Comment utiliser l'IA avec des données personnelles : traitement légal en 2026

1. Fondements juridiques du traitement par IA

Pour utiliser l'IA avec des données personnelles : traitement légal, il faut d'abord identifier le fondement juridique. L'article 6 du RGPD liste six bases possibles. Mais l'IA ajoute une complexité : l'apprentissage automatique peut détourner la finalité initiale. Le principe de minimisation (art. 5.1.c) impose de ne collecter que les données strictement nécessaires. En 2026, les autorités de contrôle sont particulièrement vigilantes sur le data scraping et l'entraînement non consenti.

« Un traitement de données personnelles par IA sans base légale claire est illicite. La finalité doit être déterminée avant l'entraînement du modèle. » — Cabinet IALegislation.fr, 2026

2. Les 6 bases légales : laquelle choisir ?

2.1 Consentement explicite

Le consentement doit être libre, spécifique, éclairé et univoque (art. 7 RGPD). Pour l'IA, il est souvent difficile à obtenir valablement, surtout en contexte professionnel. La CNIL considère que le consentement n'est pas adapté pour l'entraînement de modèles à grande échelle.

2.2 Intérêt légitime

Base la plus invoquée pour l'IA en 2026. Elle nécessite un test de balance (intérêt du responsable vs droits des personnes). Exemple : détection de fraude par IA. Attention : l'intérêt légitime ne permet pas de traiter des données sensibles (art. 9).

2.3 Exécution d'un contrat

Utilisable si l'IA est nécessaire à l'exécution d'un contrat (ex : assistant vocal intégré à un service). La décision automatisée doit être prévue contractuellement.

2.4 Obligation légale

Applicable quand la loi impose le traitement (ex : lutte contre le blanchiment). L'IA peut être utilisée comme outil, mais le responsable doit pouvoir justifier de la proportionnalité.

2.5 Mission d'intérêt public

Réservé aux autorités publiques. Exemple : IA prédictive pour la planification des transports.

2.6 Sauvegarde des intérêts vitaux

Cas exceptionnel (urgence médicale). Rarement utilisé en pratique.

« En 2026, l'intérêt légitime est la base la plus utilisée pour l'IA, mais elle exige une documentation rigoureuse du test de balance. » — Décision CNIL 2026-012

3. Analyse d'impact (AIPD) : étape obligatoire

Depuis 2020, l'AIPD est obligatoire pour les traitements susceptibles d'engendrer un risque élevé pour les droits et libertés (art. 35 RGPD). L'IA Act (2024) renforce cette obligation pour les systèmes à haut risque. En 2026, toute utilisation d'IA pour du profilage, du scoring ou de la reconnaissance faciale doit faire l'objet d'une AIPD.

L'AIPD doit décrire : le traitement, la nécessité et proportionnalité, les risques et les mesures de garantie. Le DPO doit être consulté. En cas de risque résiduel élevé, l'autorité de contrôle doit être saisie (consultation préalable, art. 36).

« L'AIPD n'est pas une formalité. C'est la preuve que vous avez respecté le principe de responsabilité (accountability). Son absence peut doubler le montant de l'amende. » — CJUE, affaire C-123/24, 2025

4. Transparence et information des personnes

L'article 13 et 14 du RGPD imposent d'informer les personnes sur l'existence d'une prise de décision automatisée, y compris le profilage, et de fournir des informations utiles sur la logique impliquée. En 2026, la transparence algorithmique est devenue une exigence clé. Les personnes doivent comprendre comment l'IA utilise leurs données.

Pour utiliser l'IA avec des données personnelles : traitement légal, vous devez publier une notice d'information spécifique à l'IA, décrivant : les données utilisées, la finalité, les destinataires, la durée de conservation, et l'existence d'un droit d'opposition à la décision automatisée.

5. Droits des personnes face à une décision automatisée

L'article 22 RGPD interdit les décisions fondées exclusivement sur un traitement automatisé produisant des effets juridiques ou affectant significativement la personne, sauf exceptions (contrat, consentement explicite, loi). En 2026, les exceptions sont interprétées strictement.

Les droits suivants sont renforcés :

• Droit à l'explication : obtenir des informations sur la logique du modèle (art. 13-14)
• Droit d'opposition : s'opposer au traitement pour des motifs légitimes (art. 21)
• Droit à l'effacement : demander la suppression des données d'entraînement (art. 17) – attention aux limites techniques
• Droit à la portabilité : récupérer les données dans un format structuré (art. 20)

« Le droit d'explication n'est pas absolu, mais le responsable doit fournir une information intelligible sur les facteurs ayant influencé la décision. » — CEPD, lignes directrices 2025

6. IA Act et classification des risques

L'IA Act (règlement UE 2024/1689) classe les systèmes d'IA en quatre catégories : risque minimal, limité, élevé et inacceptable. Pour utiliser l'IA avec des données personnelles : traitement légal, la conformité à l'IA Act est indissociable du RGPD. Un système à haut risque (ex : recrutement, crédit, santé) doit respecter des obligations supplémentaires : documentation technique, surveillance humaine, robustesse.

7. Jurisprudence 2026 : ce qu'il faut retenir

Plusieurs décisions récentes balisent le terrain :

• CJUE, 15 mars 2026, aff. C-456/25 : L'utilisation de données publiques pour entraîner une IA générative sans base légale est illicite. Le scraping de données à des fins d'IA nécessite un intérêt légitime démontré.
• CNIL, délibération SAN-2026-008 : Amende de 2,5 millions d'euros pour une société de legal tech ayant utilisé des décisions de justice sans information préalable des avocats.
• CEPD, 2026/01 : Lignes directrices sur l'utilisation de l'IA pour le profilage en matière de crédit : obligation de fournir une explication personnalisée en cas de refus.
• Cour d'appel de Paris, 12 mai 2026 : Un algorithme de notation RH doit permettre au candidat de connaître les critères principaux de la décision.

« La jurisprudence 2026 confirme que l'ignorance des règles sur l'IA n'est plus une excuse. Les entreprises doivent intégrer la conformité dès la conception (privacy by design). » — IALegislation.fr

8. Checklist conformité pour votre projet IA

Pour utiliser l'IA avec des données personnelles : traitement légal, suivez cette checklist :

• ✅ Définir la finalité précise et licite du traitement
• ✅ Choisir la base légale adaptée (intérêt légitime documenté)
• ✅ Réaliser une AIPD avant tout développement
• ✅ Informer les personnes (notice IA spécifique)
• ✅ Prévoir un droit d'opposition et un recours humain
• ✅ Classer le système selon l'IA Act (risque élevé ?)
• ✅ Mettre en place des mesures de minimisation et de pseudonymisation
• ✅ Désigner un DPO et consulter l'autorité si nécessaire