29 juillet 2026.

Présentation générale

La Commission nationale de l’informatique et des libertés, ou CNIL, est l’autorité administrative indépendante française chargée de veiller à ce que les traitements de données personnelles respectent les droits et libertés des personnes.

L’essor de l’intelligence artificielle a considérablement élargi son champ d’intervention pratique. La plupart des systèmes d’IA contemporains reposent en effet, directement ou indirectement, sur des opérations relatives à des données :

collecte de contenus en ligne ;
constitution de jeux d’entraînement ;
annotation de données ;
apprentissage d’un modèle ;
évaluation de ses performances ;
profilage des utilisateurs ;
mémorisation de données personnelles ;
production d’inférences ;
surveillance des comportements ;
personnalisation des réponses ;
utilisation de données biométriques ou de santé.

La CNIL n’est donc pas seulement compétente lorsque l’IA divulgue une information nominative. Son contrôle peut intervenir dès lors qu’un projet comporte un traitement de données à caractère personnel, depuis la constitution du corpus jusqu’au déploiement du système et à l’exercice des droits des personnes.

Depuis plusieurs années, la CNIL cherche à concilier deux objectifs :

permettre le développement et l’usage de systèmes d’IA ;
garantir que cette innovation respecte le RGPD, la loi Informatique et Libertés et les droits fondamentaux.

Cette orientation est expressément consacrée par la loi du 6 janvier 1978, qui prévoit que la CNIL prend en compte les enjeux d’innovation associés aux traitements de données personnelles, notamment en matière d’algorithmes et d’intelligence artificielle. L’institution a par ailleurs fait de l’IA l’un des quatre axes de son plan stratégique 2025-2028.

La CNIL agit désormais comme :

régulateur du droit des données appliqué à l’IA ;
producteur de doctrine administrative ;
autorité de contrôle et de sanction ;
organisme d’accompagnement des innovateurs ;
centre d’expertise technique ;
interlocuteur français du Comité européen de la protection des données ;
acteur de l’articulation entre le RGPD et l’AI Act.

Son rôle ne doit toutefois pas être exagéré. La CNIL n’est pas, par principe, l’autorité unique chargée de l’ensemble du règlement européen sur l’intelligence artificielle. L’AI Act repose sur une architecture institutionnelle associant le Bureau européen de l’IA, des autorités nationales de surveillance du marché et diverses autorités sectorielles. La CNIL demeure en revanche pleinement compétente pour contrôler les traitements de données personnelles intégrés à un système d’IA.

Points essentiels

La CNIL contrôle l’application du RGPD et de la loi Informatique et Libertés aux systèmes d’IA.
Le RGPD peut s’appliquer à la collecte des données, à l’entraînement, au modèle lui-même et à son utilisation.
Une donnée accessible publiquement reste susceptible d’être une donnée personnelle.
Le développement d’une IA doit reposer sur une finalité déterminée et une base juridique appropriée.
L’intérêt légitime n’autorise pas une collecte indifférenciée de données sur internet.
Les personnes doivent, en principe, être informées de l’utilisation de leurs données.
Les droits d’accès, de rectification, d’opposition et d’effacement doivent être rendus effectifs.
Un modèle d’IA n’est pas automatiquement anonyme.
La CNIL recommande d’évaluer les risques de mémorisation et d’extraction des données.
Les fournisseurs, intégrateurs et déployeurs doivent déterminer leurs rôles respectifs au regard du RGPD.
L’analyse d’impact relative à la protection des données est fréquemment nécessaire pour les systèmes présentant des risques élevés.
La CNIL peut contrôler, mettre en demeure et sanctionner les organismes.
L’AI Act ne remplace pas le RGPD.
La conformité à l’AI Act ne garantit pas, à elle seule, la conformité au droit des données.
La CNIL développe également des outils d’audit, des bacs à sable et des recommandations sectorielles.

1. Fondements juridiques de l’intervention de la CNIL

1.1. Loi Informatique et Libertés

La CNIL a été instituée par la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés.

Elle veille notamment à ce que les traitements de données personnelles soient mis en œuvre conformément :

au RGPD ;
à la loi Informatique et Libertés ;
aux autres règles européennes ou nationales relevant de son champ de compétence.

