IA de droit français : comprendre les nouvelles régulations en 2026

1. Le cadre législatif français post-AI Act

La France a adopté la loi n° 2025-1128 du 21 juin 2025, dite « loi IA et droits fondamentaux », qui complète le règlement européen 2024/1689. Ce texte introduit des dispositions plus strictes dans le code civil, le code de procédure pénale et le code de la consommation. L'IA de droit français se distingue désormais par l'obligation de déclarer tout système impactant une décision administrative individuelle, y compris dans le secteur privé pour les décisions de crédit, d'assurance et d'embauche.

« La loi de 2025 ne se contente pas de transposer l'AI Act : elle crée un droit à l'explication renforcé. Tout justiciable peut exiger la communication du code source simplifié et des données d'entraînement ayant conduit à une décision automatisée. C'est une avancée majeure pour la transparence algorithmique. »

— Pr. Amélie Durand, membre du Conseil national de l'IA, mars 2026

Le décret d'application du 15 novembre 2025 précise les modalités de constitution du registre national des algorithmes publics. Celui-ci est accessible en ligne depuis le 1er février 2026 et référence déjà plus de 1 200 systèmes utilisés par les administrations. Les entreprises privées qui utilisent des IA notées « à risque élevé » selon la classification européenne doivent également s'y inscrire sous peine d'une amende de 500 000 euros.

2. Classification des systèmes d'IA : catégories et seuils

Le règlement européen distingue quatre niveaux de risque : inacceptable, élevé, limité et minimal. La France a ajouté une cinquième catégorie : les systèmes « critiques » pour l'exercice des libertés publiques. Sont notamment concernés les outils de reconnaissance biométrique dans les espaces ouverts, les algorithmes de notation sociale et les IA utilisées pour le profilage politique. L'IA de droit français interdit formellement ces usages depuis le 1er janvier 2026, avec des dérogations très encadrées pour la sécurité nationale.

Seuils techniques retenus par la CNIL

Pour les IA génératives, le seuil de puissance de calcul déclenchant des obligations renforcées est fixé à 10^25 FLOPs (opérations en virgule flottante). Tout modèle dépassant ce seuil doit fournir un résumé public des données d'entraînement, permettre un test d'équité et garantir un taux d'erreur inférieur à 2 % pour les décisions affectant des personnes physiques. Le non-respect expose à une suspension immédiate du service ordonnée par la CNIL.

« La classification française des systèmes critiques est unique en Europe. Elle impose une évaluation d'impact systématique avant tout déploiement, même pour des IA développées à l'étranger mais utilisées sur le territoire. »

— Maître Karim Benali, avocat spécialisé droit du numérique, cabinet LexIA

3. Droits des justiciables et voies de recours

Depuis la réforme du code civil, l'article 47-1 consacre un « droit à une décision humaine sur demande ». Tout justiciable peut exiger qu'une décision administrative ou judiciaire rendue avec le concours d'une IA soit réexaminée par un agent public. Ce droit est opposable dans un délai de 30 jours. En matière pénale, le recours est suspensif : l'exécution de la décision est automatiquement suspendue jusqu'à l'avis du juge délégué aux algorithmes.

Les associations agréées peuvent désormais engager une action de groupe pour discrimination algorithmique. La loi du 21 juin 2025 a créé un fonds d'indemnisation dédié, abondé par une contribution de 0,1 % sur le chiffre d'affaires des fournisseurs d'IA de droit français classées à risque élevé. En 2026, ce fonds dispose déjà de 45 millions d'euros pour couvrir les préjudices liés à des biais avérés.

4. Obligations des fournisseurs et déployeurs

Les fournisseurs d'IA de droit français doivent respecter un cahier des charges technique strict. Le registre de transparence doit inclure : la description du modèle, les métriques de performance par sous-groupe démographique, les résultats des tests de robustesse, et la politique de gestion des données personnelles. Depuis le 1er mars 2026, ces informations sont vérifiées par un organisme notifié (afnor, bureau veritas) pour les systèmes à risque élevé.

Documentation obligatoire

Le dossier technique comprend désormais une analyse d'impact relative aux droits fondamentaux (AIDF), distincte de l'analyse d'impact sur la protection des données (AIPD). L'AIDF doit être renouvelée tous les 24 mois ou à chaque modification substantielle du modèle. Les PME bénéficient d'un accompagnement via le guichet unique « IA conforme » piloté par la direction interministérielle du numérique.

