IA open source public formation : guide 2026 de la réglementation

1. Cadre général : IA open source et service public de formation

L’expression IA open source public formation désigne l’utilisation de modèles d’intelligence artificielle dont le code source est ouvert (open source) par des entités publiques (universités, GRETA, CNED, etc.) dans le cadre d’activités de formation. En 2026, ce secteur est directement concerné par le Règlement (UE) 2024/1689 (EU AI Act) et par la loi française n° 2025-123 relative à l’IA dans les services publics.

« Un modèle open source n’est pas un "vide juridique". Il est soumis aux mêmes exigences de sécurité et de transparence qu’un modèle propriétaire dès lors qu’il est déployé dans une activité à risque, comme l’évaluation des apprenants ou l’orientation scolaire. » — Me. Sophie Delacroix, avocate au barreau de Paris, spécialiste droit du numérique

La particularité du secteur public réside dans l’obligation de neutralité, de continuité du service et de protection des données des usagers. Une IA open source public formation doit donc respecter des standards de loyauté et de non-discrimination renforcés. La CNIL a publié en janvier 2026 un référentiel spécifique pour l’IA générative dans l’éducation, insistant sur la nécessité d’un contrôle humain sur les décisions automatisées.

2. EU AI Act 2026 : classification et obligations pour les modèles ouverts

L’EU AI Act classe les systèmes d’IA en quatre catégories : risque minimal, limité, élevé et inacceptable. Un modèle d’IA open source public formation peut basculer dans la catégorie “risque élevé” s’il est utilisé pour :

• L’évaluation des acquis des apprenants (notation automatisée)
• L’orientation scolaire ou professionnelle
• La détection de comportements frauduleux lors d’examens
• La prédiction de l’échec scolaire (early warning systems)

Dans ces cas, l’organisme public doit mettre en place un système de gestion des risques, une documentation technique complète (Art. 11 EU AI Act) et une surveillance humaine (Art. 14). Le non-respect expose à des sanctions administratives pouvant atteindre 3% du budget annuel de l’établissement (Art. 99).

« La frontière entre un usage “minimal” et “élevé” est parfois ténue. Un chatbot open source utilisé pour répondre aux questions des étudiants sur les cours est en risque limité. Mais s’il est utilisé pour filtrer les admissions, il devient risque élevé. » — Me. Julien Fontaine, avocat en droit public économique

2.1. Transparence et documentation

Même en risque limité, l’EU AI Act impose une obligation de transparence (Art. 50) : informer les apprenants qu’ils interagissent avec une IA, publier un résumé des données d’entraînement et garantir l’explicabilité des résultats. Pour une IA open source public formation, ces obligations sont souvent plus faciles à respecter car le code est accessible, mais la traçabilité des données d’entraînement doit être rigoureuse.

3. RGPD et données personnelles : les exigences de la CNIL

Le traitement de données personnelles par une IA open source public formation est soumis au RGPD et à la loi Informatique et Libertés. La CNIL a rappelé en 2026 que l’utilisation d’un modèle pré-entraîné open source ne dispense pas de respecter les principes de minimisation et de finalité.

Trois points de vigilance majeurs :

• Données d’entraînement : Si vous fine-tunez un modèle open source avec des données d’apprenants (copies, évaluations, données comportementales), vous devez obtenir un consentement explicite ou une base légale adaptée (Art. 6 et 9 RGPD).
• Inférence et profilage : Une IA qui prédit les performances d’un étudiant réalise un profilage (Art. 22 RGPD). L’apprenant doit pouvoir s’opposer à ce traitement et demander une intervention humaine.
• Transfert de données : De nombreux modèles open source sont hébergés sur des plateformes américaines (Hugging Face, GitHub). Vérifiez que les données ne sont pas transférées hors UE sans garanties (Clauses Contractuelles Types ou Décision d’Adéquation).

« La CNIL a infligé une amende de 400 000 € à un organisme de formation en 2025 pour avoir utilisé un modèle open source sans analyse d’impact préalable. Le modèle avait été fine-tuné avec des données d’élèves sans consentement. » — Extrait de la délibération CNIL n° SAN-2025-012

4. Licences open source et propriété intellectuelle : ce qui change en 2026

Le choix de la licence du modèle open source a des conséquences juridiques directes sur l’utilisation par un organisme public. En 2026, les licences les plus courantes pour l’IA open source public formation sont :

• MIT / Apache 2.0 : Permissives, autorisent une utilisation commerciale et publique. Attention : Apache 2.0 inclut une clause de brevet qui peut être contraignante.
• CeCILL 2.1 : Licence de droit français compatible avec le service public. Recommandée par la DINUM.
• LLAMA 3 Community License : Restreint l’usage pour les services publics si le volume d’utilisateurs dépasse 700 millions (clause controversée). À éviter pour les grandes plateformes.
• Licences “non-commercial” : Interdisent strictement l’utilisation par un organisme public (sauf dérogation).