La loi lui confie des missions d’information, d’accompagnement, de conseil, de contrôle et de sanction. Elle prévoit également que la CNIL doit promouvoir la prise en compte des enjeux d’innovation liés aux algorithmes et à l’intelligence artificielle.

1.2. Règlement général sur la protection des données

Le RGPD constitue le principal texte appliqué par la CNIL aux systèmes d’IA.

Il encadre notamment :

la licéité des traitements ;
la transparence ;
la limitation des finalités ;
la minimisation ;
l’exactitude ;
la durée de conservation ;
la sécurité ;
les droits des personnes ;
les analyses d’impact ;
les décisions automatisées ;
les relations entre responsables de traitement et sous-traitants.

Le fait qu’un traitement utilise une technologie complexe ou un modèle d’apprentissage automatique ne modifie pas ces principes. La CNIL rappelle que la collecte et l’utilisation de données dans un système d’IA doivent respecter le RGPD comme tout autre traitement.

1.3. AI Act

Le règlement (UE) 2024/1689 sur l’intelligence artificielle organise un cadre distinct, fondé principalement sur les risques associés aux systèmes d’IA.

Il impose notamment, selon les catégories concernées :

des pratiques interdites ;
des obligations pour les systèmes à haut risque ;
des règles applicables aux modèles d’IA à usage général ;
des obligations de transparence ;
une supervision et une surveillance du marché.

Le RGPD et l’AI Act sont complémentaires. Le premier protège les données et les personnes concernées ; le second réglemente plus largement la mise sur le marché, la mise en service et l’utilisation des systèmes d’IA.

Un système peut :

relever à la fois du RGPD et de l’AI Act ;
relever uniquement de l’AI Act s’il ne traite aucune donnée personnelle ;
relever du RGPD sans être un système à haut risque au sens de l’AI Act.

La fiche Dabo Tibi Ius consacrée au RGPD souligne précisément que l’AI Act ne remplace pas le droit de la protection des données, mais ajoute des obligations complémentaires de gouvernance et de gestion des risques.

2. Organisation interne de la CNIL en matière d’IA

La CNIL s’est dotée d’une organisation spécialisée pour répondre aux enjeux juridiques et techniques des systèmes d’IA.

Son organisation comprend notamment une direction chargée des technologies, de l’innovation et de l’intelligence artificielle. Un service de l’intelligence artificielle est chargé :

de contribuer à la régulation juridique et technique de l’IA ;
de faciliter la compréhension du fonctionnement des systèmes ;
d’accompagner les professionnels et les particuliers ;
de développer les relations avec l’écosystème de l’IA.

Cette organisation témoigne d’une évolution du contrôle. L’analyse d’un système d’IA ne peut pas reposer uniquement sur un examen juridique abstrait. Elle peut exiger :

des audits techniques ;
des tests de mémorisation ;
l’étude des jeux de données ;
l’analyse des métriques ;
l’examen de la documentation du modèle ;
des tests d’extraction ou de réidentification ;
l’analyse des interfaces et des mécanismes d’exercice des droits.

3. Plan stratégique 2025-2028

L’intelligence artificielle constitue l’un des quatre axes du plan stratégique 2025-2028 de la CNIL, avec :

la protection des mineurs ;
la cybersécurité ;
les applications mobiles et l’identité numérique.

L’objectif affiché est de favoriser une IA respectueuse des personnes tout en accompagnant l’innovation. La CNIL entend notamment :

approfondir sa doctrine ;
développer ses capacités d’audit ;
accompagner les acteurs ;
renforcer son action européenne ;
améliorer l’information des particuliers ;
contrôler les traitements présentant les risques les plus importants.

Le programme de travail publié en avril 2026 prévoit notamment de préciser les conséquences de l’application du RGPD aux modèles qui ne peuvent pas être considérés comme anonymes.

4. Recommandations de la CNIL sur le développement des systèmes d’IA

4.1. Une doctrine progressive

La CNIL a publié plusieurs séries de recommandations destinées aux organismes qui développent des systèmes d’IA à partir de données personnelles.

