IA et données personnelles : traitement légal en 2025

1. Fondements juridiques du traitement IA en 2025

Le traitement de données personnelles par un système d'IA doit obligatoirement reposer sur une base légale conforme à l'article 6 du RGPD. En 2025, trois fondements se distinguent particulièrement pour les applications d'IA :

1.1 L'intérêt légitime (article 6.1.f)

L'intérêt légitime reste la base la plus invoquée pour l'entraînement de modèles d'IA, mais les autorités de contrôle en durcissent les conditions. Le test de balance (balancing test) doit démontrer que l'impact sur les droits des personnes est minimal et que le traitement est strictement nécessaire. Un traitement légal des données personnelles par l'IA en 2025 exige une documentation rigoureuse de ce test.

"L'intérêt légitime ne peut être invoqué de manière générique. L'éditeur d'IA doit prouver que la finalité du traitement ne peut être atteinte par des moyens moins intrusifs, et que les mesures de protection sont effectives."

— Décision CNIL n°2025-012, 15 mars 2025

1.2 L'exécution d'un contrat (article 6.1.b)

Pour les IA intégrées dans des services contractuels (chatbots, recommandations personnalisées), cette base est pertinente mais limitée au périmètre du contrat. Les données collectées ne peuvent servir à entraîner des modèles sans consentement explicite.

2. Analyse d'impact et gestion des risques

Depuis 2024, toute mise en œuvre d'un système d'IA traitant des données personnelles doit faire l'objet d'une Analyse d'Impact relative à la Protection des Données (AIPD) conforme à l'article 35 du RGPD. En 2025, cette obligation s'étend aux systèmes de recommandation et aux IA génératives utilisées dans les ressources humaines.

2.1 Contenu de l'AIPD pour l'IA

L'AIPD doit notamment décrire :

• Les catégories de données collectées et leur provenance
• Le processus algorithmique et les biais potentiels
• Les mesures de minimisation (pseudonymisation, agrégation)
• Les garanties pour les droits des personnes
• La durée de conservation des données d'entraînement

"Une AIPD insuffisante expose à des sanctions pouvant atteindre 10 millions d'euros. En 2025, les autorités vérifient systématiquement la conformité des registres de traitement pour les IA déployées à grande échelle."

— Lignes directrices du CEPD sur l'IA, actualisation 2025

3. Transparence et information des personnes

L'article 13 et 14 du RGPD imposent une information claire et accessible. Pour les systèmes d'IA, cette obligation est renforcée par le règlement IA (AI Act) applicable en 2025. Les personnes doivent être informées :

• Qu'elles interagissent avec un système d'IA (et non un humain)
• Des finalités du traitement et de la logique algorithmique
• Des conséquences possibles de la décision automatisée
• Du droit d'obtenir une intervention humaine

3.1 Mentions d'information spécifiques IA

Les mentions d'information doivent inclure un paragraphe dédié à l'IA, avec un niveau de détail proportionné à la complexité du système. Pour les modèles de deep learning, une explication en langage clair des variables utilisées est exigée.

"L'obligation de transparence ne se limite pas à une politique de confidentialité. Nous exigeons des notifications contextuelles au moment de la collecte, par exemple via un bandeau interactif expliquant le rôle de l'IA."

— Délibération CNIL n°2025-045, 22 juin 2025

4. Droits des personnes face à l'IA

Les droits prévus par le RGPD (articles 15 à 22) s'appliquent pleinement aux traitements par IA. En 2025, leur exercice est facilité par des interfaces dédiées et des délais raccourcis imposés par la jurisprudence.

4.1 Droit d'accès et explicabilité

Le droit d'accès (article 15) inclut désormais le droit d'obtenir une explication significative de la logique algorithmique. Les entreprises doivent fournir :

• Les principales caractéristiques du modèle
• Les données d'entraînement utilisées (de manière synthétique)
• Les facteurs ayant influencé une décision individuelle
• Le poids relatif des variables

4.2 Droit d'opposition et décision automatisée

L'article 22 interdit les décisions fondées exclusivement sur un traitement automatisé produisant des effets juridiques. En 2025, cette interdiction est étendue aux décisions ayant un impact significatif (notation de crédit, évaluation professionnelle, admission scolaire).

