Article 22 RGPD et intelligence artificielle : droits et conformité en 2026

1. Article 22 RGPD : rappel du principe d’interdiction

L’article 22 du RGPD pose un principe clair : « La personne concernée a le droit de ne pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé, y compris le profilage, produisant des effets juridiques la concernant ou l’affectant de manière significative. » En 2026, ce texte est renforcé par le règlement sur l’intelligence artificielle (AI Act) qui impose une classification des systèmes d’IA selon leur niveau de risque.

« L’article 22 RGPD n’est pas une simple formalité. C’est un bouclier contre l’arbitraire algorithmique. Toute décision automatisée ayant un impact sur la vie d’une personne – refus de crédit, évaluation professionnelle, scoring social – doit pouvoir être contestée et réexaminée par un humain. » — Maître Élise Vernet, avocat IA & RGPD

Les exceptions prévues par l’article 22 §2

Le principe d’interdiction connaît trois exceptions : (a) la décision est nécessaire à la conclusion ou à l’exécution d’un contrat, (b) elle est autorisée par le droit national ou européen, (c) elle repose sur un consentement explicite de la personne. Dans tous les cas, des mesures de sauvegarde adaptées doivent être mises en place, notamment la possibilité d’obtenir une intervention humaine.

2. IA et décision automatisée : quand l’article 22 s’applique-t-il ?

Tous les systèmes d’IA ne tombent pas sous le coup de l’article 22. Seules les décisions « exclusivement automatisées » produisant des effets juridiques ou significatifs sont concernées. En 2026, la jurisprudence de la CJUE (affaire C-634/21, Schufa étendu) précise que même une IA générative utilisée pour évaluer un candidat ou un client peut constituer un profilage prohibé si l’humain n’exerce qu’un contrôle de pure forme.

Exemples concrets de décisions automatisées visées

• Refus de prêt bancaire basé sur un scoring IA sans examen humain réel
• Filtrage de CV par algorithme éliminant automatiquement des candidats
• Évaluation de performance des salariés par un système d’IA générative
• Détection de fraude conduisant au blocage d’un compte bancaire
• Notation sociale (assurance, crédit, logement) fondée sur des profils prédictifs

« Une décision n’est pas ‘automatisée’ au sens de l’article 22 si un humain exerce une influence réelle et substantielle. Mais attention : la simple validation d’une recommandation IA sans analyse critique ne suffit pas. La Cour de justice a rappelé en 2025 que l’humain doit pouvoir s’écarter de la proposition algorithmique. » — Maître Vernet

3. Droits des citoyens face à une décision IA en 2026

Au-delà du droit de ne pas être soumis à une décision automatisée, l’article 22 combiné aux articles 13, 14 et 15 du RGPD confère aux personnes des droits renforcés. En 2026, les autorités de contrôle (CNIL, EDPS) insistent sur la transparence algorithmique et le droit à l’explication.

Les droits concrets

• Droit d’opposition : refuser d’être soumis à une décision automatisée (sauf exception contractuelle ou légale)
• Droit à l’information : connaître l’existence d’une prise de décision automatisée, la logique impliquée et les conséquences
• Droit d’accès : obtenir une copie des données utilisées et du profil établi
• Droit à l’intervention humaine : exiger qu’une personne habilitée réexamine la décision
• Droit de contester : présenter des observations et obtenir une réponse motivée

« En 2026, le droit à l’explication ne se limite plus à des informations génériques. La personne doit comprendre pourquoi l’IA a pris telle décision dans son cas particulier. Les modèles de ‘boîte noire’ sont désormais contraires au RGPD, sauf si un mécanisme d’explicabilité est intégré. » — Maître Vernet

4. Obligations de conformité pour les entreprises utilisant l’IA

Les entreprises qui déploient des systèmes d’IA décisionnels doivent respecter un cadre strict. En 2026, le non-respect de l’article 22 RGPD expose à des amendes allant jusqu’à 20 millions d’euros ou 4% du chiffre d’affaires mondial. Voici les obligations principales.

Analyse d’impact relative à la protection des données (AIPD)

Obligatoire pour tout traitement automatisé fondé sur l’article 22. L’AIPD doit identifier les risques pour les droits et libertés, décrire les mesures de sauvegarde (intervention humaine, audit, traçabilité).

Registre des traitements et documentation

• Description du processus décisionnel automatisé
• Catégories de données utilisées et source
• Logique du modèle (y compris les biais potentiels)
• Mesures de révision humaine et fréquence des audits

Désignation d’un responsable du réexamen

Une personne physique qualifiée doit être habilitée à réviser chaque décision contestée. Cette personne doit disposer de l’autorité et des compétences pour modifier la décision.

