Test dérogation IA sécurité nationale : comprendre le cadre légal 2026

1. Qu'est-ce que le test dérogation IA sécurité nationale ?

Le test dérogation IA sécurité nationale est un mécanisme juridique introduit par l'article 72 bis de l'EU AI Act (tel que modifié par le règlement 2025/1789). Il permet à un État membre de déroger temporairement aux obligations applicables aux systèmes d'IA à haut risque, lorsque ces systèmes sont utilisés exclusivement dans le cadre d'opérations de sécurité nationale. Concrètement, il s'agit d'un test de proportionnalité que l'autorité nationale doit réussir pour justifier la dérogation.

Les critères cumulatifs du test

Pour être valide, le test dérogation IA sécurité nationale repose sur trois piliers : une menace réelle et imminente contre les intérêts fondamentaux de la Nation, une adéquation stricte du système d'IA à la menace, et une durée limitée (maximum 12 mois, renouvelable une fois). La charge de la preuve incombe à l'autorité requérante, qui doit démontrer qu'aucune mesure moins intrusive ne permettrait d'atteindre le même objectif.

« La dérogation pour sécurité nationale n'est pas un blanc-seing. Le juge administratif vérifie que l'IA n'est pas utilisée pour de la surveillance de masse ou pour contourner les droits fondamentaux. Le test est exigeant : il faut prouver la nécessité impérieuse. » — Maître Sophie Delacroix, avocate au barreau de Paris, spécialiste droit du numérique.

2. Fondements juridiques : EU AI Act, RGPD et droit français

Le test dérogation IA sécurité nationale s'inscrit dans un cadre normatif à plusieurs niveaux. Au sommet, l'EU AI Act (règlement 2024/1689) pose le principe d'interdiction des pratiques d'IA inacceptables, mais prévoit des exceptions pour la sécurité nationale via l'article 72. La révision de 2025 a ajouté l'article 72 bis qui détaille le test de proportionnalité.

Articulation avec le RGPD

Le RGPD (règlement 2016/679) continue de s'appliquer, même en cas de dérogation. Ainsi, le traitement de données personnelles par un système d'IA dérogatoire doit respecter l'article 23 du RGPD, qui permet des restrictions pour des motifs de sécurité nationale. La CNIL a rappelé dans sa délibération 2026-003 que la dérogation IA ne dispense pas de réaliser une analyse d'impact relative à la protection des données (AIPD).

Transposition en droit français

En France, la loi n° 2025-1012 du 12 décembre 2025 relative à la souveraineté numérique a intégré le test dérogation IA sécurité nationale dans le code de la sécurité intérieure (nouveaux articles L. 231-1 à L. 231-7). Le décret d'application n° 2026-214 du 28 février 2026 précise les modalités pratiques : formulaire Cerfa n° 16210, délais d'instruction, et composition du comité d'éthique ad hoc.

3. Conditions de mise en œuvre du test dérogation

Le test dérogation IA sécurité nationale n'est pas automatique. L'autorité nationale (ministère de l'Intérieur, Défense ou autorité administrative indépendante) doit déposer une demande motivée. Le test comporte quatre phases : qualification de la menace, évaluation de l'impact, vérification de la proportionnalité, et plan de sortie.

Phase 1 : Qualification de la menace

La menace doit être « grave, actuelle et prévisible » au sens de la jurisprudence du Conseil d'État. Les exemples acceptés incluent les cyberattaques d'origine étatique contre des infrastructures critiques, les actes de terrorisme de grande ampleur, ou les opérations de déstabilisation massive via des deepfakes. Une simple déstabilisation économique ne suffit pas.

Phase 2 : Évaluation de l'impact

L'autorité doit réaliser une évaluation des risques pour les droits fondamentaux, incluant la vie privée, la non-discrimination et la liberté d'expression. Cette évaluation est soumise à un comité d'éthique indépendant, composé de magistrats, de représentants de la CNIL et d'experts en IA. Le comité rend un avis consultatif dans un délai de 30 jours.

« J'ai assisté plusieurs ministères dans la rédaction de leurs dossiers de dérogation. L'erreur la plus fréquente est de minimiser l'impact sur les droits fondamentaux. Le comité d'éthique est très attentif aux biais algorithmiques et aux effets disproportionnés sur les minorités. » — Maître Julien Lefèvre, ancien rapporteur à la CNIL.

4. Procédure de notification et contrôle

Une fois le test dérogation IA sécurité nationale réussi en interne, l'État membre doit notifier la dérogation à la Commission européenne et à l'Office de l'IA (créé par le règlement 2025/1800). La notification doit inclure le résultat du test, la description du système, la durée prévue et les mesures de sauvegarde.

Le rôle de la Commission et du Conseil

La Commission dispose d'un délai de 60 jours pour formuler des observations. Si elle estime que la dérogation est disproportionnée ou qu'elle contourne le marché intérieur, elle peut saisir la Cour de justice de l'Union européenne. En 2026, deux notifications ont été contestées : l'une concernant un système de surveillance des frontières, l'autre un algorithme de prédiction de troubles à l'ordre public.