Ces travaux portent notamment sur :

la définition de la finalité ;
la qualification des acteurs ;
la base légale ;
la réutilisation des données ;
la minimisation ;
la durée de conservation ;
l’analyse d’impact ;
l’information ;
l’exercice des droits ;
le statut juridique des modèles.

En juillet 2025, la CNIL a regroupé et complété ses recommandations relatives au développement des systèmes d’IA.

4.2. Finalité du traitement

Un organisme doit définir précisément ce qu’il cherche à accomplir.

Une formulation générale telle que « développer une intelligence artificielle performante » est insuffisante. La finalité doit permettre de comprendre :

le type de système développé ;
ses usages envisagés ;
les catégories de personnes concernées ;
la nature des données ;
les conséquences possibles.

La phase de recherche peut justifier une certaine souplesse, mais elle ne dispense pas d’identifier un objectif réel et suffisamment déterminé.

4.3. Qualification des acteurs

La chaîne de valeur d’une IA peut associer :

un collecteur de données ;
un fournisseur de modèle ;
un hébergeur ;
un intégrateur ;
un développeur d’application ;
un client professionnel ;
un utilisateur final.

La CNIL insiste sur la nécessité de qualifier chaque acteur au regard du RGPD.

Un acteur peut être :

responsable du traitement ;
responsable conjoint ;
sous-traitant ;
destinataire ;
tiers.

Cette qualification dépend de son pouvoir réel sur les finalités et les moyens du traitement, et non du seul intitulé contractuel.

4.4. Base juridique

Tout traitement de données personnelles doit reposer sur l’une des bases prévues par le RGPD.

Les bases les plus fréquemment envisagées pour l’IA sont :

le consentement ;
l’exécution d’un contrat ;
l’obligation légale ;
la mission d’intérêt public ;
l’intérêt légitime.

Le choix doit être effectué opération par opération. La collecte des données d’entraînement, l’utilisation du modèle et la personnalisation du service peuvent ne pas reposer sur le même fondement.

5. Intérêt légitime et développement de l’IA

L’intérêt légitime occupe une place centrale dans les débats relatifs à l’entraînement des modèles.

Il peut être invoqué lorsqu’un organisme poursuit un intérêt licite, réel et suffisamment précis. Son utilisation suppose cependant trois examens successifs :

identifier l’intérêt poursuivi ;
vérifier que le traitement est nécessaire ;
mettre cet intérêt en balance avec les droits et attentes des personnes.

Dans le contexte de l’IA, cette mise en balance peut notamment prendre en compte :

la nature publique ou privée de la source ;
les attentes raisonnables ;
la sensibilité des informations ;
le volume collecté ;
le risque de mémorisation ;
la possibilité de s’opposer ;
les garanties techniques ;
les effets du système.

L’intérêt légitime ne crée donc pas un droit général de moissonner tout contenu accessible en ligne.

Dabo Tibi Ius relève que les recommandations de la CNIL cherchent à concilier la faisabilité du développement des modèles avec une protection concrète des personnes, mais que cette conciliation demeure discutée en doctrine.

6. Web scraping et données accessibles en ligne

6.1. Donnée publique et donnée personnelle

Une donnée publiée sur un site, un réseau social, un annuaire ou une plateforme peut rester une donnée personnelle.

Son accessibilité ne supprime pas :

l’obligation de disposer d’une base juridique ;
la limitation des finalités ;
la minimisation ;
l’information ;
les droits des personnes ;
la sécurité.

Le changement d’échelle créé par le web scraping est particulièrement important. Un contenu publié pour être lu dans un contexte déterminé peut être intégré à un corpus mondial, combiné avec d’autres sources et utilisé pour produire de nouvelles informations.

6.2. Garanties recommandées

Selon le contexte, les garanties peuvent comprendre :

l’exclusion de certaines sources ;
le respect de dispositifs techniques d’opposition ;
le filtrage des données sensibles ;
l’exclusion des contenus relatifs aux mineurs ;
la limitation des identifiants ;
la réduction de la durée de conservation ;
un mécanisme d’opposition simple ;
une information publique accessible.

En juillet 2026, le Comité européen de la protection des données a adopté des lignes directrices relatives au moissonnage dans le contexte de l’IA générative, confirmant le caractère central de cette question.

7. Information des personnes

7.1. Principe

Les organismes qui traitent des données pour développer un modèle ou un système d’IA doivent informer les personnes concernées.

