Meilleur dérogation IA sécurité nationale : cadre 2026 et conditions

1. Qu’est-ce que la dérogation IA pour sécurité nationale ?

La meilleur dérogation IA sécurité nationale est une disposition prévue par l’EU AI Act permettant à un État membre d’autoriser temporairement l’utilisation d’un système d’IA à haut risque (ou à risque inacceptable) dans le cadre spécifique de la sécurité nationale, de la défense ou de la protection des infrastructures critiques. Elle déroge aux obligations de mise sur le marché et de certification.

« La dérogation pour sécurité nationale n’est pas un blanc-seing. Elle exige une démonstration rigoureuse de la menace imminente et une évaluation d’impact proportionnée. En 2026, les autorités françaises ont renforcé les contrôles a posteriori. »

2. Base légale : EU AI Act et textes connexes (2026)

Le cadre juridique de la meilleur dérogation IA sécurité nationale repose principalement sur l’article 9 (paragraphe 6) et l’article 72 du règlement (UE) 2024/1689, modifié par le règlement (UE) 2025/2100. La version consolidée de 2026 intègre également les lignes directrices de la Commission sur les dérogations souveraines.

2.1 Articles fondateurs

Article 9.6 AI Act : « Par dérogation, les États membres peuvent autoriser l’utilisation de systèmes d’IA à haut risque pour des motifs impérieux de sécurité nationale, après notification à la Commission et à l’autorité de surveillance. »

Article 72 : « Les dérogations sont limitées dans le temps (max 12 mois, renouvelable une fois) et soumises à un réexamen trimestriel. »

3. Conditions d’octroi de la meilleur dérogation

Pour bénéficier de la meilleur dérogation IA sécurité nationale, cinq conditions cumulatives doivent être remplies :

3.1 Existence d’une menace grave et actuelle

La menace doit être imminente, réelle, et porter atteinte à l’intégrité territoriale, à la sécurité publique ou aux institutions démocratiques. Une simple hypothèse de risque ne suffit pas.

3.2 Proportionnalité et nécessité

Le système d’IA doit être le seul moyen efficace de répondre à la menace. Aucune alternative moins intrusive (humaine, technique) ne doit être disponible.

3.3 Contrôle indépendant a priori

Une autorité nationale indépendante (en France, la CNIL et le contrôleur général des lieux de privation de liberté) doit valider l’évaluation d’impact. L’avis est consultatif mais tout écart doit être motivé.

« En pratique, la condition de proportionnalité est la plus litigieuse. L’arrêt CJUE de février 2026 a annulé une dérogation belge car le système de reconnaissance faciale déployé dans les gares n’était pas strictement nécessaire. »

4. Procédure pas à pas : de la demande à l’approbation

La procédure pour obtenir la meilleur dérogation IA sécurité nationale est formalisée par le décret n° 2026-112 (France). Voici les étapes :

1. Saisine préalable : L’autorité publique (ministère de l’Intérieur, Défense) rédige un dossier de demande incluant la description du système, la menace, l’évaluation d’impact.
2. Avis de la CNIL : Délai de 30 jours. La CNIL peut demander des mesures complémentaires (pseudonymisation, limitation des données).
3. Notification à la Commission européenne : Via le registre centralisé des dérogations (article 72.3). La Commission peut émettre un avis motivé.
4. Décision ministérielle : Arrêté publié au JO, durée maximale 12 mois, avec réexamen trimestriel obligatoire.
5. Publication restreinte : Par sécurité, seules les grandes lignes sont rendues publiques, mais la Commission et le Parlement européen sont informés.

5. Limites et garde-fous : contrôle, proportionnalité, droits fondamentaux

Même dans le cadre de la meilleur dérogation IA sécurité nationale, les droits fondamentaux ne sont pas suspendus. La CEDH et la charte de l’UE imposent des limites strictes :

• Interdiction de la notation sociale (article 5 AI Act) – même pour la sécurité nationale, sauf menace terroriste imminente et validée par un juge.
• Obligation de supervision humaine effective : un opérateur formé doit pouvoir désactiver le système à tout moment.
• Transparence limitée mais traçabilité complète : tous les logs sont conservés 5 ans et remis à la CNIL sur demande.

6. Jurisprudence 2026 : l’apport de l’arrêt CJUE C-112/25

L’arrêt du 2 février 2026 (C-112/25, État belge c. Digital Rights Watch) a considérablement précisé le périmètre de la meilleur dérogation IA sécurité nationale. La Cour a jugé que :

« Une dérogation au titre de la sécurité nationale ne peut être invoquée de manière systématique pour contourner les règles du marché intérieur. L’État doit démontrer l’impossibilité technique et juridique d’utiliser un système conforme. »

En conséquence, la France a dû modifier sa doctrine d’emploi des drones de surveillance algorithmique aux frontières. La meilleur dérogation IA sécurité nationale n’est plus automatique pour les systèmes de reconnaissance biométrique à distance : un contrôle judiciaire préalable est désormais exigé.

6.1 Impact sur les demandes en cours

Depuis cet arrêt, la Commission européenne a demandé le réexamen de 12 dérogations dans 5 États membres. La tendance est à un durcissement des conditions.

7. Sanctions et contentieux : risques en cas d’abus

Utiliser la meilleur dérogation IA sécurité nationale sans respecter les conditions expose à des sanctions administratives et pénales :

• Amende administrative : jusqu’à 4 % du chiffre d’affaires annuel mondial (ou 20 millions d’euros) pour l’opérateur privé ; pour l’État, astreinte financière sous contrôle de la CJUE.
• Nullité de la dérogation : toute décision fondée sur une dérogation illégale peut être annulée par le juge administratif.
• Responsabilité pénale des décideurs publics en cas de violation grave des droits fondamentaux (article 432-7 du code pénal).

8. Bonnes pratiques et recommandations des experts

Pour sécuriser votre meilleur dérogation IA sécurité nationale, suivez ces recommandations :

1. Documentez chaque étape : consignez les preuves de la menace, les alternatives étudiées, les avis recueillis.
2. Impliquez un comité d’éthique dès la phase de conception du système d’IA.
3. Prévoyez un plan de sortie : la dérogation est temporaire ; à terme, le système doit être mis en conformité ou retiré.
4. Formez les agents à la supervision humaine et aux limites juridiques.
5. Publiez un rapport annuel (même expurgé) pour maintenir la confiance des citoyens et du régulateur.

« La meilleur dérogation n’est pas un permis de tout faire. C’est un outil de dernier recours, encadré, temporaire et réversible. Les États qui l’utiliseront avec rigueur seront ceux qui construiront une IA de confiance. »