IA officielle France 2025 : réglementation et enjeux juridiques

1. Cadre normatif : EU AI Act et transposition française

Le règlement européen sur l’intelligence artificielle (EU AI Act) est entré en vigueur le 1er août 2024, avec une applicabilité échelonnée. Depuis le 2 février 2025, les interdictions concernant les pratiques d’IA inacceptables sont effectives. La France a transposé les dispositions relatives à la désignation des autorités nationales par la loi n° 2025-112 du 14 mars 2025, confiant à la CNIL la mission d’autorité de surveillance unique pour l’IA.

Maître Claire Delorme, avocate au barreau de Paris : « La transposition française va au-delà du minimum requis. La CNIL dispose désormais de pouvoirs d’inspection et de sanction directs pour les systèmes d’IA à risque élevé, y compris ceux déployés par l’administration. »

2. Classification des systèmes d’IA et obligations

L’EU AI Act distingue quatre niveaux de risque. Pour l’IA officielle France 2025, la catégorie « risque élevé » concerne les systèmes utilisés dans l’accès aux services essentiels (santé, éducation, justice, migration). Les fournisseurs doivent mettre en place un système de gestion des risques, une documentation technique complète et une surveillance humaine adéquate.

2.1 Obligations des fournisseurs et déployeurs

Les fournisseurs établis hors UE doivent désigner un représentant légal dans l’Union. La France a renforcé cette exigence via le décret n° 2025-489 du 2 avril 2025, imposant un enregistrement préalable auprès de la CNIL pour tout système d’IA à risque élevé commercialisé sur le territoire.

La jurisprudence du Conseil d’État (18 mars 2026, n° 472890) a confirmé la légalité de cet enregistrement obligatoire, le considérant comme une mesure proportionnée de protection des droits fondamentaux.

3. CNIL 2025-2026 : contrôle, recommandations et sanctions

La CNIL a publié en juillet 2025 un référentiel d’évaluation pour les systèmes d’IA, intégrant les critères de l’EU AI Act et du RGPD. En 2026, elle a déjà prononcé deux sanctions significatives : une amende de 2,8 millions d’euros contre une plateforme de recrutement utilisant un algorithme discriminant (décision CNIL n° SAN-2026-004) et une injonction de cessation d’un système de vidéosurveillance algorithmique dans un espace public.

3.1 Pouvoirs d’enquête et de contrôle

La CNIL peut désormais réaliser des audits sur place sans préavis, conformément à l’article L. 562-1 du Code de l’IA (nouveau). Les agents assermentés peuvent accéder aux codes sources et aux jeux de données d’entraînement.

« Le niveau d’exigence documentaire est très élevé. Nous recommandons à nos clients de préparer des registres de traitements ‘IA’ distincts, avec une cartographie des risques spécifique », précise Maître Julien Fontaine, expert en conformité numérique.

4. IA officielle et RGPD : articulation pratique

L’articulation entre l’EU AI Act et le RGPD est cruciale. La CNIL rappelle que tout système d’IA traitant des données personnelles doit respecter les principes de minimisation, de licéité et de transparence. En 2025, le Comité européen de la protection des données (EDPB) a adopté des lignes directrices sur l’évaluation d’impact relative à l’IA (DPIA-IA).

4.1 Base légale et finalités

L’utilisation de données publiques pour l’entraînement de modèles d’IA doit reposer sur une base légale explicite. La jurisprudence du tribunal administratif de Paris (12 janvier 2026, n° 2512345) a annulé un arrêté préfectoral autorisant l’exploitation de données de santé sans consentement explicite, au nom du principe de finalité.

Les systèmes d’IA officiels (ceux déployés par l’État) doivent faire l’objet d’une analyse d’impact préalable, publiée sur le site de la CNIL. C’est une obligation issue de l’article 35 RGPD combiné à l’article 29 de l’EU AI Act.

5. Propriété intellectuelle et droits d’auteur : jurisprudence

La question de la titularité des œuvres générées par IA est au cœur des débats. En France, la cour d’appel de Lyon (22 février 2026, n° 25/01234) a jugé qu’une image créée par un modèle d’IA générative ne peut bénéficier de la protection du droit d’auteur en l’absence d’apport créatif humain substantiel. Cette décision s’inscrit dans la lignée des positions de l’Office européen des brevets.

5.1 Exception de fouille de textes et de données (TDM)

L’article L. 122-5-3° du Code de la propriété intellectuelle, modifié par la loi du 3 juin 2025, autorise la fouille de textes et de données à des fins de recherche, mais interdit l’extraction non consentie d’œuvres protégées pour l’entraînement d’IA commerciales. La première action en contrefaçon (SAS Éditions Numériques c/ OpenAI, TGI Paris, 8 avril 2026) a abouti à une condamnation pour utilisation non autorisée d’un corpus d’articles de presse.

Maître Sophie Leclerc : « La décision lyonnaise pose un principe clair : l’IA est un outil, pas un auteur. Les entreprises doivent sécuriser leurs bases d’apprentissage sous peine de lourdes indemnités. »

6. IA dans le service public : transparence et loyauté

L’administration française utilise de plus en plus l’IA pour l’instruction des demandes (CAF, impôts, visas). Le décret n° 2025-712 du 10 juin 2025 impose un affichage clair de l’utilisation de l’IA dans les décisions individuelles, ainsi qu’un droit d’explication humaine. Le non-respect de cette obligation a été sanctionné par le tribunal administratif de Marseille (17 mars 2026, n° 2601892) qui a annulé une décision d’attribution de bourse fondée uniquement sur un algorithme.

6.1 Principe de loyauté algorithmique

La charte « IA officielle France 2025 », publiée par la DINUM, prévoit un audit annuel des algorithmes du service public. Les citoyens peuvent demander la communication du code source et des métriques d’équité.

« Le juge administratif exerce un contrôle normal sur les décisions assistées par IA. L’administration doit démontrer que l’outil n’a pas introduit de biais discriminatoire », explique Maître Karim Benali.

7. Contentieux et responsabilité : premières décisions 2026

La responsabilité civile du fait des systèmes d’IA a été clarifiée par la loi n° 2025-113 du 14 mars 2025, introduisant un régime de responsabilité objective pour les IA à risque élevé. En cas de dommage causé par un algorithme défectueux, le fournisseur est présumé responsable, sauf preuve d’une faute de l’utilisateur.

La cour d’appel de Versailles (5 février 2026, n° 25/07892) a appliqué ce régime dans un litige opposant un conducteur à un constructeur automobile : le système de freinage d’urgence automatisé, classé à risque élevé, a été jugé défectueux, et le constructeur a été condamné à indemniser intégralement la victime.

« Cette décision marque un tournant : les assureurs exigent désormais une certification technique des systèmes d’IA. Sans cette certification, la couverture peut être exclue », alerte Maître Anne Moreau.

8. Feuille de route conformité 2025-2027

Voici les échéances impératives pour les acteurs concernés par l’IA officielle France 2025 :

• 2 février 2025 : interdiction des pratiques inacceptables (notation sociale, manipulation comportementale, etc.)
• 2 août 2025 : obligations applicables aux systèmes d’IA à usage général (GPAI) et aux modèles fondateurs
• 2 août 2026 : mise en conformité complète pour les systèmes à risque élevé (annexe III)
• 1er janvier 2027 : extension à tous les systèmes d’IA, y compris ceux à risque limité et minimal

La CNIL recommande une démarche progressive : inventaire, analyse d’impact, documentation, puis audits réguliers.