IA discriminatoire interdite : certification obligatoire en 2026

1. Qu’est-ce qu’une IA discriminatoire ? Définition juridique

Le droit européen (Directive 2000/43/CE, Directive 2000/78/CE) et le Règlement IA définissent une IA discriminatoire comme tout système algorithmique qui produit un traitement défavorable ou un désavantage particulier pour une personne ou un groupe en raison d’un critère prohibé. Le Règlement 2024/1689 (EU AI Act) liste explicitement les motifs : race, couleur, origine ethnique ou sociale, caractéristiques génétiques, langue, religion, opinion politique, appartenance à une minorité nationale, fortune, naissance, handicap, âge ou orientation sexuelle.

Les biais algorithmiques sanctionnés

Une IA peut être discriminatoire de manière directe (ex : refuser un prêt en fonction du code postal) ou indirecte (ex : utiliser un proxy comme le niveau d’études qui corrèle avec l’origine sociale). Le simple fait qu’un modèle ait un impact disproportionné sur un groupe protégé suffit à caractériser une discrimination, sauf si le développeur démontre une justification objective et proportionnée.

« L’interdiction de l’IA discriminatoire est absolue. Aucune exception n’est prévue pour les algorithmes propriétaires ou les modèles open source. Le critère est l’effet, non l’intention. » — Maître Sophie Delacroix, avocate au barreau de Paris, spécialiste droit numérique.

2. Le cadre normatif : EU AI Act, RGPD et loi française

L’interdiction de l’IA discriminatoire et la certification obligatoire reposent sur trois piliers :

• Règlement (UE) 2024/1689 (EU AI Act) : articles 6, 7 et 10. Il classe les systèmes d’IA en catégories de risque. Les IA à haut risque (recrutement, éducation, accès aux services essentiels, police) doivent obtenir un certificat de conformité avant déploiement.
• RGPD (Règlement 2016/679) : articles 9, 22 et 35. Interdiction des décisions individuelles automatisées fondées sur des catégories particulières de données. Obligation de réaliser une analyse d’impact (AIPD) pour toute IA traitant des données sensibles.
• Loi française n° 2025-XXX du 15 mars 2025 (relative à l’IA et aux droits fondamentaux) : transpose et renforce l’EU AI Act en créant un registre national des IA certifiées et en désignant la CNIL comme autorité de contrôle compétente pour les discriminations.

Articulation des textes

En pratique, une IA de recrutement doit respecter à la fois l’EU AI Act (certification), le RGPD (protection des données) et la loi française (obligation de transparence). Le non-respect d’un seul texte entraîne l’interdiction immédiate du système.

« La superposition des textes peut sembler complexe, mais elle offre une protection maximale. Un système certifié conforme à l’EU AI Act peut néanmoins être attaqué sur le fondement du RGPD si les données collectées sont excessives. » — Maître Julien Lefèvre, avocat en droit des données.

3. Certification obligatoire : procédure et délais

À compter du 1er janvier 2026, toute IA à haut risque doit obtenir un certificat délivré par un organisme notifié (ex : AFNOR Certification, Bureau Veritas, TÜV Rheinland). La procédure comprend six étapes :

1. Auto-évaluation initiale : le développeur remplit un dossier de conformité (description du système, données d’entraînement, mesures de mitigation des biais).
2. Audit documentaire : l’organisme notifié examine la documentation technique et les rapports d’audit d’équité.
3. Tests sur site : vérification du comportement réel de l’IA sur des jeux de données de test représentatifs.
4. Audit des biais : analyse statistique indépendante (ex : test de Fisher, analyse de régression logistique).
5. Délivrance du certificat : valable 3 ans, avec obligation de surveillance continue.
6. Enregistrement : inscription au registre public européen et au registre national français (IAOfficiel.fr).

Délais et transition

Les systèmes déjà en service au 1er janvier 2026 disposent d’un délai de grâce de 6 mois (jusqu’au 30 juin 2026) pour obtenir la certification. Passé cette date, toute exploitation sans certificat est illicite.

« La certification n’est pas une simple formalité. L’organisme notifié peut exiger des modifications architecturales du modèle. Anticipez ces coûts : comptez entre 50 000 et 200 000 euros selon la complexité du système. » — Maître Claire Moreau, avocate en propriété intellectuelle et IA.

4. Les sanctions en cas d’IA discriminatoire non certifiée

Les sanctions sont prévues par l’article 71 de l’EU AI Act et l’article L. 225-1 du code pénal français (modifié en 2025). Elles sont cumulatives :

• Amende administrative : jusqu’à 6 % du chiffre d’affaires annuel mondial ou 30 millions d’euros (le montant le plus élevé).
• Interdiction d’exploitation : le système est immédiatement retiré du marché. Les données d’entraînement peuvent être confisquées.
• Responsabilité pénale : pour les dirigeants, peine de 5 ans d’emprisonnement et 375 000 € d’amende en cas de discrimination intentionnelle.
• Dommages et intérêts : les victimes peuvent obtenir réparation devant les tribunaux civils (préjudice moral et matériel).

