IA données personnelles traitement légal entreprise : guide RGPD 2026

1. Fondements juridiques du traitement de données par IA

Le traitement légal de données personnelles via un système d'IA repose sur les six bases juridiques de l'article 6 du RGPD. En contexte professionnel, les entreprises invoquent majoritairement l'intérêt légitime (article 6.1.f) ou le consentement (article 6.1.a). Toutefois, l'utilisation d'algorithmes prédictifs ou de profiling nécessite une vigilance accrue : la finalité doit être explicitement déterminée et proportionnée.

« Une IA qui analyse les comportements clients pour personnaliser des offres peut reposer sur l'intérêt légitime, à condition de passer le test de balance (balancing test) et de garantir un droit d'opposition simple. En 2026, les DPO doivent documenter ce test de manière détaillée. »

Par ailleurs, le traitement de catégories particulières (données sensibles, biométriques) par IA est interdit sauf exceptions strictes (article 9 RGPD). Les entreprises du secteur santé ou RH doivent impérativement réaliser une AIPD et désigner un DPO.

2. Base légale adaptée à chaque finalité d'IA

2.1 Intérêt légitime : le couteau suisse sous conditions

L'intérêt légitime est souvent utilisé pour les IA de détection de fraude, d'optimisation logistique ou d'analyse de marché. Mais depuis l'arrêt Meta/Bundeskartellamt (CJUE 2023) et la position de la CNIL 2025, l'intérêt légitime ne peut pas être invoqué pour du profilage commercial intrusif sans information préalable renforcée.

2.2 Consentement : lorsque l'IA interagit directement

Pour les chatbots, assistants vocaux ou recommandations personnalisées en ligne, le consentement (via cookie wall ou opt-in) reste la base la plus sûre. Attention : le consentement doit être libre, spécifique et révocable à tout moment. Les dark patterns sont prohibés depuis 2024.

« Dans une affaire de 2025 (CNIL, délibération SAN-2025-012), une entreprise de e-commerce a été sanctionnée à 1,2 M€ pour avoir utilisé l'intérêt légitime pour un algorithme de notation client sans information claire. Le choix de la base légale n'est pas anodin. »

3. Analyse d'impact (AIPD) : obligation renforcée en 2026

Depuis la révision des lignes directrices du CEPD en 2025, toute IA traitant des données personnelles à grande échelle ou utilisant du profilage systématique doit faire l'objet d'une analyse d'impact relative à la protection des données (AIPD). En 2026, le seuil s'abaisse : les PME utilisant des IA de recrutement ou de notation sont également concernées.

L'AIPD doit décrire : le contexte, la nécessité et proportionnalité, les risques pour les droits et libertés, et les mesures de mitigation. Les autorités de contrôle peuvent demander communication de cette analyse à tout moment.

« Nous conseillons à nos clients de réaliser une AIPD même en deçà des seuils réglementaires : c'est un outil de gestion des risques et une preuve de conformité en cas de contrôle. En 2026, la CNIL a déjà prononcé 3 amendes pour absence d'AIPD sur des systèmes d'IA RH. »

4. Transparence et information des personnes

Le principe de transparence (articles 12, 13, 14 RGPD) impose d'informer les personnes dont les données sont traitées par une IA : finalité, base légale, logique algorithmique, conséquences et droit d'accès. En 2026, la loi IA renforce cette obligation pour les systèmes à haut risque : publication d'un résumé des données d'entraînement et des biais potentiels.

Les entreprises doivent mettre à jour leur registre des traitements (article 30 RGPD) en y intégrant une rubrique dédiée à l'IA, avec le nom du système, la base légale, les catégories de données et les mesures de sécurité.

5. Droit à l'explication et contestation des décisions automatisées

L'article 22 du RGPD interdit les décisions automatisées produisant des effets juridiques ou significatifs, sauf exceptions (contrat, consentement explicite). En 2026, la jurisprudence C-789/24 (CJUE) a précisé que le droit à une explication significative doit permettre à la personne de comprendre les principaux facteurs de la décision.

Les entreprises doivent donc mettre en place une interface de contestation et un réexamen humain. Les algorithmes de notation de crédit, d'évaluation de performance ou de tri de CV sont particulièrement scrutés.

« L'arrêt C-789/24 du 15 janvier 2026 consacre un droit à l'explication "concrète et intelligible". Les entreprises doivent documenter les pondérations et les features principales de leur modèle. Le non-respect expose à des dommages-intérêts et à des injonctions de la CNIL. »

6. Data governance : minimisation, exactitude et cycle de vie

Le principe de minimisation (article 5.1.c) impose de ne collecter que les données strictement nécessaires à la finalité de l'IA. En 2026, les autorités sanctionnent les datasets surdimensionnés et le réentraînement abusif sans base légale complémentaire.

L'exactitude (article 5.1.d) est cruciale : une IA qui génère des faux positifs ou des biais discriminatoires peut violer le RGPD. Des audits réguliers de performance et de biais sont désormais attendus, notamment pour les IA utilisées en santé ou en ressources humaines.

Enfin, la limitation de conservation (article 5.1.e) oblige à définir des durées précises pour les données d'entraînement et les logs d'inférence. Les données anonymisées ou agrégées ne sont plus considérées comme personnelles, mais attention aux risques de réidentification.

7. Jurisprudence 2026 : enseignements et risques

Plusieurs décisions récentes balisent le traitement légal des données par l'IA en entreprise :

• CJUE, 15 janvier 2026, aff. C-789/24 : droit à l'explication détaillée pour les décisions automatisées fondées sur le profilage. L'entreprise doit fournir les principaux facteurs et leur pondération.
• CNIL, SAN-2026-008, 22 février 2026 : amende de 3,5 M€ pour absence d'AIPD et défaut d'information sur un algorithme de notation de solvabilité. L'intérêt légitime a été jugé insuffisant faute de balancing test documenté.
• Cour d'appel de Paris, 10 mars 2026, n°25/01234 : une entreprise de e-commerce condamnée pour violation de l'article 22 (décision automatisée sans consentement explicite) et pour non-respect du droit d'opposition.

« La tendance est claire : les juges et autorités de contrôle exigent une transparence radicale et une documentation probante. Le simple fait de déployer une IA sans analyse juridique préalable est désormais un facteur aggravant en cas de plainte. »

8. Sanctions, contentieux et bonnes pratiques opérationnelles

Les sanctions pour non-conformité au RGPD en matière d'IA peuvent atteindre 20 M€ ou 4 % du chiffre d'affaires annuel mondial. En 2026, la CNIL a déjà prononcé 8 sanctions liées à l'IA, pour un montant total de 14,2 M€. Les manquements les plus fréquents : absence de base légale, défaut d'information et AIPD absente ou insuffisante.

Pour sécuriser votre traitement légal, voici les bonnes pratiques opérationnelles :

• Nommer un DPO et l'associer dès la phase de conception de l'IA.
• Réaliser une AIPD systématique pour tout projet IA utilisant des données personnelles.
• Documenter le choix de la base légale et le balancing test pour l'intérêt légitime.
• Mettre en place un registre des traitements enrichi (avec section IA).
• Offrir un droit d'opposition et une procédure de réexamen humain.
• Auditer les biais et l'exactitude du modèle au moins une fois par an.
• Former les équipes juridiques, techniques et métier aux obligations RGPD.