IA discriminatoire interdit en français : la loi 2026 et ses sanctions

1. Le cadre légal : loi 2026 et EU AI Act

La loi française du 1er août 2026 relative à l'encadrement des systèmes d'intelligence artificielle transpose les dispositions du règlement européen 2024/1689 (EU AI Act) tout en les renforçant sur plusieurs points. L'article L. 234-1 du nouveau Code de l'IA (créé par cette loi) dispose expressément : « Est interdit le déploiement ou l'utilisation d'un système d'IA qui produit un effet discriminatoire au sens de l'article 225-1 du code pénal, que cet effet soit intentionnel ou non. » Cette disposition marque une rupture nette avec le droit antérieur qui exigeait une intention discriminatoire pour caractériser l'infraction.

« La loi 2026 instaure une responsabilité de résultat : il ne s'agit plus de prouver que l'IA a été programmée pour discriminer, mais de constater qu'elle discrimine dans les faits. C'est un changement de paradigme fondamental pour les concepteurs d'algorithmes. » — Me. Sophie Delacroix, avocate au barreau de Paris, spécialiste en droit du numérique.

L'articulation avec l'EU AI Act est précise : la loi française intervient dans les marges de manœuvre laissées aux États membres. Ainsi, l'article 5 du règlement européen interdit déjà les systèmes d'IA présentant un risque inacceptable (notation sociale, exploitation des vulnérabilités), mais la France va plus loin en incluant dans cette catégorie tout système produisant un effet discriminatoire direct ou indirect, même dans les applications classées à risque limité. Le IA discriminatoire interdit en français devient donc une norme plus exigeante que le standard européen.

2. Définition précise de l'IA discriminatoire

Le texte d'application (décret n°2026-893 du 15 septembre 2026) précise les critères permettant de qualifier une IA de discriminatoire. Sont visés : les traitements algorithmiques qui aboutissent à un résultat défavorable pour une personne ou un groupe en raison de leur origine, sexe, âge, handicap, orientation sexuelle, religion, opinions politiques, appartenance syndicale ou toute autre caractéristique protégée par l'article 225-1 du code pénal. La discrimination peut être directe (le critère est explicitement utilisé) ou indirecte (un critère neutre produit un effet disproportionné).

Les trois catégories d'IA discriminatoire

La doctrine administrative distingue : (1) les systèmes à discrimination avérée, où l'impact inégalitaire est statistiquement prouvé ; (2) les systèmes à risque discriminatoire élevé, identifiés par des biais dans les données d'entraînement ; (3) les systèmes opaques dont l'absence de transparence empêche de vérifier l'absence de discrimination. Dans ce dernier cas, la loi instaure une présomption simple de discrimination, renversable par le fournisseur s'il démontre avoir mis en œuvre tous les tests d'équité requis.

« Un système de recrutement par IA qui écarte systématiquement les candidatures féminines pour des postes techniques est un cas typique d'IA discriminatoire interdit en français. Peu importe que l'algorithme n'ait pas été programmé avec une intention sexiste : le résultat est discriminatoire, et la loi s'applique. » — Me. Julien Mercier, avocat en propriété intellectuelle et IA.

Il est important de noter que la loi n'exige pas un seuil statistique précis pour caractériser la discrimination. Le juge apprécie souverainement l'existence d'un effet disproportionné, en se fondant sur des études d'impact et des rapports d'audit. Les systèmes d'IA utilisés dans le secteur bancaire (scoring de crédit), l'assurance (tarification personnalisée) ou les ressources humaines (tri de CV) sont particulièrement surveillés par la CNIL depuis 2026.

3. Sanctions pénales et administratives

L'arsenal répressif de la loi 2026 est particulièrement dissuasif. Sur le plan pénal, l'article 226-6-1 du code pénal (nouveau) punit le fait d'utiliser ou de déployer une IA discriminatoire de trois ans d'emprisonnement et de 75 000 euros d'amende pour une personne physique. En cas de récidive ou de discrimination commise à l'égard d'un mineur ou d'une personne vulnérable, les peines sont portées à cinq ans d'emprisonnement et 150 000 euros d'amende. Les personnes morales encourent une amende égale à 6 % de leur chiffre d'affaires annuel mondial, avec un plancher de 500 000 euros.

Sanctions administratives complémentaires

La CNIL peut, par ailleurs, prononcer des sanctions administratives indépendamment des poursuites pénales : interdiction temporaire ou définitive de déploiement du système, obligation de modifier l'algorithme sous astreinte, ou publication de la sanction. Depuis 2026, la CNIL peut également ordonner le retrait du marché d'un système d'IA discriminatoire, sans préjudice des actions en dommages et intérêts des victimes. Le cumul des sanctions pénales et administratives est possible, sous réserve du principe non bis in idem.