Cas concret : une IA de recrutement condamnée

En mars 2026, une grande plateforme de recrutement française a été sanctionnée à 12 millions d’euros pour avoir utilisé un algorithme non certifié qui filtrait systématiquement les candidatures féminines pour des postes techniques. La CNIL a ordonné le retrait du système et la publication du jugement.

« Les tribunaux appliquent désormais le principe de « tolérance zéro ». La simple absence de certificat suffit à présumer la discrimination. » — Maître Antoine Roussel, avocat en droit pénal des affaires.

5. Comment prouver la conformité ? Audit et documentation

La preuve de la conformité repose sur un dossier technique complet. Le règlement exige au minimum :

• Description du système : architecture, objectifs, contexte d’utilisation.
• Jeux de données : origine, taille, représentativité, biais potentiels.
• Métriques d’équité : rapports de disparité, taux d’erreur par groupe, analyse de sensibilité.
• Mesures de mitigation : rééquilibrage des données, contraintes d’équité (fairness constraints), post-traitement.
• Rapport d’audit externe : réalisé par un organisme notifié ou un expert indépendant agréé.

Les outils recommandés

Des bibliothèques open source comme AI Fairness 360 (IBM), Fairlearn (Microsoft) ou Equity (CNIL) permettent de générer automatiquement les rapports d’équité. Leur utilisation est fortement conseillée par la Commission européenne.

« Un audit interne ne suffit pas. Vous devez impérativement faire appel à un organisme tiers accrédité. L’auto-certification est interdite pour les IA à haut risque. » — Maître Élodie Fontaine, avocate en conformité réglementaire.

6. Recours citoyens et actions en justice

Si vous estimez être victime d’une IA discriminatoire, plusieurs voies de recours existent :

1. Saisine de la CNIL (plainte en ligne) : la CNIL peut ordonner une enquête et des mesures conservatoires (suspension de l’IA).
2. Action de groupe : depuis la loi 2025-XXX, les associations agréées peuvent intenter une action collective pour discrimination algorithmique.
3. Référé civil : devant le tribunal judiciaire, pour obtenir la cessation du traitement et des dommages-intérêts.
4. Plainte pénale : pour discrimination (art. 225-2 du code pénal) ou escroquerie (si l’IA a causé un préjudice financier).

Délais de prescription

Le délai de prescription pour une discrimination est de 5 ans à compter de la décision contestée. Pour une infraction pénale, il est de 6 ans.

« N’attendez pas pour agir. La preuve numérique (logs, décisions de l’IA) peut être effacée. Faites immédiatement une demande de conservation des preuves auprès de la CNIL. » — Maître Camille Berger, avocate en droits fondamentaux.

7. Cas pratiques : recrutement, crédit, police prédictive

Recrutement et sélection de CV

Un algorithme de tri de CV qui pénalise les candidats issus de certaines écoles ou quartiers est interdit. La certification exige que le modèle soit « aveugle » aux critères protégés, ou à défaut, que son impact soit mesuré et justifié par une nécessité professionnelle réelle.

Octroi de crédit et scoring

Les banques utilisant des IA pour évaluer la solvabilité doivent prouver que leurs modèles ne produisent pas de discrimination indirecte (ex : refus de prêt dans les zones rurales). Le certificat inclut un test de « disparité territoriale ».

Police prédictive et surveillance

Les systèmes de reconnaissance faciale ou de prédiction de crime sont classés à haut risque. Leur utilisation est strictement encadrée : toute discrimination ethnique ou sociale entraîne une interdiction immédiate et des poursuites pénales.

« Dans le domaine de la police, la certification est particulièrement stricte. Aucune marge d’erreur n’est tolérée : un taux de faux positifs plus élevé pour une communauté spécifique est considéré comme discriminatoire. » — Maître David Leroy, avocat en droit public et libertés.

8. Préparer 2026 : checklist pour les organisations

Pour être en conformité au 1er janvier 2026, suivez cette checklist :

• ✔️ Identifier tous les systèmes d’IA utilisés dans l’organisation.
• ✔️ Classer chaque système selon le niveau de risque (EU AI Act, annexe III).
• ✔️ Pour les IA à haut risque : lancer un audit d’équité interne avant juin 2025.
• ✔️ Constituer un dossier de certification (documentation technique + métriques).
• ✔️ Contacter un organisme notifié (AFNOR, Bureau Veritas) pour planifier l’audit.
• ✔️ Mettre en place une surveillance continue (monthly fairness reports).
• ✔️ Former les équipes juridiques et techniques aux biais algorithmiques.
• ✔️ Souscrire une assurance responsabilité civile « IA » couvrant les risques de discrimination.

Calendrier recommandé

Juin 2025 : audit interne. Septembre 2025 : dépôt du dossier. Décembre 2025 : audit sur site. Janvier 2026 : certification obtenue.

« Les entreprises qui commencent maintenant seront les mieux préparées. La certification est un avantage concurrentiel : elle rassure les clients et les investisseurs. » — Maître Sophie Delacroix.