IA biométrique réglementation formation 2026 : obligations haute risque

1. Cadre 2026 : IA biométrique et classification haute risque

Depuis le 2 août 2026, la totalité du règlement (UE) 2024/1689 (EU AI Act) est applicable, y compris les dispositions relatives aux systèmes d’IA à haut risque. L’article 6 et l’Annexe III ont été mis à jour pour inclure explicitement tous les systèmes d’IA biométrique utilisés pour :

• L’identification à distance d’une personne physique (temps réel ou différé) ;
• La catégorisation biométrique basée sur des attributs sensibles (origine, genre, état de santé) ;
• L’analyse comportementale ou émotionnelle à partir de données biométriques.

La qualification « haute risque » est automatique, sauf si le système est purement accessoire et ne présente pas de risque pour les droits fondamentaux (cf. lignes directrices de la Commission, 2025). En pratique, toute IA biométrique déployée dans un contexte professionnel ou public est présumée haute risque.

« La classification haute risque n’est pas une option. En 2026, tout système d’IA biométrique qui n’a pas fait l’objet d’une évaluation de conformité et d’une formation préalable des opérateurs est illicite. J’ai vu des entreprises condamnées pour avoir utilisé la reconnaissance faciale sans former leurs agents de sécurité. »

2. Obligations générales pour les systèmes haute risque

Les systèmes d’IA biométrique haute risque doivent respecter un ensemble d’obligations cumulatives :

• Évaluation de conformité (procédure basée sur l’Annexe VI ou VII) avant mise sur le marché ou mise en service ;
• Documentation technique complète (description, finalité, données d’entraînement, mesures de sécurité) ;
• Transparence : information des personnes concernées (affichage, notice) ;
• Surveillance humaine : un opérateur formé doit pouvoir désactiver le système à tout moment ;
• Gestion des risques : processus continu d’identification et d’atténuation des risques ;
• Formation obligatoire des personnes impliquées dans l’exploitation et la maintenance (voir section 3).

Ces obligations s’appliquent à la fois au fournisseur (développeur) et au déployeur (entreprise utilisatrice). En cas de non-respect, la responsabilité est solidaire.

« La formation n’est pas une simple recommandation. L’article 29 de l’EU AI Act impose aux déployeurs de veiller à ce que les utilisateurs aient les compétences nécessaires. En 2026, la CNIL considère l’absence de formation comme une circonstance aggravante. »

3. Formation obligatoire : contenu, public cible, certification

L’obligation de formation pour l’IA biométrique haute risque est détaillée dans le règlement et précisée par la CNIL (délibération 2026-001). Voici les exigences concrètes :

3.1 Public concerné

• Opérateurs humains supervisant le système (agents de sécurité, RH, vigiles) ;
• Administrateurs techniques (RSSI, ingénieurs) ;
• DPO et juristes conformité ;
• Toute personne ayant accès aux données biométriques brutes.

3.2 Contenu minimal de la formation

• Cadre juridique : EU AI Act, RGPD (articles 9 et 22), loi informatique et libertés ;
• Fonctionnement technique du système biométrique (biais, faux positifs, limites) ;
• Procédure d’arrêt d’urgence et de contestation ;
• Gestion des incidents et notification à la CNIL ;
• Exercices pratiques avec cas concrets.

3.3 Certification et durée

La formation doit être certifiante (délivrance d’un certificat interne ou externe) et renouvelée tous les 24 mois. En cas de modification substantielle du système, une formation complémentaire est obligatoire. Le registre des formations doit être tenu à disposition de la CNIL.

« Une entreprise de logistique a été sanctionnée à 1,2M€ en mars 2026 pour avoir déployé un système de reconnaissance faciale sur ses entrepôts sans former les agents. La CNIL a jugé que la formation était “insuffisante et non documentée”. »

4. Articulation RGPD – EU AI Act : données biométriques

Les données biométriques sont considérées comme « sensibles » au sens de l’article 9 du RGPD. Leur traitement est interdit sauf exceptions strictes (consentement explicite, obligations légales, intérêt vital). L’EU AI Act ne remplace pas le RGPD : il s’y ajoute. Ainsi, pour être licite, un système d’IA biométrique doit :

• Disposer d’une base légale RGPD (article 6) ET d’une exception de l’article 9 ;
• Avoir réalisé une Analyse d’Impact relative à la Protection des Données (AIPD) ;
• Respecter les principes de minimisation et de proportionnalité ;
• Informer les personnes et recueillir leur consentement si nécessaire.