Cette information doit normalement préciser :

l’identité du responsable ;
les finalités ;
la base juridique ;
les catégories de données ;
les destinataires ;
les durées ;
les transferts ;
les droits ;
la possibilité de saisir la CNIL.

La CNIL a publié en février 2025 une recommandation spécifique sur l’information dans les projets d’IA.

7.2. Information indirecte

Lorsque les données n’ont pas été collectées directement auprès de la personne, l’article 14 du RGPD s’applique en principe.

L’information individuelle peut toutefois être difficile lorsque le corpus comprend des millions de documents.

Le RGPD prévoit certaines exceptions, notamment lorsque l’information se révèle impossible ou exigerait des efforts disproportionnés. Cette exception doit être interprétée strictement et compensée par des mesures appropriées, telles qu’une information publique claire et facilement accessible.

7.3. Information relative aux sorties

La transparence ne concerne pas seulement l’entraînement.

Lorsqu’un système produit un profil, une recommandation ou une décision, la personne peut devoir être informée :

de l’utilisation de l’IA ;
de la logique générale ;
des données prises en compte ;
des conséquences possibles ;
des moyens de contester.

8. Exercice des droits

8.1. Droit d’accès

Une personne peut demander si ses données sont traitées et obtenir des informations sur :

leur origine ;
leur nature ;
les finalités ;
les destinataires ;
les durées ;
les profils ou inférences produits.

La difficulté, dans un modèle d’IA, consiste à déterminer si une donnée peut encore être retrouvée ou extraite.

8.2. Droit de rectification

Une information factuelle erronée doit pouvoir être corrigée.

Lorsque l’erreur est intégrée :

au corpus ;
à un index ;
à une base vectorielle ;
à une mémoire conversationnelle ;
aux résultats du modèle,

la correction de la source ne suffit pas nécessairement.

8.3. Droit à l’effacement

Le droit à l’effacement peut conduire à :

supprimer la donnée source ;
la retirer d’une base ;
modifier un index ;
désactiver une mémoire ;
filtrer certains résultats ;
mettre en œuvre une technique de désapprentissage, lorsque cela est nécessaire et raisonnablement possible.

La CNIL n’impose pas une solution technique identique pour tous les systèmes. Elle attend un résultat effectif adapté aux risques et à l’architecture utilisée.

8.4. Droit d’opposition

Lorsque le traitement repose sur l’intérêt légitime ou une mission d’intérêt public, la personne peut, sous certaines conditions, s’opposer à l’utilisation de ses données.

L’organisme doit prévoir des mécanismes opérationnels et ne pas se limiter à mentionner abstraitement le droit dans une politique de confidentialité.

9. Statut du modèle d’IA au regard du RGPD

9.1. Le modèle peut-il être une donnée personnelle ?

Un modèle entraîné à partir de données personnelles n’est pas automatiquement soumis au RGPD.

Il peut cependant relever du règlement lorsqu’il :

mémorise des informations ;
permet leur extraction ;
permet d’obtenir des informations sur une personne ;
facilite une identification ou une inférence individualisée.

La CNIL a publié en juillet 2025 une méthode d’analyse du statut des modèles. Elle distingue notamment :

la possibilité d’extraire des données d’entraînement ;
la possibilité d’obtenir des informations relatives à une personne ;
les moyens raisonnablement susceptibles d’être employés.

9.2. Modèle anonyme

Pour qu’un modèle soit considéré comme anonyme, le risque de retrouver ou d’obtenir des données personnelles doit être suffisamment faible au regard des moyens raisonnablement mobilisables.

Cette appréciation doit tenir compte :

de l’accès au modèle ;
du type d’interface ;
de la possibilité de télécharger les paramètres ;
des attaques connues ;
des mesures de protection ;
des ressources nécessaires à l’extraction ;
de la sensibilité des données.

L’anonymisation n’est donc pas présumée du seul fait que les données ne sont pas directement lisibles.

9.3. Conséquences

Si le modèle demeure soumis au RGPD, son stockage, sa diffusion ou son transfert constituent potentiellement des traitements de données personnelles.

