IA militaire réglementation entreprise : obligations 2026 en France

1. Qu’est-ce qu’un système d’IA militaire au sens de l’EU AI Act ?

Le règlement (UE) 2024/1689 (EU AI Act) ne définit pas directement l’« IA militaire », mais il classe les systèmes selon leur niveau de risque. En 2026, tout système d’IA utilisé dans un contexte militaire — qu’il s’agisse de drones autonomes, de systèmes de reconnaissance faciale sur le champ de bataille ou d’algorithmes de ciblage — est présumé à haut risque (annexe III, catégorie 8 : « sécurité des infrastructures critiques » et catégorie 9 : « applications militaires et de défense »).

« Dès lors qu’un système d’IA est destiné à être utilisé par les forces armées ou les services de renseignement, il tombe automatiquement dans le champ des systèmes à haut risque, sauf dérogation expresse prévue par la Commission européenne. Les entreprises doivent donc anticiper une procédure d’évaluation complète. » — Me Julien Lefort, avocat au barreau de Paris, spécialiste droit du numérique

La classification « haut risque » entraîne des obligations renforcées : mise en place d’un système de gestion des risques, documentation technique détaillée, transparence vis-à-vis des autorités, et contrôle humain significatif. En France, la CNIL a publié en janvier 2026 une recommandation précisant que les systèmes d’IA militaire doivent également respecter le « principe de proportionnalité » inscrit à l’article 5 de la loi n° 78-17 du 6 janvier 1978 modifiée.

2. Interdictions 2026 : ce qui est prohibé en France

L’EU AI Act interdit certaines pratiques, quel que soit le contexte, y compris militaire. Depuis le 2 février 2025 (date d’application des interdictions), les entreprises françaises ne peuvent plus :

• Utiliser des systèmes d’IA manipulant le comportement humain de manière subliminale (ex : algorithmes de désinformation ciblée sur des populations civiles) ;
• Déployer des systèmes de « notation sociale » basés sur le comportement ou les caractéristiques personnelles (art. 5, §1, a) ;
• Recourir à l’identification biométrique à distance en temps réel dans des espaces publics à des fins militaires, sauf dérogation très encadrée pour la prévention d’une menace terroriste imminente (art. 5, §1, d) ;
• Exploiter des IA exploitant les vulnérabilités des personnes (âge, handicap, situation économique) pour influencer leur comportement militaire.

En 2026, le Conseil d’État a confirmé l’interdiction d’un système de prédiction de comportement développé par une entreprise française pour le ministère des Armées, jugé contraire à l’article 5. Cette décision (CE, 15 mars 2026, n° 487235) a marqué un tournant : même les applications militaires ne bénéficient pas d’une exemption automatique.

« La décision du Conseil d’État rappelle que l’exception militaire n’est pas un blanc-seing. Les entreprises doivent démontrer que leur système ne tombe pas sous le coup des interdictions absolues. Le simple fait d’être contractant de la défense ne suffit pas. » — Me Sarah Khelil, avocate en droit public économique

3. Obligations des entreprises : de la conception à la mise sur le marché

Les entreprises qui développent ou utilisent une IA militaire en France doivent respecter un cycle de conformité rigoureux. Voici les principales obligations en 2026 :

3.1 Analyse d’impact relative à la protection des données (AIPD)

Même si le RGPD prévoit des exemptions pour les traitements nécessaires à la sécurité nationale (art. 23), la CNIL considère que les entreprises privées ne peuvent pas s’en prévaloir automatiquement. Une AIPD doit être réalisée dès lors que le système traite des données personnelles (ex : données biométriques de soldats ou de suspects).

3.2 Déclaration préalable auprès de la CNIL

Depuis le décret n° 2025-891 du 15 novembre 2025, tout système d’IA militaire à haut risque doit faire l’objet d’une déclaration auprès de la CNIL avant sa mise en service. La déclaration comprend une description du système, une évaluation des risques et les mesures de contrôle humain.

3.3 Contrôle humain significatif

L’EU AI Act impose qu’un opérateur humain puisse à tout moment désactiver ou modifier les décisions de l’IA. Dans le domaine militaire, cela signifie qu’un officier formé doit pouvoir superviser les actions du système (art. 14).

« Le contrôle humain n’est pas une simple case à cocher. Il doit être documenté, testé et auditable. Les entreprises doivent prévoir des procédures de reprise manuelle en cas de défaillance. » — Me Antoine Durand, ancien conseiller juridique de la DGA

4. Documentation technique et évaluation de conformité

Les entreprises doivent constituer un dossier technique complet, conservé pendant toute la durée de vie du système (au moins 10 ans après la mise sur le marché). Ce dossier doit inclure :

• Une description détaillée de l’architecture du système ;
• Les jeux de données d’entraînement, leur origine et leur conformité au RGPD ;
• Les mesures de sécurité (cybersécurité, résistance aux attaques adversariales) ;
• Les résultats des tests de performance et de biais ;
• La procédure de contrôle humain.

