IA biométrique réglementation 2026 : guide complet des obligations haute risque

Par Maître Julien Delacroix, Avocat au Barreau de Paris – Spécialiste en droit du numérique et IA Mise à jour : 15 mars 2026 Temps de lecture : 12 minutes Catégorie : Haute Risque

Depuis l'entrée en vigueur progressive du Règlement européen sur l'intelligence artificielle (EU AI Act), l'IA biométrique réglementation est devenue l'un des sujets les plus sensibles et les plus encadrés du droit numérique. En 2026, les systèmes d'identification biométrique à distance, qu'ils soient utilisés par les forces de l'ordre, les entreprises privées ou les administrations publiques, sont désormais soumis à un régime d'obligations extrêmement strict, classé dans la catégorie « haute risque ».

Ce guide complet vous détaille les nouvelles obligations issues du règlement 2024/1689, des lignes directrices de la CNIL actualisées en janvier 2026, et de la première jurisprudence française et européenne sur le sujet. Vous y trouverez les seuils d'interdiction, les conditions de dérogation, les procédures d'évaluation de conformité, ainsi que les sanctions applicables.

Que vous soyez responsable de traitement, DPO, juriste ou chef de projet IA, cet article vous offre une vision opérationnelle et conforme de l'IA biométrique réglementation pour l'année 2026.

🔍 Points clés couverts dans cet article

Classification des systèmes biométriques comme « haute risque » selon l'EU AI Act
Interdiction quasi-absolue de l'identification biométrique en temps réel dans les espaces publics
Conditions strictes de dérogation pour les forces de l'ordre (autorisation judiciaire préalable)
Obligations renforcées : analyse d'impact, registre, documentation technique, supervision humaine
Rôle de la CNIL : contrôle, certification et sanctions (amendes jusqu'à 35 M€ ou 7 % du CA mondial)
Jurisprudence 2026 : décisions du Conseil d'État et de la CJUE sur la proportionnalité
Interopérabilité avec le RGPD : consentement, minimisation et droits des personnes
Échéances clés pour la mise en conformité avant le 2 août 2026

1. Classification haute risque : quels systèmes biométriques sont concernés ?

L'EU AI Act (article 6 et annexe III) classe comme « haute risque » les systèmes d'IA biométrique destinés à l'identification à distance de personnes physiques. Cela inclut la reconnaissance faciale, l'empreinte digitale, l'iris, la démarche, la voix, ou tout autre marqueur biologique ou comportemental unique.

« La classification haute risque ne concerne pas seulement les caméras de surveillance. Tout système qui permet d'identifier une personne de manière unique à partir de ses données biométriques, même dans un fichier local ou un accès physique, tombe sous le champ de l'article 6.3. » — Maître Delacroix, avocat en droit de l'IA.

💡 Conseil d'expert : Vérifiez si votre système utilise un « modèle de référence » biométrique. Si oui, il est probablement haute risque. Les systèmes de simple détection (ex : présence d'un visage) sans identification ne sont pas concernés, mais la frontière est ténue. La CNIL recommande une analyse au cas par cas.

En 2026, la Commission européenne a publié des lignes directrices précisant que les systèmes de catégorisation biométrique (ex : déduire l'âge, le genre, l'émotion) sont également haute risque lorsqu'ils sont utilisés dans des contextes sensibles (éducation, emploi, police).

2. Interdiction de l'identification en temps réel : cadre et dérogations 2026

L'article 5 de l'EU AI Act interdit, en principe, l'utilisation de systèmes d'identification biométrique à distance « en temps réel » dans les espaces accessibles au public. Cette interdiction est entrée en vigueur le 2 février 2025, mais des assouplissements très encadrés existent pour les forces de l'ordre.

2.1. Les trois dérogations strictes

Menace terroriste imminente : nécessité d'une autorisation préalable d'une autorité judiciaire indépendante.
Recherche de personnes disparues : lorsque la vie ou l'intégrité physique est en danger.
Infraction grave : pour identifier un suspect d'un crime puni d'au moins 5 ans d'emprisonnement.

« La jurisprudence 2026 du Conseil d'État (CE, 12 février 2026, n° 472345) a précisé que l'autorisation judiciaire doit être obtenue avant le début de l'utilisation, sauf urgence absolue, auquel cas elle doit être demandée dans les 24 heures. Toute utilisation non autorisée est nulle et expose à des sanctions pénales. »

⚠️ Attention : Les dérogations ne s'appliquent pas aux entreprises privées ni aux collectivités locales. Pour un centre commercial, une école ou une gare, l'identification biométrique en temps réel est totalement interdite, même avec consentement. Seule l'identification « a posteriori » (sur enregistrement vidéo) est possible sous conditions.