Les acteurs doivent alors examiner :

la base juridique ;
les destinataires ;
la sécurité ;
les transferts internationaux ;
l’exercice des droits ;
la durée de conservation.

10. Analyse d’impact relative à la protection des données

Une analyse d’impact, ou AIPD, doit être réalisée lorsqu’un traitement est susceptible d’engendrer un risque élevé pour les droits et libertés.

Elle est fréquemment pertinente lorsque l’IA implique :

un profilage systématique ;
une surveillance à grande échelle ;
des données sensibles ;
des personnes vulnérables ;
des données biométriques ;
une décision affectant fortement les personnes ;
une technologie nouvelle ;
un croisement massif de sources.

L’AIPD doit décrire :

le traitement ;
sa nécessité ;
sa proportionnalité ;
les risques ;
les mesures de réduction.

Elle ne doit pas être confondue avec l’analyse des risques exigée par l’AI Act. Les deux exercices peuvent être coordonnés, mais leurs fondements, leurs destinataires et leurs objets ne sont pas entièrement identiques.

11. Décisions automatisées et article 22 du RGPD

L’article 22 du RGPD protège les personnes contre certaines décisions fondées exclusivement sur un traitement automatisé produisant des effets juridiques ou les affectant de manière significative.

Les situations concernées peuvent comprendre :

refus de crédit ;
recrutement automatisé ;
tarification individualisée ;
suspension d’un service ;
classement déterminant l’accès à une prestation ;
orientation administrative.

Une simple assistance algorithmique ne suffit pas toujours à déclencher l’article 22. Toutefois, une intervention humaine purement symbolique ne permet pas de contourner le texte.

L’intervention humaine doit être réelle. La personne qui contrôle la décision doit pouvoir :

comprendre le résultat ;
apprécier les données ;
contester la recommandation ;
modifier la décision.

12. Contrôles et sanctions

12.1. Pouvoirs de contrôle

La CNIL peut procéder à des contrôles :

sur pièces ;
sur place ;
en ligne ;
sur audition.

Elle peut examiner :

les contrats ;
les registres ;
les analyses d’impact ;
les bases de données ;
les modèles ;
les interfaces ;
les mécanismes d’information ;
les procédures d’exercice des droits ;
les mesures de sécurité.

En cas de manquement, elle peut notamment prononcer :

un rappel à l’ordre ;
une mise en demeure ;
une injonction ;
une limitation du traitement ;
une interdiction ;
une amende administrative.

12.2. Montant des sanctions

En 2025, la CNIL a prononcé 83 sanctions pour un montant cumulé de 486 839 500 euros. Ce chiffre concerne l’ensemble de son activité répressive et non uniquement l’intelligence artificielle.

Les manquements liés à l’IA peuvent être sanctionnés au titre des règles classiques du RGPD, par exemple :

absence de base juridique ;
collecte excessive ;
défaut d’information ;
absence de respect des droits ;
sécurité insuffisante ;
conservation excessive ;
données sensibles illicitement traitées.

Il n’est donc pas nécessaire qu’une décision mentionne expressément le terme « intelligence artificielle » pour concerner un traitement algorithmique.

13. Accompagnement et innovation

13.1. Bacs à sable

La CNIL propose des dispositifs d’accompagnement permettant à certains porteurs de projets d’échanger avec ses services sur des cas innovants.

Le bac à sable consacré à l’IA et aux services publics a donné lieu à des recommandations rendues publiques en avril 2025. Les enseignements concernent notamment :

la définition des finalités ;
la gouvernance ;
l’information ;
l’analyse d’impact ;
la supervision humaine.

13.2. Recommandations sectorielles

La CNIL développe également des approches sectorielles.

En 2026, elle a notamment publié ou préparé des travaux relatifs :

à l’IA en santé ;
aux services publics ;
aux modèles génératifs ;
à l’IA agentique ;
à l’audit de confidentialité.

Dans le secteur de la santé, elle a accompagné plusieurs projets et travaillé avec la Haute Autorité de santé sur un guide relatif au bon usage de l’IA en contexte de soins.

13.3. Projet PANAME

En 2026, la CNIL, l’ANSSI, le PEReN et Inria ont lancé le projet PANAME, outil destiné à évaluer certains risques de confidentialité des modèles d’IA.

