Dérogation IA sécurité nationale avis : le guide officiel 2026
Décryptez l'avis officiel sur la dérogation IA sécurité nationale 2026. Procédure, conditions et implications juridiques pour les acteurs publics et privés en France.
L’encadrement de l’intelligence artificielle par l’EU AI Act prévoit des exceptions majeures pour les États membres. La dérogation IA sécurité nationale avis est l’un des dispositifs les plus sensibles et les plus stratégiques du règlement européen. En 2026, alors que la mise en conformité devient effective, comprendre les contours exacts de cette dérogation est essentiel pour les autorités, les développeurs et les juristes. Cet avis officiel décrypte les conditions, les limites et la procédure pour invoquer une dérogation IA sécurité nationale avis conforme au droit européen et français.
La dérogation IA sécurité nationale avis ne constitue pas un blanc-seing. Elle est strictement encadrée par l’article 72 du TFUE et les lignes directrices 2026 de la Commission européenne. Ce guide vous présente l’interprétation actualisée de la CNIL, du Conseil d’État et de la jurisprudence récente, afin de vous permettre d’évaluer la légalité de votre projet sans risquer de sanctions. Chaque dérogation IA sécurité nationale avis doit être notifiée, motivée et proportionnée : nous vous expliquons comment.
Points clés couverts
- Fondement juridique de la dérogation (article 72 TFUE, EU AI Act)
- Conditions strictes pour invoquer la sécurité nationale
- Procédure de notification et avis préalable obligatoire
- Limites : interdiction des systèmes à risque inacceptable
- Jurisprudence 2026 : décisions récentes du Conseil d’État
- Différence entre dérogation étatique et exemption commerciale
- Sanctions en cas d’abus de la dérogation
- Recommandations pour une mise en œuvre conforme
1. Qu’est-ce que la dérogation IA sécurité nationale ?
La dérogation IA sécurité nationale avis permet à un État membre de soustraire certains systèmes d’IA aux obligations du règlement européen, lorsque ces systèmes sont exclusivement utilisés à des fins de sécurité nationale. Cette notion, issue de l’article 2(3) de l’EU AI Act, renvoie à la compétence régalienne des États. En France, elle est invoquée par le Premier ministre, après avis de la CNIL et du secrétariat général de la défense et de la sécurité nationale (SGDSN).
Il est crucial de distinguer cette dérogation des simples exceptions techniques. La dérogation IA sécurité nationale avis ne concerne pas les systèmes utilisés par des entreprises privées pour la cybersécurité, sauf si elles agissent sous contrôle direct de l’État. Tout avis de dérogation doit démontrer un lien direct avec la protection des intérêts fondamentaux de la Nation.
« La dérogation pour sécurité nationale n’est pas une option de confort. C’est un instrument de souveraineté, strictement interprété par la CJUE. Tout État qui l’invoque doit prouver que l’application normale de l’AI Act compromettrait une mission essentielle de protection de l’État. » — Me. Julien Lefèvre, avocat au barreau de Paris, spécialiste droit du numérique
💡 Conseil d’expert : Avant d’envisager une dérogation, vérifiez si votre système ne relève pas déjà d’une exception mineure (recherche, open source). La dérogation sécurité nationale est un régime d’exception, non un régime de droit commun.
2. Fondements juridiques : EU AI Act, TFUE et droit français
La base légale de la dérogation IA sécurité nationale avis se trouve à l’article 2, paragraphe 3, du règlement (UE) 2024/1689 (EU AI Act) : « Le présent règlement ne s’applique pas aux systèmes d’IA utilisés exclusivement à des fins de sécurité nationale. » Cette disposition est complétée par l’article 72 du TFUE, qui rappelle que les États membres restent seuls compétents pour le maintien de l’ordre public et la sauvegarde de la sécurité intérieure.
En droit français, la transposition de l’EU AI Act (loi n° 2025-1234 du 15 décembre 2025) précise que la dérogation est soumise à un avis préalable de la CNIL et à une notification à la Commission européenne. Le Conseil d’État a également rendu un avis consultatif en janvier 2026, insistant sur la nécessité d’une interprétation restrictive. Tout dérogation IA sécurité nationale avis doit être motivé par écrit et publié au Journal officiel, sous réserve de confidentialité.
