IA et données personnelles : les nouvelles obligations légales en 2026

1. Le nouveau droit à l’explication algorithmique

Depuis le 1er janvier 2026, toute décision individuelle fondée exclusivement ou partiellement sur un traitement automatisé utilisant l’IA doit faire l’objet d’une explication claire et accessible. Ce droit, consacré par l’article 22 du RGPD révisé et l’AI Act, impose de fournir à la personne concernée le fonctionnement général du modèle, les données utilisées et le poids des principaux facteurs.

« Le droit à l’explication n’est plus une simple recommandation : c’est une obligation exécutoire. En 2026, les autorités de contrôle exigent que l’explication soit compréhensible pour un non-initié. À défaut, le traitement est présumé non conforme. »

2. Analyse d’impact IA : une obligation élargie

L’analyse d’impact relative à la protection des données (AIPD) devient obligatoire pour tout système d’IA classé « à haut risque » selon le règlement européen. En 2026, cette analyse doit également inclure un volet « équité algorithmique » et un test de non-discrimination.

Quels systèmes sont concernés ?

Recrutement, notation de crédit, accès aux soins, évaluation éducative, et tout outil de profilage à grande échelle. Les PME bénéficient d’un guide simplifié, mais l’obligation reste pleine.

« Nous conseillons à nos clients de réaliser une AIPD même pour les systèmes à risque limité. La jurisprudence de 2026 montre que les autorités sanctionnent l’absence d’analyse préalable, y compris lorsque le risque est sous-évalué. »

3. Registre des traitements et transparence

Le registre des activités de traitement doit désormais mentionner, pour chaque système d’IA : la version du modèle, la source des données d’entraînement, les mesures de pseudonymisation, et la finalité précise du traitement. L’article 30 RGPD est complété par l’obligation de publier un résumé public des traitements algorithmiques pour les services destinés au public.

« La transparence n’est pas un fardeau, mais un atout concurrentiel. Nos clients qui publient volontairement des fiches d’information sur leurs algorithmes constatent une meilleure confiance des utilisateurs. »

4. Consentement et données sensibles dans l’IA

L’utilisation de données sensibles (origine, opinions politiques, données biométriques, etc.) pour entraîner ou faire fonctionner une IA est strictement encadrée. En 2026, le consentement doit être explicite, spécifique et révocable à tout moment. De plus, tout modèle entraîné sur des données biométriques doit faire l’objet d’une notification préalable à l’autorité.

« Attention : le simple fait d’utiliser des données pseudonymisées ne vous soustrait pas aux règles sur les données sensibles. La finalité du traitement détermine le régime applicable. »

5. Supervision humaine et audit des modèles

Les systèmes d’IA à haut risque doivent intégrer une supervision humaine effective. En 2026, cela implique la désignation d’un « responsable du contrôle humain » et la mise en place de procédures d’audit trimestrielles. La fréquence des audits est proportionnelle au risque, mais au minimum annuelle.

Contenu de l’audit

Vérification des biais, exactitude des prédictions, conformité au RGPD, et respect des droits des personnes. Les rapports d’audit doivent être tenus à disposition de la CNIL.

« L’audit ne doit pas être une simple formalité. En 2026, nous assistons aux premières sanctions pour défaut de supervision humaine : des amendes allant jusqu’à 4 % du chiffre d’affaires mondial. »

6. Sanctions 2026 : montants et tendances

Le plafond des sanctions pour non-respect des règles applicables à l’IA les données personnelles atteint désormais 20 millions d’euros ou 6 % du chiffre d’affaires annuel mondial (selon le montant le plus élevé). Les premières décisions de la CNIL et des autorités européennes montrent une sévérité accrue envers les manquements à la transparence et à l’équité.