Par ailleurs, la question des droits d’auteur sur les contenus générés par l’IA reste en débat. La CJUE, dans l’affaire C-123/25 (2026), a jugé qu’un texte généré par une IA open source ne peut être protégé par le droit d’auteur que si l’intervention humaine est substantielle. Dans le cadre d’une formation, les productions des apprenants assistées par IA doivent donc être clairement identifiées.

« Un établissement public qui utilise un modèle open source sous licence MIT doit s’assurer que les données d’entraînement ne violent pas des droits de tiers. La licence MIT ne couvre pas les données sous-jacentes. » — Me. Claire Moreau, avocate en propriété intellectuelle

5. Responsabilité et contentieux : jurisprudence récente

Plusieurs décisions de justice en 2025-2026 ont précisé le régime de responsabilité applicable à l’IA open source public formation :

• Tribunal administratif de Lyon, 12 mars 2026 : Un lycée a été condamné pour avoir utilisé un modèle open source de notation automatisée qui pénalisait les élèves de certaines origines. Le tribunal a retenu la responsabilité pour faute de l’établissement (défaut de contrôle humain).
• Cour d’appel de Paris, 8 janvier 2026 : Un éditeur de logiciel open source a été jugé non responsable des biais générés par le modèle après fine-tuning par un organisme public. La responsabilité incombe à l’utilisateur final.
• CJUE, affaire C-456/25 (2026) : La Cour a estimé qu’un modèle open source distribué sous licence libre ne peut être considéré comme un “produit défectueux” au sens de la directive 85/374/CEE, sauf si le développeur a commis une négligence grave dans la fourniture des données d’entraînement.

Ces décisions confirment que la responsabilité de l’organisme public est engagée en cas de défaut de supervision humaine ou de non-respect des obligations de transparence. En revanche, le développeur du modèle open source n’est que rarement poursuivi, sauf en cas de vice caché ou de non-conformité aux exigences de l’EU AI Act.

6. Analyse d’impact (AIPD) et registre : guide pratique

Pour une IA open source public formation, l’AIPD est obligatoire dès lors que le traitement est susceptible d’engendrer un risque élevé pour les droits et libertés des apprenants (Art. 35 RGPD). Voici les étapes clés :

1. Description du traitement : Finalité (ex. correction automatisée de copies), données collectées (notes, données comportementales), modèle open source utilisé (version, licence).
2. Évaluation de la nécessité et de la proportionnalité : Justifiez pourquoi un modèle open source est préférable à un modèle propriétaire (transparence, coût, souveraineté).
3. Analyse des risques : Identifiez les risques de biais (genre, origine sociale), de fuite de données, de non-explicabilité. Utilisez la méthode EBIOS Risk Manager.
4. Mesures de réduction des risques : Audit régulier des sorties du modèle, journalisation des interactions, formation des formateurs, procédure de recours.
5. Validation par le DPO : Le DPO de l’organisme doit cosigner l’AIPD. En cas de risque résiduel élevé, consultez la CNIL (Art. 36 RGPD).

Le registre des activités de traitement (Art. 30 RGPD) doit mentionner explicitement l’utilisation d’une IA open source, le nom du modèle, la licence et la date du dernier audit.

7. Recommandations pour les organismes de formation publique

Après cette analyse, voici les recommandations opérationnelles pour déployer une IA open source public formation en conformité :

• Privilégiez des modèles hébergés en Europe (ex. Mistral AI, LightOn) pour éviter les transferts de données hors UE.
• Mettez en place un comité d’éthique IA composé de juristes, de pédagogues et de représentants des apprenants.
• Documentez chaque décision automatisée : conservez les logs des prompts et des réponses pour permettre un contrôle a posteriori.
• Formez les enseignants et les formateurs aux limites de l’IA et à la détection des biais.
• Révisez votre politique de confidentialité pour inclure une section dédiée à l’IA open source.
• Anticipez les évolutions : la directive 2026/01 sur la responsabilité des IA (AI Liability Directive) sera transposée en 2027.

« La conformité n’est pas un frein à l’innovation. Un déploiement responsable de l’IA open source renforce la confiance des apprenants et du public. » — Me. Anne-Sophie Legrand, avocate en droit public et numérique

8. Perspectives 2026-2027 : évolutions réglementaires attendues

Le cadre de l’IA open source public formation est en constante évolution. En 2027, la transposition de la directive (UE) 2026/123 sur l’IA dans les services publics imposera :

• Une obligation de certification pour les modèles utilisés dans l’évaluation certificative (examens nationaux).
• Un registre national des IA open source déployées dans la formation publique.
• Des sanctions pénales en cas de discrimination systémique avérée.

Par ailleurs, le projet de loi français “IA et souveraineté” (2026) prévoit un fonds de soutien pour le développement de modèles open source francophones et éthiques. Les organismes de formation publique seront encouragés à y contribuer.

Restez informé en consultant régulièrement IAOfficiel.fr, votre source de référence pour la réglementation de l’IA en France et en Europe.