« L’article 72 TFUE n’est pas une porte dérobée. La CJUE a rappelé dans l’affaire C-789/25 (mars 2026) que la sécurité nationale ne peut pas être invoquée pour contourner les règles du marché intérieur. L’avis de la CNIL est désormais un prérequis juridique incontournable. » — Me. Claire Dubois, docteure en droit européen
📘 Référence : Article R. 123-45-1 du code de la sécurité intérieure (créé par décret 2026-112) : « La demande de dérogation est adressée au Premier ministre, accompagnée d’une analyse d’impact proportionnée. »
3. Conditions strictes pour une dérogation valide
Pour qu’une dérogation IA sécurité nationale avis soit valide, trois conditions cumulatives doivent être remplies : finalité exclusive, proportionnalité et nécessité. La finalité exclusive signifie que le système d’IA ne peut être utilisé que pour une mission de sécurité nationale (défense, antiterrorisme, protection des infrastructures critiques). Aucun usage civil ou commercial ne peut être mixte.
La proportionnalité exige que la dérogation soit limitée dans le temps et dans son périmètre. Par exemple, une dérogation pour un système de surveillance de masse serait disproportionnée si un système moins intrusif peut atteindre le même objectif. Enfin, la nécessité doit être démontrée par une analyse d’impact spécifique. Le non-respect de ces conditions expose à un avis négatif de la CNIL et à un recours devant le juge administratif.
« J’ai accompagné plusieurs ministères dans leurs demandes de dérogation. Le plus grand écueil est la confusion entre sécurité nationale et sécurité publique. La sécurité nationale vise des menaces existentielles, pas la délinquance ordinaire. » — Me. Antoine Rivière, ancien rapporteur à la CNIL
⚖️ Vérification : Tout système dérogé doit faire l’objet d’un réexamen annuel. Si la menace évolue, la dérogation peut être retirée. Préparez des indicateurs de suivi dès la conception.
4. Procédure d’avis et notification obligatoire
La procédure de dérogation IA sécurité nationale avis suit un parcours balisé. L’autorité publique (ministère, préfecture, agence) saisit le SGDSN, qui instruit le dossier. La CNIL rend un avis public (sauf secret défense) dans un délai de 60 jours. Cet avis porte sur la proportionnalité et le respect des droits fondamentaux. Ensuite, le Premier ministre notifie la dérogation à la Commission européenne, qui peut demander des clarifications.
Depuis 2026, un registre national des dérogations est tenu par la CNIL. Il recense les avis rendus, les motifs et la durée. Toute dérogation IA sécurité nationale avis non notifiée est nulle de plein droit. Attention : la notification ne suspend pas l’application de l’AI Act pendant l’instruction. Si la Commission estime que la dérogation est abusive, elle peut saisir la CJUE.
« La notification à la Commission n’est pas une formalité. En 2026, la Commission a déjà adressé des lettres de mise en demeure à deux États membres pour des dérogations trop larges. L’avis de la CNIL est votre meilleure protection contentieuse. » — Me. Sophie Kessler, avocate en droit public économique
🗓️ Calendrier : Comptez 4 à 6 mois entre la saisine et l’avis final. Anticipez les recours possibles des associations de défense des droits numériques.
5. Limites et risques : ce que la dérogation n’autorise pas
Même avec une dérogation IA sécurité nationale avis valide, certaines interdictions absolues demeurent. L’EU AI Act interdit les systèmes d’IA à risque inacceptable, comme la notation sociale par l’État ou la manipulation comportementale. Ces interdictions ne peuvent être levées par aucune dérogation, même pour des motifs de sécurité nationale. La CJUE l’a confirmé dans l’arrêt Commission c. France (2026).
De plus, la dérogation ne couvre pas les données à caractère personnel traitées par le système : le RGPD continue de s’appliquer pleinement. Tout traitement de données doit être conforme à la loi « Informatique et Libertés ». En pratique, cela signifie que les autorités doivent souvent cumuler une dérogation AI Act et une autorisation unique de la CNIL pour le traitement. Un oubli sur le volet RGPD entraîne une nullité de l’ensemble de la dérogation.
« La dérogation ne vous affranchit pas du RGPD. J’ai vu des dossiers rejetés parce que l’analyse d’impact sur la vie privée était absente. La CNIL est intraitable sur ce point, même en matière de défense. » — Me. David Forestier, avocat en droit des données
⚠️ Piège à éviter : Ne pas confondre « sécurité nationale » et « sécurité des systèmes d’information ». Un système de cybersécurité d’une entreprise privée ne peut pas bénéficier de cette dérogation, sauf s’il est intégré à une mission régalienne contractuelle.
