Dérogation IA sécurité nationale vs : comprendre les exceptions au Règlement IA

1. Le cadre juridique de la dérogation IA sécurité nationale vs

L’article 2(3) du Règlement (UE) 2024/1689 dispose que « le présent règlement ne s’applique pas aux systèmes d’IA mis sur le marché ou mis en service exclusivement à des fins de sécurité nationale, quel que soit le type d’entité qui exerce ces activités ». Cette disposition, souvent résumée sous l’appellation dérogation IA sécurité nationale vs, est l’une des exceptions les plus importantes du texte, mais aussi la plus encadrée par la jurisprudence récente.

« La dérogation de sécurité nationale n’est pas une clause de sauvegarde générale. Elle doit être interprétée strictement, conformément à l’objectif de protection des droits fondamentaux poursuivi par le Règlement IA. Tout État membre qui l’invoque doit démontrer que le système d’IA est exclusivement destiné à des fins de sécurité nationale et qu’aucune utilisation civile ou commerciale n’est possible. » — Conclusion de l’Avocat général, affaire C-456/25, 15 mars 2026

Le considérant 16 du Règlement précise que la sécurité nationale reste de la seule responsabilité des États membres, conformément à l’article 4(2) du TUE. Toutefois, cela ne signifie pas que les systèmes d’IA utilisés dans ce cadre échappent à tout contrôle. La dérogation IA sécurité nationale vs ne concerne que les systèmes développés et utilisés exclusivement pour des missions de sécurité nationale, à l’exclusion de toute finalité accessoire. La Commission européenne, dans ses lignes directrices de décembre 2025, a insisté sur le caractère « exclusif » de l’usage : un système utilisé à la fois pour la sécurité nationale et pour la gestion des frontières ou la lutte contre la criminalité ordinaire ne peut pas bénéficier de la dérogation.

2. Conditions strictes d'activation de la dérogation

L’activation de la dérogation IA sécurité nationale vs est soumise à trois conditions cumulatives, issues de l’article 2(3) et de la jurisprudence récente :

2.1. Exclusivité de la finalité de sécurité nationale

Le système d’IA doit être exclusivement destiné à des fins de sécurité nationale. La notion de sécurité nationale est interprétée de manière autonome par le droit de l’Union, et non par les États membres. Dans l’arrêt Ministère de l’Intérieur c. Association des libertés numériques (C-789/24, 12 février 2026), le Tribunal de l’UE a jugé qu’un système de reconnaissance faciale utilisé à la fois pour la surveillance antiterroriste et pour le contrôle des flux migratoires ne relevait pas de la dérogation, car la seconde finalité relevait de la sécurité publique et non de la sécurité nationale.

2.2. Absence de mise à disposition de tiers

Le système ne doit pas être mis sur le marché ou mis en service pour des entités autres que celles relevant de la sécurité nationale. Ainsi, un logiciel d’analyse prédictive développé par une entreprise privée pour le ministère de la Défense, mais également commercialisé auprès de collectivités locales pour la gestion des foules, ne peut pas bénéficier de la dérogation.

2.3. Proportionnalité et nécessité démocratique

La jurisprudence de 2026 a introduit un test de proportionnalité renforcé. L’État membre doit démontrer que le recours à l’IA est nécessaire dans une société démocratique et proportionné à la menace identifiée. Cette condition, empruntée à l’article 8 de la CEDH, a été appliquée dans l’affaire France c. Commission (T-234/25, 8 avril 2026) où le Tribunal a annulé une décision de dérogation au motif que l’État n’avait pas démontré l’insuffisance des mesures non fondées sur l’IA.

« La dérogation de sécurité nationale ne saurait être utilisée pour contourner les garanties essentielles du Règlement IA, notamment l’interdiction des pratiques de notation sociale ou de manipulation comportementale. Même dans le cadre de la sécurité nationale, ces pratiques restent prohibées. » — CNIL, Position 2026-01, 20 janvier 2026

3. Procédure de notification et contrôle de proportionnalité

La dérogation IA sécurité nationale vs n’est pas automatique. L’article 2(3) impose une obligation de notification à la Commission européenne dans un délai de 30 jours suivant la mise en service du système. Cette notification doit préciser : (i) l’autorité nationale responsable, (ii) la description technique du système, (iii) la finalité exclusive de sécurité nationale, (iv) les garanties encadrant son utilisation, et (v) une évaluation des risques pour les droits fondamentaux.

La Commission dispose d’un pouvoir de contrôle a posteriori. Depuis le règlement d’exécution (UE) 2026/112, elle peut exiger des informations complémentaires et, en cas de doute sérieux, saisir le Tribunal de l’UE. En 2025, la Commission a ainsi contesté la dérogation invoquée par un État membre pour un système de surveillance algorithmique des communications, estimant que la finalité réelle était la surveillance de masse sans lien direct avec une menace précise. Le Tribunal a donné raison à la Commission dans l’affaire Commission c. État M. (T-567/25, 3 novembre 2025).

