IA et RGPD en France : les nouvelles obligations de la CNIL en 2026

La catégorie IA et RGPD regroupe l'ensemble des guides pratiques sur la conformité IA dans les pays francophones. Voici ce qui change spécifiquement en France.

En février 2026, le gouvernement français a déposé un amendement modifiant la loi Informatique et Libertés de 1978 pour désigner officiellement la CNIL comme autorité nationale de supervision de l'AI Act. Cette désignation était attendue depuis l'entrée en vigueur du Règlement UE 2024/1689 — chaque État membre devant désigner sa propre autorité.

La CNIL n'attendait pas cette formalité pour agir. Depuis 2023, elle a produit un corpus de recommandations sur l'IA : développement des systèmes d'IA, IA générative, usages en RH. Elle a finalisé ses recommandations spécifiques sur le développement des systèmes d'IA en 2024-2025, couvrant les phases d'entraînement, de test et de déploiement des modèles.

En avril 2026, la CNIL a officiellement annoncé ses thèmes de contrôle prioritaires pour l'année : le recrutement par IA arrive en tête de liste, devant le registre électoral et les fédérations sportives. Les entreprises qui utilisent des outils algorithmiques pour trier des CVs, attribuer des scores à des candidats, conduire des entretiens automatisés ou analyser des profils LinkedIn sont directement dans le viseur.

L'article de référence IA et RGPD dans la francophonie pose le cadre général. En France, les obligations se structurent autour de trois piliers.

• 1. La base légale IA — à choisir avant le déploiement. La CNIL est explicite dans ses recommandations : la base légale sur laquelle repose un traitement IA doit être identifiée avant que ce traitement commence. Changer de base légale en cours de route est en général impossible. Pour les traitements IA marketing (personnalisation, scoring, profilage comportemental), la base légale la plus souvent utilisée est l'intérêt légitime. Elle nécessite un test d'équilibre documenté entre les intérêts de l'organisation et les droits des personnes concernées.
• 2. L'AIPD — obligatoire pour l'IA à risque élevé. Tout système d'IA impliquant une décision automatisée significative, un profilage à grande échelle, ou un traitement de données sensibles doit faire l'objet d'une AIPD avant déploiement. La CNIL publie des listes de traitements concernés, régulièrement mises à jour. Les outils RH (recrutement, évaluation de la performance, gestion des absences) y figurent explicitement.
• 3. Le principe d'exactitude appliqué à l'IA générative. L'article 5 du RGPD impose que les données personnelles soient exactes et tenues à jour. La CNIL a rappelé en 2026 que ce principe s'applique aux systèmes d'IA générative : un chatbot ou un outil de contenu qui génère des informations fausses ou trompeuses sur une personne réelle constitue une violation du RGPD. Les organisations qui déploient de l'IA générative en contact direct avec des tiers doivent documenter les mesures prises pour contrôler l'exactitude des sorties.

La CNIL ne se contente pas de publier des recommandations. Deux initiatives concrètes illustrent son passage à l'action en 2026.

Le projet PANAME (Privacy Auditing of AI Models), lancé avec l'ANSSI et plusieurs partenaires académiques, vise à développer une bibliothèque logicielle open source permettant d'évaluer si un modèle d'IA traite des données personnelles. L'objectif est de fournir aux développeurs et aux déployeurs un outil d'audit technique accessible, qui rende possible une vérification concrète de la conformité d'un modèle avant son déploiement.

Ce projet répond à un problème réel : comment savoir si un modèle entraîné sur des données tierces a « mémorisé » des données personnelles, et peut en restituer des fragments ? La CNIL considère que la responsabilité du déployeur inclut cette vérification.

Les contrôles prioritaires 2026 annoncés le 3 avril portent sur le recrutement par IA, c'est-à-dire tout outil algorithmique intervenant dans la sélection, l'évaluation ou le classement de candidats à un emploi. Les entreprises concernées devront être en mesure de présenter leur documentation RGPD (registre de traitements, AIPD le cas échéant, base légale) mais aussi les informations données aux candidats sur l'utilisation de l'IA dans le processus de recrutement.

Le respect des obligations IA + RGPD en France ne nécessite pas de tout refaire. Il s'agit d'auditer ce qui existe et de combler les lacunes méthodologiques. Voici la séquence recommandée.

• Cartographier vos outils IA. Identifier tous les systèmes qui traitent des données personnelles de façon automatisée : CRM à moteur prédictif, outils de scoring commercial, chatbots, systèmes de personnalisation, outils RH, plateformes de marketing automation avec segmentation algorithmique.
• Vérifier les bases légales. Pour chaque outil, confirmer que la base légale est documentée et cohérente avec la finalité réelle du traitement. Si elle ne l'est pas, engager l'analyse d'équilibre d'intérêt légitime ou recueillir le consentement approprié.
• Réaliser les AIPD manquantes. Si un outil implique un traitement à risque élevé (profilage, scoring, décision automatisée) et qu'aucune AIPD n'a été conduite, engager ce travail avant le 2 août 2026 pour les systèmes à haut risque AI Act.
• Préparer la documentation AI Act. Pour les systèmes qui entrent dans la catégorie « haut risque » selon l'AI Act (outils RH en particulier), préparer la documentation requise : description du système, données d'entraînement, performance et métriques, mesures de surveillance humaine.

Pour aller plus loin sur les obligations belges comparables, voir l'article IA et RGPD en Belgique. Pour le cadre UE complet, voir IA et RGPD dans l'Union européenne.

La France est en avance sur beaucoup d'États membres dans la mise en application de l'AI Act : désignation officielle de la CNIL, contrôles prioritaires annoncés, projet PANAME lancé. Pour les entreprises, cela signifie que la probabilité d'un contrôle est réelle, et pas seulement théorique.

La bonne nouvelle : les organisations qui ont déjà fait un travail sérieux sur leur conformité RGPD disposent de 70 % des éléments nécessaires à leur conformité AI Act. Le complément essentiel concerne la FRIA pour les systèmes à haut risque, et la documentation spécifique AI Act.

L'intégration de l'IA dans votre marketing ne doit pas attendre la conformité complète — mais elle doit être accompagnée d'une démarche de documentation dès le départ. Voir comment l'Agence Blue Sky accompagne les directions marketing dans l'intégration de l'IA Marketing.