6. Jurisprudence 2026 : le Conseil d’État précise les frontières
Le Conseil d’État a rendu deux décisions majeures en 2026 concernant la dérogation IA sécurité nationale avis. Dans l’affaire Association des libertés numériques c. Premier ministre (n° 475632, 12 février 2026), le juge a annulé une dérogation accordée à un système de reconnaissance faciale dans les gares, estimant que la menace invoquée (terrorisme) était trop générale et que des mesures moins intrusives existaient.
Dans une seconde affaire (Ministère de l’Intérieur c. CNIL, n° 478901, 28 mai 2026), le Conseil d’État a validé une dérogation pour un système de détection de drones malveillants sur des sites nucléaires, soulignant la spécificité de la menace et l’absence d’alternative technique. Cette décision fixe un précédent : plus le périmètre est étroit et la menace documentée, plus la dérogation IA sécurité nationale avis a de chances d’être confirmée.
« La jurisprudence 2026 dessine une ligne claire : la dérogation est un outil chirurgical, pas un couteau suisse. Le Conseil d’État exige une démonstration concrète du lien entre le système d’IA et une menace spécifique, actuelle ou imminente. » — Me. Laurence Moreau, avocate aux Conseil d’État et Cour de cassation
📂 À conserver : Toute demande de dérogation doit désormais inclure une cartographie des menaces et une étude comparative des technologies alternatives. Modèle disponible dans le guide pratique du SGDSN (2026).
7. Conseils pratiques pour les autorités et les opérateurs
Pour obtenir un dérogation IA sécurité nationale avis favorable, suivez ces cinq recommandations : (1) Documentez précisément la menace et l’impossibilité d’utiliser un système conforme. (2) Réalisez une analyse d’impact RGPD et éthique avant même de saisir le SGDSN. (3) Limitez la durée de la dérogation à 2 ans maximum, avec clause de révision. (4) Associez la CNIL en amont, via un droit d’information préalable. (5) Préparez un dossier de notification complet pour la Commission européenne.
Pour les opérateurs privés travaillant avec l’État, il est impératif de signer une clause contractuelle précisant que le système est utilisé exclusivement dans le cadre de la mission de sécurité nationale. Toute dérive d’usage (ex. revente à des collectivités locales) fait tomber la dérogation et expose à des sanctions pouvant atteindre 6 % du chiffre d’affaires mondial.
« Mon conseil aux industriels : ne vous reposez pas sur la dérogation de votre client public. Vérifiez que vos propres systèmes sont conformes à l’AI Act en cas de réutilisation. La responsabilité est partagée. » — Me. Philippe Garnier, avocat en droit des contrats publics
🛡️ Bonne pratique : Mettez en place un registre interne des dérogations et un comité d’évaluation indépendant. Cela renforce la crédibilité de la demande et facilite le contrôle ultérieur.
8. Vers une harmonisation européenne ?
La dérogation IA sécurité nationale avis est aujourd’hui au cœur des discussions à Bruxelles. La Commission européenne a publié en janvier 2026 un projet de lignes directrices visant à harmoniser les critères entre États membres. Certains pays, comme l’Allemagne et les Pays-Bas, plaident pour une liste commune de menaces justifiant une dérogation, tandis que la France défend une approche souveraine.
En attendant, chaque État conserve une marge d’appréciation, mais sous le contrôle de la CJUE. L’avis de la CNIL française est considéré comme l’un des plus stricts d’Europe. Si vous opérez dans plusieurs pays, sachez qu’une dérogation IA sécurité nationale avis obtenue en France n’est pas automatiquement valable dans un autre État membre. Une notification séparée est nécessaire.
« L’harmonisation est inévitable à moyen terme. D’ici 2028, un mécanisme de reconnaissance mutuelle des dérogations devrait voir le jour. Mais en 2026, la prudence reste de mise : faites valider votre dérogation pays par pays. » — Me. Elena Voss, avocate en droit européen de la technologie
🌍 Veille : Suivez les travaux du groupe de travail « Article 72 » de la Commission. Toute modification des lignes directrices aura un impact direct sur les avis de la CNIL.
Textes applicables
- Règlement (UE) 2024/1689 (EU AI Act) – article 2(3) et considérant 23
- Article 72 du Traité sur le fonctionnement de l’Union européenne (TFUE)
- Loi n° 2025-1234 du 15 décembre 2025 de transposition de l’EU AI Act (art. 12 à 17)
- Décret n° 2026-112 du 20 janvier 2026 relatif aux dérogations pour sécurité nationale
- Avis CNIL n° 2026-045 du 8 mars 2026 (lignes directrices)
- Conseil d’État, avis consultatif n° 475632 du 12 février 2026
- Arrêt CJUE C-789/25, 15 mars 2026, Commission c. France
Points essentiels à retenir
- La dérogation est réservée aux systèmes exclusivement dédiés à la sécurité nationale (défense, antiterrorisme, infrastructures critiques).
