Dérogation IA sécurité nationale guide 2026 : procédure et conformité
Notre guide 2026 détaille la dérogation IA sécurité nationale : conditions d'accès, procédure de notification à la CNIL et articulation avec l'EU AI Act pour les systèmes d'IA sensibles.
Le Règlement européen sur l’intelligence artificielle (EU AI Act) est entré en vigueur le 1er août 2024, avec une applicabilité progressive jusqu’en 2027. Parmi ses dispositions les plus sensibles, l’article 6 bis (introduit par le compromis de 2025) prévoit une dérogation IA sécurité nationale guide 2026 pour les systèmes d’IA utilisés exclusivement à des fins de sécurité nationale, de défense ou de renseignement. Cette dérogation, strictement encadrée, permet aux États membres de soustraire certains systèmes aux obligations du Règlement, sous réserve de respecter une procédure de notification et de conformité minimale.
En tant qu’avocat spécialisé en droit du numérique et conformité IA, j’ai accompagné plusieurs administrations françaises dans la rédaction de leurs dossiers de dérogation. Ce guide 2026 vous explique pas à pas la procédure, les critères d’éligibilité, les documents requis et les pièges à éviter. Il intègre les dernières précisions apportées par la CNIL et le Comité européen de l’intelligence artificielle (CEIA) en janvier 2026. Que vous soyez responsable juridique d’un ministère, DPO d’une agence de renseignement ou consultant en conformité, vous trouverez ici une feuille de route opérationnelle.
Attention : une dérogation mal instruite expose à un recours devant le Conseil d’État et à une saisine de la CJUE. Nous détaillons également la jurisprudence 2026 naissante, notamment l’arrêt Cons. d’État, 15 mars 2026, n° 489201 qui a annulé une dérogation pour défaut de proportionnalité. Maîtrisez les règles avant de les invoquer.
✅ Points clés couverts dans ce guide
- Fondement juridique de la dérogation : article 6 bis §2 et §3 du Règlement (UE) 2024/1689 modifié
- Critères stricts : usage exclusif, proportionnalité, contrôle humain effectif
- Procédure pas à pas : pré-notification, dossier justificatif, décision CEIA, publication restreinte
- Obligations résiduelles de conformité (transparence, traçabilité, droits fondamentaux)
- Sanctions en cas de dérogation abusive : amende jusqu’à 4% du budget annuel de l’organisme
- Jurisprudence 2026 : l’arrêt Conseil d’État n° 489201 et ses enseignements
- Modèle de dossier type (téléchargeable sur IAOfficiel.fr)
- Différence entre dérogation « sécurité nationale » et exception « défense » (article 2 §3)
1. Qu’est-ce que la dérogation IA pour sécurité nationale ?
La dérogation IA sécurité nationale guide 2026 est une exception prévue à l’article 6 bis du Règlement (UE) 2024/1689 (EU AI Act), tel que modifié par le Règlement (UE) 2025/987 du 12 mai 2025. Elle permet à un État membre de déclarer qu’un système d’IA classé à haut risque (ou même à risque inacceptable dans certains cas très limités) est utilisé exclusivement dans le cadre d’activités de sécurité nationale, de défense ou de renseignement, et donc partiellement ou totalement soustrait aux obligations du Règlement.
Cette dérogation ne peut pas être invoquée par des entreprises privées, même sous contrat avec l’État. Seules les autorités publiques désignées par décret peuvent en bénéficier. En France, le décret n° 2026-101 du 10 janvier 2026 liste les entités habilitées : DGSI, DGSE, DRM, DNRED, TRACFIN, et certaines unités de la gendarmerie et de la police nationale.
« La dérogation pour sécurité nationale n’est pas un blanc-seing. Le Conseil d’État a rappelé en mars 2026 que même dans ce domaine, le principe de proportionnalité et le respect des droits fondamentaux restent des limites infranchissables. Toute dérogation doit être documentée, limitée dans le temps et révisable. »
— Me. Sophie Delambre, avocat au barreau de Paris, spécialiste droit du numérique.
