Intelligence artificielle depuis le RGPD : conformité et enjeux 2026

1. Fondements juridiques : RGPD et IA en 2026

Le RGPD reste la pierre angulaire de la protection des données dans l'Union européenne. En 2026, l'intelligence artificielle depuis le RGPD est encadrée par une double strate normative : le RGPD lui-même et le règlement sur l'intelligence artificielle (AI Act), dont les dispositions relatives aux systèmes à haut risque sont pleinement applicables depuis janvier 2026. La CNIL et les autorités de contrôle nationales ont publié des recommandations actualisées, notamment sur l'évaluation d'impact relative à la protection des données (AIPD) pour les modèles d'IA.

En 2026, aucun déploiement d'IA traitant des données personnelles ne peut ignorer l'analyse d'impact obligatoire. L'article 35 RGPD est désormais systématiquement combiné avec l'évaluation des risques de l'AI Act. La conformité devient une démarche de conception.

2. Licéité du traitement pour l'entraînement des IA

2.1 Les bases légales classiques en tension

L'entraînement d'un modèle d'IA repose souvent sur le traitement de données personnelles à grande échelle. La base légale la plus invoquée est l'intérêt légitime (article 6.1.f RGPD), mais sa mise en œuvre est strictement encadrée depuis 2025. Les autorités européennes (EDPB) exigent un balancement des intérêts documenté, avec une attention particulière aux droits des personnes concernées.

2.2 Le consentement et ses limites

Le consentement explicite reste possible, mais il est souvent impraticable pour des jeux de données massifs. La décision Meta c. CNIL (2024) a rappelé que le consentement doit être spécifique et non ambigu. En 2026, de nombreuses entreprises se tournent vers l'exception de recherche scientifique (article 89 RGPD), mais celle-ci est interprétée strictement : finalité de recherche, non-réutilisation commerciale directe.

L'intérêt légitime pour l'entraînement d'IA n'est pas exclu, mais il exige une transparence renforcée. Dans l'affaire Clearview AI (2025), la CJUE a validé les amendes record au motif que l'intérêt légitime n'était pas proportionné face à la surveillance de masse.

3. Transparence et information des personnes

L'article 13 et 14 RGPD imposent une information claire sur l'existence d'un traitement automatisé, y compris le profilage et les décisions algorithmiques. Depuis 2026, les modèles d'IA générative doivent également indiquer qu'un contenu a été produit ou assisté par IA (AI Act, art. 50). Cette double obligation de transparence est au cœur de l'intelligence artificielle depuis le RGPD.

3.1 Logs algorithmiques et droit à l'explication

Le droit à une explication (considérant 71 RGPD) est renforcé par les lignes directrices de l'EDPB de 2025. Les personnes concernées peuvent exiger de comprendre la logique sous-jacente d'une décision automatisée. En pratique, cela impose de conserver des traces d'exécution interprétables.

Ne sous-estimez pas le droit d'accès (art. 15 RGPD). En 2026, une personne peut demander la liste des données utilisées pour l'entraînement d'un modèle qui a produit une décision la concernant. Les entreprises doivent être capables de répondre sous 30 jours.

4. Minimisation, exactitude et limitation de conservation

Les principes de minimisation (art. 5.1.c) et d'exactitude (art. 5.1.d) sont souvent mis à rude épreuve par les IA. Un modèle entraîné sur des données obsolètes ou biaisées peut violer le RGPD. En 2026, la CNIL a sanctionné une plateforme de recrutement utilisant un algorithme basé sur des données de genre non actualisées.

4.1 Anonymisation et pseudonymisation

L'anonymisation réelle (irréversible) peut sortir le traitement du champ du RGPD, mais elle est difficile à atteindre. La pseudonymisation reste recommandée, mais elle n'exonère pas des obligations. L'évaluation d'impact doit démontrer que les mesures techniques empêchent la réidentification.

Attention aux techniques de data augmentation : elles peuvent recréer des données personnelles à partir de données agrégées. La jurisprudence 2026 (TUE, aff. T-123/25) a considéré qu'un modèle génératif pouvait « mémoriser » des données d'entraînement, engageant la responsabilité du responsable de traitement.

5. Décisions automatisées et profilage (art. 22)

L'article 22 RGPD interdit les décisions fondées exclusivement sur un traitement automatisé produisant des effets juridiques ou affectant significativement la personne. De nombreuses IA (notation de crédit, tri de CV, diagnostic médical) entrent dans ce champ. En 2026, l'interprétation est extensive : une recommandation de contenu personnalisé peut être considérée comme une décision automatisée si elle a un impact sur l'accès à l'information.

5.1 Exceptions et garanties

Les exceptions (nécessité contractuelle, consentement explicite, loi) sont strictes. Le droit à une intervention humaine doit être effectif, pas seulement formel. L'AI Act impose en outre une surveillance humaine pour les systèmes à haut risque.

6. Articulation RGPD / AI Act : vers une conformité intégrée

Depuis 2026, l'AI Act est pleinement applicable pour les systèmes d'IA à haut risque. Les obligations de gestion des risques, de documentation technique et de transparence s'ajoutent à celles du RGPD. L'intelligence artificielle depuis le RGPD doit donc être comprise dans un cadre plus large. Les autorités de contrôle coordonnent leurs actions : une amende AI Act peut s'ajouter à une amende RGPD.

6.1 L'analyse d'impact unique

L'AIPD (art. 35 RGPD) et l'évaluation des risques (art. 9 AI Act) peuvent être combinées. L'EDPB et la Commission ont publié un modèle commun en 2025. C'est l'occasion de rationaliser la conformité.

Ne gérez pas la conformité en silos. Un DPO et un responsable IA doivent collaborer. Nous recommandons un comité de conformité algorithmique réunissant juristes, data scientists et éthiciens.

7. Jurisprudence 2026 : les affaires qui changent la donne

L'année 2026 a vu plusieurs décisions marquantes en matière d'intelligence artificielle depuis le RGPD :

• CJUE, 12 mars 2026, aff. C-456/25 : un modèle de langage (LLM) est considéré comme un « traitement de données personnelles » même s'il n'a pas été explicitement entraîné sur des données identifiantes, dès lors qu'il peut générer des informations personnelles.
• Cour EDH, 8 janvier 2026 : le profilage politique via IA lors de campagnes électorales viole l'article 8 de la CEDH et le RGPD (absence de consentement valide).
• CNIL, délibération SAN-2026-004 : amende de 12 millions d'euros pour non-respect du droit d'opposition dans un système de recommandation IA.

Ces décisions confirment une tendance : les juges et les autorités de contrôle exigent une responsabilité proactive. L'ignorance des risques liés à l'IA n'est plus une défense acceptable.

8. Recommandations pratiques pour les déploiements IA

Pour conclure cette analyse, voici une synthèse des actions prioritaires pour maîtriser l'intelligence artificielle depuis le RGPD en 2026 :

• Auditez tous vos systèmes d'IA existants sous l'angle RGPD + AI Act.
• Nommez un responsable IA (ou élargissez les missions du DPO).
• Documentez chaque modèle : finalité, données, mesures de protection, base légale.
• Formez vos équipes techniques aux principes de privacy by design.
• Contractualisez avec vos fournisseurs d'IA (clauses RGPD, sous-traitance).
• Préparez des procédures de réponse aux droits des personnes (accès, opposition, explication).

La conformité n'est pas un coût, c'est un avantage concurrentiel. Les clients et les partenaires exigent des garanties. IAAvocat vous accompagne dans chaque étape.