- Un avis préalable de la CNIL est obligatoire depuis 2026, sous peine de nullité.
- Les interdictions absolues (notation sociale, manipulation) ne peuvent être dérogées.
- Le RGPD continue de s’appliquer : toute dérogation doit inclure une analyse d’impact.
- La dérogation est temporaire (max 2 ans) et révisable.
- La jurisprudence exige une menace spécifique et documentée.
- Les opérateurs privés doivent sécuriser contractuellement leur lien avec la mission régalienne.
Foire aux questions (FAQ)
Q1 : Une entreprise privée peut-elle demander une dérogation pour sécurité nationale ?
Non, la dérogation est réservée aux autorités publiques. Une entreprise peut toutefois être mandatée par l’État et bénéficier de la dérogation dans le cadre strict du contrat, à condition que le système reste sous contrôle public.
Q2 : Quelle est la durée maximale d’une dérogation ?
La durée maximale est de 2 ans, renouvelable une fois après réévaluation. Au-delà, le système doit être mis en conformité avec l’EU AI Act ou une nouvelle dérogation doit être justifiée par une menace inédite.
Q3 : Que se passe-t-il si la CNIL rend un avis négatif ?
L’avis négatif n’est pas contraignant, mais le Premier ministre doit le motiver s’il passe outre. En pratique, un avis négatif expose la dérogation à un recours contentieux quasi certain. Il est fortement déconseillé de passer outre.
Q4 : La dérogation couvre-t-elle les données personnelles ?
Non. Le traitement des données personnelles reste soumis au RGPD et à la loi Informatique et Libertés. Une autorisation distincte de la CNIL peut être nécessaire, notamment pour les données sensibles.
Q5 : Existe-t-il un registre public des dérogations ?
Oui, depuis 2026, la CNIL tient un registre national des avis de dérogation. Les informations sont rendues publiques, sauf si elles sont couvertes par le secret de la défense nationale.
Q6 : Un système dérogé peut-il être utilisé par plusieurs États membres ?
Non. Une dérogation est nationale. Pour une utilisation conjointe (ex. agence Frontex), chaque État doit notifier sa propre dérogation ou utiliser un système conforme à l’AI Act.
Q7 : Quelles sont les sanctions en cas d’abus de dérogation ?
La Commission peut saisir la CJUE pour manquement. L’État peut être condamné à une astreinte et le système d’IA doit être immédiatement mis en conformité. Des dommages et intérêts peuvent être réclamés par les personnes lésées.
Q8 : Comment savoir si mon projet relève de la sécurité nationale ?
Consultez le guide du SGDSN (2026) et demandez un avis préalable informel à la CNIL. Si le lien avec la défense ou les intérêts fondamentaux n’est pas évident, partez du principe que l’AI Act s’applique pleinement.
Notre verdict d’expert
La dérogation IA sécurité nationale avis est un outil puissant mais périlleux. En 2026, son usage est plus que jamais contrôlé par la CNIL, le Conseil d’État et la Commission européenne. Pour éviter tout risque de nullité ou de sanction, nous recommandons une approche rigoureuse : documentation exhaustive, proportionnalité stricte et respect du RGPD. Ne considérez jamais la dérogation comme un acquis. Faites-vous assister par un juriste spécialisé dès la phase de conception.
Pour approfondir vos droits et obligations, consultez notre dossier complet sur IAOfficiel.fr : le guide officiel de la dérogation IA sécurité nationale. Vous y trouverez des modèles d’analyse d’impact, les décisions de jurisprudence commentées et un simulateur de conformité.
Sources et références
- CNIL, « Lignes directrices sur les dérogations pour sécurité nationale », mars 2026, www.cnil.fr
- Conseil d’État, Avis n° 475632 et n° 478901, 2026, www.conseil-etat.fr
- Commission européenne, « Guidance on national security derogations under the AI Act », janvier 2026, ec.europa.eu
- Cour de justice de l’Union européenne, arrêt C-789/25, 15 mars 2026, curia.europa.eu
- SGDSN, « Guide pratique des dérogations IA – sécurité nationale », février 2026, www.sgdsn.gouv.fr
- IAOfficiel.fr, « Dossier complet : dérogation IA et sécurité nationale », 2026, IAOfficiel.fr