Ce projet illustre le développement d’une régulation davantage fondée sur l’audit technique, et non uniquement sur la documentation juridique.

14. CNIL et IA agentique

Les systèmes d’IA agentique peuvent planifier des actions, utiliser des outils, interagir avec des services et conserver des informations sur l’utilisateur.

Ils créent des risques particuliers :

multiplication des destinataires ;
difficulté à déterminer les finalités ;
mémoire cumulative ;
actions prises sans validation immédiate ;
accès à des bases internes ;
transferts de données entre agents ;
traçabilité insuffisante.

Le 20 juillet 2026, la CNIL et le Conseil de l’IA et du numérique ont publié une note exploratoire sur l’IA agentique et les données personnelles. Cette note souligne notamment la nécessité d’adapter les principes de gouvernance et de clarifier le rôle des différents acteurs.

Cette publication a une valeur prospective et doctrinale. Elle ne constitue pas, à elle seule, une norme juridique autonome.

15. Place de la CNIL dans l’application de l’AI Act

15.1. Une compétence certaine sur les données

La CNIL demeure compétente pour tout traitement de données personnelles associé à un système d’IA.

Elle peut donc contrôler :

les données d’entraînement ;
les profils ;
les données biométriques ;
les décisions automatisées ;
les droits des personnes ;
la sécurité ;
les transferts.

15.2. Une architecture institutionnelle partagée

L’AI Act ne confie pas toute sa mise en œuvre à une autorité nationale unique.

Le dispositif européen associe notamment :

le Bureau européen de l’IA ;
les autorités de surveillance du marché ;
les organismes notifiés ;
les autorités sectorielles ;
les autorités chargées de protéger les droits fondamentaux.

La CNIL a vocation à jouer un rôle important en raison de son expertise, mais il convient de vérifier les désignations nationales applicables à chaque catégorie de système.

15.3. Coopération entre autorités

Un même système peut relever de plusieurs contrôles :

CNIL pour les données personnelles ;
autorité de surveillance du marché pour l’AI Act ;
ANSM pour un dispositif médical ;
ACPR pour certaines activités financières ;
ARCOM pour certains enjeux audiovisuels ;
DGCCRF pour la consommation.

La gouvernance de l’IA repose donc de plus en plus sur une régulation coordonnée.

Jurisprudence et décisions

Délibération CNIL n° 2024-030 du 11 avril 2024

Cette délibération, qui a notamment servi de fondement aux premières recommandations relatives au développement des systèmes d’IA, rappelle que la constitution et l’utilisation de bases d’entraînement doivent prendre en compte les risques pour la vie privée et que la CNIL joue un rôle essentiel dans l’encadrement d’une innovation respectueuse des personnes.

Jurisprudence de la CJUE

Plusieurs décisions de la Cour de justice encadrent indirectement les systèmes d’IA, notamment celles relatives :

à la notion de donnée personnelle ;
au profilage ;
aux décisions automatisées ;
à la responsabilité au titre du RGPD ;
à l’accès aux informations sur la logique d’un traitement.

La jurisprudence ne forme pas encore un corpus autonome de « droit de l’IA », mais les principes dégagés pour les traitements algorithmiques sont pleinement applicables.

Acteurs

CNIL

Elle informe, accompagne, contrôle et sanctionne les traitements de données personnelles.

Comité européen de la protection des données

Le CEPD assure la cohérence de l’application du RGPD dans l’Union et adopte des avis et lignes directrices concernant l’IA.

Bureau européen de l’IA

Il intervient notamment dans la supervision des modèles d’IA à usage général et dans la coordination européenne de l’AI Act.

Fournisseurs de modèles

Ils déterminent souvent les données, méthodes d’entraînement et conditions d’accès au modèle.

Intégrateurs et déployeurs

Ils adaptent le modèle et décident de son utilisation dans un contexte concret.

Délégués à la protection des données

Les DPO accompagnent l’analyse juridique, l’AIPD, les contrats, l’information et l’exercice des droits.

Autorités sectorielles

Elles interviennent selon le domaine : santé, finance, consommation, sécurité, audiovisuel ou services publics.

Débats actuels

Le RGPD empêche-t-il le développement de l’IA ?