5. Contrôle et sanctions : CNIL et Conseil national de l'IA

La CNIL a vu ses pouvoirs renforcés : elle peut désormais ordonner la suspension provisoire d'un système en 48 heures, sans procédure contradictoire préalable, en cas de risque grave et imminent pour les droits des personnes. Le Conseil national de l'IA, créé en septembre 2025, est une autorité indépendante composée de 12 membres (magistrats, chercheurs, représentants de la société civile). Il est compétent pour autoriser les dérogations aux interdictions et pour émettre des avis contraignants sur les projets de loi relatifs à l'IA.

« Le Conseil national de l'IA a déjà examiné 34 dossiers en janvier 2026. Nous avons refusé 8 demandes de dérogation pour des systèmes de reconnaissance faciale dans des centres commerciaux. La tendance est claire : la France veut montrer l'exemple en matière de régulation protectrice. »

6. Focus sur l'IA générative et les modèles de fondation

Les modèles de fondation (GPT-5, Gemini 2, Claude 4, etc.) sont soumis à des règles spécifiques depuis le 2 février 2026. Tout modèle dépassant 10^25 FLOPs doit publier un résumé suffisamment détaillé des données d'entraînement, permettant de vérifier l'absence d'œuvres protégées par le droit d'auteur sans autorisation. La loi française va plus loin que l'AI Act en exigeant une licence collective pour l'exploitation des données textuelles et visuelles issues d'œuvres françaises, sous peine de suspension du service sur le territoire.

Les fournisseurs d'IA de droit français doivent également mettre en place un système de signalement des contenus illicites (discours de haine, apologie du terrorisme) avec un délai de retrait de 24 heures. La plateforme Pharos de la police nationale est interconnectée avec les API des principaux modèles depuis janvier 2026.

7. Jurisprudence récente : premières décisions marquantes

Le tribunal judiciaire de Paris a rendu le 12 février 2026 un jugement historique : il a annulé une décision de refus de visa fondée sur un algorithme de scoring, au motif que l'administration n'avait pas fourni une explication intelligible au demandeur. Cette décision s'appuie directement sur l'article 47-1 du code civil et la charte des droits fondamentaux de l'UE. Elle ouvre la voie à des centaines de recours similaires.

Autre affaire notable : la cour d'appel de Lyon a condamné une plateforme de e-commerce à 1,2 million d'euros de dommages et intérêts pour discrimination indirecte causée par un algorithme de recommandation de crédit. Le système avait défavorisé les résidents de certains quartiers, sans justification statistique valable. Les juges ont ordonné la publication du correctif algorithmique sur le site de l'entreprise.

« Ces décisions montrent que les juges français maîtrisent désormais les enjeux techniques. Ils n'hésitent pas à ordonner des expertises indépendantes et à suspendre des systèmes entiers. La confiance dans l'IA de droit français passe par une justice exemplaire. »

— Me Sophie Leclerc, avocate au barreau de Paris, spécialiste contentieux IA

8. Guide pratique : audit de conformité en 10 étapes

Pour vous aider à mettre en conformité vos systèmes d'IA de droit français, voici une checklist opérationnelle basée sur les recommandations de la CNIL et du Conseil national de l'IA. Chaque étape doit être documentée et conservée pendant 5 ans.

1. Cartographie : listez tous les systèmes d'IA utilisés dans l'organisation
2. Classification : attribuez un niveau de risque selon les critères de l'AI Act + critères français
3. Analyse d'impact : rédigez l'AIDF pour les systèmes à risque élevé ou critique
4. Registre : inscrivez chaque système dans le registre national des algorithmes
5. Transparence : préparez les mentions légales et les formulaires d'explication
6. Tests : réalisez des tests d'équité et de robustesse (biais, adversarial)
7. Documentation : constituez le dossier technique (architecture, données, métriques)
8. Formation : formez les équipes juridiques et techniques aux nouvelles obligations
9. Audit externe : faites vérifier par un organisme notifié si le système est à risque élevé
10. Mise à jour : planifiez une révision annuelle et un processus de gestion des incidents