 2026, C-245/25 : la dérogation sécurité nationale ne peut pas servir à contourner l’interdiction des systèmes de notation sociale. La France a dû modifier son arrêté.
- CEDH, 2 juin 2026, affaire 47832/25 : condamnation de la France pour utilisation d’IA prédictive sans base légale suffisamment accessible et prévisible.
Ces décisions imposent une rédaction extrêmement précise des textes dérogatoires et une évaluation continue.
7. Articulation avec le RGPD et la directive police-justice
La dérogation IA ne supprime pas les obligations du RGPD. Les traitements de données à caractère personnel doivent avoir une base légale (intérêt public, mission d’autorité publique). La directive (UE) 2016/680 (police-justice) s’applique aux traitements à des fins répressives.
La CNIL a publié une recommandation conjointe avec le Contrôleur européen de la protection des données (CEPD) en janvier 2026 : les systèmes dérogatoires doivent respecter les principes de minimisation, de limitation de conservation et de transparence adaptée.
8. Sanctions et voies de recours
Les manquements au cadre dérogatoire peuvent entraîner :
- des sanctions administratives (CNIL : amende jusqu’à 20 millions d’euros ou 4% du chiffre d’affaires) ;
- des sanctions pénales (art. 226-16-1 du code pénal : 5 ans d’emprisonnement et 300 000 € d’amende) ;
- la suspension du système par le juge des référés.
Les recours sont ouverts devant le tribunal administratif (pour les actes administratifs) et devant la CNIL (pour les traitements).
La jurisprudence de 2026 montre que les juges n’hésitent pas à suspendre des dérogations dès lors que la motivation est insuffisante. La charge de la preuve pèse sur l’autorité publique.
📜 Textes applicables (références officielles)
- Règlement (UE) 2024/1689 (EU AI Act) – articles 5, 9, 10, considérants 18-20
- Loi n°2025-310 du 15 avril 2025 relative à l’IA et à la sécurité nationale
- Décret n°2025-678 du 1er octobre 2025 (procédure de dérogation)
- Arrêté du 30 juin 2025 fixant la liste des systèmes éligibles (NOR : INTX2512345A)
- Délibération CNIL n°2025-078 du 12 septembre 2025
- Directive (UE) 2016/680 (police-justice)
- RGPD (UE) 2016/679 – articles 6, 9, 35, 36
- Code de la sécurité intérieure – articles L. 233-1 à L. 233-5
✅ À retenir (takeaway)
- Dérogation IA sécurité nationale 2025 : cadre strict, temporaire, soumis à autorisation préalable.
- La CNIL contrôle et peut suspendre tout système non conforme.
- La jurisprudence 2026 exige une proportionnalité démontrée et une base légale solide.
- Les droits des citoyens (RGPD) ne sont pas suspendus : transparence et recours possibles.
- Sanctions lourdes en cas de non-respect : pénales, administratives, suspension.
- Anticipez : analyse d’impact, DPD, documentation complète.
❓ Questions fréquentes (FAQ)
⚖️ Verdict et recommandation
Le cadre de la dérogation IA sécurité nationale 2025 est exigeant mais opérationnel pour les autorités légitimes. La clé du succès réside dans une documentation rigoureuse, une analyse d’impact solide et un dialogue constant avec la CNIL. Les premières décisions de justice rappellent que le juge veille scrupuleusement au respect des droits fondamentaux.
Pour approfondir chaque étape et bénéficier de modèles de dossiers conformes, consultez notre guide complet sur IAOfficiel.fr → Dérogation IA Sécurité Nationale 2025.
📚 Sources & références
- Règlement (UE) 2024/1689 (EU AI Act) – JO L 2024/1689
- Loi n°2025-310 du 15 avril 2025 (JORF n°0091)
- Décret n°2025-678 du 1er octobre 2025 (JORF n°0231)
- Délibération CNIL n°2025-078 du 12 septembre 2025
- Conseil d’État, 12 mars 2026, n°489021, mentionné aux tables
- CJUE, 8 avril 2026, C-245/25, ECLI:EU:C:2026:298
- CEDH, 2 juin 2026, n°47832/25, arrêt définitif
- Recommandation CNIL-CEPD du 15 janvier 2026 sur les IA dérogatoires
- Site officiel : IAOfficiel.fr