En Europe, l’alignement entre la protection des données personnelles (« RGPD ») et la gouvernance des systèmes d’IA (« AI Act ») s’est fortement accéléré.
Alors que l’année 2026 marque un tournant avec l’entrée en application des règles de transparence du règlement européen sur l’AI Act, un retour sur la doctrine établie par la CNIL en juillet 2025 permet de comprendre la continuité d’un cadre juridique pensé pour restaurer la confiance des utilisateurs.
La transparence à la source : les recommandations fondatrices de la CNIL
En juillet 2025, la Commission Nationale de l’Informatique et des Libertés (« CNIL ») a publié ses recommandations relatives au développement des systèmes d’IA et au respect du RGPD. Ces travaux ont posé les jalons d’une transparence exigeante dès la phase d’apprentissage des modèles (phase d’entraînement).
Il est important de souligner que, même si l’organisme ne développe pas lui-même le dispositif IA, en tant que responsable de traitement lors de son utilisation, il peut aussi être tenu à une obligation de transparence au titre du RGPD.
Dans ce cadre, la CNIL a souligné que l’obligation de transparence préconisée par le RGPD impose d’informer clairement les personnes dont les données sont utilisées pour entraîner des modèles.
Face à la complexité algorithmique, la CNIL insiste notamment sur :
- L’intelligibilité des informations : fournir des mentions concises, accessibles et pédagogiques sur le fonctionnement global du système dans la continuité des obligations classiques du RGPD[1].
- L’information préalable et la notification : informer les individus avant l’entraînement afin de leur permettre d’exercer leurs droits (droit d’opposition, d’effacement) avant que leurs données ne soient intégrées de manière irréversible dans les paramètres du modèle[2].
- La traçabilité des sources : en cas de collecte indirecte (notamment par scraping web), préciser la nature des bases de données et les domaines sources exploités[3].
Ces exigences devant être mises en place en amont au titre du privacy by design/default[4] visent à éviter le phénomène de « boîte noire » et à minimiser/mitiger les risques de mémorisation ou de fuite de données personnelles.
Ce cadre établi par la CNIL va bien évidemment de pair avec les dispositions de l’AI Act.
L’AI Act au cœur du sujet : l’Article 50 et l’application Août/Décembre 2026
Si la CNIL s’est focalisée sur la protection des données au stade du développement, le règlement européen sur l’AI Act encadre, grosso modo, le déploiement et l’interaction directe avec le public. L’AI Act, qui prévoit des obligations de transparence[5], entre directement en application en août 2026 :
| Période d’application | Description |
| Août 2026 | L’information lors d’une interaction directe (Chatbots, Mail, Automate d’appel, etc)[6] : Les fournisseurs de systèmes d’IA interagissant avec des personnes physiques doivent veiller à concevoir leur IA de telle sorte que l’utilisateur puisse être informé, de manière claire et explicite, qu’il dialogue avec une IA (sauf si cela ressort de manière évidente du contexte).
|
| L’étiquetage des Deepfakes[7] : Sauf exception prévue dans le cadre de l’AI Act, les déployeurs qui génèrent ou manipulent des contenus synthétiques constituant des hypertrucages audio ou vidéo doivent mentionner explicitement l’origine artificielle du contenu.
| |
| Reconnaissance biométrique/émotions[8]: Sauf exception prévue dans le cadre de l’AI Act, les déployeurs d’un système de reconnaissance des émotions ou d’un système de catégorisation biométrique informent les personnes physiques qui y sont exposées du fonctionnement du système et traitent les données à caractère personnel de manière régulière. | |
| Marquage[9] : Sauf exception prévue dans le cadre de l’AI Act, les fournisseurs de systèmes d’IA qui génèrent des contenus de synthèse de type audio, image, vidéo ou texte, veillent à ce que les sorties des systèmes d’IA soient marquées dans un format lisible par machine et identifiables comme ayant été générées ou manipulées par une IA (Ex : Watermarking). | |
| Décembre 2026 | Le marquage des contenus génératifs (Watermarking) : Sursis technique concernant uniquement les systèmes d’IA qui étaient déjà commercialisés ou mis en service avant le 2 août 2026. |
Calendrier global
Pour une meilleure compréhension du déploiement des différentes mesures de l’AI Act, la Commission européenne a présenté le calendrier suivant afin d’orienter les différents acteurs du secteur.
Commission européenne – Calendrier de mise en œuvre de la législation de l’UE sur l’IA[10]
La doctrine de la CNIL et l’entrée en application de l’article 50 de l’AI Act dessinent ainsi un continuum réglementaire cohérent avec une transparence exigée en amont, dès la constitution des jeux de données d’entraînement, puis prolongée en aval, au moment de l’interaction avec l’utilisateur final.
Reste que cette architecture juridique, aussi ambitieuse soit-elle, devra faire ses preuves à l’épreuve du réel. Le marquage machine-readable résistera-t-il aux techniques de contournement, alors même que les outils de watermarking demeurent perfectibles ? À méditer…
Le cabinet HAAS Avocats est spécialisé depuis trente ans dans le droit des affaires et l’innovation. Il accompagne les organisations dans le cadre de leurs problématiques judiciaires et extrajudiciaires relatives au droit du numérique et de la propriété intellectuelle. Dans un monde incertain, choisissez de vous faire accompagner par un cabinet d’avocats fiables. Pour nous contacter, cliquez ici.
[1] RGPD, Article 12
[2] RGPD, Articles 13 & 14
[3] RGPD, Article 14
[4] RGPD, Article 25
[5] IA Act, Article 50 et suivants
[6] IA Act, Article 50§1
[7] IA Act, Article 50§4
[8] IA Act, Article 50§3
[9] IA Act, Article 50§2
[10] https://ai-act-service-desk.ec.europa.eu/fr/ai-act/timeline/calendrier-de-mise-en-oeuvre-de-la-legislation-de-lue-sur-lia