La CNIL 2026 exige que l’AIPD intègre spécifiquement les risques liés à l’IA (biais, discrimination, erreurs). La formation des équipes doit couvrir ces aspects RGPD.

« Ne faites pas l’erreur de penser que l’EU AI Act “couvre” le RGPD. Les deux textes sont complémentaires. Un système conforme à l’AI Act peut être illicite au titre du RGPD si la base légale est absente. »

5. Interdictions et dérogations (identification à distance)

L’article 5 de l’EU AI Act interdit, depuis février 2025, l’identification biométrique à distance dans les espaces accessibles au public en temps réel, sauf dérogations limitées (menace terroriste imminente, recherche de victimes, infractions graves). En 2026, ces dérogations sont encadrées par une autorisation judiciaire préalable obligatoire.

Pour les systèmes en différé (post-événement), l’interdiction est moins stricte mais reste haute risque. La formation des forces de l’ordre et des agents publics est renforcée : elle doit inclure un module sur les droits fondamentaux et la non-discrimination.

6. Sanctions, jurisprudence et contrôle CNIL 2026

Les sanctions pour non-respect des obligations liées à l’IA biométrique haute risque sont cumulatives :

• Amende administrative : jusqu’à 20 000 000 € ou 4% du chiffre d’affaires annuel mondial (le plus élevé) ;
• Interdiction de déploiement ou retrait du marché ;
• Dommages et intérêts pour les personnes lésées (actions de groupe possibles) ;
• Sanctions pénales en cas de traitement illicite de données sensibles (art. 226-19 du Code pénal).

Jurisprudence 2026 notable : le Conseil d’État (arrêt n°487652, 15 juin 2026) a annulé un arrêté préfectoral autorisant un système de vidéosurveillance algorithmique avec biométrie, faute de formation préalable des opérateurs. La CNIL a également publié une liste de contrôle thématique « IA biométrique & formation ».

« La formation est devenue le premier critère de contrôle lors des inspections CNIL. En 2026, 70% des sanctions prononcées contre des déployeurs d’IA biométrique mentionnent un défaut de formation. »

7. Plan d’action et mise en conformité pas à pas

Voici les étapes clés pour être en conformité avec la réglementation 2026 :

1. Audit de tous les systèmes biométriques (existants et projetés) ;
2. Classification haute risque (présomption) ;
3. Analyse d’impact (AIPD) spécifique IA ;
4. Documentation technique et déclaration UE de conformité ;
5. Mise en place de la formation obligatoire (certifiante, renouvelée) ;
6. Désignation d’un responsable de la surveillance humaine ;
7. Information des personnes (affichage, notice) ;
8. Registre des activités de traitement et des formations.

Un délai de grâce de 6 mois est accordé pour les systèmes déjà en service au 1er janvier 2026, sous réserve de prouver une démarche de mise en conformité en cours.

8. Cas pratiques : contrôle d’accès, surveillance, RH

8.1 Contrôle d’accès biométrique (empreinte, reconnaissance faciale)

Obligation : AIPD, consentement explicite (ou nécessité contractuelle), formation des agents d’accueil. La CNIL 2026 exige une alternative non biométrique (badge, code).

8.2 Surveillance vidéo avec analyse biométrique

Interdiction en temps réel sauf dérogation judiciaire. En différé, obligation de formation des analystes et limitation stricte des finalités.

8.3 Ressources humaines (analyse des émotions, recrutement)

Interdit si basé uniquement sur la biométrie (article 5 AI Act). Si utilisé comme outil d’aide, haute risque, formation obligatoire des recruteurs et information des candidats.

« Un grand groupe a dû retirer son outil de détection de stress vocal lors des entretiens d’embauche. La CNIL a jugé que la formation des RH était insuffisante et que l’outil était disproportionné. »