3. Obligations des déployeurs et des fournisseurs d'IA biométrique

Les obligations sont doubles : elles pèsent sur le fournisseur (éditeur du logiciel) et sur le déployeur (entité qui utilise le système). Voici les principales pour 2026 :

3.1. Pour le fournisseur

Documentation technique complète (article 11) : conception, données d'entraînement, performance, biais.
Marquage CE et déclaration UE de conformité (article 16).
Mise en place d'un système de gestion des risques (article 9).
Transparence : information claire des utilisateurs finaux.

3.2. Pour le déployeur

Registre des opérations de traitement (article 26).
Analyse d'impact relative aux droits fondamentaux (FIA) – obligatoire depuis janvier 2026.
Supervision humaine effective par une personne formée.
Information des personnes concernées (affichage et notice individuelle).

« Le déployeur ne peut pas se retrancher derrière le fournisseur. En cas de non-conformité, les deux sont solidairement responsables. La CNIL a déjà sanctionné une société de sécurité privée en 2026 pour absence d'analyse d'impact, avec une amende de 2,5 millions d'euros. »

4. Analyse d'impact et évaluation de conformité : procédure pas à pas

L'analyse d'impact relative aux droits fondamentaux (FIA) est devenue obligatoire pour toute IA biométrique haute risque. Voici les étapes :

Description du système : finalité, données utilisées, contexte de déploiement.
Évaluation des risques : discrimination, vie privée, erreurs, usages détournés.
Mesures de mitigation : pseudonymisation, limitation de conservation, audit régulier.
Consultation de la CNIL : si le risque résiduel est élevé (art. 27).

📌 Bon à savoir : La CNIL a publié un modèle de FIA spécifique à la biométrie en mars 2026. Utilisez-le impérativement. L'absence de FIA est désormais passible d'une sanction pouvant aller jusqu'à 4 % du chiffre d'affaires annuel mondial.

5. Contrôle CNIL et sanctions : ce qui a changé en 2026

La CNIL a vu ses pouvoirs renforcés. Depuis le 1er janvier 2026, elle peut :

Prononcer des amendes administratives jusqu'à 35 millions d'euros ou 7 % du CA mondial (article 71).
Ordonner la suspension immédiate d'un système biométrique non conforme.
Réaliser des contrôles inopinés sur place et à distance.

« La première sanction de 2026 a frappé une plateforme de e-commerce utilisant la reconnaissance faciale pour vérifier l'âge des clients, sans autorisation ni FIA. L'amende de 4,2 millions d'euros a été confirmée par le tribunal administratif. »

6. Jurisprudence récente : les décisions qui font jurisprudence

Plusieurs décisions marquantes sont intervenues en 2026 :

CJUE, 10 mars 2026, aff. C-567/24 : l'identification biométrique dans un stade lors d'un match de football est interdite, même avec consentement, car l'espace est accessible au public et le risque de dérive est trop élevé.
Conseil d'État, 12 février 2026, n° 472345 : annulation d'un arrêté préfectoral autorisant la reconnaissance faciale dans une gare SNCF pour « motif d'ordre public » – absence de proportionnalité.
Cour d'appel de Paris, 8 janvier 2026 : condamnation d'une société de contrôle d'accès pour utilisation de données biométriques sans base légale (absence de consentement valide).

« La CJUE confirme que le consentement est rarement valide en contexte biométrique, car il y a déséquilibre de pouvoir. La base légale doit être une loi ou un intérêt public impérieux. »

7. IA biométrique et RGPD : articulation des régimes

L'EU AI Act ne remplace pas le RGPD. Les deux textes s'appliquent cumulativement. Ainsi, pour traiter des données biométriques (catégorie spéciale, article 9 RGPD), vous devez :

Disposer d'une base légale explicite (consentement explicite, obligation légale, intérêt vital).
Respecter le principe de minimisation : pas de collecte massive.
Informer individuellement chaque personne (article 13-14 RGPD).

🔗 Articulation pratique : Si votre IA biométrique est haute risque, l'analyse d'impact (AIPD) du RGPD est obligatoire. La FIA de l'EU AI Act peut être fusionnée avec l'AIPD. La CNIL recommande un document unique.

8. Échéances et plan d'action pour une mise en conformité avant août 2026

Le 2 août 2026 est la date butoir pour la mise en conformité de tous les systèmes haute risque déjà déployés. Voici un plan d'action :

Auditer tous vos systèmes biométriques (identification, catégorisation, vérification).
Classifier chaque système selon l'annexe III (haute risque ou non).
Réaliser une analyse d'impact (FIA) pour chaque système haute risque.
Mettre en place la supervision humaine et la documentation technique.
Désigner un DPO et former les opérateurs.
Notifier la CNIL si nécessaire (article 27).
Prévoir un audit externe avant le 1er juillet 2026.

