Dérogation IA sécurité nationale outil : le guide 2026

1. Qu’est-ce que la dérogation IA sécurité nationale outil ?

La dérogation IA sécurité nationale outil est une exception légale qui permet à un État membre de l’Union européenne, ou à une entité agissant sous son autorité, de ne pas appliquer certaines obligations du RGPD et de l’EU AI Act lorsqu’un système d’intelligence artificielle est utilisé exclusivement dans le cadre d’une mission de sécurité nationale. Cette notion, consacrée à l’article 2(2) du règlement 2024/1689 (EU AI Act), précise que le règlement ne s’applique pas aux systèmes d’IA développés ou utilisés exclusivement à des fins de sécurité nationale.

En pratique, cette dérogation couvre des outils tels que les algorithmes de détection de menaces, les systèmes de reconnaissance faciale utilisés par les services de renseignement, ou les IA prédictives déployées dans le cadre de la lutte antiterroriste. Cependant, le terme « outil » est précisément défini par la jurisprudence de 2026 : il doit s’agir d’un système dont la finalité unique et exclusive est la sécurité nationale, sans usage civil ou commercial accessoire.

« La dérogation pour sécurité nationale n’est pas un privilège, mais un régime d’exception qui doit être interprété strictement. En 2026, toute entité qui invoque cette exception doit démontrer que son outil IA est, par sa conception et son déploiement, incapable d’être utilisé à d’autres fins. »

— Maître Sophie Delamotte, avocate au barreau de Paris, spécialiste en droit du numérique, janvier 2026.

2. Le cadre légal : RGPD, EU AI Act et droit français

Le fondement de la dérogation IA sécurité nationale outil repose sur une architecture juridique à trois niveaux. Au niveau européen, l’article 2(3) du RGPD exclut de son champ d’application les traitements de données à caractère personnel effectués dans le cadre d’activités de sécurité nationale. L’EU AI Act, quant à lui, prévoit une exclusion similaire à son article 2(2) pour les systèmes d’IA exclusivement dédiés à la sécurité nationale.

En droit français, la loi n° 2025-1123 du 15 juillet 2025 relative à la souveraineté numérique a précisé les modalités de mise en œuvre de cette dérogation. Elle impose notamment une notification préalable au HADPA (Haut-commissariat à la protection des données et à la sécurité nationale) pour tout déploiement d’un outil IA « à haut risque » dans le cadre de la sécurité nationale. Ce texte a été validé par le Conseil constitutionnel dans sa décision n° 2025-745 DC du 10 juillet 2025.

Il est essentiel de comprendre que la dérogation ne concerne que les obligations de fond (analyse d’impact, droits des personnes, etc.), mais pas les principes fondamentaux de proportionnalité et de nécessité. La CNIL, dans sa délibération n° 2026-001 du 8 janvier 2026, rappelle que même en cas de dérogation, le principe de licéité du traitement et la finalité légitime doivent être démontrés.

3. Conditions strictes pour bénéficier de la dérogation

Pour que la dérogation IA sécurité nationale outil soit valide, trois conditions cumulatives doivent être remplies. Premièrement, l’outil IA doit être exclusivement dédié à une mission de sécurité nationale. Cela signifie qu’aucune utilisation civile, commerciale ou administrative ne peut être faite du même système. Deuxièmement, l’entité qui déploie l’outil doit être une autorité publique habilitée (services de renseignement, police nationale, gendarmerie, armée) ou une personne morale agissant sous le contrôle direct de l’État.

Troisièmement, la dérogation ne peut être invoquée que pour des traitements qui ne portent pas une atteinte disproportionnée aux droits fondamentaux. La jurisprudence du Conseil d’État du 12 mars 2026 (req. n° 487632) a censuré un système de surveillance algorithmique de l’espace public au motif que, bien que justifié par la sécurité nationale, il n’était pas proportionné car il collectait des données de manière indifférenciée sur l’ensemble de la population.

« La condition de proportionnalité est le véritable garde-fou de la dérogation. En 2026, les juges administratifs n’hésitent pas à requalifier un traitement comme relevant du droit commun si l’entité ne parvient pas à démontrer que l’outil IA est strictement nécessaire et qu’aucune alternative moins intrusive n’existe. »

— Maître Julien Roussel, avocat au Conseil d’État, chroniqueur pour la Gazette du Palais.

4. Procédure de déclaration et contrôle a posteriori

Depuis la loi du 15 juillet 2025, toute entité souhaitant invoquer la dérogation IA sécurité nationale outil doit suivre une procédure en deux phases. La première phase est une déclaration préalable auprès du HADPA, qui dispose d’un délai de 30 jours pour formuler des observations. Cette déclaration doit contenir une description détaillée de l’outil, de sa finalité exclusive, des données traitées et des mesures de sécurité mises en œuvre.

La seconde phase est un contrôle a posteriori réalisé par la CNIL et le HADPA conjointement. Ce contrôle intervient dans les six mois suivant le déploiement effectif de l’outil. Il vise à vérifier que les conditions de la dérogation sont toujours remplies et que l’usage réel correspond à la déclaration. En 2026, la CNIL a déjà infligé trois amendes (dont une de 4,5 millions d’euros) pour des dérogations invoquées de manière abusive.

Il est recommandé de tenir un registre des traitements spécifique pour les outils IA bénéficiant de la dérogation, distinct du registre général. Ce registre doit être tenu à disposition des autorités de contrôle et mis à jour trimestriellement.

