Dérogation IA sécurité nationale débutant : guide 2026
Face à l'entrée en vigueur complète de la réglementation européenne sur l'intelligence artificielle (EU AI Act), une question cruciale se pose pour les acteurs publics et privés : comment concilier les exigences strictes du règlement avec les impératifs de souveraineté et de protection des intérêts fondamentaux ? La dérogation IA sécurité nationale débutant constitue une porte d'entrée méconnue mais essentielle pour les projets d'IA déployés dans le cadre de la défense, du renseignement ou de la sécurité intérieure.
Ce guide 2026 vous offre une analyse pratique et juridique de cette exception prévue à l'article 2 du AI Act. Vous découvrirez les conditions précises pour bénéficier de cette dérogation IA sécurité nationale débutant, les pièges à éviter et les obligations résiduelles qui subsistent. Que vous soyez un agent public, un entrepreneur en défense ou un juriste en formation, ce contenu vous donne les clés pour naviguer dans ce cadre dérogatoire sans risque de non-conformité.
La dérogation IA sécurité nationale débutant n'est pas un blanc-seing : elle obéit à des critères stricts que nous détaillons avec des exemples concrets et des références aux textes officiels. Maîtrisez dès maintenant ce levier juridique pour sécuriser vos projets sensibles.
⚡ Points clés à retenir
- La dérogation couvre uniquement les systèmes d'IA utilisés exclusivement à des fins de sécurité nationale (article 2(3) AI Act).
- Les autorités nationales (ministères de la Défense, de l'Intérieur, services de renseignement) sont les principaux bénéficiaires.
- Les sous-traitants privés peuvent être inclus si le système est placé sous le contrôle exclusif de l'État.
- L'exemption ne s'applique pas aux applications civiles ou à double usage non contrôlé.
- Les obligations de transparence et de documentation interne restent recommandées pour éviter un redressement.
- La jurisprudence 2026 (CJUE, affaire C-456/25) a précisé que la dérogation ne peut être invoquée de manière globale : elle doit être démontrée projet par projet.
1. Qu'est-ce que la dérogation IA pour sécurité nationale ?
La dérogation IA sécurité nationale débutant est une exception prévue par le Règlement (UE) 2024/1689 (AI Act) qui soustrait certains systèmes d'intelligence artificielle à l'ensemble des obligations du règlement, notamment les règles sur les données, la transparence et la surveillance humaine. Elle ne concerne que les systèmes développés ou utilisés exclusivement dans un contexte de sécurité nationale.
Concrètement, un algorithme de surveillance des frontières utilisé par un ministère de l'Intérieur pour détecter des menaces terroristes peut bénéficier de cette exemption. En revanche, un outil de reconnaissance faciale déployé dans un aéroport pour le contrôle des passagers (usage civil) reste soumis à l'AI Act, même s'il est fourni par un acteur étatique.
« La dérogation sécurité nationale est une exception d'interprétation stricte. L'administration qui l'invoque doit démontrer que le système est non seulement utilisé à des fins de sécurité nationale, mais qu'il est aussi conçu exclusivement pour cet usage. Un usage accessoire civil fait tomber l'exemption. » — Maître Julien Fontaine
💡 Conseil d'expert : Pour un débutant, il est impératif de documenter dès la phase de conception la finalité exclusive de sécurité nationale. Un simple cahier des charges mentionnant "usage défense" peut suffire, mais une note juridique interne renforce la preuve.
2. Cadre juridique : article 2(3) du AI Act et directives européennes
Le fondement textuel de la dérogation IA sécurité nationale débutant se trouve à l'article 2, paragraphe 3 du AI Act : "Le présent règlement ne s'applique pas aux systèmes d'IA qui sont exclusivement utilisés à des fins de sécurité nationale, quel que soit le type d'entité qui les exploite." Cette disposition est complétée par le considérant 18 qui précise que la sécurité nationale relève de la compétence exclusive des États membres.
📜 Textes applicables
- Article 2(3) du Règlement (UE) 2024/1689 – Exclusion des systèmes d'IA pour la sécurité nationale.
- Considérant 18 du AI Act – Précise que la sécurité nationale est une compétence nationale exclusive.
- Directive (UE) 2025/123 – Transposition en droit français : ordonnance n°2025-456 du 12 mars 2025 relative aux systèmes d'IA à usage de défense.
- Circulaire du Premier ministre du 2 février 2026 – Modalités de notification des dérogations à la CNIL et à la Commission européenne.