La CNIL soutient que le RGPD est compatible avec l’innovation, à condition d’intégrer la protection des données dès la conception. Les critiques portent toutefois sur le coût de la conformité, les incertitudes relatives aux corpus et la difficulté d’informer des millions de personnes.

Un modèle entraîné illicitement peut-il être utilisé licitement ?

La réponse n’est pas automatique. L’irrégularité du traitement initial peut affecter les traitements ultérieurs. Il faut toutefois examiner la nature du manquement, le statut du modèle, les garanties et la base juridique de son utilisation.

Peut-on entraîner une IA sur les données du web ?

Oui dans certaines circonstances, mais pas sans analyse juridique. L’accessibilité publique ne vaut pas autorisation générale.

La CNIL peut-elle imposer la suppression d’un modèle ?

Elle peut adopter des mesures correctrices à l’égard d’un traitement soumis au RGPD. La mesure appropriée dépendrait toutefois des circonstances, de la possibilité de remédier au manquement et de la proportionnalité.

L’AI Act réduit-il le rôle de la CNIL ?

Non pour les données personnelles. Il ajoute toutefois d’autres autorités et d’autres logiques de contrôle.

Les recommandations de la CNIL sont-elles obligatoires ?

Elles ne sont pas des lois ou règlements. Elles expriment néanmoins l’interprétation de l’autorité de contrôle et constituent des références importantes pour apprécier la conformité, la diligence et les mesures attendues.

Actualité récente

En 2025 et 2026, l’action de la CNIL en matière d’IA s’est principalement caractérisée par :

la finalisation de recommandations sur le développement des systèmes ;
la clarification du statut des modèles ;
le renforcement des règles d’information et d’exercice des droits ;
le lancement d’outils d’audit ;
l’accompagnement de projets sectoriels ;
les travaux sur l’IA en santé ;
la publication d’une note sur l’IA agentique ;
la participation aux travaux européens sur le web scraping et l’anonymisation.

Le programme de travail 2026 prévoit également de poursuivre la clarification des responsabilités dans la chaîne de valeur et des conséquences de la non-anonymisation des modèles.

Ressources essentielles

Base documentaire Dabo Tibi Ius

IA et RGPD : les recommandations de la CNIL à l’épreuve du droit

Analyse doctrinale des recommandations de la CNIL et de leur portée juridique.

URL :
https://dabotibius.ai/ia-et-rgpd-les-recommandations-de-la-cnil-a-lepreuve-du-droit/

RGPD et IA : obligations et règles applicables à l’intelligence artificielle

Fiche générale sur l’articulation entre le RGPD, l’AI Act et le rôle de la CNIL.

URL :
https://dabotibius.ai/fiche-rgpd/

IA et données personnelles : RGPD, AI Act et enjeux juridiques

Fiche consacrée aux données d’entraînement, à l’information, aux droits, à la mémorisation et à la réidentification.

URL :
https://dabotibius.ai/fiche-donnees-personnelles-et-intelligence-artificielle-presentation-generale/

Ressources de la CNIL

Portail Intelligence artificielle

https://www.cnil.fr/fr/intelligence-artificielle

Recommandations pour le développement des systèmes d’IA

https://www.cnil.fr/fr/developpement-des-systemes-dia-les-recommandations-de-la-cnil-pour-respecter-le-rgpd

Recommandations spécifiques

https://www.cnil.fr/fr/developpement-des-systemes-dia-les-recommandations-specifiques

Information des personnes

https://www.cnil.fr/fr/ia-informer-les-personnes-concernees

Statut des modèles d’IA au regard du RGPD

https://www.cnil.fr/fr/ia-analyser-le-statut-dun-modele-dia-au-regard-du-rgpd

Programme de travail 2026

https://www.cnil.fr/fr/accompagnement-des-professionnels-le-programme-de-travail-de-la-cnil-pour-2026

Plan stratégique 2025-2028

https://www.cnil.fr/fr/ia-mineurs-cybersecurite-quotidien-numerique-la-cnil-publie-son-plan-strategique-2025-2028

IA agentique et données personnelles

https://www.cnil.fr/fr/ia-agentique-cnil-cianum-note

Projet PANAME

https://www.cnil.fr/fr/intelligence-artificielle

IA et santé

https://www.cnil.fr/fr/ia-et-sante-developper-et-evaluer-des-systemes-ia-conformes

Textes

Loi Informatique et Libertés

https://www.legifrance.gouv.fr/loda/id/JORFTEXT000000886460

RGPD

https://eur-lex.europa.eu/eli/reg/2016/679/oj/fra

Règlement européen sur l’intelligence artificielle

https://eur-lex.europa.eu/eli/reg/2024/1689/oj/fra

FAQ

Quel est le rôle principal de la CNIL en matière d’IA ?

