1. Fondements juridiques du traitement des données personnelles par l’IA

Le traitement des données personnelles IA repose sur une double strate normative : le RGPD (règlement (UE) 2016/679) et le règlement sur l’intelligence artificielle (AI Act, entré en vigueur en août 2024, avec des dispositions renforcées en 2026). Tout traitement automatisé, y compris l’entraînement de modèles, doit respecter les principes de licéité, loyauté, transparence et minimisation.

Base légale du traitement

L’article 6 du RGPD impose une base légale pour tout traitement. Pour l’IA, les bases les plus fréquentes sont le consentement explicite (article 9 pour les données sensibles), l’intérêt légitime (sous conditions strictes) ou l’exécution d’un contrat. L’AI Act ajoute une obligation de documentation renforcée pour les systèmes à haut risque.

Depuis 2025, la CNIL considère que l’intérêt légitime ne peut plus justifier un traitement massif de données pour l’entraînement d’IA sans information claire et possibilité d’opposition facile. Le droit d’opposition devient un véritable verrou.

2. Droits des personnes dans le cadre du traitement IA

Les personnes concernées disposent de droits renforcés, notamment le droit à l’information, le droit d’accès, le droit de rectification, le droit à l’effacement (« droit à l’oubli ») et le droit à la limitation du traitement. Mais l’IA introduit des droits spécifiques.

Droit à l’explication et à la non-discrimination

L’article 22 du RGPD interdit les décisions fondées exclusivement sur un traitement automatisé produisant des effets juridiques ou affectant significativement la personne. En 2026, la jurisprudence a étendu cette protection aux systèmes de recommandation et de scoring social. Le droit à une explication significative (article 13-14 RGPD) impose de décrire la logique algorithmique, l’importance des variables et les marges d’erreur.

Dans l’affaire _Doe c. Société DataBrain_ (CJUE, 2026), la Cour a jugé qu’un modèle de crédit IA doit fournir une explication individualisée, et non un simple avertissement générique. Le défaut d’explication constitue un traitement illicite.

3. Obligations des responsables de traitement en 2026

Les responsables de traitement qui déploient des systèmes d’IA doivent respecter des obligations accrues. Outre les obligations classiques (registre, consentement, sécurité), le traitement des données personnelles IA exige une gouvernance spécifique.

Registre des traitements et documentation

L’article 30 RGPD impose un registre détaillé. Pour l’IA, le registre doit mentionner la finalité précise du modèle, les catégories de données utilisées pour l’entraînement, les mesures de débiaisation, et la procédure de révision humaine. L’AI Act (article 11) exige une documentation technique complète pour les systèmes à haut risque.

Analyse d’impact et débiaisation

L’AIPD doit inclure une évaluation des biais potentiels et des mesures correctives. Depuis 2026, les autorités de contrôle peuvent exiger un audit indépendant des algorithmes.

En 2025, la CNIL a sanctionné une plateforme de recrutement pour n’avoir pas audité son algorithme de tri de CV, qui discriminait indirectement les candidats de plus de 50 ans. L’amende : 2,3 millions d’euros.

4. AI Act et catégories de risque : impact sur les données

Le règlement européen sur l’IA classe les systèmes en quatre niveaux : risque minimal, limité, haut risque et inacceptable. Le traitement des données personnelles IA est directement impacté : les systèmes à haut risque (santé, recrutement, crédit, justice, infrastructures critiques) doivent respecter des obligations de transparence, de traçabilité et de contrôle humain.

Interdictions absolues

L’article 5 de l’AI Act interdit les systèmes de notation sociale, l’exploitation des vulnérabilités, et la reconnaissance faciale en temps réel dans l’espace public (sauf exceptions très encadrées). Toute utilisation de données biométriques à des fins de catégorisation est soumise à une autorisation préalable.

5. Jurisprudence 2026 : décisions marquantes

Plusieurs décisions récentes ont redéfini le périmètre du traitement des données personnelles IA.

• CJUE, 12 février 2026, affaire C-453/25 : le droit d’accès inclut la communication des poids du modèle (sous forme agrégée) si ceux-ci contiennent des données personnelles. Les entreprises ne peuvent pas invoquer le secret d’affaires de manière absolue.
• Conseil d’État, 3 mars 2026, n° 482156 : annulation d’un arrêté autorisant un traitement algorithmique de notation des enseignants, faute d’étude d’impact préalable sur les biais.
• Cour d’appel de Paris, 14 janvier 2026, RG n° 25/00123 : un assureur condamné pour avoir utilisé un modèle prédictif de santé sans information claire sur le profilage. Dommages et intérêts : 50 000 € à chaque membre du groupe.

La tendance est claire : les juges exigent une transparence réelle, pas seulement formelle. Le simple renvoi à une politique de confidentialité générique ne suffit plus.

6. Sanctions et contentieux liés au traitement IA

Les amendes RGPD peuvent atteindre 20 millions d’euros ou 4% du chiffre d’affaires annuel mondial. En 2026, plusieurs autorités (CNIL, Garante, ICO) ont renforcé leurs contrôles sectoriels. Le traitement des données personnelles IA est la deuxième cause de sanction après le défaut de sécurité.

7. Recommandations pratiques pour 2026

Face à la complexité du traitement des données personnelles IA, voici les actions prioritaires :

• ✔️ Cartographier tous les systèmes d’IA utilisés (internes et externes).
• ✔️ Mettre à jour les mentions d’information et les formulaires de consentement.
• ✔️ Documenter les décisions algorithmiques (logs, version des modèles).
• ✔️ Prévoir un mécanisme de recours humain effectif.
• ✔️ Auditer les biais au moins une fois par an.