« La conformité à l’article 22 ne s’improvise pas. Elle exige une gouvernance robuste : DPO impliqué, comité d’éthique, audits réguliers. Les entreprises qui traitent la conformité comme une simple case à cocher risquent des sanctions lourdes et une atteinte à leur réputation. » — Maître Vernet

5. Articulation avec l’AI Act européen et les nouvelles directives

Le règlement européen sur l’intelligence artificielle (AI Act), entré en vigueur en 2025, renforce les exigences de l’article 22 RGPD. Les systèmes d’IA à haut risque (crédit, assurance, recrutement, justice) doivent respecter des obligations supplémentaires : transparence, traçabilité, surveillance humaine, et documentation technique.

Classification des systèmes d’IA concernés

• Haut risque : notation de crédit, évaluation de solvabilité, recrutement, accès aux services essentiels
• Risque limité : chatbots, systèmes de recommandation (avec transparence renforcée)
• Risque minimal : jeux, filtres (sans obligation spécifique)

L’AI Act impose une évaluation de conformité préalable à la mise sur le marché pour les systèmes à haut risque. Les autorités de contrôle peuvent exiger l’arrêt du traitement en cas de non-respect.

« L’AI Act et le RGPD sont les deux piliers de la régulation de l’IA en Europe. L’article 22 RGPD reste la norme de base, mais l’AI Act ajoute des couches d’exigences techniques. Les entreprises doivent les appliquer de manière cohérente, sous peine de doubles sanctions. » — Maître Vernet

6. Sanctions et jurisprudence 2025-2026 : les précédents

Les autorités de contrôle n’hésitent plus à sanctionner. En 2025, la CNIL a infligé une amende de 3 millions d’euros à une plateforme de recrutement utilisant un algorithme de filtrage sans intervention humaine réelle. La CJUE, dans l’affaire Digital Rights Ireland (2026), a précisé que le droit à l’intervention humaine implique un réexamen individuel et effectif.

7. Bonnes pratiques : audit, transparence et révision humaine

Pour être conforme en 2026, une approche proactive est indispensable. Voici les bonnes pratiques recommandées par les autorités et les experts.

Audit régulier des algorithmes

Faites auditer vos modèles d’IA par un tiers indépendant pour détecter les biais, vérifier l’équité et la conformité à l’article 22. L’audit doit porter sur la logique du modèle, les données d’entraînement et les décisions réelles.

Transparence renforcée

• Publier une notice claire sur les décisions automatisées (finalité, logique, conséquences)
• Utiliser un langage simple et accessible (éviter le jargon technique)
• Prévoir une interface dédiée pour exercer ses droits (opposition, accès, révision)

Processus de révision humaine

Désignez une équipe habilitée à réexaminer les décisions contestées. Cette équipe doit avoir accès à l’ensemble des données utilisées par l’IA, ainsi qu’à la possibilité de modifier la décision. Documentez chaque révision (motifs, issue).

« La révision humaine ne doit pas être une simple formalité. La personne habilitée doit comprendre le fonctionnement de l’IA et être en mesure de s’opposer à sa recommandation. Chez nos clients, nous mettons en place des arbres de décision et des formations obligatoires pour les réviseurs. » — Maître Vernet

8. Checklist conformité article 22 RGPD pour votre système d’IA

Une liste de contrôle pratique pour évaluer votre conformité en 2026.

• ✅ Avez-vous identifié les décisions automatisées relevant de l’article 22 ?
• ✅ Une analyse d’impact (AIPD) a-t-elle été réalisée et mise à jour ?
• ✅ Les personnes sont-elles informées de manière claire et préalable ?
• ✅ Un mécanisme de révision humaine est-il opérationnel et documenté ?
• ✅ Les réviseurs sont-ils formés et habilités à modifier les décisions ?
• ✅ Un registre des décisions automatisées est-il tenu à jour ?
• ✅ L’algorithme est-il audité régulièrement pour détecter les biais ?
• ✅ Les droits d’accès, d’opposition et de contestation sont-ils facilement exerçables ?
• ✅ Votre système respecte-t-il les exigences de l’AI Act (si haut risque) ?
• ✅ Avez-vous désigné un DPO et un responsable du réexamen ?

« Une checklist ne suffit pas : la conformité est un processus continu. Les modèles d’IA évoluent, les données changent, la jurisprudence progresse. Revoir votre conformité chaque trimestre est le minimum pour éviter les sanctions. » — Maître Vernet