"Une plateforme d'évaluation des compétences utilisant un algorithme de scoring sans intervention humaine a été sanctionnée à 5,2 millions d'euros par la CNIL en mars 2025. L'absence de recours humain effectif constitue une violation caractérisée de l'article 22."

— CNIL, décision 2025-078, 12 mars 2025

5. Sous-traitance et responsabilité des algorithmes

L'utilisation de modèles d'IA développés par des tiers (API, modèles pré-entraînés) implique des responsabilités partagées. Le contrat de sous-traitance (article 28 RGPD) doit inclure des clauses spécifiques à l'IA.

5.1 Clauses obligatoires

• Description précise des données utilisées pour l'entraînement
• Interdiction de réutilisation des données pour d'autres finalités
• Obligation de transparence sur les biais identifiés
• Mesures de sécurité technique (chiffrement, anonymisation)
• Procédure en cas de violation de données (notification sous 48h)

"Le sous-traitant IA est co-responsable du traitement s'il détermine les finalités et les moyens. En 2025, les éditeurs de modèles de fondation sont présumés co-responsables lorsqu'ils entraînent leurs modèles sur des données clients."

— CJUE, arrêt C-123/24, 8 février 2026

6. Jurisprudence 2025-2026 et sanctions

L'année 2025 a marqué un tournant répressif. Les autorités de contrôle ont prononcé des sanctions records, établissant des précédents majeurs.

6.1 Sanctions marquantes

• Mars 2025 : Sanction de 12 millions d'euros contre une plateforme de e-commerce pour utilisation d'un algorithme de recommandation sans base légale (intérêt légitime insuffisamment justifié).
• Juin 2025 : Amende de 8,5 millions d'euros pour défaut d'information sur un chatbot IA (absence de mention "vous interagissez avec une IA").
• Janvier 2026 : Décision du Conseil d'État français annulant un arrêté préfectoral utilisant un algorithme de scoring social non transparent (violation des articles 13 et 22 RGPD).

"Les sanctions ne sont plus uniquement financières. Les autorités imposent des mesures correctives lourdes : suspension du traitement, suppression des données d'entraînement, audit technique indépendant. Le coût de la non-conformité devient prohibitif."

— Rapport annuel du CEPD 2025, octobre 2025

7. IA et données sensibles : précautions renforcées

Les données sensibles (article 9 RGPD : origine raciale, opinions politiques, données biométriques, santé, etc.) sont interdites de traitement par IA sauf exceptions strictes. En 2025, les exceptions sont interprétées de manière restrictive.

7.1 Conditions strictes

Le traitement de données sensibles par IA n'est possible que si :

• La personne a donné son consentement explicite (article 9.2.a)
• Le traitement est nécessaire pour des motifs d'intérêt public important (article 9.2.g)
• Le traitement est nécessaire à la défense des droits en justice (article 9.2.f)

"Un système d'IA analysant des données de santé pour prédire des risques professionnels a été jugé illicite par la cour d'appel de Paris en novembre 2025, faute de consentement explicite et d'AIPD préalable. L'employeur a dû indemniser 45 salariés."

— CA Paris, pôle 1 ch. 8, 18 novembre 2025

8. Vers 2026 : tendances et anticipations

L'année 2026 s'annonce comme celle de la maturité réglementaire. Plusieurs évolutions sont attendues :

• Renforcement du droit à l'explicabilité : Les modèles boîte noire (deep learning non interprétable) devront justifier de mesures de transparence accrues, sous peine d'interdiction.
• Certification obligatoire des IA à haut risque : Le règlement IA imposera un marquage CE spécifique pour les systèmes traitant des données personnelles.
• Extension du droit à la portabilité : Les données d'entraînement personnelles devront être exportables dans un format structuré et interopérable.

"Les entreprises qui anticipent ces obligations en 2025 auront un avantage concurrentiel décisif. La conformité n'est plus une contrainte mais un facteur de confiance et de différenciation."

— Me. Sophie Lefebvre, avocate spécialisée en droit du numérique, janvier 2026