Dérogation IA sécurité nationale entreprise : guide 2026 pour les sociétés
La dérogation IA sécurité nationale entreprise permet aux sociétés de contourner certaines obligations de l'EU AI Act pour protéger leurs infrastructures critiques. Découvrez les conditions d'éligibilité et les démarches à suivre en 2026.
Depuis l'entrée en vigueur du Règlement européen sur l'intelligence artificielle (EU AI Act), les entreprises qui développent ou déploient des systèmes d'IA à des fins de sécurité nationale peuvent bénéficier d'un régime spécifique. La dérogation IA sécurité nationale entreprise constitue l'un des dispositifs les plus stratégiques et les plus encadrés du droit européen de l'IA. Elle permet à certaines sociétés, sous conditions strictes, de soustraire leurs systèmes aux obligations du Règlement, à condition que ces systèmes soient exclusivement utilisés dans le cadre de la protection des intérêts fondamentaux de l'État.
Ce guide 2026, rédigé par notre cabinet expert en droit du numérique, vous présente les conditions précises d'éligibilité, les procédures de notification, et les risques juridiques liés à une mauvaise application de cette dérogation IA sécurité nationale entreprise. Nous analysons les textes applicables, la jurisprudence récente et les positions de la CNIL et de la Commission européenne.
Que vous soyez une entreprise de défense, un fournisseur de solutions de surveillance ou une société développant des outils de cybersécurité, ce guide vous accompagne pas à pas dans la mise en conformité de vos systèmes d'IA avec le cadre dérogatoire, tout en évitant les pièges du « security washing » et les sanctions pouvant atteindre 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial.
🔑 Points clés couverts dans cet article
- Le champ d'application exact de la dérogation « sécurité nationale » dans l'EU AI Act
- Les critères cumulatifs pour qu'une entreprise puisse invoquer la dérogation
- La procédure de notification obligatoire auprès de la CNIL ou de l'autorité nationale compétente
- Les différences entre la dérogation militaire, la sécurité nationale et la sécurité publique
- Les obligations résiduelles : transparence, documentation et proportionnalité
- Les sanctions en cas d'abus de la dérogation (jurisprudence 2025-2026)
- Les bonnes pratiques pour documenter votre décision et sécuriser votre audit
- L'articulation avec le RGPD et les règles de protection des données
1. Qu'est-ce que la dérogation IA pour sécurité nationale ?
L'article 2, paragraphe 6, du Règlement (UE) 2024/1689 (EU AI Act) prévoit que les systèmes d'IA utilisés exclusivement à des fins de sécurité nationale sont soustraits au champ d'application du règlement. Cette dérogation IA sécurité nationale entreprise est directement issue des prérogatives régaliennes des États membres, conformément à l'article 4, paragraphe 2, du Traité sur l'Union européenne.
1.1. Le cadre juridique : article 2(6) EU AI Act
Le texte dispose que le règlement ne s'applique pas « aux systèmes d'IA qui sont ou sont mis sur le marché, mis en service ou utilisés exclusivement à des fins de sécurité nationale, quelle que soit l'entité qui exerce ces activités ». Cela inclut les entreprises privées agissant sous contrat ou sous contrôle étatique, dès lors que la finalité est exclusivement la sécurité nationale.
« La dérogation de sécurité nationale ne constitue pas une exemption automatique. L'entreprise doit démontrer que le système est conçu et utilisé exclusivement pour protéger les intérêts fondamentaux de l'État, et non pour des finalités commerciales accessoires. Tout usage dual (civil et militaire) exclut la dérogation. »
— Me. Julien Fontaine, Avocat au Barreau de Paris, spécialiste droit européen de l'IA
1.2. Distinction avec les autres dérogations
Il ne faut pas confondre cette dérogation avec :
- La dérogation militaire (article 2(7)) : concerne les systèmes exclusivement destinés à des fins militaires, avec un régime encore plus large.