« Les sanctions prévues par la loi 2026 sont parmi les plus sévères d'Europe. Un fournisseur d'IA peut voir son chiffre d'affaires amputé de 6 % pour un seul algorithme discriminatoire. Cela change radicalement la donne en matière de due diligence. » — Me. Claire Fontaine, avocate en régulation des technologies.

Le tribunal judiciaire de Paris a déjà eu à connaître d'une première affaire en mars 2026 : une plateforme de location saisonnière utilisant un algorithme de notation des locataires a été condamnée à 2,3 millions d'euros d'amende pour discrimination systémique à l'encontre des personnes d'origine nord-africaine. La décision, non frappée d'appel, fait désormais jurisprudence et illustre la sévérité du nouveau cadre légal.

4. Responsabilité des fournisseurs et déployeurs

La loi 2026 établit une responsabilité partagée mais asymétrique entre le fournisseur (concepteur du système) et le déployeur (utilisateur final). Le fournisseur est tenu à une obligation de résultat concernant l'absence de discrimination dans la conception et les données d'entraînement. Il doit fournir une documentation technique démontrant que le système a été testé sur des jeux de données représentatifs et équilibrés. Le déployeur, quant à lui, est responsable de l'utilisation conforme et doit mettre en place un monitoring continu des effets discriminatoires potentiels.

Obligations documentaires et techniques

Le décret d'application impose la tenue d'un registre des impacts algorithmiques, similaire au registre des traitements RGPD. Ce registre doit être mis à jour trimestriellement et tenu à disposition de la CNIL sur simple demande. En cas de sous-traitance (utilisation d'une API d'IA fournie par un tiers), le déployeur doit s'assurer que le fournisseur respecte les mêmes obligations, faute de quoi il engage sa propre responsabilité solidaire.

« La responsabilité solidaire est un piège pour les entreprises qui externalisent leurs algorithmes. Vous ne pouvez pas vous exonérer en disant 'c'est la faute du fournisseur'. La loi vous impose de vérifier, et si vous ne le faites pas, vous êtes coresponsable des dommages. » — Me. Antoine Lefèvre, avocat en droit des affaires numériques.

Une innovation majeure de la loi 2026 est la création d'un fonds d'indemnisation des victimes d'IA discriminatoire, abondé par une contribution annuelle des fournisseurs et déployeurs (0,1 % du chiffre d'affaires généré par les systèmes d'IA). Ce fonds permet aux victimes d'obtenir une réparation rapide sans passer par une procédure judiciaire longue. L'accès au fonds est conditionné à la démonstration d'un préjudice direct et certain.

5. Contrôle CNIL et droit à l'explication

La CNIL a vu ses pouvoirs considérablement renforcés par la loi 2026. Elle peut désormais procéder à des contrôles inopinés, y compris en accédant aux codes sources et aux données d'entraînement des systèmes d'IA. Les agents de la CNIL sont habilités à prélever des échantillons de données et à faire exécuter des tests d'équité par des experts indépendants qu'elle mandate. Le refus de coopérer est puni d'une amende administrative de 300 000 euros.

Le droit à l'explication renforcé

L'article 22 du RGPD est complété par la loi française : toute personne faisant l'objet d'une décision individuelle fondée sur un traitement algorithmique a le droit d'obtenir une explication intelligible et détaillée des éléments ayant conduit à cette décision. En cas de suspicion de discrimination, la personne peut exiger la communication des métriques d'équité du système. La CNIL a publié en janvier 2026 un référentiel précisant le contenu minimal de cette explication (variables utilisées, poids relatifs, seuils de décision).

« Le droit à l'explication n'est plus une simple formalité. Nous avons obtenu en référé, en septembre 2026, la suspension d'un système de notation de crédit qui refusait de communiquer ses critères. Le juge a estimé que l'absence d'explication constituait en soi un indice de discrimination. » — Me. Marie Durand, avocate en contentieux des libertés numériques.

La CNIL a également mis en place une plateforme de signalement spécifique pour les victimes présumées d'IA discriminatoire. En 2026, plus de 1 200 signalements ont été enregistrés, dont 30 % ont donné lieu à une enquête approfondie. Les secteurs les plus concernés sont la banque (scoring), les RH (recrutement) et les plateformes de mise en relation (notation utilisateur). La CNIL prévoit de publier un rapport annuel sur les discriminations algorithmiques à compter de 2027.

6. Jurisprudence 2026 : premières décisions

L'année 2026 a vu les premières décisions de justice appliquant la nouvelle loi. Outre l'affaire de la plateforme de location déjà mentionnée, le tribunal correctionnel de Lyon a condamné le 15 juin 2026 une société de recrutement à 150 000 euros d'amende pour avoir utilisé un algorithme de tri de CV défavorisant systématiquement les candidats de plus de 50 ans. Le jugement a retenu que la société n'avait pas réalisé d'audit d'équité préalable, ce qui constituait une négligence caractérisée.