L’évaluation de conformité doit être réalisée par un organisme notifié (ex : AFNOR Certification). En 2026, seuls trois organismes sont accrédités en France pour les systèmes d’IA militaire : l’ANSSI (Agence nationale de la sécurité des systèmes d’information), le LNE (Laboratoire national de métrologie et d’essais) et un consortium privé agréé par la Commission européenne.

« L’évaluation de conformité est un processus lourd, souvent sous-estimé par les PME. Comptez entre 6 et 12 mois pour un système complexe. Anticipez les audits dès la phase de conception. » — Me Claire Fontaine, avocate en propriété intellectuelle et IA

5. Contrôle des sous-traitants et responsabilité élargie

Dans le domaine militaire, les chaînes de sous-traitance sont complexes. L’EU AI Act étend la responsabilité à toute la chaîne de valeur : le fournisseur, l’importateur, le distributeur et même l’utilisateur final (l’entreprise qui déploie l’IA). En 2026, une entreprise française a été condamnée à une amende de 4,5 millions d’euros pour avoir sous-traité le développement d’un module de vision par ordinateur à un prestataire non certifié (CNIL, décision n° SAN-2026-012).

Les obligations incluent :

• Vérifier que chaque sous-traitant respecte les normes de l’EU AI Act ;
• Signer des contrats de conformité avec des clauses de réversibilité ;
• Assurer la traçabilité des données et des algorithmes tout au long de la chaîne.

« La responsabilité est solidaire. Si votre sous-traitant ne respecte pas les règles, c’est vous qui serez sanctionné en premier lieu. Exigez des audits réguliers et des certifications tierces. » — Me Philippe Roussel, avocat en droit des contrats publics

6. Sanctions et jurisprudence 2026

Le régime de sanctions est dissuasif. Depuis 2026, les entreprises encourent :

• Jusqu’à 7 % du chiffre d’affaires annuel mondial pour les infractions aux interdictions (art. 71) ;
• Jusqu’à 4 % pour les manquements aux obligations de documentation et de contrôle humain ;
• Une interdiction temporaire ou définitive de commercialisation du système.

En France, la CNIL a déjà prononcé deux sanctions notables en 2026 :

• Décision n° SAN-2026-008 : amende de 2,1 millions d’euros pour absence d’AIPD sur un système de reconnaissance faciale utilisé par une entreprise de sécurité militaire.
• Décision n° SAN-2026-015 : suspension d’un projet de drone autonome pour non-respect du contrôle humain significatif.

« La jurisprudence de 2026 montre que la CNIL et le Conseil d’État n’hésitent pas à frapper fort, même pour des entreprises travaillant pour la défense. La conformité n’est pas une option, c’est une condition de survie économique. » — Me Isabelle Moreau, avocate associée, cabinet LexIA

7. RGPD et données militaires : les règles spécifiques

Le RGPD s’applique aux traitements de données personnelles, même dans un contexte militaire, sauf dérogation prévue par le droit national. En France, la loi n° 2025-123 du 10 mars 2025 a introduit un régime spécifique pour les données de défense :

• Les données « sensibles » (biométriques, génétiques, géolocalisation précise) sont soumises à une autorisation préalable de la CNIL ;
• Les traitements nécessaires à la « sécurité nationale » peuvent être exemptés de certaines obligations (droit d’accès, droit d’opposition) mais sous le contrôle du juge administratif ;
• Les transferts de données vers des pays tiers (ex : États-Unis, Israël) doivent respecter les clauses contractuelles types renforcées par l’EU AI Act.

Attention : une entreprise privée ne peut pas invoquer la sécurité nationale pour contourner le RGPD. La CNIL a rappelé dans une délibération du 12 février 2026 que seules les autorités publiques peuvent bénéficier de cette exemption.

« Les entreprises doivent traiter les données militaires avec le même niveau de protection que des données de santé. La CNIL recommande d’anonymiser ou de pseudonymiser les données dès que possible. » — Me David Lévy, expert RGPD et IA

8. Recommandations pour les entreprises en 2026

Face à la complexité de l’IA militaire réglementation entreprise, voici les actions prioritaires :

1. Audit de conformité initial : faites auditer votre système par un cabinet spécialisé (coût estimé : 15 000 à 50 000 € selon la taille du projet).
2. Nomination d’un responsable conformité IA : obligatoire depuis le décret du 15 novembre 2025 pour toute entreprise développant une IA à haut risque.
3. Mise en place d’un registre des traitements : documentez chaque usage de l’IA, les finalités, les données traitées et les mesures de sécurité.
4. Formation des équipes : les opérateurs et les développeurs doivent être formés aux obligations de l’EU AI Act et du RGPD.
5. Veille juridique : suivez les évolutions de la réglementation via IAOfficiel.fr et les publications de la CNIL.

« La conformité est un investissement, pas une charge. Les entreprises qui anticipent les obligations 2026 seront mieux positionnées pour répondre aux appels d’offres de la défense et éviteront des sanctions financières lourdes. » — Me Sophie Lemoine, avocate en droit des affaires et IA