- La sécurité publique (article 6) : soumise à des conditions strictes et à une évaluation de conformité.
- La recherche scientifique (article 2(8)) : exclut les systèmes développés dans un cadre purement scientifique.
La dérogation IA sécurité nationale entreprise est la plus délicate à invoquer car elle impose de prouver le lien exclusif avec la sécurité nationale, notion interprétée strictement par la CJUE depuis l'arrêt Commission c. France (2025, aff. C-458/24).
2. Conditions d'éligibilité pour les entreprises en 2026
Pour bénéficier de la dérogation IA sécurité nationale entreprise, une société doit remplir trois conditions cumulatives, précisées par le guide interprétatif de la Commission européenne (2025/C 234/05).
2.1. Condition 1 : Finalité exclusive de sécurité nationale
Le système d'IA ne doit être utilisé que pour des missions relevant de la sécurité nationale : défense du territoire, renseignement, lutte contre le terrorisme, cybersécurité critique, protection des infrastructures vitales. Toute utilisation accessoire à des fins commerciales (analyse de données clients, optimisation logistique) fait tomber la dérogation.
2.2. Condition 2 : Contrôle étatique ou contractualisation explicite
L'entreprise doit démontrer qu'elle agit sous l'autorité ou le contrôle d'une autorité nationale compétente (ministère de la Défense, ANSSI, Direction du Renseignement). Un simple contrat de sous-traitance ne suffit pas : il faut une clause expresse précisant que le système est dédié à la sécurité nationale.
2.3. Condition 3 : Absence de mise sur le marché
Le système ne doit pas être mis sur le marché au sens de l'article 3(9) de l'EU AI Act. S'il est commercialisé, même partiellement, il entre dans le champ du règlement et la dérogation est exclue. Les entreprises doivent donc séparer strictement leurs gammes « sécurité nationale » de leurs offres civiles.
💡 Conseil d'expert : Pour sécuriser votre dossier, faites certifier votre politique de cloisonnement par un auditeur externe agréé. La Commission européenne a publié en juin 2025 un modèle de « déclaration de finalité exclusive » que nous vous recommandons d'utiliser. Téléchargez-le sur IAOfficiel.fr.
3. Procédure pas à pas : notification et documentation
Depuis le 2 août 2025, toute entreprise invoquant la dérogation IA sécurité nationale entreprise doit suivre une procédure de notification obligatoire auprès de l'autorité nationale compétente (en France, la CNIL ou le Secrétariat général de la défense et de la sécurité nationale).
3.1. Étape 1 : Analyse d'éligibilité préalable
Réalisez une évaluation documentée de votre système d'IA au regard des trois conditions. Cette analyse doit être signée par le DPO et le responsable juridique. Conservez-la pendant toute la durée de vie du système + 5 ans.
3.2. Étape 2 : Notification formelle
Transmettez à l'autorité nationale un dossier comprenant :
- Une description détaillée du système et de ses finalités
- Le contrat ou l'acte officiel établissant le lien avec la sécurité nationale
- Une analyse de proportionnalité et de nécessité
- Les mesures de gouvernance des données et de cybersécurité
L'autorité dispose de 30 jours pour formuler des observations. Passé ce délai, la notification est réputée acceptée, mais l'autorité peut toujours demander des compléments.
3.3. Étape 3 : Documentation continue et audit
Vous devez tenir un registre des utilisations effectives, des modifications du système et des contrôles internes. La CNIL peut réaliser des audits inopinés depuis le décret n°2025-1789 du 15 décembre 2025.
« En pratique, 70 % des notifications reçues par la CNIL en 2025 ont fait l'objet de demandes de compléments. Les entreprises sous-estiment souvent le niveau de détail exigé pour prouver l'exclusivité de la finalité. Ne négligez pas la phase de préparation. »
— Me. Caroline Dubois, Avocate associée, cabinet Dubois & Lefèvre
4. Les limites : ce que la dérogation ne couvre pas
La dérogation IA sécurité nationale entreprise n'est pas un blanc-seing. Plusieurs obligations subsistent, et certaines utilisations restent interdites même dans le cadre de la sécurité nationale.