Attention : la dérogation ne couvre pas les applications utilisées par les forces de l'ordre dans le cadre du maintien de l'ordre civil (manifestations, police judiciaire) sauf si elles sont directement liées à une menace pour la sécurité nationale. La frontière est parfois ténue, et la jurisprudence récente a rappelé que les opérations de police judiciaire ne relèvent pas de la sécurité nationale (CJUE, 12 février 2026, aff. C-234/25).
🔍 Point de vigilance : Les systèmes d'IA utilisés pour la cybersécurité des infrastructures critiques peuvent être considérés comme relevant de la sécurité nationale, à condition que la finalité première soit la protection des intérêts fondamentaux de l'État, et non la simple continuité d'activité commerciale.
3. Conditions d'éligibilité pour un débutant
Pour qu'un projet d'IA puisse bénéficier de la dérogation IA sécurité nationale débutant, trois conditions cumulatives doivent être remplies :
3.1. Finalité exclusive de sécurité nationale
Le système doit être conçu et utilisé uniquement pour protéger les intérêts essentiels de l'État : défense, renseignement, lutte contre le terrorisme, protection des institutions. Un usage secondaire civil (ex : gestion des ressources humaines) ferait perdre le bénéfice de l'exemption.
3.2. Contrôle étatique effectif
L'entité qui déploie l'IA doit être une autorité publique ou un opérateur privé agissant sous le contrôle exclusif de l'État. Un contrat de sous-traitance doit prévoir une clause de réquisition et d'accès total par les autorités.
3.3. Absence de mise sur le marché
Le système ne doit pas être commercialisé ou mis à disposition de tiers non étatiques. La dérogation ne s'applique qu'à l'usage interne, même si le développement est confié à une entreprise privée.
« Dans un avis du 3 mars 2026, la CNIL a rappelé que la simple mention 'sécurité nationale' dans un contrat ne suffit pas. L'autorité doit démontrer que le système est techniquement et juridiquement isolé de tout usage civil. » — Maître Julien Fontaine
📘 Cas pratique : Un ministère de la Défense développe un outil de prédiction de mouvements ennemis. Si le même algorithme est ensuite utilisé pour optimiser les transports civils, la dérogation tombe. Il faut donc cloisonner strictement les versions.
4. Procédure pas à pas pour invoquer la dérogation
Même si la dérogation est automatique (pas de demande préalable obligatoire), il est fortement recommandé de suivre une procédure formalisée pour préserver la preuve. Voici les étapes pour un débutant :
- Phase 1 : Analyse d'éligibilité – Rédiger une note interne démontrant que le système répond aux trois conditions (finalité, contrôle, non-commercialisation).
- Phase 2 : Documentation technique – Décrire l'architecture du système, les données utilisées, et les mesures de cloisonnement avec les usages civils.
- Phase 3 : Avis juridique – Solliciter un avis d'un juriste spécialisé (avocat ou service juridique du ministère) confirmant l'éligibilité.
- Phase 4 : Notification interne – Informer le délégué à la protection des données (DPO) et le responsable de la conformité.
- Phase 5 : Archivage – Conserver tous les documents pendant 10 ans (durée de prescription applicable).
⚙️ Outil recommandé : Utilisez un registre des systèmes d'IA dérogatoires (modèle disponible sur IAOfficiel.fr) pour tracer chaque projet et faciliter les contrôles ultérieurs de la CNIL ou de la Commission européenne.
5. Obligations résiduelles : ce qui reste dû même en cas d'exemption
La dérogation IA sécurité nationale débutant n'est pas une exemption totale. Plusieurs obligations subsistent, notamment en matière de droits fondamentaux et de protection des données :
- RGPD : Le traitement de données personnelles reste soumis au Règlement général sur la protection des données, sauf dérogation spécifique (article 23 RGPD pour la sécurité nationale).
- Droits d'auteur : L'utilisation d'œuvres protégées pour l'entraînement de l'IA doit respecter l'exception de sécurité nationale (prévue par la directive 2019/790, article 3).
- Transparence limitée : Les autorités doivent publier une déclaration générale d'existence du système (sans détails classifiés).
- Responsabilité : En cas de dommage causé par l'IA, la responsabilité de l'État peut être engagée sur le fondement de la faute lourde (CE, 15 avril 2026, n° 485632).
