IA biométrique réglementation professionnel : obligations haute risque 2026

1. Qu’est-ce qu’un système d’IA biométrique « haute risque » en 2026 ?

La réglementation professionnel de l’IA biométrique repose sur une classification précise. Selon l’article 6 du règlement (UE) 2024/1689, est considéré comme « haute risque » tout système d’IA biométrique utilisé pour : l’identification à distance d’une personne physique, la catégorisation biométrique (émotions, caractères, comportements), ou la surveillance en milieu professionnel. Sont inclus les dispositifs de reconnaissance faciale, d’empreintes digitales, d’iris, de voix, ou de démarche.

Depuis le 2 février 2026, cette classification est automatique pour tout usage dans le cadre du travail (contrôle d’accès, pointage, surveillance des performances). Le professionnel ne peut plus arguer de l’absence de décision de la CNIL : la loi est immédiatement applicable.

« Un professionnel qui utilise un système de reconnaissance faciale pour le contrôle d’accès à ses locaux est automatiquement soumis au régime haute risque. Il doit avoir réalisé une analyse d’impact avant le 2 mai 2026. Passé ce délai, tout manquement est passible d’une amende administrative. »

— Maître Julien Fontaine, avocat expert en IA et protection des données

2. Les interdictions absolues et les exceptions professionnelles

L’article 5 de l’EU AI Act interdit formellement depuis le 2 février 2026 l’utilisation de systèmes d’IA biométrique pour : le scoring social basé sur des données biométriques, l’identification en temps réel dans l’espace public à des fins répressives (sauf dérogation judiciaire très limitée), et la création de bases de données biométriques par moissonnage non ciblé d’images. Pour les professionnels, l’interdiction concerne aussi la surveillance émotionnelle systématique des employés sans base légale impérieuse.

Exceptions possibles : si le système est utilisé exclusivement pour la sécurité des travailleurs (zones à haut risque, manipulation de produits dangereux) avec une analyse d’impact validée par la CNIL. Dans ce cas, une information individuelle et un droit d’opposition doivent être garantis.

3. Analyse d’impact et documentation obligatoire (EU AI Act – articles 9, 10, 11)

L’article 9 impose une analyse d’impact relative aux droits fondamentaux (AIFR) avant toute mise en service. Cette analyse doit couvrir : les risques de biais, l’impact sur la vie privée, la non-discrimination, et les mesures de mitigation. L’article 10 exige une documentation technique complète (conception, données d’entraînement, précision, taux d’erreur). L’article 11 rend obligatoire la tenue d’un registre de fonctionnement pour chaque système.

Pour les professionnels, cela signifie : rédiger un dossier technique, mettre en place une journalisation des accès et décisions, et prouver que le système a été évalué par un organisme notifié si nécessaire. En 2026, la plupart des systèmes biométriques « haute risque » doivent être certifiés CE.

« L’absence de documentation technique est la première cause de sanction. En 2025, une société de sécurité a été condamnée à 2,3 millions d’euros pour avoir utilisé un système de reconnaissance faciale sans registre ni analyse d’impact. La CJUE a confirmé la décision en mars 2026. »

— Extrait de l’arrêt CJUE C-458/25, 12 mars 2026

4. Contrôle humain et gouvernance : le professionnel en première ligne

L’article 14 de l’EU AI Act impose un contrôle humain effectif. Le professionnel doit désigner une personne physique habilitée à superviser le système, capable d’interrompre son fonctionnement à tout moment. Cette personne doit être formée et ne pas être en situation de conflit d’intérêts. En 2026, la CNIL exige la nomination d’un responsable IA au sein de l’organisation.

De plus, un comité d’éthique interne doit être mis en place pour les structures de plus de 250 salariés. Ce comité examine les cas d’usage, valide les analyses d’impact et peut recommander le retrait du système.

5. RGPD et données biométriques : base légale et consentement explicite

Les données biométriques sont des données sensibles au sens de l’article 9 du RGPD. Leur traitement est interdit sauf si : consentement explicite et libre (pas de pression hiérarchique), nécessité pour l’exécution d’un contrat de travail (très restrictif), ou motif d’intérêt public important (sécurité nationale, santé). En milieu professionnel, le consentement est souvent présumé vicié. La CNIL recommande de privilégier une base légale alternative : obligation légale (sécurité) ou intérêt légitime impérieux avec garanties fortes.

6. Notification aux autorités et enregistrement dans la base de données UE

L’article 49 de l’EU AI Act impose aux professionnels de notifier leur système à la base de données européenne gérée par la Commission. Cette notification doit inclure : le nom du système, le type d’IA biométrique, l’analyse d’impact, l’évaluation de conformité, et les mesures de contrôle humain. En 2026, le délai de notification est de 10 jours avant la mise en service.

La CNIL a également mis en place un registre national. Tout professionnel utilisant une IA biométrique haute risque doit s’y enregistrer et mettre à jour les informations tous les 6 mois.

7. Sanctions, jurisprudence et risques contentieux en 2026

Les sanctions sont dissuasives : jusqu’à 7 % du chiffre d’affaires annuel mondial ou 35 millions d’euros (le montant le plus élevé). En 2026, la CJUE a rendu plusieurs arrêts clés : affaire C-458/25 (absence de documentation), affaire C-512/25 (utilisation de la reconnaissance faciale sans base légale) et affaire C-601/25 (contrôle humain insuffisant). Ces décisions confirment une interprétation stricte de la réglementation.

Les professionnels doivent également anticiper les actions en dommages et intérêts des personnes concernées (employés, visiteurs). Les premières class actions sont en cours en France et en Allemagne.

« La jurisprudence de 2026 est sans appel : le professionnel est présumé responsable du non-respect des obligations haute risque. Il lui incombe de prouver sa conformité. L’ignorance de la réglementation n’est plus une excuse. »

— Maître Julien Fontaine

8. Check-list professionnelle : conformité immédiate

Voici les actions à réaliser sans délai :

• Identifier tous les systèmes d’IA biométrique utilisés (même en test).
• Classer chaque système (haute risque ou non) selon l’EU AI Act.
• Réaliser une analyse d’impact (AIFR) avec l’aide d’un expert juridique.
• Documenter le système (articles 10 et 11).
• Notifier le système à la base de données UE et au registre CNIL.
• Désigner un responsable IA et former les superviseurs.
• Mettre en place un comité d’éthique (si +250 salariés).
• Réviser la base légale du traitement (RGPD article 9).
• Informer individuellement les personnes concernées.
• Prévoir un audit externe annuel.