Elle veille au respect du droit des données personnelles dans la conception et l’utilisation des systèmes d’IA.

La CNIL contrôle-t-elle tous les systèmes d’IA ?

Non. Elle intervient lorsqu’un traitement de données personnelles relève de sa compétence. D’autres autorités contrôlent les autres aspects de l’AI Act ou les réglementations sectorielles.

Le RGPD s’applique-t-il aux données d’entraînement ?

Oui lorsqu’elles comprennent des données personnelles.

Une donnée publique peut-elle être utilisée librement ?

Non. Elle conserve son caractère personnel et sa réutilisation doit respecter le RGPD.

L’intérêt légitime suffit-il pour entraîner une IA ?

Il peut constituer une base juridique, mais uniquement après une analyse de nécessité et une mise en balance avec les droits des personnes.

Un modèle d’IA est-il nécessairement anonyme ?

Non. Il peut mémoriser ou permettre d’extraire des informations relatives à des personnes.

Les personnes doivent-elles être informées ?

En principe oui, y compris lorsque les données ont été collectées indirectement, sous réserve des exceptions strictes du RGPD.

Peut-on exercer un droit à l’effacement contre une IA ?

Oui lorsque les conditions du droit sont réunies. La méthode technique dépend de l’architecture du système.

Une AIPD est-elle toujours obligatoire ?

Non, mais elle l’est lorsque le traitement est susceptible de créer un risque élevé pour les personnes.

La CNIL peut-elle sanctionner un fournisseur étranger ?

Oui lorsque les règles territoriales du RGPD rendent celui-ci applicable et que les conditions de compétence sont réunies.

Les recommandations de la CNIL ont-elles force de loi ?

Non. Elles constituent toutefois une doctrine de référence et peuvent éclairer l’appréciation de la conformité.

Être conforme à l’AI Act suffit-il pour respecter le RGPD ?

Non. Les deux textes ont des objets et des obligations distincts.

Méthodologie : Cette fiche a été générée avec l’assistance de l’intelligence artificielle à partir de la base documentaire et de sources juridiques complémentaires lorsque cela était nécessaire. Elle constitue une synthèse documentaire et ne remplace pas un avis juridique.

Résumé pédagogique

Définition

La CNIL est l’autorité française chargée de protéger les données personnelles. Son rôle en matière d’intelligence artificielle consiste principalement à vérifier que les données utilisées pour entraîner, tester et exploiter les systèmes respectent le RGPD et la loi Informatique et Libertés. Elle publie des recommandations, accompagne les projets, effectue des contrôles et peut prononcer des sanctions.

Exemple

Une entreprise aspire des millions de profils publics afin d’entraîner un outil de recrutement. Même si les informations sont visibles en ligne, elle doit définir une finalité, choisir une base juridique, limiter les données, informer les personnes et permettre l’exercice de leurs droits. La CNIL peut contrôler ces obligations et examiner les biais ou les risques associés au profilage.

Problématique juridique

L’IA nécessite souvent de très grands volumes de données, alors que le RGPD impose la minimisation, la transparence et une limitation des finalités. La difficulté consiste à rendre ces principes effectifs dans des modèles complexes, parfois capables de mémoriser des informations ou de produire des inférences sur les personnes.

Cadre légal

Le cadre principal repose sur le RGPD, la loi Informatique et Libertés et, en complément, l’AI Act. La CNIL reste compétente pour les données personnelles, mais elle n’est pas nécessairement l’unique autorité de contrôle de l’ensemble des obligations relatives à l’intelligence artificielle.

Fiches Dabo Tibi Ius associées :

Fiche – CNIL et intelligence artificielle