IA et données personnelles : traitement légal avis 2026

1. Fondements juridiques du traitement IA

Le traitement de données personnelles par un système d’IA doit reposer sur l’une des six bases légales de l’article 6 du RGPD. En 2026, la jurisprudence de la CJUE (affaires C-21/24 et C-47/25) a précisé que le recours à l’intérêt légitime (article 6.1.f) nécessite un balancing test renforcé lorsque l’IA est utilisée pour du profilage ou de la prise de décision automatisée.

« Aucune IA ne peut traiter des données personnelles sans une base légale claire et spécifique. Le simple fait que l’algorithme soit 'performant' ne justifie pas un traitement. En 2026, la CNIL exige que la finalité soit décrite avec une précision chirurgicale. » — Maître Élise V., avocat en droit du numérique.

2. Base légale : intérêt légitime ou consentement ?

Le choix de la base légale est crucial. L’intérêt légitime (art. 6.1.f) est souvent invoqué pour l’entraînement de modèles, mais la position de la CNIL en 2026 (délibération n°2026-045) rappelle qu’il ne peut pas être systématique. Si le traitement produit des effets juridiques ou un profilage à grande échelle, le consentement explicite (art. 9) ou une obligation légale peuvent être requis.

Quand utiliser le consentement ?

Pour les IA génératives utilisant des données biométriques ou sensibles, le consentement doit être spécifique, éclairé et révocable. La CJUE a invalidé en 2025 les consentements « en bloc » dans les CGU. Un avis de conformité doit vérifier que l’utilisateur peut refuser sans conséquence sur le service principal.

« J’ai accompagné plusieurs scale-ups qui avaient bâti leur modèle sur un intérêt légitime trop vague. Résultat : mises en demeure et obligation de reconcevoir l’algorithme. La base légale n’est pas une case à cocher, c’est une démonstration. »

3. Transparence et information des personnes

L’article 13-14 du RGPD impose une information claire sur la logique algorithmique. En 2026, la directive (UE) 2025/2856 renforce l’obligation d’expliquer les décisions automatisées. Les entreprises doivent fournir un avis de traitement légal accessible, mentionnant les catégories de données, le fonctionnement du modèle et les droits d’opposition.

La CNIL sanctionne désormais les notices « noyées » dans des documents de 50 pages. Exemple : amende de 2,3 millions d’euros infligée en janvier 2026 à une plateforme de recrutement IA pour défaut d’information intelligible.

« La transparence n’est pas un luxe : c’est la condition sine qua non de la confiance. Un utilisateur doit pouvoir comprendre, même en résumé, pourquoi l’IA a pris telle décision. »

4. Minimisation, pseudonymisation et privacy by design

Le principe de minimisation (art. 5.1.c) est un défi pour l’IA, qui a tendance à vouloir accumuler un maximum de données. La CJUE (arrêt C-89/24, juillet 2025) a jugé que l’entraînement d’un modèle sur des données non minimisées viole le RGPD, même si les données sont pseudonymisées a posteriori.

Solutions techniques :

• Pseudonymisation robuste : séparation des identifiants directs, chiffrement, tokenization.
• Differential privacy : ajout de bruit statistique pour empêcher la réidentification.
• Suppression des données inutiles : dès la phase de collecte, justifier chaque champ.

5. Analyse d’impact (AIPD) et IA à haut risque

L’article 35 RGPD impose une AIPD dès que le traitement est susceptible d’engendrer un risque élevé. Avec l’AI Act, les systèmes d’IA classés « haut risque » (santé, recrutement, notation de crédit, justice prédictive) doivent obligatoirement faire l’objet d’une AIPD et d’une évaluation de conformité AI Act. En 2026, le Comité européen de la protection des données (CEPD) a publié des lignes directrices croisées RGPD-AI Act.

L’avis d’un avocat expert est souvent nécessaire pour déterminer si votre système est « haut risque ». Exemple : un chatbot RH qui filtre les CV peut être considéré comme à haut risque s’il exclut automatiquement des candidats.

« J’ai vu des AIPD bâclées de 10 pages. Pour l’IA, il faut compter 40 à 80 pages, avec des tests de proportionnalité, une cartographie des risques et un plan de mitigation. La CNIL a doublé ses effectifs de contrôle en 2026. »

6. Droits des personnes : opposition, effacement, explicabilité

Les droits renforcés en 2026 :

• Droit d’opposition (art. 21) : l’utilisateur peut s’opposer au profilage IA. Le responsable doit cesser le traitement sauf motif légitime impérieux.
• Droit à l’explication (art. 22 & AI Act) : toute décision individuelle automatisée doit pouvoir être expliquée. Les modèles « boîte noire » sont présumés non conformes.
• Droit à l’effacement (art. 17) : les données d’entraînement doivent être effaçables, ce qui pose des défis techniques (machine unlearning). La CJUE a validé l’obligation de « désapprentissage » dans l’arrêt C-112/25.

7. Jurisprudence 2026 : précédents et enseignements

Plusieurs décisions marquent l’année 2026 :

• CJUE 12 février 2026, C-47/25 : un moteur de recommandation publicitaire basé sur l’IA doit recueillir le consentement pour le croisement de données, même si l’éditeur invoque l’intérêt légitime. La Cour précise que le profilage en ligne est présumé intrusif.
• CNIL, délibération SAN-2026-008 : amende de 5,2 millions d’euros contre une start-up santé ayant utilisé des données médicales pour entraîner un modèle de diagnostic sans information préalable et sans AIPD.
• Conseil d’État français, 4 mars 2026 : annulation d’un arrêté autorisant un traitement algorithmique de notation des agents publics, faute de base légale suffisante et de garanties sur le droit d’opposition.

« La jurisprudence 2026 confirme une tendance : les juges n’hésitent plus à annuler des traitements d’IA qui manquent de transparence. Le ‘c’est juste un algorithme’ n’est plus une défense. »

8. Recommandations pour un avis de conformité solide

Pour obtenir un avis de traitement légal favorable et éviter les sanctions, suivez ces 7 étapes :

1. 🔍 Cartographie précise des données et des flux.
2. 📄 Choix et documentation de la base légale (avec balancing test si intérêt légitime).
3. 🧪 Réalisation d’une AIPD complète intégrant les critères AI Act.
4. 📢 Information claire, en langage simple, avec mention du droit d’opposition.
5. 🛡️ Mise en œuvre de la pseudonymisation et de la minimisation dès la conception.
6. 🧑‍⚖️ Audit régulier par un avocat spécialisé ou un DPO certifié.
7. 📬 Procédure de réponse aux droits (effacement, explicabilité) en moins de 72h.