RGPD et intelligence artificielle 2026 : les nouvelles obligations à connaître

1. Contexte réglementaire 2026 : RGPD + AI Act

Le RGPD et intelligence artificielle 2026 ne peut plus être dissocié du règlement sur l’intelligence artificielle (AI Act), dont les dispositions sur les systèmes à haut risque s’appliquent pleinement depuis août 2026. La superposition des deux textes crée des obligations cumulatives : une IA de recrutement devra respecter à la fois l’article 22 RGPD (décision automatisée) et les articles 10-13 de l’AI Act (transparence, surveillance humaine).

Classification des systèmes d’IA selon le risque

L’AI Act 2026 définit quatre niveaux : inacceptable (interdit, ex. notation sociale), élevé (recrutement, santé, crédit, infrastructure critique), limité (obligation de transparence, ex. chatbot) et minimal. Chaque niveau déclenche des obligations RGPD spécifiques. Par exemple, un système de scoring client (haut risque) nécessite une AIPD obligatoire et un registre détaillé.

« En 2026, le RGPD devient le filet de sécurité des droits fondamentaux face à l’IA. Toute entreprise qui utilise un modèle prédictif doit cartographier ses données d’entraînement, documenter les biais et offrir un droit de recours effectif. » — Commission Nationale de l’Informatique et des Libertés, guide IA 2026

2. Registre des traitements : obligations enrichies

L’article 30 RGPD est renforcé par l’AI Act. Dès 2026, le registre doit inclure pour chaque système d’IA : la finalité précise du modèle, les catégories de données d’entraînement, les mesures de correction de biais, la fréquence des mises à jour, et le niveau de risque AI Act. Le CEPD (Comité européen de la protection des données) a publié en janvier 2026 un modèle de registre unifié.

Éléments obligatoires supplémentaires

Au-delà des mentions classiques, il faut documenter : l’origine des jeux de données (licéité), les algorithmes utilisés (référence version), les métriques d’équité (disparate impact), et les mécanismes de contrôle humain. Les autorités de contrôle peuvent demander ces informations sous 48 heures.

« Le registre n’est plus un simple inventaire : c’est une preuve de conformité dynamique. Nous recommandons une mise à jour trimestrielle et une revue annuelle par un auditeur externe. » — Rapport EDPB, février 2026

3. Analyse d’impact (AIPD) pour systèmes d’IA

L’AIPD (Analyse d’Impact relative à la Protection des Données) est obligatoire pour tout système d’IA à haut risque (liste de l’AI Act annexe III) et pour tout traitement susceptible d’engendrer des risques élevés pour les droits et libertés. En 2026, le seuil s’élargit : les IA génératives et les systèmes de recommandation à grande échelle sont également concernés.

4. Droits des personnes : explicabilité et recours

L’article 22 RGPD interdit les décisions fondées exclusivement sur un traitement automatisé produisant des effets juridiques. L’AI Act renforce ce droit en imposant une explication claire et intelligible du fonctionnement de l’IA. En 2026, toute personne a le droit de demander : pourquoi une décision a été prise, quelles données ont été utilisées, et comment contester.

Droit à l’explication (art. 86 AI Act)

Les systèmes à haut risque doivent fournir une explication « significative » : facteurs principaux, pondération, seuils de décision. Les modèles de type boîte noire (deep learning) doivent être accompagnés d’outils d’interprétabilité (LIME, SHAP).

« L’explicabilité n’est pas une option technique, c’est une obligation légale. En cas de contentieux, c’est à l’entreprise de prouver que son IA n’est pas discriminatoire. » — Avocate spécialisée IA & RGPD, cabinet LexIA

5. Gouvernance des données et équité algorithmique

La qualité des données est au cœur du RGPD et intelligence artificielle 2026. Les données d’entraînement doivent être exactes, représentatives et exemptes de biais discriminatoires. L’article 5 RGPD (exactitude, minimisation) combiné à l’AI Art. 10 impose des audits réguliers.

Mesures techniques recommandées

Anonymisation robuste (k-anonymat, confidentialité différentielle), détection de biais via des métriques (statistical parity, equal opportunity), et documentation des jeux de données (data cards). En 2026, la CNIL exige un rapport d’équité annuel pour les IA déployées dans le secteur public.

6. IA générative : transparence et licéité

Les modèles génératifs (LLM, diffusion) sont particulièrement scrutés. Depuis 2026, tout système génératif doit indiquer clairement que le contenu est généré par IA (art. 50 AI Act). De plus, les données d’entraînement doivent respecter le droit d’auteur et le RGPD : si des données personnelles sont utilisées, le consentement ou une base légale est nécessaire.

Obligations spécifiques pour les chatbots et assistants

Transparence renforcée : mention « conversation avec une IA », accès aux logs (sous réserve de confidentialité), et possibilité de demander la suppression des échanges. Les entreprises doivent également éviter la « manipulation émotionnelle ».

« Un chatbot qui collecte des données sans information claire viole à la fois le RGPD et l’AI Act. Nous voyons des plaintes en forte hausse depuis 2025. » — Rapport annuel de la CNIL, 2026

7. Sanctions et contentieux : ce qui change en 2026

Le plafond des amendes RGPD reste à 20 M€ ou 4 % du CA mondial, mais l’AI Act ajoute une sanction complémentaire pouvant atteindre 7 % du CA pour les infractions liées à l’IA (ex. non-respect de l’interdiction de notation sociale). En 2026, plusieurs décisions de la CJUE ont clarifié la responsabilité conjointe du développeur et du déployeur.

Contentieux emblématiques

Affaire « Scoring RH 2025 » : une entreprise condamnée à 2,5 M€ pour utilisation d’un algorithme discriminant basé sur le genre. La décision a imposé un audit indépendant et la publication des métriques d’équité. Depuis, les DPO exigent des garanties contractuelles sur les modèles fournis par des tiers.

8. Checklist conformité : les 10 actions prioritaires

Pour être en conformité avec le RGPD et intelligence artificielle 2026, voici les actions immédiates :

• ✅ Cartographier tous les systèmes d’IA (interne et sous-traités).
• ✅ Classer chaque système selon le niveau de risque AI Act.
• ✅ Mettre à jour le registre des traitements (modèle unifié).
• ✅ Réaliser une AIPD pour chaque IA à haut risque avant déploiement.
• ✅ Documenter les données d’entraînement (licéité, biais).
• ✅ Implémenter un mécanisme d’explication et de contestation.
• ✅ Auditer l’équité algorithmique (rapport annuel).
• ✅ Former les équipes (DPO, développeurs, métiers).
• ✅ Vérifier les contrats avec les fournisseurs d’IA (clauses RGPD).
• ✅ Prévoir une procédure de notification en cas d’incident IA.