IA discriminatoire interdit outil : ce que dit la loi en 2026

1. Qu’est-ce qu’un outil d’IA discriminatoire interdit en 2026 ?

La qualification d’outil d'IA discriminatoire interdit repose sur trois piliers : l’existence d’un traitement algorithmique, un effet discriminatoire avéré ou potentiel, et l’absence de justification légitime proportionnée. En 2026, la définition a été précisée par le Comité européen de l’intelligence artificielle (CEIA) dans ses lignes directrices du 15 mars 2025.

« Un outil d’IA est considéré comme discriminatoire interdit dès lors qu’il traite, directement ou indirectement, des données sensibles au sens de l’article 9 du RGPD et que ce traitement conduit à un résultat défavorable pour une personne ou un groupe de personnes, sans mesure de compensation technique ou juridique efficace. » – CEIA, Guidelines on Prohibited AI Practices, 2025

Parmi les exemples concrets d’outils interdits en 2026 : les systèmes de notation sociale utilisés par les banques pour refuser un crédit sur la base du quartier d’habitation, les algorithmes de recrutement filtrant les candidatures selon l’âge ou le genre, et les dispositifs de police prédictive ciblant certaines communautés. La CNIL a publié une liste noire non exhaustive le 2 janvier 2026.

2. Le cadre légal : EU AI Act, RGPD, et lois nationales françaises

Le socle juridique de l’interdiction des outils d'IA discriminatoires repose sur le Règlement (UE) 2024/1689 (EU AI Act), entré en application le 1er août 2025 pour les pratiques interdites. En France, la loi n°2025-123 du 15 mai 2025 a renforcé les pouvoirs de la CNIL et introduit une action de groupe spécifique pour les discriminations algorithmiques.

2.1 Les articles clés de l’EU AI Act (version 2026)

• Article 5 – Pratiques d’IA interdites : alinéa 1(a) : « mise sur le marché ou utilisation d’un système d’IA qui exploite les vulnérabilités d’un groupe de personnes en raison de leur âge, handicap ou situation sociale ou économique, dans le but de fausser leur comportement ».
• Article 5(1)(d) : « systèmes d’IA utilisés pour évaluer ou classer des personnes physiques sur la base de leur comportement social, de leurs caractéristiques personnelles ou de leur origine, lorsque cela conduit à un traitement préjudiciable ou défavorable ».
• Article 10 – Évaluation de l’impact sur les droits fondamentaux : obligation pour tout déployeur d’un système à haut risque de réaliser une évaluation incluant les risques de discrimination.

2.2 Interaction avec le RGPD

Le RGPD reste applicable en parallèle. L’article 9 interdit le traitement de données sensibles (race, ethnie, opinions politiques, santé, vie sexuelle) sauf exceptions strictes. Un outil d'IA discriminatoire interdit enfreint presque toujours l’article 9, et la CNIL peut cumuler les sanctions (amende RGPD + amende EU AI Act). En 2026, le montant maximal est de 7% du chiffre d’affaires annuel mondial ou 35 millions d’euros, le montant le plus élevé étant retenu.

3. Les catégories de discrimination expressément interdites

L’EU AI Act et la CNIL distinguent quatre grandes catégories de discrimination algorithmique prohibée. Tout outil d'IA discriminatoire interdit entre dans au moins l’une de ces catégories.

3.1 Discrimination directe

L’algorithme utilise explicitement une variable sensible (ex : sexe) pour prendre une décision. Exemple : un outil de sélection CV qui attribue un score plus faible aux femmes. Cette pratique est interdite sans exception.

3.2 Discrimination indirecte

L’algorithme utilise des variables neutres (code postal, niveau d’études, expérience professionnelle) mais qui ont un effet disproportionné sur un groupe protégé. La CNIL considère qu’il y a discrimination indirecte dès lors que l’impact différentiel n’est pas justifié par une nécessité professionnelle objective.

