Intelligence artificielle RGPD : les nouvelles obligations 2026

1. Les fondements : RGPD et AI Act – le double niveau de conformité

Depuis le 2 août 2026, le règlement sur l’intelligence artificielle (UE 2024/1689) est pleinement applicable dans tous les États membres. Il ne remplace pas le RGPD mais le complète. Intelligence artificielle RGPD implique donc une double contrainte : respecter les principes de protection des données (article 5 RGPD) et les obligations spécifiques aux systèmes d’IA (classification des risques, transparence, surveillance humaine).

1.1. Le champ d’application matériel

Tout système d’IA qui traite des données personnelles – qu’il s’agisse de données d’entraînement, d’inférence ou de feedback – est soumis au RGPD. En 2026, la notion de « traitement » inclut explicitement le fine-tuning, le prompt engineering et l’utilisation de modèles pré-entraînés. La CNIL et la EDPS ont publié une recommandation commune précisant que même les modèles open source déployés localement entrent dans le champ si des données personnelles sont utilisées.

« Un système d’IA générative qui n’a pas été conçu pour traiter des données personnelles peut néanmoins en produire ou en révéler. Le responsable de traitement doit anticiper ce risque dès la phase de conception. » – Maître Élodie Vernet, IAAvocat.com

1.2. L’articulation entre le RGPD et l’AI Act

L’AI Act impose une analyse d’impact relative aux droits fondamentaux (FRAIA) qui doit être combinée avec l’AIPD du RGPD. En pratique, un document unique peut être réalisé, à condition de couvrir à la fois les risques pour les droits et libertés des personnes physiques (RGPD) et les risques systémiques (AI Act). Les autorités de contrôle recommandent une approche intégrée.

2. Analyse d’impact (AIPD) obligatoire pour les systèmes à haut risque

Depuis le 1er janvier 2026, l’AIPD est obligatoire pour tout système d’IA classé « à haut risque » selon l’AI Act. Mais la CNIL va plus loin : elle considère que tout système d’IA qui prend une décision automatisée ayant un effet juridique ou significatif (scoring de crédit, tri de CV, diagnostic médical) doit faire l’objet d’une AIPD, même s’il n’est pas officiellement listé comme haut risque.

2.1. Contenu de l’AIPD renforcée

L’AIPD 2026 doit inclure : une description systématique des traitements, une évaluation de la nécessité et de la proportionnalité, une analyse des risques pour les droits et libertés, et les mesures envisagées pour les atténuer. Elle doit également comporter un volet « équité algorithmique » avec des tests de biais sur des données représentatives.

« L’AIPD n’est plus un document statique. Elle doit être mise à jour à chaque modification significative du modèle ou de ses données d’entraînement. Nous recommandons une révision trimestrielle. » – Maître Élodie Vernet

3. Transparence et information des personnes concernées

L’article 13 et 14 du RGPD imposent une information claire et accessible. En 2026, cette obligation est renforcée pour l’IA : les personnes doivent être informées du fait qu’elles interagissent avec un système d’IA, du fonctionnement général de l’algorithme, et des catégories de données utilisées pour l’entraînement. Le droit à l’information inclut désormais la publication d’une « fiche de transparence » (model card) simplifiée.

3.1. Les mentions obligatoires dans la politique de confidentialité

La politique de confidentialité doit comporter une section dédiée à l’IA, précisant : les finalités du traitement automatisé, les logiques sous-jacentes, les catégories de données collectées (y compris les données dérivées), et les droits des personnes (opposition, rectification, effacement). En cas d’utilisation de modèles génératifs, il faut également mentionner les sources d’entraînement et les mesures de filtrage des biais.

« Une politique de confidentialité standard ne suffit plus. Nous conseillons à nos clients de créer un ‘portail de transparence IA’ accessible depuis le site web, avec des explications visuelles et des exemples concrets. » – Maître Élodie Vernet

4. Droit à l’explication et contestation des décisions automatisées

L’article 22 du RGPD (décisions individuelles automatisées) est au cœur des nouvelles obligations. En 2026, toute décision fondée exclusivement ou principalement sur un traitement automatisé doit pouvoir être expliquée de manière intelligible. Le droit à l’explication ne se limite pas à une description technique : il doit permettre à la personne de comprendre les facteurs déterminants et de contester la décision.

4.1. L’exigence d’une explication « contrefactuelle »

La jurisprudence récente (CJUE, affaire C-634/25, « Dubois c. Société de crédit ») a consacré le droit à une explication contrefactuelle : la personne doit pouvoir savoir quelles données auraient dû être modifiées pour obtenir une décision différente. Les systèmes d’IA doivent donc intégrer des mécanismes d’explicabilité (LIME, SHAP, arbres de décision interprétables).