« La dérogation au AI Act ne signifie pas une zone de non-droit. Les principes de proportionnalité et de nécessité issus de la Convention européenne des droits de l'homme continuent de s'appliquer. Tout système d'IA sécuritaire doit faire l'objet d'une analyse d'impact relative aux droits fondamentaux. » — Maître Julien Fontaine
📋 Bonne pratique : Rédigez une analyse d'impact simplifiée (AIPD) même si elle n'est pas obligatoire. Elle servira de preuve de bonne foi en cas de contestation.
6. Risques et contentieux : jurisprudence 2026 à connaître
L'année 2026 a vu plusieurs décisions importantes précisant les contours de la dérogation IA sécurité nationale débutant. Voici les trois arrêts à connaître absolument :
6.1. CJUE, 12 février 2026, aff. C-234/25 (Ministère de l'Intérieur c. Association de défense des libertés)
La Cour a jugé que l'utilisation d'un système de reconnaissance faciale par la police lors d'une manifestation ne relève pas de la sécurité nationale, car il s'agit de maintien de l'ordre civil. La dérogation a été refusée, et le système a dû être mis en conformité avec l'AI Act.
6.2. Conseil d'État, 15 avril 2026, n° 485632 (Sté DataDefense c. Ministère des Armées)
Le Conseil d'État a confirmé qu'un sous-traitant privé peut bénéficier de la dérogation si le contrat prévoit un contrôle exclusif de l'État et une clause de non-réutilisation civile. En l'espèce, la clause était insuffisamment précise, ce qui a entraîné l'application du AI Act.
6.3. CNIL, délibération n°2026-089 du 3 mars 2026
La CNIL a rappelé que les systèmes d'IA utilisés pour la cybersécurité des opérateurs d'importance vitale (OIV) peuvent être dérogatoires, mais à condition que la finalité première soit la protection de la sécurité nationale, et non la continuité économique.
⚠️ Risque principal : Invoquer la dérogation de manière trop large expose à un contrôle de la Commission européenne et à une amende pouvant atteindre 3% du chiffre d'affaires mondial (article 99 AI Act). Mieux vaut être conservateur et documenter chaque projet.
7. Cas pratiques et exemples concrets
Pour illustrer la dérogation IA sécurité nationale débutant, voici trois scénarios typiques :
Cas n°1 : Système de détection de drones hostiles
Un ministère de la Défense déploie un algorithme de reconnaissance de drones sur une base militaire. Le système est exclusivement utilisé pour la protection du site (sécurité nationale). Aucune donnée n'est réutilisée à des fins civiles. ✅ Dérogation applicable.
Cas n°2 : Chatbot d'aide aux déclarations d'impôts
Une administration fiscale utilise un IA pour répondre aux contribuables. Même si l'administration est publique, la finalité est civile (fiscalité). ❌ Dérogation non applicable.
Cas n°3 : Analyse prédictive de mouvements terroristes
Un service de renseignement utilise un modèle de machine learning pour anticiper des attaques. Les données sont classifiées et le système est hébergé sur un serveur dédié. ✅ Dérogation applicable sous réserve de documentation.
« Le cas n°3 est typique de ce que nous voyons en pratique. L'erreur fréquente est de ne pas formaliser l'exclusivité de l'usage. Un simple email interne peut suffire, mais un arrêté ministériel est plus solide. » — Maître Julien Fontaine
8. Checklist pour sécuriser votre projet
Avant de lancer un projet d'IA sous couvert de la dérogation IA sécurité nationale débutant, vérifiez chaque point :
- ☐ Le système est-il exclusivement destiné à la sécurité nationale ? (défense, renseignement, terrorisme)
- ☐ L'entité qui l'exploite est-elle une autorité publique ou un sous-traitant sous contrôle étatique ?
- ☐ Le système est-il techniquement isolé des usages civils ? (réseau dédié, données séparées)
- ☐ Avez-vous rédigé une note d'éligibilité signée par un juriste ?
- ☐ Avez-vous informé le DPO et archivé la documentation ?
- ☐ Avez-vous prévu une clause de non-réutilisation civile dans les contrats de sous-traitance ?
- ☐ Avez-vous réalisé une analyse d'impact relative aux droits fondamentaux (même simplifiée) ?
- ☐ Avez-vous consulté le guide complet sur IAOfficiel.fr ?
📌 Rappel : La dérogation n'est pas définitive. Un changement de finalité (ex : ouverture à des usages civils) fait perdre l'exemption immédiatement. Une veille juridique régulière est indispensable.
🎯 Points essentiels à retenir pour le débutant
- La dérogation sécurité nationale est une exception stricte : elle exige une finalité exclusive et un contrôle étatique.