💡 Conseil d’expert : Ne confondez pas dérogation (article 6 bis) et exception de fond (article 2 §3). L’exception de l’article 2 §3 exclut purement et simplement les systèmes dédiés à la défense du champ d’application du Règlement. La dérogation, elle, suppose une demande et un contrôle. Si votre système est déjà couvert par l’article 2 §3, inutile de demander une dérogation. Vérifiez d’abord ce point.
2. Fondements juridiques : EU AI Act, RGPD et droit français
Le cadre juridique de la dérogation IA sécurité nationale guide 2026 repose sur trois piliers :
2.1. L’EU AI Act modifié (Règlement (UE) 2024/1689 + 2025/987)
L’article 6 bis, paragraphes 2 et 3, pose les conditions de fond et de procédure. Le paragraphe 2 exige que le système soit « exclusivement utilisé à des fins de sécurité nationale » et que son fonctionnement « ne puisse pas être assuré par un système non soumis à dérogation sans compromettre gravement l’efficacité opérationnelle ». Le paragraphe 3 impose une notification préalable au Comité européen de l’IA (CEIA) avec un dossier complet.
2.2. Le RGPD et la loi Informatique et Libertés
Même en cas de dérogation à l’EU AI Act, le traitement de données personnelles reste soumis au RGPD (Règlement (UE) 2016/679) et à la loi n° 78-17 du 6 janvier 1978 modifiée. La CNIL a rappelé dans sa délibération n° 2026-042 du 20 février 2026 que les dérogations « sécurité nationale » ne dispensent pas de respecter les principes de minimisation, de finalité et de sécurité des données.
2.3. Le droit français : décret n° 2026-101 et instruction interministérielle
Le décret du 10 janvier 2026 fixe la liste des autorités habilitées et les modalités de la demande. L’instruction interministérielle du 15 février 2026 (SGDSN) précise le contenu du dossier : analyse d’impact, mesure de proportionnalité, description du système, durée de la dérogation (max 3 ans, renouvelable une fois).
📜 Textes applicables
- Article 6 bis §2 et §3 du Règlement (UE) 2024/1689 (EU AI Act) modifié par Règlement (UE) 2025/987
- Article 2 §3 du Règlement (UE) 2024/1689 (exception défense)
- Considérant 45 bis du Règlement (UE) 2025/987
- Décret n° 2026-101 du 10 janvier 2026 relatif aux dérogations pour sécurité nationale
- Instruction interministérielle SGDSN n° 2026-02 du 15 février 2026
- Délibération CNIL n° 2026-042 du 20 février 2026
- Arrêt Conseil d’État, 15 mars 2026, n° 489201, Ministre de l’Intérieur c/ Association de défense des libertés numériques
3. Critères d’éligibilité : usage exclusif, nécessité et proportionnalité
Pour bénéficier d’une dérogation IA sécurité nationale guide 2026, trois conditions cumulatives doivent être remplies :
3.1. Usage exclusif à des fins de sécurité nationale
Le système d’IA ne doit pas être utilisé pour d’autres finalités (ex : police administrative, gestion des flux migratoires, lutte contre la fraude sociale). Si le même outil sert à plusieurs missions, la dérogation est irrecevable. La jurisprudence récente (CE, 15 mars 2026) a annulé une dérogation pour un système de reconnaissance faciale utilisé à la fois pour la surveillance antiterroriste et pour le contrôle des frontières.
3.2. Nécessité opérationnelle démontrée
L’autorité doit prouver qu’aucun système d’IA conforme (non dérogatoire) ne peut atteindre le même niveau d’efficacité. Cela implique une étude comparative détaillée, incluant des tests en conditions réelles. Le simple argument du coût ou du temps de développement est insuffisant.
3.3. Proportionnalité et respect des droits fondamentaux
Même en sécurité nationale, la mesure doit être proportionnée. Le système ne doit pas porter une atteinte excessive à la vie privée, à la non-discrimination ou à la liberté d’expression. Une analyse d’impact (AIPD) renforcée est obligatoire, avec l’avis du DPO et de la CNIL (consultation simple).
« Dans l’affaire du 15 mars 2026, le Conseil d’État a jugé que l’utilisation d’un logiciel de prédiction d’actes terroristes basé sur le profilage ethnique était disproportionnée, même dans le cadre d’une dérogation sécurité nationale. La proportionnalité n’est pas une option. »
— Me. Antoine Roussel, avocat associé, cabinet Roussel & Partners.
