L'intelligence artificielle depuis le RGPD : guide 2026 des obligations

1. Fondements juridiques : le RGPD comme socle de l'IA

Le RGPD n'a pas été conçu spécifiquement pour l'IA, mais ses principes s'appliquent pleinement aux systèmes qui traitent des données personnelles. En 2026, l'intelligence artificielle depuis le RGPD repose sur plusieurs piliers : la licéité du traitement (article 6), la minimisation (article 5) et la protection des données dès la conception (article 25).

Les bases légales adaptées à l'IA

Pour un système de recommandation ou un chatbot, le consentement (article 6.1.a) ou l'intérêt légitime (article 6.1.f) sont souvent invoqués. Toutefois, la CNIL a rappelé en 2025 que l'intérêt légitime ne peut pas être systématique pour l'IA intrusive. Pour les données sensibles (biométrie, santé), l'article 9 impose un consentement explicite ou une exception spécifique.

🔍 Analyse de l'avocat : « En 2026, nous constatons que les autorités de contrôle exigent une documentation rigoureuse du test de balance pour l'intérêt légitime. L'IA ne peut pas se cacher derrière une base légale vague. Chaque finalité doit être identifiée avec précision. »

2. Les obligations de transparence et d'information renforcées

Les articles 13 et 14 du RGPD imposent de fournir aux personnes des informations claires sur la logique du traitement, surtout lorsque l'IA est impliquée. En 2026, la transparence algorithmique est devenue un droit opposable. Les éditeurs d'IA doivent expliquer, en langage simple, les critères de décision et les catégories de données utilisées.

Contenu de l'information due

Au-delà des mentions classiques, il faut décrire : le fonctionnement général du modèle, les données d'entraînement, les biais potentiels, et l'existence d'une décision automatisée. La jurisprudence "Schrems III" (CJUE, 2025) a étendu cette obligation aux sous-traitants utilisant des API d'IA.

📌 Extrait de jurisprudence : « Toute personne concernée par une décision fondée sur un traitement automatisé doit pouvoir comprendre les éléments essentiels ayant conduit au résultat, sous peine de nullité de la décision. » (CJUE, 12 mars 2025, aff. C-567/23)

3. Analyse d'impact (AIPD) et gestion des risques algorithmiques

L'article 35 RGPD rend obligatoire l'analyse d'impact relative à la protection des données (AIPD) pour les traitements susceptibles d'engendrer un risque élevé pour les droits et libertés. En 2026, la liste des traitements soumis à AIPD inclut explicitement les systèmes d'IA utilisés pour l'évaluation des personnes (crédit, santé, emploi).

Contenu de l'AIPD pour l'IA

L'AIPD doit décrire le modèle, les données, les risques de biais, les mesures de mitigation et les mécanismes de contrôle. La CNIL a publié en janvier 2026 un guide sectoriel pour l'IA générative. L'absence d'AIPD ou une AIPD insuffisante expose à des sanctions pouvant atteindre 4% du chiffre d'affaires mondial.

⚡ Rappel de l'avocat : « L'AIPD n'est pas un document statique. Elle doit être mise à jour à chaque évolution significative du modèle ou des données. En 2026, les DPO doivent intégrer un suivi continu des performances et des biais. »

4. Décisions automatisées et droit à l'explication (art. 22)

L'article 22 RGPD interdit les décisions fondées exclusivement sur un traitement automatisé produisant des effets juridiques ou affectant significativement la personne, sauf exceptions (consentement explicite, contrat, loi). En 2026, la notion d'effet significatif est interprétée largement : refus d'un prêt, classement d'un CV, notation sociale.

Droit à l'intervention humaine

Les personnes ont le droit d'obtenir une révision humaine de la décision. La jurisprudence 2026 (CEDH, aff. "Müller c. Allemagne") a précisé que l'intervention humaine ne doit pas être une simple formalité : elle doit être réelle, éclairée et motivée.

🛡️ Précision juridique : « L'intervention humaine doit permettre de remettre en cause la décision algorithmique. Un simple bouton "contester" sans examen approfondi ne satisfait pas à l'article 22. » (Tribunal de l'UE, 14 février 2026, T-45/24)

5. IA générative : données d'entraînement et licéité du traitement

L'essor des modèles de langage (LLM) et des générateurs d'images soulève des questions inédites. L'intelligence artificielle depuis le RGPD impose de vérifier la licéité de la collecte des données d'entraînement. En 2026, plusieurs décisions ont confirmé que le web scraping massif peut violer l'article 5 (minimisation) et l'article 6 si aucune base légale n'est démontrée.

Le cas des données personnelles dans les corpus

Les entreprises qui entraînent des modèles sur des données publiques doivent prouver qu'elles respectent les principes de finalité et de proportionnalité. La CNIL a sanctionné en 2025 une société pour avoir utilisé des photos de réseaux sociaux sans consentement explicite (délibération SAN-2025-012).

⚠️ Mise en garde : « L'IA générative ne bénéficie d'aucune immunité. Les données d'entraînement doivent être documentées, et les droits des personnes (opposition, effacement) doivent pouvoir être exercés, même après l'entraînement. »

6. Jurisprudence 2026 : des précédents qui redessinent les obligations

L'année 2025-2026 a été riche en décisions structurantes. La CJUE a rendu trois arrêts majeurs sur l'IA et le RGPD, tandis que la CEDH a consacré un "droit à la non-discrimination algorithmique". Voici les décisions à connaître absolument.

Arrêt "DataScope c. CNIL" (CJUE, 8 avril 2026)

La Cour a jugé que l'utilisation d'un système de scoring basé sur l'IA pour évaluer la solvabilité des particuliers constitue une décision automatisée au sens de l'article 22, même si un employé valide formellement la décision. L'intervention humaine doit être substantielle.