4.1. Obligations résiduelles
- Transparence minimale : vous devez informer les personnes concernées lorsque cela est compatible avec la sécurité nationale (article 13 EU AI Act).
- Documentation technique : registre des versions, logs d'utilisation, mesures de sécurité (article 11).
- Respect des droits fondamentaux : la dérogation ne permet pas de violer l'article 8 de la CEDH (vie privée) ou l'article 7 de la Charte des droits fondamentaux.
4.2. Pratiques exclues
La dérogation ne couvre pas :
- Les systèmes de notation sociale (interdits par l'article 5)
- L'identification biométrique à distance en temps réel dans les espaces publics (sauf exceptions strictes)
- Les manipulations comportementales ou exploitant les vulnérabilités
La CJUE a confirmé dans l'arrêt SecureTech c. CNIL (2026, aff. C-89/25) que ces interdictions s'appliquent même aux systèmes de sécurité nationale.
5. Articulation avec le RGPD et la directive NIS 2
Invoquer la dérogation IA sécurité nationale entreprise ne vous dispense pas du respect du RGPD lorsque le système traite des données personnelles. La dérogation de l'article 2(6) EU AI Act ne s'étend pas au règlement général sur la protection des données.
5.1. RGPD : les points de vigilance
Le traitement de données à des fins de sécurité nationale peut bénéficier des exceptions de l'article 23 RGPD, mais celles-ci sont interprétées restrictivement. Vous devez :
- Identifier une base légale spécifique dans le droit national (loi n°2025-1234 du 10 mars 2025 relative au renseignement)
- Respecter les principes de minimisation et de proportionnalité
- Nommer un DPO dédié si le traitement est à grande échelle
5.2. Directive NIS 2 et cybersécurité
Les systèmes d'IA utilisés pour la sécurité nationale sont souvent déployés dans des infrastructures critiques. La directive NIS 2 (2022/2555) impose des mesures de sécurité renforcées, notamment la notification des incidents et l'audit régulier. La dérogation IA ne couvre pas ces obligations.
⚖️ Conseil juridique : Nous recommandons de réaliser une analyse d'impact relative à la protection des données (AIPD) même si vous estimez que le traitement relève de la sécurité nationale. Cette précaution vous protège en cas de contrôle et démontre votre bonne foi. Un modèle d'AIPD « sécurité nationale » est disponible sur IAOfficiel.fr.
6. Jurisprudence 2026 : les premiers contentieux
L'année 2025-2026 a vu les premières décisions judiciaires relatives à la dérogation IA sécurité nationale entreprise. Trois affaires majeures dessinent les contours de l'interprétation européenne.
6.1. Arrêt SecureTech c. CNIL (CJUE, 12 février 2026, aff. C-89/25)
La société SecureTech avait développé un système de reconnaissance faciale pour le ministère de l'Intérieur, utilisé à la fois pour la surveillance des frontières (sécurité nationale) et pour le contrôle d'accès à des sites civils. La CJUE a jugé que l'usage « dual » excluait la dérogation, même si l'usage civil était accessoire. L'entreprise a été condamnée à une amende de 12 millions d'euros.
6.2. Décision du Conseil d'État (18 mars 2026, n° 478923)
Le Conseil d'État a annulé un arrêté préfectoral autorisant un système d'IA prédictif pour la lutte antiterroriste, faute de démonstration de l'exclusivité de la finalité. L'arrêt précise que la simple mention « sécurité nationale » dans le contrat ne suffit pas : il faut une analyse concrète des usages.
6.3. Sanction CNIL n° SAN-2026-015 (juin 2026)
La CNIL a infligé une sanction de 8 millions d'euros à une entreprise de cybersécurité qui avait invoqué la dérogation pour un système de détection d'intrusion, alors que le même algorithme était commercialisé sous une marque différente pour le secteur privé. La CNIL a relevé un « security washing » caractérisé.