« Sans explicabilité, pas de conformité. Les modèles boîte noire sont désormais présumés non conformes, sauf si le responsable démontre qu’il n’existe pas d’alternative moins intrusive. » – Maître Élodie Vernet

5. Minimisation des données et pseudonymisation native

Le principe de minimisation (article 5.1.c RGPD) est renforcé pour l’IA. Il ne suffit plus de collecter uniquement les données nécessaires : il faut également démontrer que le modèle d’IA ne peut pas inférer de données sensibles ou excessives à partir des données légitimes. La pseudonymisation devient une obligation technique pour les jeux de données d’entraînement et d’inférence.

5.1. Techniques de pseudonymisation avancée

En 2026, la CNIL exige l’utilisation de techniques de « differential privacy » ou de « k-anonymat » pour les ensembles de données utilisés en apprentissage. La simple suppression des identifiants directs (nom, email) n’est plus suffisante. Il faut également éliminer les quasi-identifiants (code postal, date de naissance, profession) qui permettent la réidentification par recoupement.

« Nous avons assisté à une augmentation des plaintes pour réidentification indirecte. Les DPO doivent auditer régulièrement les risques de réidentification, surtout lorsque le modèle est entraîné sur des données multimodales (texte + image + géolocalisation). » – Maître Élodie Vernet

6. Gouvernance, audit et certification – les nouvelles exigences documentaires

La gouvernance des données et des modèles est devenue une obligation légale. L’article 10 de l’AI Act impose une documentation technique complète (architecture, données d’entraînement, métriques de performance, biais). Cette documentation doit être tenue à disposition des autorités de contrôle sous 48 heures. En 2026, les audits RGPD incluent systématiquement un volet IA.

6.1. Le registre des traitements IA

Au-delà du registre général (article 30 RGPD), un registre spécifique aux systèmes d’IA doit être tenu. Il doit mentionner : l’identifiant unique du modèle, la version, les finalités, les catégories de données, les mesures de sécurité, les AIPD réalisées, et les certifications obtenues. Ce registre est exigé lors des contrôles.

« La certification ‘IA de confiance’ (norme ISO 42001) devient un avantage concurrentiel. Les autorités de contrôle tiennent compte de cette certification pour moduler les sanctions en cas d’incident. » – Maître Élodie Vernet

7. Sanctions et jurisprudence 2026 : premiers enseignements

La première moitié de 2026 a vu une recrudescence des sanctions. La CNIL a infligé une amende de 3,2 millions d’euros à une plateforme de recrutement pour défaut d’AIPD et absence d’explication des décisions de tri. La CJUE a également rendu deux arrêts importants sur la notion de « décision automatisée » et sur le droit à l’effacement des données d’entraînement.

7.1. Arrêt « Lefèvre c. Banque de France » (CJUE, mars 2026)

La Cour a jugé que le scoring de crédit basé sur un modèle d’IA constitue une décision automatisée au sens de l’article 22, même si un humain valide formellement la décision. L’humain doit avoir une réelle capacité d’influence et les moyens de s’écarter de la recommandation algorithmique. Dans le cas contraire, la décision est considérée comme automatisée.

« Cet arrêt bouleverse les pratiques de nombreuses entreprises. La ‘validation humaine’ de complaisance n’est plus une protection. Il faut repenser les processus de décision avec une réelle intervention humaine substantielle. » – Maître Élodie Vernet

8. Recommandations pratiques pour les DPO et responsables de traitement

Face à ces obligations, une approche pragmatique et structurée est indispensable. Voici les actions prioritaires à mener en 2026 :

• Auditer tous les systèmes d’IA existants et en projet (inventaire complet).
• Réaliser ou mettre à jour les AIPD selon la méthodologie intégrée RGPD/AI Act.
• Implémenter des mécanismes d’explicabilité et de contestation.
• Pseudonymiser les données d’entraînement avec des techniques robustes.
• Documenter la gouvernance (registre IA, fiches de transparence).
• Former les équipes juridiques, techniques et métiers.
• Contractualiser avec les fournisseurs d’IA (clauses RGPD spécifiques).

« La conformité n’est pas un projet ponctuel mais un processus continu. Les entreprises qui intègrent la protection des données dès la conception (privacy by design) réduisent leurs risques et gagnent la confiance des utilisateurs. » – Maître Élodie Vernet