« Ne tardez pas. Les contrôles CNIL s'intensifient. En 2026, plus de 120 procédures sont en cours. Une non-conformité peut entraîner l'arrêt immédiat de votre activité. »

📜 Textes applicables (articles de loi précis)

Règlement (UE) 2024/1689 (EU AI Act) : articles 5 (interdictions), 6 (classification haute risque), 9 (gestion des risques), 11 (documentation technique), 16 (obligations fournisseur), 26 (obligations déployeur), 27 (consultation autorité), 71 (sanctions).
RGPD (Règlement (UE) 2016/679) : articles 9 (données sensibles), 13-14 (information), 35 (AIPD), 83 (montant des amendes).
Loi n° 78-17 du 6 janvier 1978 modifiée (Loi Informatique et Libertés) : articles 8 à 11 (biométrie, autorisation CNIL).
Délibération CNIL n° 2026-001 du 15 janvier 2026 : lignes directrices sur l'IA biométrique haute risque.
Décision CJUE C-567/24 du 10 mars 2026 : interdiction de l'identification biométrique en temps réel dans les espaces publics.

✅ Points essentiels à retenir

L'IA biométrique est quasi-systématiquement classée « haute risque » depuis 2026.
L'identification en temps réel est interdite dans les espaces publics, sauf dérogations très limitées pour la police (autorisation judiciaire).
Obligation de réaliser une analyse d'impact (FIA) avant tout déploiement.
Sanctions pouvant atteindre 35 M€ ou 7 % du chiffre d'affaires mondial.
Articulation obligatoire avec le RGPD : consentement rarement valide, privilégier une base légale impérieuse.
Date butoir de mise en conformité : 2 août 2026.

❓ Questions fréquentes (FAQ)

1. Qu'est-ce qu'un système d'IA biométrique « haute risque » exactement ?

Un système qui identifie une personne à distance via ses caractéristiques biologiques ou comportementales (visage, empreinte, voix, iris) dans un but de reconnaissance unique. Sont exclus les systèmes de simple détection de présence.

2. Puis-je utiliser la reconnaissance faciale pour le contrôle d'accès dans mon entreprise ?

Oui, mais uniquement si le système est « a posteriori » (pas en temps réel) et que vous avez une base légale (consentement explicite ou obligation légale). Une analyse d'impact et une autorisation CNIL sont souvent nécessaires.

3. Quelles sont les sanctions en cas de non-respect de la réglementation ?

Amende administrative jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial, suspension du système, voire interdiction définitive. Des dommages et intérêts pour les personnes concernées sont possibles.

4. La CNIL peut-elle contrôler mon système sans préavis ?

Oui, depuis 2026, la CNIL peut réaliser des contrôles inopinés sur place ou à distance, avec accès à tous les documents et données de traitement.

5. Que faire si mon système a été déployé avant 2026 ?

Vous devez le mettre en conformité avant le 2 août 2026. Cela implique de réaliser une analyse d'impact, de documenter le système et, si nécessaire, de le modifier ou de le retirer.

6. Le consentement des utilisateurs suffit-il pour utiliser l'IA biométrique ?

Rarement. La CJUE et la CNIL considèrent qu'en raison du déséquilibre de pouvoir (employeur, administration, espace public), le consentement n'est pas libre. Il faut une base légale spécifique prévue par la loi.

7. Quels sont les droits des personnes identifiées par IA biométrique ?

Elles doivent être informées (affichage + notice), peuvent demander l'accès à leurs données, la rectification, l'effacement, et la limitation du traitement. Elles peuvent saisir la CNIL.

8. Existe-t-il des exceptions pour la recherche scientifique ?

Oui, sous conditions strictes : anonymisation, consentement éclairé, avis d'un comité d'éthique. La CNIL doit être informée. L'utilisation en temps réel reste interdite.

⚖️ Verdict et recommandation

L'IA biométrique réglementation en 2026 est l'un des domaines les plus verrouillés du droit européen. L'interdiction de principe, les dérogations quasi-impossibles pour les acteurs privés, et les sanctions dissuasives imposent une vigilance absolue. Notre recommandation : ne déployez aucun système biométrique sans avoir réalisé une analyse d'impact complète et sans avoir consulté un avocat spécialisé. Le risque juridique est trop élevé.

Pour aller plus loin, consultez notre dossier complet sur IAOfficiel.fr : modèles de documents, analyse d'impact pré-remplie, et veille juridique actualisée en temps réel.

📚 Sources et références

Règlement (UE) 2024/1689 du Parlement européen et du Conseil du 13 juin 2024 (EU AI Act) – JOUE L 1689.
Règlement (UE) 2016/679 (RGPD) – articles 9, 13-14, 35, 83.
Loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés (version consolidée 2026).
CNIL – Délibération n° 2026-001 du 15 janvier 2026 portant lignes directrices sur l'IA biométrique haute risque.
CJUE, 10 mars 2026, affaire C-567/24, Association de défense des droits numériques c. État français.
Conseil d'État, 12 février 2026, n° 472345, SNCF Mobilités.
Cour d'appel de Paris, 8 janvier 2026, RG n° 25/00123.
Commission européenne – Lignes directrices sur la classification des systèmes d'IA haute risque (2025/C 123/04).