IA biométrique réglementation outil : guide 2026 sur le haut risque

1. Qu’est-ce qu’un outil d’IA biométrique au sens de l’EU AI Act ?

La définition d’un outil d’IA biométrique ne se limite pas à la simple reconnaissance faciale. L’EU AI Act, dans son article 3, point 1, considère comme système biométrique tout dispositif utilisant l’intelligence artificielle pour reconnaître, analyser ou catégoriser des caractéristiques physiques, physiologiques ou comportementales d’une personne physique. Cela inclut les empreintes digitales, la reconnaissance de l’iris, l’analyse de la démarche, la reconnaissance vocale et même les signatures dynamiques.

La réglementation outil distingue trois usages fondamentaux :

• Identification biométrique : recherche d’une personne dans une base de données (ex : fichier des suspects).
• Authentification biométrique : vérification de l’identité déclarée (ex : déverrouillage de smartphone).
• Catégorisation biométrique : classement des personnes selon des attributs (ex : âge estimé, humeur, origine ethnique présumée).

⚖️ « Un système qui scanne les visages des passants pour déterminer leur âge apparent entre dans la catégorisation biométrique. Même sans identifier nommément, il est soumis à la réglementation haut risque, car il peut conduire à des traitements discriminatoires. » – Cabinet IAOfficiel.fr, 2026

2. Le seuil du haut risque : les critères de classification 2026

La réglementation outil de l’EU AI Act a été affinée par le comité européen de l’IA en 2025. Depuis le 1er janvier 2026, tout système biométrique est présumé haut risque, sauf s’il remplit cumulativement trois conditions :

1. Il est strictement nécessaire à l’authentification (vérification 1:1) et n’est pas utilisé pour l’identification (recherche 1:N).
2. Les données biométriques sont traitées localement sur le terminal de l’utilisateur, sans transmission à un serveur central.
3. Le système n’effectue aucune catégorisation sensible (origine raciale, opinions politiques, orientation sexuelle, etc.).

En pratique, cela signifie que la plupart des outils biométriques déployés dans l’espace public, les écoles, les lieux de travail ou les transports sont classés en haut risque. L’annexe III de l’EU AI Act, mise à jour en 2026, liste 12 domaines spécifiques, dont :

• Contrôle d’accès physique aux infrastructures critiques.
• Surveillance de masse dans les événements publics.
• Analyse biométrique à des fins de recrutement ou d’évaluation des performances.
• Détection des émotions dans les établissements scolaires.

⚖️ « La qualification de haut risque n’est pas une option. Dès qu’un outil biométrique peut causer un préjudice significatif aux droits fondamentaux, notamment la vie privée et la non-discrimination, le régime le plus strict s’applique. » – Décision préliminaire CJUE, affaire C-512/25, 2025

3. Interdictions et dérogations : ce qui est vraiment permis

L’EU AI Act a instauré une interdiction pure et simple de certaines utilisations biométriques depuis février 2025. En 2026, cette liste s’est élargie :

• 🛑 Interdiction totale de l’identification biométrique en temps réel dans l’espace public (ex : caméras de surveillance avec reconnaissance faciale en direct).
• 🛑 Interdiction de la catégorisation biométrique basée sur des données sensibles (race, religion, orientation sexuelle).
• 🛑 Interdiction de la notation sociale basée sur des données biométriques.
• 🛑 Interdiction de la reconnaissance des émotions sur le lieu de travail et dans les établissements d’enseignement.

Les dérogations sont extrêmement limitées et soumises à autorisation préalable d’une autorité judiciaire ou administrative indépendante. En France, la CNIL est l’autorité compétente. Les cas autorisés en 2026 incluent :

• Recherche de personnes disparues (victimes d’enlèvement, personnes vulnérables).
• Prévention d’une menace terroriste imminente et grave.
• Identification d’un suspect dans le cadre d’une enquête pénale pour crime grave (liste limitative : meurtre, viol, terrorisme).

⚖️ « La dérogation pour menace terroriste doit être justifiée par des éléments concrets et proportionnés. Une simple hypothèse de trouble à l’ordre public ne suffit pas. La charge de la preuve incombe à l’autorité requérante. » – Lignes directrices CNIL, mars 2026

4. Obligations concrètes pour les déployeurs et fournisseurs

La réglementation outil impose une série d’obligations distinctes selon que vous êtes fournisseur (développeur, importateur) ou déployeur (utilisateur final). En 2026, les contrôles se sont intensifiés :

Pour les fournisseurs

• Mise en place d’un système de gestion des risques documenté (article 9).
• Réalisation d’une évaluation de conformité (auto-évaluation ou via un organisme notifié si le système utilise des données biométriques sensibles).
• Transparence : marquage clair des systèmes biométriques, information des utilisateurs.
• Enregistrement dans la base de données européenne EUDAME.

Pour les déployeurs

• Analyse d’impact relative aux droits fondamentaux (FIA) obligatoire avant tout déploiement.
• Information individuelle des personnes concernées (affichage, notification, panneaux).
• Registre des traitements biométriques tenu à jour.
• Désignation d’un responsable du suivi de la conformité (souvent le DPO).