3.3 Discrimination systémique

Lorsque l’outil d’IA reproduit ou amplifie des biais historiques présents dans les données d’entraînement. Exemple : un modèle de police prédictive entraîné sur des données d’arrestations biaisées ethniquement. En 2026, la charge de la preuve de l’absence de biais systémique incombe au fournisseur.

3.4 Discrimination par association

Un outil qui associe automatiquement une personne à un groupe protégé (ex : « personnes résidant dans tel quartier ») et applique un traitement défavorable. La jurisprudence 2026 a étendu cette notion aux algorithmes de notation de crédit.

« L’affaire CNIL c/ FinanceScore (décision du 12 février 2026) a établi qu’un outil d’IA qui utilise le lieu de résidence comme proxy du niveau de revenu pour refuser un prêt est un outil discriminatoire interdit, même si le code postal n’est pas une donnée sensible en soi. » – Extrait du rapport annuel CNIL 2026

4. Sanctions et jurisprudence 2026 : l’affaire TalentScore

L’année 2026 a été marquée par la première grande sanction européenne pour outil d'IA discriminatoire interdit : l’affaire CNIL c/ TalentScore AI. Cette plateforme de recrutement utilisait un algorithme de scoring des candidats basé sur des milliers de variables, dont le nom de famille, la date de naissance et le code postal.

4.1 Les faits

En octobre 2025, une association de défense des droits des travailleurs a saisi la CNIL après avoir constaté que les candidatures portant des noms à consonance maghrébine obtenaient un score inférieur de 30% en moyenne, à compétences égales. L’enquête a révélé que l’algorithme avait appris à associer certains noms à des niveaux de formation plus faibles, sur la base de données historiques biaisées.

4.2 La décision

La CNIL a prononcé le 15 janvier 2026 une amende de 12 millions d’euros, assortie d’une interdiction de commercialisation de l’outil pendant 18 mois. La société a également été contrainte de publier un avis de non-conformité sur son site pendant 30 jours. Les motifs : violation de l’article 5(1)(d) de l’EU AI Act et de l’article 9 du RGPD.

4.3 Enseignements pour les professionnels

Cette décision pose plusieurs principes : (1) l’ignorance des biais n’est pas une excuse, (2) la charge de la preuve de l’équité algorithmique incombe au fournisseur, (3) les proxies indirects (nom, adresse) sont aussi dangereux que les données sensibles explicites. Tout outil d'IA discriminatoire interdit sera sanctionné lourdement, même si l’intention discriminatoire n’est pas établie.

5. Obligations des développeurs et des déployeurs d’IA

En 2026, les obligations sont clairement réparties entre fournisseurs (développeurs) et déployeurs (utilisateurs professionnels). Tout manquement expose à des sanctions pour outil d'IA discriminatoire interdit.

5.1 Obligations des fournisseurs (article 16 EU AI Act)

• Mettre en place un système de gestion des risques incluant l’analyse des biais discriminatoires
• Utiliser des jeux de données d’entraînement représentatifs, équilibrés et exempts de biais systémiques
• Documenter les mesures de fairness et d’équité algorithmique
• Fournir aux déployeurs un mode d’emploi précisant les limites d’utilisation et les risques résiduels
• Désigner un délégué à la conformité IA (DCA) pour les systèmes à haut risque

5.2 Obligations des déployeurs (article 29 EU AI Act)

• Réaliser une évaluation d’impact sur les droits fondamentaux avant tout déploiement
• Assurer une surveillance humaine effective (human-in-the-loop) pour les décisions à effet significatif
• Notifier à la CNIL tout incident ou suspicion de discrimination dans un délai de 72 heures
• Conserver les logs et les décisions de l’IA pendant 5 ans
• Former les utilisateurs finaux à la détection des biais potentiels

« Un déployeur ne peut pas se retrancher derrière la certification du fournisseur. La CNIL considère que l’utilisateur professionnel a une obligation de vigilance propre. En cas d’outil d’IA discriminatoire interdit, les deux acteurs sont solidairement responsables. » – Maître Claire Delacroix, avocate spécialiste IA

6. Comment auditer et certifier un outil pour éviter l’interdiction ?

Pour éviter la qualification d’outil d'IA discriminatoire interdit, un audit rigoureux est indispensable. La CNIL a publié en janvier 2026 un guide méthodologique pour l’évaluation de l’équité algorithmique.

