IA et définition des données personnelles : la CNIL affirme son autorité

L’intégration du RIA dans l’arsenal de la CNIL

Lors de l’Université 2026 des DPO de l’AFCDP, sa présidente Marie-Laure Denis suggérait déjà clairement que l’autorité n’entendait pas s’en tenir à un rôle subalterne. De fait, la CNIL prépare la supervision de ce nouveau cadre depuis 2023.

Pour sa présidente, la RIA est synonyme de vigilance accrue sur les systèmes dits à « haut risque » (biométrie, emploi, éducation, immigration). Elle promet également une lutte frontale contre les usages proscrits comme la notation sociale.

Pour absorber cette charge en plus de ses missions traditionnelles, la CNIL s’est dotée dès 2023 d’un service pluridisciplinaire dédié à l’IA, clé de voûte de son plan stratégique 2025-2027.

Le service a pour but de faciliter la compréhension des systèmes d’IA et de consolider l’expertise sur la prévention des risques. Dans une logique d’accompagnement préalable au contrôle, l’autorité a en outre publié 13 fiches pratiques. Elles expliquent par exemple constituer des bases de données pour l’apprentissage des systèmes d’IA.

La CNIL propose également un guide qui détaille comment s’opposer à la réutilisation de ses données par les agents conversationnels. À ces publications s’ajoutent des conseils pour utiliser l’IA générative et une FAQ destinée au monde de l’éducation sur l’IA à l’école.

Accompagner avant de contrôler et sanctionner

La CNIL a accompagné huit acteurs dans le cadre de son « bac à sable » réglementaire consacré à l’usage de l’IA dans le service public pour améliorer la qualité du service et la performance des agents.

Elle prépare actuellement des recommandations pour l’usage de l’IA dans le monde du travail. Et elle lance un nouveau « bac à sable » (2024-2026) centré sur la « silver économie » (maintien à domicile des seniors).

Consciente que le métier de DPO va se complexifier à l’ère de l’IA, l’autorité s’apprête aussi à développer des formations et des outils dédiés aux traitements de données intégrant de l’IA.

Au niveau européen, elle participe aux travaux du CEPD pour articuler le RIA et le RGPD, tout en élaborant des recommandations sur le web scraping (aspiration de données).

Le Bureau de l’IA dans le collimateur

La priorité reste pédagogique. Mais la CNIL prévoit d’évoluer vers une véritable stratégie de contrôle et de conformité ciblée. Marie-Laure Denis formule d’ailleurs des réserves techniques sur l’attribution d’une compétence exclusive au Bureau de l’IA de la Commission européenne dans certains domaines.

Elle y voit un risque d’éviction des autorités nationales et une restriction de leur capacité d’investigation autonome.

Mais c’est sur une autre initiative de la Commission que se concentrent aujourd’hui les critiques les plus vives.

Le « Digital Omnibus » et le péril d’une redéfinition des données personnelles

Le paysage réglementaire est bousculé par le paquet législatif présenté par la Commission européenne le 19 novembre 2025. Ce « Digital Omnibus » se divise en deux textes : l’un sur les acquis numériques (RGPD, Data Act, ePrivacy), l’autre sur l’IA.

Si la CNIL soutient l’objectif de simplification, elle s’élève en revanche contre une disposition spécifique visant à modifier la définition même des données à caractère personnel. La proposition suggère d’exclure du champ du RGPD les données qui ne seraient pas « raisonnablement » réidentifiables par celui qui les détient, introduisant le concept périlleux de « données à double visage ».

Pour Marie-Laure Denis, une information pourrait ainsi être jugée personnelle pour un acteur et anonyme pour un autre selon une appréciation subjective de ses capacités techniques. Cette application asymétrique du droit engendrerait une insécurité juridique majeure, et marquerait i une rupture brutale avec la jurisprudence établie de la Cour de Justice de l’Union européenne (CJUE). En réduisant le champ d’application du RGPD, le texte risquerait d’ouvrir la voie à des dérives où des données, prétendument anonymisées par un sous-traitant, pourraient être réidentifiées ultérieurement.

DPO : du garant de la conformité à l’ambassadeur de la confiance

Pendant ce temps, le métier de DPO connaît une évolution profonde. Pourtant, l’enquête menée en novembre 2025 auprès de 2 400 délégués révèle un paradoxe. 71 % soutiennent l’élargissement de leurs missions à l’IA, mais seulement 6 % s’estiment « très bien préparés » aux exigences du RIA. À l’inverse 29 % des DPO s’opposent à cette expansion fonctionnelle, souvent par crainte d’une saturation de leurs moyens.

La CNIL rappelle que le Règlement sur l’IA reste silencieux sur la désignation automatique du DPO comme responsable de la conformité IA.

Il s’agit donc d’un arbitrage interne à chaque organisation. L’autorité encourage néanmoins les entreprises à capitaliser sur l’expertise du DPO, tout en soulignant que cette transition ne pourra réussir qu’avec un renforcement drastique de la formation et du temps alloué.

Le délégué ne doit pas devenir une variable d’ajustement, mais rester le garant d’une neutralité technologique où les principes de minimisation et de conservation s’appliquent avec la même rigueur aux algorithmes les plus sophistiqués.

Industrialisation de la menace cyber et répression

La cybersécurité constitue un autre axe clé du plan stratégique 2025-2028 de la CNIL dans un contexte de hausse de 10 % des violations de données en 2025. L’IA générative a modifié la donne en industrialisant les attaques et en abaissant la barrière à l’entrée pour les attaquants.

Marie-Laure Denis met en garde contre la banalisation de ces incidents et rappelle que derrière les chiffres se cache un coût humain dramatique. La présidente cite l’exemple de la violation de données de la Fédération française de tir qui a conduit à la séquestration d’un tireur sportif à son domicile par des malfaiteurs cherchant à dérober ses armes.

Pour contrer ces menaces, la doctrine de la CNIL s’est durcie en janvier 2026. Désormais, l’authentification multifacteur (MFA) est obligatoire pour tout accès à distance aux bases de données dépassant le million d’entrées. La mesure est jugée capable de prévenir 80 % des violations majeures.

Côté sanctions, l’autorité ne faiblit pas. Plus d’un quart des amendes de 2025 concernaient des défauts de sécurité élémentaire à l’image des sanctions infligées à Free (42 millions d’euros) et France Travail (5 millions d’euros).

Vers la certification des sous-traitants

Pour simplifier la gestion de la sous-traitance, la CNIL mise enfin sur la certification européenne. Le processus de reconnaissance par le CEPD est engagé pour une approbation prévue en ce mois de juillet 2026. La mise en œuvre opérationnelle est envisagée fin 2026 ou début 2027.

Ce dispositif permettra aux prestataires de démontrer l’effectivité de leurs garanties via un tiers de confiance.

Marie-Laure Denis prévient toutefois que la certification n’est pas un « audit sur mesure ». Elle ne dispense pas le responsable de traitement de vérifier les risques spécifiques à son propre contexte.

Un autre point de vigilance majeur demeure l’accessibilité de ce référentiel pour les petites structures pour éviter de créer un marché à deux vitesses.