⚖️ « L’analyse d’impact ne doit pas être un simple document formel. Elle doit démontrer concrètement pourquoi le système est nécessaire, proportionné, et quelles mesures d’atténuation sont mises en œuvre. En 2026, la CNIL exige une version publique anonymisée. » – Recommandation IAOfficiel.fr, 2026

5. L’interprétation de la CNIL et les premières sanctions

La CNIL a publié en décembre 2025 ses lignes directrices actualisées sur l’IA biométrique. Elle y précise notamment que la simple capture d’une image faciale sans extraction de données biométriques n’est pas soumise à l’EU AI Act, mais reste régie par le RGPD. En revanche, dès que l’algorithme extrait un gabarit biométrique (même en local), le système devient un outil d’IA biométrique au sens de la réglementation outil.

En 2026, la CNIL a prononcé trois sanctions notables :

• Sanction de 2,5 millions d’euros contre une société de gestion d’immeubles utilisant la reconnaissance faciale pour le contrôle d’accès sans analyse d’impact préalable.
• Injonction sous astreinte contre un centre commercial ayant déployé un outil de catégorisation par âge et sexe sans information des clients.
• Amende de 4 millions d’euros contre une plateforme de e-learning utilisant la reconnaissance des émotions pour évaluer les étudiants.

⚖️ « Les sanctions de la CNIL en 2026 montrent que l’absence de conformité n’est plus tolérée. Même les entreprises de taille moyenne sont dans le viseur. La réglementation outil s’applique sans égard à la bonne foi. » – Analyse du cabinet IAOfficiel.fr

6. Jurisprudence 2026 : le cas de l’expérimentation dans les transports

Le Conseil d’État a rendu le 15 février 2026 une décision majeure concernant l’expérimentation d’un outil d’IA biométrique dans les gares SNCF. Le dispositif, destiné à identifier les personnes signalées pour des infractions graves, a été jugé contraire à l’EU AI Act.

Les motifs de la décision :

• L’expérimentation n’était pas limitée à des situations d’urgence imminente (menace terroriste).
• L’autorisation préfectorale n’était pas suffisante : une autorisation judiciaire préalable était requise.
• L’analyse d’impact n’avait pas été rendue publique, violant le principe de transparence.

Cette jurisprudence fixe un précédent : toute utilisation d’IA biométrique par les autorités publiques doit être strictement proportionnée, limitée dans le temps et dans l’espace, et soumise à un contrôle judiciaire effectif. La réglementation outil ne tolère pas les expérimentations « à blanc » sans base légale solide.

⚖️ « L’expérimentation dans les gares a été qualifiée de traitement disproportionné. Le Conseil d’État rappelle que la reconnaissance faciale en temps réel dans l’espace public est interdite, sauf dérogation expresse et limitée. » – Extrait de l’arrêt CE, 15 février 2026, n° 489123

7. Articulation RGPD et IA biométrique : les pièges à éviter

La réglementation outil de l’EU AI Act ne remplace pas le RGPD, elle s’y superpose. Tout traitement de données biométriques doit respecter les principes du RGPD, notamment :

• Licéité : base légale valide (consentement explicite, obligation légale, intérêt public majeur).
• Minimisation : les données biométriques doivent être adéquates, pertinentes et limitées à ce qui est nécessaire.
• Consentement : s’il est utilisé comme base légale, il doit être libre, spécifique, éclairé et univoque. Attention : le consentement n’est pas valable en cas de déséquilibre de pouvoir (relation employeur-employé).

Un piège fréquent en 2026 : l’utilisation de la « reconnaissance faciale » pour le contrôle d’accès dans les entreprises. La CNIL considère que le consentement des employés n’est pas libre en raison du lien de subordination. La seule base légale acceptable est l’obligation légale (ex : sécurité dans une centrale nucléaire) ou l’intérêt légitime, mais à condition de démontrer que l’objectif ne peut être atteint par un moyen moins intrusif.

⚖️ « Le RGPD interdit le traitement de données biométriques pour identifier une personne de manière unique, sauf exceptions. L’EU AI Act ajoute une couche supplémentaire pour les systèmes d’IA. Les deux textes doivent être lus ensemble. » – Guide pratique CNIL, 2026

8. Guide pratique : auditer votre conformité en 5 étapes

Pour vous aider à naviguer dans la réglementation outil applicable à l’IA biométrique, voici un audit en 5 étapes, validé par les experts d’IAOfficiel.fr :

1. Étape 1 : Cartographie des traitements – Listez tous les outils utilisant des données biométriques (caméras, capteurs, logiciels). Identifiez le fournisseur, la finalité, le type de données.
2. Étape 2 : Qualification du risque – Appliquez les critères de l’EU AI Act (articles 6 et 7, annexe III). Si le système est haut risque, passez à l’étape 3.
3. Étape 3 : Vérification des interdictions – Assurez-vous que votre usage n’est pas dans la liste des pratiques interdites (reconnaissance en temps réel dans l’espace public, catégorisation sensible, etc.).
4. Étape 4 : Documentation obligatoire – Rassemblez l’analyse d’impact (FIA), l’évaluation de conformité, le registre de traitement, l’information des personnes.
5. Étape 5 : Contrôle et mise à jour – Prévoyez une revue annuelle de la conformité. En 2026, la CNIL peut demander ces documents à tout moment, sans préavis.

⚖️ « Un audit bien mené permet non seulement d’éviter les sanctions, mais aussi de démontrer votre diligence auprès des autorités et du public. La transparence est devenue un avantage concurrentiel. » – Cabinet IAOfficiel.fr