💡 Conseil d’expert : Documentez chaque étape. Conservez les PV des réunions, les études d’impact, les avis du DPO. En cas de contrôle du CEIA ou de la CNIL, vous devrez démontrer la rigueur de votre analyse. Un simple document de 5 pages ne suffira pas.
4. Procédure de demande : de la pré-notification à la décision
Voici les étapes clés de la procédure de dérogation IA sécurité nationale guide 2026 :
4.1. Pré-notification (étape informelle)
Avant de déposer un dossier formel, l’autorité doit contacter le bureau « Sécurité nationale » du CEIA (créé en 2025) pour une pré-analyse. Cette étape permet de vérifier la recevabilité sommaire et d’orienter sur les documents attendus. Délai recommandé : 2 mois avant le dépôt.
4.2. Constitution du dossier
Le dossier comprend impérativement :
- Une description technique du système (architecture, données, algorithmes)
- L’étude comparative des alternatives conformes
- L’analyse d’impact relative aux droits fondamentaux (AIPD)
- L’avis motivé du DPO
- La démonstration de l’usage exclusif sécurité nationale
- La durée proposée (max 3 ans)
- Les mesures de contrôle humain effectif
4.3. Dépôt et instruction
Le dossier est déposé via le portail sécurisé du CEIA. Le Comité dispose de 90 jours ouvrés pour instruire. Il peut demander des compléments (délai suspendu). À l’issue, il rend un avis conforme (positif ou négatif). En cas d’avis négatif, l’autorité peut saisir la Commission européenne dans un délai de 30 jours.
4.4. Décision et publication restreinte
La décision d’octroi est notifiée à l’autorité et publiée au Journal officiel de l’UE dans une version non confidentielle (secret défense). En France, un décret simple entérine la dérogation. Le système est alors inscrit au registre national des IA dérogatoires, accessible aux seules autorités de contrôle.
💡 Conseil d’expert : Anticipez les demandes de complément. Le CEIA est particulièrement exigeant sur la preuve de l’usage exclusif. Préparez des attestations signées par le directeur de l’agence et le responsable du système. Toute ambiguïté sera interprétée contre vous.
5. Obligations résiduelles : transparence, traçabilité et droits fondamentaux
Contrairement à une idée répandue, la dérogation IA sécurité nationale guide 2026 n’est pas une exemption totale. Le Règlement (UE) 2025/987 a introduit un « noyau dur » d’obligations qui s’appliquent même en cas de dérogation :
5.1. Transparence limitée
Les autorités doivent publier une fiche descriptive non classifiée du système (finalité, catégorie de données, mesures de contrôle). Cette fiche est soumise au contrôle du CEIA et de la CNIL. En 2026, la DGSI a dû modifier sa fiche pour y inclure le recours à un système de notation comportementale.
5.2. Traçabilité et journalisation
Tous les accès et décisions du système doivent être enregistrés avec horodatage et identifiant de l’opérateur humain. Les logs sont conservés 5 ans et peuvent être requis par le CEIA ou la CNIL dans le cadre de leurs missions de contrôle.
5.3. Contrôle humain effectif
Un opérateur humain qualifié doit pouvoir à tout moment interrompre le système ou modifier une décision. L’arrêt du Conseil d’État du 15 mars 2026 a précisé que ce contrôle ne peut pas être purement formel : l’opérateur doit avoir une réelle capacité d’appréciation, avec une formation spécifique et un accès à toutes les données brutes.
« Le contrôle humain est la clé de voûte de la conformité. Sans lui, la dérogation perd sa légitimité. Les juges administratifs français sont très attentifs à ce point, comme l’a montré l’annulation de la dérogation du ministère de l’Intérieur en mars 2026. »
— Me. Claire Fontaine, avocate spécialiste RGPD et IA.
6. Jurisprudence 2026 : l’arrêt Conseil d’État n° 489201
Le 15 mars 2026, le Conseil d’État a rendu une décision majeure qui a profondément influencé la dérogation IA sécurité nationale guide 2026. Il s’agissait d’un recours en annulation déposé par une association de défense des libertés numériques contre un décret accordant une dérogation au ministère de l’Intérieur pour un système de reconnaissance faciale automatisée dans les gares et aéroports.