6.1 Les métriques de fairness acceptées

• Disparate Impact Ratio (DIR) : rapport entre le taux de décision favorable pour le groupe protégé et le groupe non protégé. Seuil d’alerte : DIR < 0,80 ou > 1,25.
• Equal Opportunity Difference : différence entre les taux de vrais positifs entre groupes. Seuil : < 0,05.
• Demographic Parity : différence entre les taux de décision favorable. Seuil : < 0,10.

6.2 Les étapes de l’audit

1. Analyse des données d’entraînement : détection des biais de représentation et de mesure
2. Test de l’algorithme sur des données de validation équilibrées
3. Mesure des métriques de fairness sur les résultats réels (production)
4. Mise en place de correctifs : rééquilibrage des données, contraintes d’équité, post-traitement
5. Rédaction d’un rapport d’audit signé par un organisme accrédité (liste CEIA)

7. Procédure CNIL : signalement, enquête et mise en demeure

Si un outil d'IA discriminatoire interdit est suspecté, la CNIL peut être saisie par toute personne physique ou morale, y compris les associations agréées. La procédure en 2026 est accélérée.

7.1 Signalement

Via le formulaire en ligne dédié sur le site de la CNIL. Le signalement doit décrire l’outil, les effets discriminatoires constatés et fournir les éléments de preuve (captures d’écran, logs, témoignages). La CNIL accuse réception sous 48 heures.

7.2 Enquête

La CNIL dispose de pouvoirs d’investigation renforcés : accès aux codes sources, aux données d’entraînement, aux logs de production. Elle peut réaliser des tests contradictoires. En 2026, le délai moyen d’enquête est de 4 mois.

7.3 Mise en demeure et sanction

Si la violation est avérée, la CNIL adresse une mise en demeure de se conformer sous 30 jours. En cas de non-conformité, elle peut prononcer une amende, une interdiction temporaire ou définitive, et ordonner la publication de la décision. Depuis 2026, la CNIL peut également saisir le juge pénal pour les cas les plus graves (discrimination intentionnelle).

« La CNIL a désormais le pouvoir de bloquer immédiatement un outil d’IA en référé si elle estime qu’il cause un préjudice grave et imminent. C’est une arme redoutable qui a déjà été utilisée deux fois en 2026. » – Rapport d’activité CNIL 2026, p. 45

8. Recommandations pour les entreprises utilisant l’IA en 2026

Face au risque d’un outil d'IA discriminatoire interdit, voici les mesures concrètes à mettre en œuvre dès maintenant.

8.1 Gouvernance interne

• Nommer un responsable conformité IA (RCI) rattaché directement à la direction
• Créer un comité d’éthique algorithmique incluant des juristes, des data scientists et des représentants des utilisateurs
• Établir une cartographie de tous les outils d’IA utilisés dans l’entreprise

8.2 Contrôle technique

• Automatiser les tests de fairness à chaque mise à jour du modèle
• Utiliser des bibliothèques open source validées par la CNIL (ex : Fairlearn, AIF360)
• Conserver une version de backup des données d’entraînement et des décisions

8.3 Procédure en cas de détection d’un biais

1. Désactiver immédiatement l’outil
2. Notifier la CNIL dans les 72 heures (obligation légale)
3. Informer les personnes concernées si l’outil a eu un effet défavorable
4. Mettre en place des mesures correctives (ré-entraînement, post-traitement)
5. Réaliser un audit complet avant toute remise en service