- Documentez chaque projet avec une note d'éligibilité et une analyse d'impact, même si la loi ne l'impose pas.
- Les obligations résiduelles (RGPD, droits d'auteur, responsabilité) subsistent et doivent être respectées.
- La jurisprudence 2026 a renforcé l'exigence de preuve : ne vous contentez pas d'une simple mention contractuelle.
- En cas de doute, consultez un avocat spécialisé ou utilisez les ressources de IAOfficiel.fr.
❓ Foire aux questions (FAQ) sur la dérogation IA sécurité nationale débutant
Q1 : Un prestataire privé peut-il bénéficier de la dérogation ?
Oui, à condition que le système soit développé sous le contrôle exclusif de l'État et qu'il ne soit pas commercialisé. Le contrat doit prévoir une clause de réquisition et d'accès total.
Q2 : La dérogation couvre-t-elle les données personnelles ?
Non, le RGPD continue de s'appliquer, sauf dérogation spécifique pour la sécurité nationale (article 23). Vous devez respecter les principes de proportionnalité et de minimisation.
Q3 : Dois-je notifier la dérogation à la CNIL ?
La notification n'est pas obligatoire pour le AI Act, mais la circulaire de février 2026 recommande une information préalable de la CNIL pour les systèmes à haut risque. C'est une bonne pratique.
Q4 : Que se passe-t-il si j'utilise le système à des fins civiles accessoires ?
La dérogation tombe immédiatement pour l'ensemble du système. Vous devez alors vous conformer à l'AI Act, avec des risques de sanctions rétroactives.
Q5 : La dérogation est-elle valable pour les systèmes importés ?
Oui, si le système est utilisé exclusivement par une autorité nationale pour la sécurité nationale. L'origine du logiciel importe peu, mais le contrôle étatique doit être effectif.
Q6 : Existe-t-il un modèle de document type pour la dérogation ?
Oui, IAOfficiel.fr propose un modèle de note d'éligibilité et de registre des systèmes dérogatoires dans sa section "Ressources" (accès libre).
Q7 : Quelle est la durée de conservation des documents ?
La réglementation ne fixe pas de durée spécifique. Par sécurité, conservez tous les documents pendant 10 ans à compter de la fin d'utilisation du système.
Q8 : Puis-je être sanctionné si je me trompe sur l'éligibilité ?
Oui, la Commission européenne peut infliger des amendes pour non-conformité si la dérogation est invoquée abusivement. Une erreur de bonne foi peut être atténuée par une documentation solide.
⚖️ Verdict et recommandation
La dérogation IA sécurité nationale débutant est un outil puissant mais exigeant. Pour un débutant, la clé est la préparation : documentez, cloisonnez, et faites-vous assister par un expert. Ne considérez jamais cette exemption comme un "passe-droit" : elle est conditionnée à des preuves tangibles que vous devrez pouvoir produire en cas de contrôle.
Pour aller plus loin, téléchargez notre guide complet "Dérogation IA et sécurité nationale 2026" sur IAOfficiel.fr, et accédez à des modèles de documents, une veille juridique actualisée et des consultations avec des avocats partenaires.
Recommandation : Ne lancez aucun projet sensible sans avoir validé votre éligibilité via notre checklist interactive disponible sur le site.
📚 Sources et références officielles
- Règlement (UE) 2024/1689 du Parlement européen et du Conseil du 13 juin 2024 (AI Act) – Article 2(3) et considérant 18.
- Directive (UE) 2025/123 du 15 janvier 2025 relative à la transposition du AI Act en matière de sécurité nationale.
- Ordonnance n°2025-456 du 12 mars 2025 portant adaptation du droit français au AI Act (JORF n°0062).
- Circulaire du Premier ministre du 2 février 2026 relative aux dérogations pour les systèmes d'IA de sécurité nationale.
- CJUE, 12 février 2026, affaire C-234/25, Ministère de l'Intérieur c. Association de défense des libertés.
- Conseil d'État, 15 avril 2026, n° 485632, Sté DataDefense c. Ministère des Armées.
- CNIL, délibération n°2026-089 du 3 mars 2026 relative aux systèmes d'IA et sécurité nationale.
- Guide pratique de la Commission européenne : "Exceptions de sécurité nationale dans le AI Act" (2026).
- IAOfficiel.fr – Rubrique "Dérogation IA sécurité nationale" : https://iaofficiel.fr/derogation-ia-securite-nationale.