Le Conseil d’État a annulé la dérogation pour trois motifs :
- Absence d’usage exclusif : le système était également utilisé pour la police des étrangers (contrôle aux frontières), ce qui dépasse la sécurité nationale.
- Défaut de proportionnalité : l’analyse d’impact n’avait pas évalué le risque de discrimination ethnique, pourtant avéré.
- Contrôle humain insuffisant : l’opérateur humain n’avait qu’un droit de veto a posteriori, sans accès aux données brutes.
Cette jurisprudence impose désormais une rigueur absolue dans la constitution des dossiers. Elle a été confirmée par le CEIA dans ses lignes directrices du 10 avril 2026.
💡 Conseil d’expert : Téléchargez le texte intégral de l’arrêt sur IAOfficiel.fr (onglet Jurisprudence). Utilisez-le comme matrice pour vérifier votre propre dossier. Si vous retrouvez l’un des trois motifs d’annulation dans votre demande, corrigez-le avant de déposer.
7. Sanctions, contrôles et voies de recours
Une dérogation IA sécurité nationale guide 2026 obtenue sur la base de fausses déclarations ou utilisée au-delà de son périmètre expose à des sanctions lourdes :
7.1. Sanctions administratives et financières
Le CEIA peut infliger une amende pouvant atteindre 4% du budget annuel de l’autorité concernée (ou 20 millions d’euros, le montant le plus élevé). En France, la CNIL peut également prononcer des sanctions pour violation du RGPD, indépendamment de la dérogation.
7.2. Contrôles inopinés
Le CEIA et la CNIL peuvent réaliser des audits sur place, avec préavis de 48 heures seulement (pour raisons de sécurité). Ils peuvent exiger l’accès à tous les documents, aux logs et au code source (sous réserve de secret défense, mais avec habilitation).
7.3. Voies de recours
Les décisions d’octroi ou de refus de dérogation peuvent être contestées devant le Conseil d’État (en France) ou devant la CJUE (pour les décisions du CEIA). Les associations de défense des droits numériques ont un intérêt à agir reconnu depuis l’arrêt de 2026.
« Ne pensez pas que la sécurité nationale vous met à l’abri de tout contrôle. Les juges européens et nationaux sont de plus en plus exigeants. La dérogation est un privilège, pas un droit. »
— Me. Philippe Durand, avocat général honoraire.
8. Checklist finale et modèle de dossier
Pour vous aider dans votre démarche de dérogation IA sécurité nationale guide 2026, voici une checklist des éléments indispensables :
- ☐ Usage exclusif sécurité nationale (attestation signée)
- ☐ Étude comparative des alternatives conformes
- ☐ Analyse d’impact (AIPD) incluant les risques de discrimination
- ☐ Avis du DPO et consultation CNIL (si nécessaire)
- ☐ Description technique et fonctionnelle du système
- ☐ Mesures de contrôle humain effectif (procédure détaillée)
- ☐ Durée limitée (max 3 ans)
- ☐ Fiche de transparence non classifiée
- ☐ Engagement de journalisation et conservation des logs
💡 Conseil d’expert : Téléchargez notre modèle de dossier type (format .docx) sur IAOfficiel.fr/derogation-modele. Il est conforme aux exigences du CEIA et du décret français. Vous gagnerez un temps précieux et éviterez les erreurs les plus fréquentes.
📌 Points essentiels à retenir
- La dérogation ne concerne que les systèmes exclusivement dédiés à la sécurité nationale.
- Elle est temporaire (3 ans max, renouvelable une fois) et révisable.
- Le contrôle humain effectif est une obligation résiduelle non négociable.
- La jurisprudence 2026 (CE n° 489201) impose une proportionnalité stricte.
- Les sanctions peuvent atteindre 4% du budget annuel de l’autorité.
- Un dossier complet et rigoureux est la clé de l’obtention.
❓ Foire aux questions
Q1 : Une entreprise privée peut-elle demander une dérogation pour sécurité nationale ?
Non. Seules les autorités publiques listées par décret (en France : DGSI, DGSE, etc.) peuvent en bénéficier. Une entreprise sous contrat avec l’État doit utiliser un système conforme, sauf si le système est intégré dans un dispositif relevant de l’exception de l’article 2 §3 (défense).