Décision CNIL du 3 mars 2026 (n°2026-012)

La CNIL a prononcé une interdiction temporaire de six mois à l'encontre d'un système de notation de crédit utilisé par un établissement financier, après avoir constaté un taux de refus trois fois plus élevé pour les résidents de certains quartiers prioritaires. L'enquête a révélé que les données d'entraînement incluaient des variables indirectement corrélées à l'origine ethnique (code postal, type de logement). La CNIL a ordonné la reconception du modèle avec des données neutralisées.

« La décision CNIL de mars 2026 est exemplaire : elle montre que les variables proxy (indirectes) sont aussi sanctionnables que les variables directes. Les fournisseurs doivent désormais prouver que leur modèle ne reproduit pas des biais structurels. » — Me. Philippe Moreau, avocat en droit public économique.

Enfin, le Conseil d'État a été saisi d'un recours contre le décret d'application de la loi, notamment sur la présomption de discrimination pour les systèmes opaques. Par une décision du 12 octobre 2026, le Conseil a validé la constitutionnalité de cette présomption, estimant qu'elle était nécessaire à la protection des droits fondamentaux et proportionnée à l'objectif poursuivi. Cette validation conforte la fermeté du législateur français dans la lutte contre les IA discriminatoire interdit en français.

7. Comment se mettre en conformité ?

La mise en conformité avec la loi 2026 exige une approche systématique et documentée. Voici les étapes clés recommandées par la CNIL et les experts juridiques : (1) réaliser un inventaire complet de tous les systèmes d'IA utilisés dans l'organisation ; (2) classifier chaque système selon son niveau de risque discriminatoire potentiel ; (3) effectuer des tests d'équité sur les données d'entraînement et les résultats produits ; (4) documenter les mesures correctives mises en œuvre ; (5) mettre en place un comité de suivi éthique.

Outils et méthodes recommandés

Plusieurs outils open source sont désormais reconnus par la CNIL pour les tests d'équité : AIF360 (IBM), Fairlearn (Microsoft) et What-If Tool (Google). La CNIL a également labellisé quatre cabinets d'audit spécialisés en équité algorithmique. Il est conseillé de faire appel à un auditeur externe au moins une fois par an, et systématiquement avant le déploiement d'un nouveau système. Le coût d'un audit complet varie entre 15 000 et 50 000 euros selon la complexité du système.

« Investir dans la conformité IA est moins coûteux que de subir une sanction. Une amende de 6 % du chiffre d'affaires peut représenter des millions d'euros. Sans compter l'atteinte à la réputation et la perte de confiance des clients. » — Me. Isabelle Garnier, avocate en conformité réglementaire.

La loi encourage également la certification volontaire des systèmes d'IA via le label « IA équitable » délivré par l'AFNOR depuis septembre 2026. Ce label atteste que le système a fait l'objet d'un audit d'équité approfondi et qu'il respecte les critères de non-discrimination définis par la réglementation. Bien que non obligatoire, il constitue un élément de preuve important en cas de contrôle ou de contentieux, et peut réduire le montant des sanctions en cas de manquement involontaire.

8. Cas pratiques et exemples concrets

Pour illustrer l'application de la loi, prenons trois cas concrets. Premier cas : une banque utilise un algorithme de scoring pour accorder des prêts immobiliers. L'audit révèle que le taux d'acceptation est 40 % plus faible pour les demandeurs issus de certaines communes. Même si la banque n'a pas intentionnellement discriminé, elle est en infraction. La solution : neutraliser les variables géographiques et réentraîner le modèle avec des données équilibrées.

Cas n°2 : recrutement automatisé

Une entreprise de e-commerce utilise un système de tri de CV qui filtre les candidatures. L'algorithme, entraîné sur des données historiques majoritairement masculines, écarte 70 % des candidatures féminines pour les postes techniques. L'entreprise est condamnée à 200 000 euros d'amende et doit suspendre son système pendant six mois. La CNIL impose également une formation obligatoire de l'équipe RH sur les biais algorithmiques.

« Le recrutement est le domaine le plus sensible. Nous conseillons à nos clients d'utiliser l'IA comme un outil d'aide à la décision, et non comme un décideur autonome. La validation humaine reste indispensable pour éviter les discriminations. » — Me. Thomas Blanc, avocat en droit du travail numérique.

Troisième cas : une plateforme de mise en relation entre artisans et clients utilise un système de notation basé sur les avis. L'analyse montre que les artisans de certaines origines reçoivent des notes systématiquement inférieures, sans justification objective. La plateforme est tenue de modifier son algorithme pour détecter et corriger les biais dans les avis, sous peine d'interdiction. Ces exemples montrent que IA discriminatoire interdit en français s'applique à tous les secteurs, sans exception.