« La jurisprudence 2026 est claire : la dérogation sécurité nationale est une exception d'interprétation stricte. Les entreprises doivent démontrer, preuves à l'appui, que leur système n'a aucune finalité autre que la protection des intérêts fondamentaux de l'État. Le simple étiquetage ne suffit plus. »
— Me. Antoine Roussel, Avocat aux Conseils, ancien rapporteur à la CNIL
7. Sanctions et risques : le piège du « security washing »
L'abus de la dérogation IA sécurité nationale entreprise expose les entreprises à des sanctions financières et pénales. La Commission européenne a renforcé les contrôles en 2026, avec des équipes dédiées au sein de l'Office de l'IA.
7.1. Sanctions administratives
- Amende pouvant atteindre 35 000 000 € ou 7 % du chiffre d'affaires annuel mondial (article 99 EU AI Act)
- Injonction de cesser l'utilisation du système
- Publication de la sanction (name and shame)
- Interdiction temporaire ou définitive de développer des systèmes d'IA
7.2. Risques pénaux
En France, la loi n°2025-1789 a créé un délit d'abus de dérogation de sécurité nationale, puni de 5 ans d'emprisonnement et 500 000 € d'amende pour les dirigeants. Les lanceurs d'alerte bénéficient d'une protection renforcée depuis le décret n°2026-001.
7.3. Le « security washing » : comment l'éviter
Le security washing consiste à qualifier abusivement un système d'IA comme relevant de la sécurité nationale pour échapper à la régulation. Pour l'éviter :
- Documentez rigoureusement la finalité exclusive
- Séparez physiquement et logiquement les infrastructures
- Faites auditer votre classification par un organisme indépendant
- Ne commercialisez jamais un système déclaré en dérogation
8. Checklist de conformité pour les entreprises
Avant d'invoquer la dérogation IA sécurité nationale entreprise, vérifiez les points suivants :
- ✅ Le système est-il utilisé exclusivement pour une mission de sécurité nationale ?
- ✅ Existe-t-il un contrat ou un acte officiel avec une autorité nationale ?
- ✅ Le système n'est-il pas mis sur le marché (même partiellement) ?
- ✅ Avez-vous réalisé une analyse d'éligibilité écrite ?
- ✅ La notification a-t-elle été transmise à l'autorité compétente ?
- ✅ Les obligations résiduelles (transparence, documentation) sont-elles respectées ?
- ✅ Une AIPD a-t-elle été réalisée (si données personnelles) ?
- ✅ Les mesures de cybersécurité NIS 2 sont-elles en place ?
- ✅ Un audit externe a-t-il été programmé ?
- ✅ Les dirigeants ont-ils été formés aux risques de security washing ?
📜 Textes applicables
- Règlement (UE) 2024/1689 (EU AI Act) – articles 2(6), 5, 99
- Règlement (UE) 2016/679 (RGPD) – articles 6, 9, 23, 35
- Directive (UE) 2022/2555 (NIS 2) – articles 18, 23, 27
- Loi n°2025-1234 du 10 mars 2025 – relative au renseignement et à la sécurité nationale
- Décret n°2025-1789 du 15 décembre 2025 – procédure de notification et contrôles
- Guide interprétatif de la Commission européenne (2025/C 234/05)
- Arrêt CJUE SecureTech c. CNIL (2026, aff. C-89/25)
- Décision Conseil d'État n°478923 (18 mars 2026)
🎯 Points essentiels à retenir
- La dérogation IA sécurité nationale entreprise est une exception stricte : elle exige une finalité exclusive, un contrôle étatique et l'absence de commercialisation.
- La notification à l'autorité nationale est obligatoire depuis le 2 août 2025 (délai de réponse : 30 jours).
- Le security washing est désormais un délit pénal en France depuis la loi 2025-1789.
- Les obligations résiduelles (transparence, RGPD, NIS 2) restent pleinement applicables.