Q2 : Quelle est la différence entre l’exception (art. 2 §3) et la dérogation (art. 6 bis) ?
L’exception de l’article 2 §3 exclut totalement du champ du Règlement les systèmes exclusivement conçus pour la défense. La dérogation de l’article 6 bis concerne des systèmes qui entrent dans le champ mais sont temporairement soustraits à certaines obligations sur demande motivée. La dérogation est plus encadrée.
Q3 : La dérogation dispense-t-elle du RGPD ?
Non. Le RGPD continue de s’appliquer pleinement, sauf dérogation spécifique prévue par le droit national (ex : article 23 RGPD pour la sécurité nationale). La CNIL veille au respect des principes de minimisation et de proportionnalité.
Q4 : Quelle est la durée maximale d’une dérogation ?
3 ans maximum, renouvelable une seule fois pour une durée identique. Au-delà, le système doit être mis en conformité ou retiré. Le renouvellement nécessite un nouveau dossier complet avec bilan d’étape.
Q5 : Que se passe-t-il si la dérogation est refusée ?
L’autorité peut saisir la Commission européenne dans les 30 jours. En attendant la décision, le système ne peut pas être utilisé s’il est classé à risque inacceptable. Pour les systèmes à haut risque, l’autorité doit le mettre en conformité dans un délai de 6 mois.
Q6 : Un citoyen peut-il contester une dérogation ?
Oui, par l’intermédiaire d’une association agréée ou d’un recours devant le Conseil d’État. L’arrêt de mars 2026 a reconnu l’intérêt à agir des associations de défense des droits numériques. Les citoyens peuvent aussi saisir la CNIL.
Q7 : Existe-t-il un registre public des dérogations ?
Un registre national est tenu par le SGDSN, mais il est confidentiel (secret défense). Une version non classifiée est publiée au JOUE. La CNIL tient également un registre pour les aspects RGPD.
Q8 : Où trouver le modèle de dossier mentionné dans l’article ?
Sur IAOfficiel.fr, rubrique « Dérogation IA Sécurité Nationale Guide 2026 », un lien de téléchargement est disponible en bas de page. Le modèle est gratuit pour les abonnés (essai gratuit de 30 jours).
⚖️ Verdict et recommandation
La dérogation IA sécurité nationale guide 2026 est un outil puissant mais exigeant. Elle permet aux autorités de déployer des systèmes d’IA sensibles sans attendre la conformité totale, à condition de respecter un cadre strict. La jurisprudence récente et les lignes directrices du CEIA imposent une rigueur sans faille sur l’usage exclusif, la proportionnalité et le contrôle humain.
Notre recommandation : ne sollicitez une dérogation qu’en dernier recours, après avoir exploré toutes les solutions conformes. Si vous devez y recourir, faites-vous assister par un avocat spécialisé et utilisez notre modèle de dossier pour éviter les erreurs classiques. La dérogation n’est pas une zone de non-droit : elle est une exception temporaire, sous haute surveillance.
Pour aller plus loin : consultez notre analyse complète de l’arrêt du Conseil d’État du 15 mars 2026 et les dernières mises à jour réglementaires sur IAOfficiel.fr/derogation-ia-securite-nationale-2026.
📚 Sources et références
- Règlement (UE) 2024/1689 du Parlement européen et du Conseil du 13 juin 2024 (EU AI Act), modifié par Règlement (UE) 2025/987 du 12 mai 2025.
- Décret n° 2026-101 du 10 janvier 2026 relatif aux dérogations pour sécurité nationale (JO RF, 11 janv. 2026).
- Instruction interministérielle SGDSN n° 2026-02 du 15 février 2026 relative à la procédure de dérogation IA.
- Délibération CNIL n° 2026-042 du 20 février 2026 portant recommandations sur les dérogations sécurité nationale.
- Conseil d’État, 15 mars 2026, n° 489201, Ministre de l’Intérieur c/ Association de défense des libertés numériques.
- Lignes directrices du Comité européen de l’intelligence artificielle (CEIA) du 10 avril 2026 sur l’article 6 bis.
- Règlement (UE) 2016/679 (RGPD) et loi n° 78-17 du 6 janvier 1978 modifiée.