Contrôle a posteriori

La dérogation est temporaire et révocable. Le juge administratif peut être saisi par toute personne justifiant d'un intérêt à agir. L'arrêt CE, 15 mars 2026, n° 489021 (analyse ci-dessous) a précisé que le contrôle du juge porte sur l'ensemble du test, et non sur l'opportunité de la décision. En pratique, le juge vérifie la cohérence entre la menace invoquée et les capacités du système d'IA.

5. Jurisprudence 2026 : analyse de l'arrêt CE du 15 mars

L'arrêt du Conseil d'État du 15 mars 2026 (n° 489021) est la première décision de fond sur le test dérogation IA sécurité nationale. Il concernait un système de vidéosurveillance algorithmique déployé par la préfecture de police de Paris lors de la visite de chefs d'État étrangers.

Les faits

Le 12 janvier 2026, le ministre de l'Intérieur a activé une dérogation pour utiliser un logiciel de détection de mouvements de foule suspects, sans passer par la procédure d'évaluation de conformité prévue par l'EU AI Act. Une association de défense des libertés numériques a saisi le juge des référés.

La décision

Le Conseil d'État a annulé la dérogation pour deux motifs : d'une part, la menace invoquée (risque de troubles) n'était pas suffisamment caractérisée ; d'autre part, le test de proportionnalité n'avait pas démontré l'incapacité des mesures non-IA à gérer l'événement. L'arrêt précise que le test dérogation IA sécurité nationale exige une analyse concrète et non générique.

6. Différences avec les autres régimes dérogatoires

Le test dérogation IA sécurité nationale ne doit pas être confondu avec d'autres exceptions prévues par l'EU AI Act. Le tableau ci-dessous résume les principales différences :

Dérogation pour recherche scientifique

L'article 2.8 de l'EU AI Act exempte les systèmes d'IA développés exclusivement à des fins de recherche. Contrairement au test sécurité nationale, cette exemption ne nécessite pas de notification préalable. En revanche, les résultats ne peuvent pas être déployés opérationnellement sans passer par le circuit normal.

Dérogation pour catastrophes naturelles

L'article 72 ter (introduit en 2025) permet une dérogation temporaire pour les systèmes d'IA utilisés dans la gestion de catastrophes naturelles (incendies, inondations, séismes). Le test est moins strict : il suffit de démontrer l'urgence et l'absence d'alternative. La durée maximale est de 6 mois, non renouvelable.

Dérogation pour les forces armées

Les systèmes d'IA utilisés par les forces armées dans le cadre de missions de défense bénéficient d'une exemption de plein droit (article 2.3 de l'EU AI Act). Cependant, le test dérogation IA sécurité nationale s'applique lorsque le système est utilisé sur le territoire national ou affecte des civils. La frontière est parfois floue, comme l'a illustré l'affaire du drone de surveillance à la frontière italienne (CJUE, 2026, aff. C-456/25).

7. Risques et sanctions en cas de mauvaise application

Utiliser le test dérogation IA sécurité nationale de manière abusive expose à des sanctions sévères. La CNIL et la Commission européenne ont renforcé leurs pouvoirs de contrôle en 2026. Les amendes peuvent atteindre 4% du chiffre d'affaires mondial de l'entité responsable, ou 20 millions d'euros pour une entité publique.

Sanctions administratives

En cas de manquement, l'autorité nationale peut voir sa dérogation retirée avec effet immédiat. De plus, l'État membre peut être condamné à une astreinte journalière par la CJUE. En 2026, la Hongrie a été sanctionnée pour avoir utilisé une dérogation dans un but de répression politique (amende de 12 millions d'euros).

Responsabilité pénale des décideurs

Les responsables ayant sciemment contourné les règles engagent leur responsabilité pénale. En France, le fait de déployer une IA sans avoir réalisé le test dérogation peut constituer un délit d'atteinte à la vie privée (article 226-1 du code pénal) ou de mise en danger d'autrui (article 223-1). La jurisprudence 2026 a confirmé une peine de 18 mois de prison avec sursis pour un haut fonctionnaire.

« La tentation est grande d'invoquer la sécurité nationale pour gagner du temps ou contourner les contraintes. Mais les juges sont désormais formés à ces questions. Mon conseil : ne lancez jamais un système sans avoir l'avis écrit du comité d'éthique. » — Maître Antoine Rivière, avocat pénaliste.

8. Recommandations pratiques pour 2026

Pour réussir le test dérogation IA sécurité nationale, voici les étapes clés à suivre, que vous soyez une administration ou une entreprise délégataire de service public.

Anticiper et documenter

Ne préparez pas votre dossier dans l'urgence. Identifiez en amont les scénarios de crise et les systèmes d'IA susceptibles d'être déployés. Constituez un dossier « pré-dérogation » avec l'aide d'un juriste spécialisé. La CNIL recommande de réaliser une AIPD générique pour chaque type de système.

Impliquer les parties prenantes

Associez dès le départ le délégué à la protection des données (DPO), le comité d'éthique et les représentants des personnels. Une dérogation contestée en interne a peu de chances de passer le test. La transparence est un facteur de succès.

Prévoir la sortie de dérogation

Le plan de fin de dérogation doit être détaillé : comment les données seront-elles supprimées ou anonymisées ? Comment les modèles seront-ils désactivés ? Le non-respect de ce plan peut entraîner des poursuites. La loi française exige un rapport de fin de dérogation dans les 30 jours suivant la fin de la période.