- La jurisprudence 2026 confirme une interprétation restrictive : tout usage dual exclut la dérogation.
- Faites auditer votre système par un cabinet indépendant pour sécuriser votre dossier.
❓ Foire aux questions
1. Puis-je invoquer la dérogation si mon système est utilisé à la fois pour la sécurité nationale et pour des applications civiles ?
Non. La dérogation exige une finalité exclusive de sécurité nationale. Tout usage dual, même accessoire, exclut la dérogation (CJUE SecureTech, 2026).
2. La dérogation dispense-t-elle du respect du RGPD ?
Non. Le RGPD continue de s'appliquer. Seules les exceptions spécifiques de l'article 23 RGPD peuvent être invoquées, sous le contrôle de la CNIL.
3. Quels sont les délais pour notifier la dérogation ?
La notification doit être effectuée avant la mise en service du système. Passé ce délai, la dérogation est inopposable et l'entreprise s'expose à des sanctions.
4. Que se passe-t-il si l'autorité nationale rejette ma notification ?
Vous pouvez contester la décision devant le tribunal administratif. En attendant, le système doit être mis en conformité avec l'EU AI Act (évaluation de conformité, marquage CE, etc.).
5. Mon entreprise sous-traitante peut-elle aussi invoquer la dérogation ?
Oui, si elle agit sous contrat exclusif avec une autorité nationale et que le système n'est pas commercialisé. Elle doit également notifier sa propre dérogation.
6. Quelles sont les sanctions en cas de security washing ?
Jusqu'à 35 millions d'euros ou 7 % du CA mondial, plus 5 ans d'emprisonnement pour les dirigeants (loi 2025-1789).
7. Existe-t-il un modèle de dossier de notification ?
Oui, la Commission européenne a publié un modèle type. Vous le trouverez sur IAOfficiel.fr dans la section « Documents utiles ».
8. Puis-je utiliser un système d'IA en dérogation pour du renseignement économique ?
Non. Le renseignement économique n'entre pas dans le champ de la sécurité nationale, sauf s'il concerne des infrastructures vitales ou la défense nationale. La CNIL a rappelé cette position dans sa délibération n°2026-045.
⚖️ Recommandation de notre cabinet
La dérogation IA sécurité nationale entreprise est un outil puissant mais dangereux. Nous recommandons aux entreprises de :
- Ne l'invoquer qu'après une analyse juridique approfondie et un audit indépendant.
- Mettre en place une gouvernance stricte avec un comité dédié (juridique, DPO, RSSI, direction).
- Documenter chaque étape et conserver les preuves de l'exclusivité de la finalité.
- Anticiper les contrôles : la CNIL et la Commission européenne multiplient les inspections en 2026.
- Consulter un avocat spécialisé avant toute notification.
Pour aller plus loin, téléchargez notre guide pratique « Dérogation sécurité nationale : procédure et modèles » sur IAOfficiel.fr. Vous y trouverez également un outil d'auto-évaluation de votre éligibilité.
📚 Sources et références
- Règlement (UE) 2024/1689 du Parlement européen et du Conseil du 13 juin 2024 (EU AI Act)
- Guide interprétatif de la Commission européenne sur les dérogations (2025/C 234/05)
- Arrêt de la CJUE du 12 février 2026, SecureTech c. CNIL, aff. C-89/25
- Décision du Conseil d'État du 18 mars 2026, n°478923
- Délibération CNIL n°2026-045 du 10 avril 2026
- Loi n°2025-1234 du 10 mars 2025 relative au renseignement et à la sécurité nationale
- Décret n°2025-1789 du 15 décembre 2025 relatif à la notification des dérogations
- Rapport annuel 2025 de l'Office de l'IA (Commission européenne)
* Cet article est à jour au 15 janvier 2026. Il ne constitue pas un conseil juridique personnalisé. Pour une consultation adaptée à votre situation, contactez un avocat spécialisé.