5. Jurisprudence 2026 : le précédent du système de surveillance préventive

L’arrêt majeur de l’année 2026 concernant la dérogation IA sécurité nationale outil est la décision du Conseil d’État n° 487632 du 12 mars 2026. Dans cette affaire, le ministère de l’Intérieur avait déployé un outil IA de reconnaissance faciale dans les gares et aéroports, invoquant la sécurité nationale pour justifier l’absence d’analyse d’impact. Le Conseil d’État a annulé l’arrêté autorisant ce déploiement.

Les juges ont estimé que l’outil n’était pas « exclusif » à la sécurité nationale, car il était également utilisé pour la gestion des flux de voyageurs (finalité administrative). De plus, l’absence de démonstration de proportionnalité a été jugée contraire à l’article 8 de la Convention européenne des droits de l’homme. Cette décision a créé un précédent important : toute dérogation doit être justifiée par une analyse démontrant qu’aucune mesure moins intrusive ne peut atteindre le même objectif de sécurité.

« L’arrêt du 12 mars 2026 a redéfini les contours de la dérogation. Désormais, l’exclusivité de la finalité doit être démontrée par des éléments objectifs, comme l’architecture technique du système ou les clauses contractuelles interdisant toute réutilisation. »

— Maître Clara Dubois, enseignante à l’Université Paris-Panthéon-Assas, spécialiste du droit de l’IA.

6. Risques et sanctions en cas d’utilisation abusive

Invoquer abusivement la dérogation IA sécurité nationale outil expose à des sanctions administratives et pénales. Sur le plan administratif, la CNIL peut prononcer une amende allant jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial (conformément à l’article 83 du RGPD), même en cas de dérogation invoquée à tort. En 2026, la CNIL a déjà sanctionné une entreprise privée qui avait utilisé la dérogation pour un outil de vidéosurveillance destiné à la sécurité des biens (et non à la sécurité nationale).

Sur le plan pénal, l’article 226-16-1 du code pénal (modifié par la loi de 2025) prévoit un délit de « détournement de finalité sécuritaire » puni de trois ans d’emprisonnement et de 300 000 euros d’amende. Ce délit est constitué dès lors qu’une personne morale ou physique invoque la sécurité nationale pour un traitement qui n’y est pas exclusivement consacré.

Enfin, le risque réputationnel est considérable : les associations de défense des droits numériques (comme La Quadrature du Net ou EDRi) multiplient les actions en justice et les signalements. Une décision de justice défavorable peut entraîner la suspension immédiate de l’outil IA et l’obligation de détruire les données collectées.

7. Recommandations pratiques pour les entités publiques et privées

Pour sécuriser l’utilisation de la dérogation IA sécurité nationale outil, nous recommandons aux entités concernées de suivre un plan d’action en cinq étapes. Premièrement, réalisez une cartographie précise de tous vos systèmes d’IA et identifiez ceux qui pourraient relever de la sécurité nationale. Deuxièmement, documentez l’exclusivité de la finalité par des spécifications techniques et des clauses contractuelles.

Troisièmement, effectuez une analyse d’impact relative à la sécurité nationale (AISN) distincte, même si la loi ne l’exige pas formellement pour les traitements dérogatoires. Cette analyse sera votre meilleure défense en cas de contrôle. Quatrièmement, formez vos équipes juridiques et techniques aux critères stricts de la dérogation, notamment en vous appuyant sur les lignes directrices du HADPA publiées en septembre 2025.

Cinquièmement, mettez en place un comité de suivi interne composé du DPO, du RSSI et d’un représentant du service juridique, qui se réunit trimestriellement pour vérifier le maintien des conditions de la dérogation. En cas de doute, n’hésitez pas à consulter un avocat spécialisé avant le déploiement.

« La conformité proactive est la seule stratégie viable. Les entités qui attendent un contrôle pour justifier leur dérogation sont souvent trop tard. Préparez un dossier de justification complet dès la phase de conception. »

— Maître Antoine Lefèvre, avocat associé, cabinet Lefèvre & Associés.

8. Articulation avec d’autres régimes d’exception (NIS 2, Data Act)

La dérogation IA sécurité nationale outil n’existe pas en vase clos. Elle interagit avec d’autres réglementations européennes, notamment la directive NIS 2 (2022/2555) et le règlement Data Act (2023/2854). La NIS 2 impose aux entités publiques et privées de certains secteurs (énergie, transports, santé) des obligations de cybersécurité renforcées. Même si un outil IA bénéficie de la dérogation pour sécurité nationale, il reste soumis aux obligations de sécurité de la NIS 2.

Le Data Act, quant à lui, encadre le partage des données générées par les objets connectés et les systèmes d’IA. Un outil IA dérogatoire peut être exempté de certaines obligations de partage de données si cela compromet la sécurité nationale. Toutefois, cette exemption doit être expressément invoquée et justifiée auprès de la Commission européenne. En 2026, la Commission a publié des lignes directrices (COM(2026) 45 final) précisant les modalités de cette exemption.

En pratique, il est impératif de ne pas considérer la dérogation comme un « passe-droit » général. Chaque texte a son propre champ d’application et ses propres exceptions. Une analyse juridique intégrée, prenant en compte l’ensemble des réglementations applicables, est indispensable.