4. Jurisprudence 2025-2026 : premières interprétations du Tribunal de l'UE

L’année 2026 a vu les premières décisions de fond sur la dérogation IA sécurité nationale vs. Trois affaires marquent un tournant :

4.1. Affaire C-789/24 — Notion d’exclusivité

Le Tribunal a jugé qu’un système d’IA utilisé par un service de renseignement pour détecter des menaces terroristes, mais également accessible aux services de police judiciaire pour des enquêtes de droit commun, ne bénéficie pas de la dérogation. L’exclusivité s’apprécie in concreto, au regard des autorisations d’accès et des usages réels.

4.2. Affaire T-234/25 — Test de proportionnalité

Le Tribunal a annulé une dérogation accordée par un État membre pour un système de prédiction de crimes violents. Il a estimé que l’État n’avait pas démontré que des mesures moins intrusives (comme le renforcement des patrouilles humaines) étaient insuffisantes. Cette décision impose un véritable bilan coût-bénéfice avant toute invocation de la dérogation.

5. Articulation avec le RGPD et les autres réglementations

La dérogation IA sécurité nationale vs ne dispense pas du respect du RGPD lorsque des données personnelles sont traitées. L’article 2(2)(d) du RGPD exclut certes les traitements relevant de la sécurité nationale, mais cette exclusion est interprétée strictement par la CJUE (arrêt Schrems III, C-311/23). En pratique, un système d’IA dérogatoire doit néanmoins respecter les principes de minimisation, de limitation de la conservation et de sécurité des données, sous le contrôle des autorités nationales de protection des données (CNIL en France).

Par ailleurs, la directive (UE) 2026/45 relative à la protection des données dans le cadre des activités de sécurité nationale impose des garanties supplémentaires : analyse d’impact obligatoire, registre des traitements et contrôle par une autorité indépendante. La CNIL a publié en janvier 2026 une recommandation spécifique sur les systèmes d’IA utilisés par les services de renseignement, insistant sur la nécessité d’une supervision humaine effective.

6. Risques et sanctions en cas d'invocation abusive

Invoquer la dérogation IA sécurité nationale vs de manière abusive expose à des sanctions lourdes. La Commission peut infliger une amende pouvant atteindre 3 % du chiffre d’affaires annuel mondial de l’entité concernée (article 71 du Règlement IA). En outre, l’État membre peut faire l’objet d’un recours en manquement devant la CJUE (article 258 TFUE), avec des astreintes financières potentiellement élevées.

Sur le plan national, le Conseil d’État français a annulé en 2026 un arrêté ministériel invoquant la dérogation pour un système de vidéosurveillance algorithmique, au motif que le texte ne démontrait pas l’exclusivité de la finalité de sécurité nationale (CE, 15 mars 2026, n° 478965). Cette décision a conduit à la suspension du déploiement du système et à une condamnation de l’État aux dépens.

7. Recommandations pour les acteurs publics et privés

Face à la complexité de la dérogation IA sécurité nationale vs, je recommande une approche prudente et documentée :

7.1. Pour les autorités nationales

Réalisez systématiquement une analyse d’impact relative aux droits fondamentaux (AIDF) avant d’invoquer la dérogation. Documentez l’exclusivité de la finalité, l’absence d’alternative moins intrusive et les garanties encadrant l’utilisation. Saisissez la CNIL pour avis consultatif, même si celui-ci n’est pas obligatoire.

7.2. Pour les opérateurs privés

Si vous développez ou fournissez un système d’IA pour le compte d’une autorité de sécurité nationale, vérifiez que le contrat précise l’usage exclusif et l’absence de commercialisation auprès de tiers. En cas de doute, refusez d’invoquer la dérogation et soumettez-vous au Règlement IA complet. La jurisprudence est claire : la bonne foi ne suffit pas, c’est l’usage réel qui compte.

7.3. Contrôle interne et audits

Mettez en place un registre des systèmes d’IA bénéficiant de la dérogation, avec une révision annuelle. En cas de modification de l’usage (par exemple, extension à d’autres finalités), la dérogation cesse immédiatement et le système doit être mis en conformité.

« La transparence et la documentation sont les meilleures protections contre un contentieux. Un État membre qui notifie de manière complète et motivée sa dérogation a de fortes chances de voir sa décision validée par la Commission et les juridictions. » — Me. Sophie Delacroix, avocate au barreau de Paris, spécialiste en droit du numérique

8. Questions fréquentes sur la dérogation IA sécurité nationale