Données personnelles IA API : droits et obligations en 2026

1. API d’IA et données personnelles : le nouveau paradigme

En 2026, une API d’IA (interface de programmation applicative) ne se limite plus à renvoyer un résultat. Elle peut inférer, catégoriser ou générer des données à caractère personnel. Par exemple, une API de modération de contenu analyse des messages privés ; une API de recrutement traite des CV. Chaque requête expose potentiellement des données sensibles.

« Une API d’IA est aujourd’hui un sous-traitant au sens du RGPD, mais aussi parfois un responsable conjoint de traitement. La frontière est mince et dépend de qui définit les finalités. » — Claire D., avocate spécialisée IA & données, IAAvocat.com

Typologie des API d’IA à risque

On distingue les API de génération (LLM, images, voix), les API d’analyse (reconnaissance faciale, scoring) et les API décisionnelles (crédit, santé). Toutes peuvent traiter des données personnelles, soit en entrée (prompt), soit en sortie (résultat), soit via l’apprentissage (fine-tuning).

2. Cadre légal 2026 : AI Act & RGPD renforcé

Depuis août 2025, l’AI Act européen classe les API d’IA selon leur niveau de risque. Les API manipulant des données personnelles à grande échelle sont souvent considérées comme « haut risque » (annexe III). Parallèlement, le RGPD 2026 intègre un droit à l’explication algorithmique et une obligation de minimisation des données dans les appels API.

Articulation AI Act / RGPD

Les fournisseurs d’API doivent respecter à la fois les règles de conception (AI Act) et les principes de protection des données (RGPD). En cas de conflit, le RGPD prévaut. La CNIL 2026 impose une notice API : chaque endpoint doit documenter les catégories de données traitées.

« L’AI Act ne remplace pas le RGPD : il le complète. Une API d’IA qui traite des données biométriques doit non seulement faire une déclaration CE, mais aussi une AIPD renforcée. » — Extrait du guide CNIL « API & IA », mars 2026.

3. Obligations des fournisseurs d’API

Les fournisseurs d’API d’IA (OpenAI, Mistral, Google, mais aussi des acteurs spécialisés) sont soumis à des obligations renforcées en 2026 :

• Privacy by design : l’API ne doit pas stocker par défaut les données personnelles transmises. Le fournisseur doit proposer une option « zéro log ».
• Information précontractuelle : mention explicite des traitements de données personnelles dans les conditions d’utilisation de l’API.
• Désignation d’un représentant UE pour les fournisseurs extra-européens.
• Respect du droit d’opposition : les personnes doivent pouvoir s’opposer à l’utilisation de leurs données pour l’amélioration du modèle.

Cas des API open source

Les API open source ne sont pas exemptées. Si elles sont utilisées dans un contexte professionnel et traitent des données personnelles, le fournisseur (ou l’intégrateur) reste responsable. En 2026, la cour de justice a confirmé que l’absence de contrat ne supprime pas l’obligation de garantie.

4. Obligations des entreprises utilisatrices

Les entreprises qui intègrent une API d’IA dans leurs processus (RH, marketing, support) doivent :

• Réaliser une analyse d’impact relative à la protection des données (AIPD) avant la mise en production.
• Conclure un contrat de sous-traitance avec le fournisseur d’API conforme à l’article 28 RGPD.
• Mettre en place une politique de minimisation : ne transmettre à l’API que les données strictement nécessaires (ex. pseudonymisation des identifiants).
• Informer les personnes concernées via une notice spécifique « API IA ».

« Trop d’entreprises envoient des données personnelles brutes à une API d’IA sans contrôle. En 2026, la CNIL a déjà infligé 4 amendes pour défaut de contractualisation avec des fournisseurs d’API. » — Rapport annuel CNIL 2025.

5. Droits des personnes : exercice automatisé via API

Le RGPD 2026 consacre un droit d’accès et d’effacement automatisé via les API. Les personnes peuvent demander à une entreprise de supprimer leurs données personnelles directement via l’API qui les a traitées. Concrètement, l’API doit exposer un endpoint dédié (ex. DELETE /v1/data/personal) permettant de retracer et effacer les données.

Portabilité et récupération

Les API d’IA doivent permettre, sur demande, de récupérer les données personnelles générées (ex. un profil créé par IA). Le format doit être structuré et lisible (JSON, CSV). La CNIL recommande un portail API unifié pour les droits.

« Nous voyons émerger des ‘API de droits’ : des interfaces standardisées pour exercer ses droits RGPD chez tous les fournisseurs d’IA. C’est une avancée majeure pour la transparence. » — IAAvocat.com, observatoire 2026.

6. Analyse d’impact (AIPD) et registre des traitements

L’AIPD est obligatoire pour toute API d’IA traitant des données personnelles à risque (évaluation, scoring, catégories sensibles). En 2026, le format AIPD doit inclure une section « risques liés à l’inférence et aux biais ». Exemple : une API de recrutement peut reproduire des discriminations, ce qui constitue un risque pour les droits et libertés.

Registre des activités de traitement

Chaque appel d’API doit être journalisé (sans conserver le contenu inutilement). Le registre doit mentionner : finalité, catégories de données, destinataires (y compris l’API), transferts hors UE, durée de conservation. La CNIL a publié un registre type pour API IA en janvier 2026.

7. Journalisation, transparence et audit

La journalisation des appels API est cruciale pour prouver la conformité. Chaque requête doit enregistrer : timestamp, identifiant pseudonymisé (si possible), endpoint, taille approximative des données, et finalité. Le contenu des prompts ne doit pas être conservé au-delà de 48h sauf obligation légale.

Transparence algorithmique

Les personnes ont le droit de savoir comment l’API a traité leurs données. En 2026, le droit à l’explication s’étend aux décisions automatisées basées sur une API. L’entreprise doit pouvoir fournir une explication intelligible du rôle de l’IA.

« L’audit d’une API d’IA doit être technique et juridique. Nous recommandons un audit trimestriel des logs et des consentements. L’outil AuditIA (CNIL) permet de tester la conformité d’un endpoint. » — Guide IAAvocat.com, 2026.

8. Sanctions, jurisprudence et bonnes pratiques 2026

En 2025, la CNIL a sanctionné une plateforme de chatbot à hauteur de 3,2 millions d’euros pour absence de contrat avec le fournisseur d’API et conservation excessive des logs. La tendance 2026 est au contrôle renforcé des API d’IA générative. Les DPO doivent intégrer les API dans leur registre.

Bonnes pratiques recommandées

• Utiliser des API avec engagement contractuel « no training » (les données ne servent pas à améliorer le modèle).
• Mettre en place un filtre de données côté client : ne jamais envoyer de données sensibles (santé, opinions politiques) sans anonymisation.
• Former les équipes techniques au RGPD API (inclusion dans les sprints).
• Prévoir une clause de résiliation en cas de non-respect de la conformité par le fournisseur.