9 failles de conformité IA sanctionnées par la CNIL — classement par coût réel

Quatre amendes. 550 000 euros. Quatre mois.

C'est le bilan des sanctions CNIL liées à l'intelligence artificielle entre décembre 2025 et mars 2026. On pourrait se dire que c'est peu — et on aurait raison sur le montant. Mais ce qui compte ici, ce n'est pas le chèque : c'est le motif. Parce que derrière chacune de ces décisions se cache un pattern de non-conformité que la formation restreinte repère à chaque contrôle, et que la majorité des entreprises françaises reproduisent sans même le savoir.

J'ai passé les 140 documents réglementaires que nous suivons chez IAActs — 64 publications CNIL, 59 avis du CEPD, 9 textes Legifrance, 8 textes EUR-Lex — au crible d'une question simple : quelles failles reviennent le plus souvent, et lesquelles coûtent le plus cher ?

Le résultat, c'est ce classement. Neuf failles. Du plus coûteux au plus insidieux. Pas de théorie, que du terrain.

Le tableau de synthèse : les 9 failles classées

Avant de détailler chaque faille, voici la vue d'ensemble. J'ai croisé le montant des sanctions connues, la fréquence d'apparition dans les 4 décisions CNIL IA de la période, et le risque IA Act à venir (puisque les premières obligations sont en vigueur depuis février 2025).

Ce classement appelle une précision : les failles 6 à 9 n'ont pas (encore) donné lieu à une sanction financière isolée dans les décisions IA. Elles apparaissent comme griefs secondaires dans les dossiers, mais la tendance CEPD montre qu'elles deviennent autonomes. Le rapport annuel 2025 du CEPD le confirme noir sur blanc.

1. Profilage discriminatoire sans garde-fou — 250 000 €

La plus lourde sanction IA de la période. Company Z, janvier 2026. Un algorithme de tri de CV qui écartait systématiquement certains profils sur des critères corrélés à l'âge et à l'origine géographique. La CNIL n'a même pas eu besoin de prouver l'intention discriminatoire : le résultat statistique suffisait.

Ce qui m'a frappé en lisant la décision, c'est la simplicité du mécanisme. Pas d'IA générative sophistiquée, pas de modèle fondation de dernière génération. Un bon vieux score prédictif entraîné sur des données historiques biaisées. Le genre de système qu'on retrouve dans la moitié des services RH de France.

L'IA Act classe explicitement les systèmes d'IA de recrutement dans la catégorie « haut risque » (annexe III). Depuis le 2 août 2025, ces systèmes doivent faire l'objet d'une évaluation de conformité. Company Z n'en avait aucune.

Leçon : si votre IA touche au recrutement, au crédit ou à l'accès aux services publics, vous êtes en zone rouge. L'article 6 de l'IA Act et l'article 22 du RGPD convergent ici — et la CNIL le sait très bien.

2. Absence de transparence IA — 150 000 €

Company Y, février 2026. Un chatbot de service client qui répondait aux questions des utilisateurs sans jamais mentionner qu'il s'agissait d'une intelligence artificielle. L'entreprise estimait que le « ton conversationnel » suffisait à indiquer la nature du système. La formation restreinte a estimé que non.

150 000 euros. Pour un bandeau manquant.

Trois décisions sur quatre mentionnent un défaut de transparence dans les griefs. C'est la faille la plus fréquente, et c'est aussi la plus facile à corriger — ce qui rend son omission d'autant plus inexcusable aux yeux de la CNIL.

L'article 52 de l'IA Act impose une obligation de transparence pour tout système qui interagit avec des personnes physiques. Ce n'est pas une recommandation. Pas un « nice to have ». C'est une obligation légale, entrée en vigueur le 2 février 2025.

Et pourtant, je tombe encore régulièrement sur des chatbots déployés en France qui ne mentionnent nulle part qu'ils sont propulsés par une IA. Si vous gérez un chatbot, relisez notre comparatif IA Act vs RGPD pour les chatbots — les obligations sont claires et cumulatives.

3. Absence d'AIPD avant déploiement — 100 000 €

Company W, décembre 2025. Un système de scoring crédit déployé sans analyse d'impact relative à la protection des données (AIPD). L'entreprise utilisait un modèle d'apprentissage automatique pour évaluer la solvabilité des demandeurs de prêt. Aucune analyse préalable n'avait été réalisée.

Cent mille euros. Et surtout, une injonction de suspendre le traitement jusqu'à réalisation de l'AIPD.

L'absence d'AIPD revient dans 3 décisions sur 4. C'est le manquement structurel par excellence : il montre à la CNIL que l'entreprise n'a jamais pris le temps de se poser la question « est-ce que ce traitement présente un risque ? » avant de le mettre en production.

Petit aparté personnel. J'ai audité récemment un système de classification documentaire pour un cabinet d'avocats. Technologie banale, pas de données sensibles a priori. Sauf que le modèle ingérait des pièces de procédure. Données judiciaires. AIPD obligatoire. Le cabinet ne le savait pas. Personne ne leur avait dit. Ce genre de cas est partout.

L'IA Act double la mise avec l'article 9, qui exige un système de gestion des risques pour les IA à haut risque. L'AIPD RGPD et l'évaluation de conformité IA Act deviennent deux couches distinctes mais complémentaires. Le CEPD a publié un avis dédié le 15 février 2026 pour clarifier cette articulation — et spoiler : les deux sont nécessaires, l'une ne remplace pas l'autre.

4. Base légale absente ou mal choisie — 50 000 €

Company X, mars 2026. Reconnaissance faciale déployée sans base légale valide. L'entreprise invoquait l'intérêt légitime. La CNIL a estimé que le traitement biométrique nécessitait un consentement explicite — article 9 du RGPD, pas de raccourci possible.

Cinquante mille euros seulement. Presque un prix d'ami.

Mais le montant masque la gravité du problème. Sans base légale, tout le traitement est illicite. Ça veut dire que les données collectées doivent être supprimées, que les modèles entraînés sur ces données sont potentiellement contaminés, et que tout redéploiement nécessite une reprise à zéro.

Le webinaire CNIL d'avril 2026 sur le webscraping et l'intérêt légitime pour le développement IA montre que l'autorité affine sa doctrine. L'intérêt légitime n'est pas mort pour l'IA, mais il faut le documenter avec une rigueur que 90 % des entreprises n'ont pas.

Détail qui tue : la même semaine que la sanction Company X, la CNIL publiait un outil d'audit RGPD des modèles d'IA (projet PANAME). Le message est limpide. On vous donne les outils, on vous donne le temps, et ensuite on sanctionne.

5. Absence de supervision humaine — sanctionnée en cumul

Pas de sanction isolée sur ce point — la CNIL l'agrège systématiquement avec d'autres manquements. Mais il apparaît dans 2 décisions sur 4, à chaque fois comme circonstance aggravante.

Company Z (recrutement discriminatoire) : aucun humain ne validait les décisions de rejet du modèle. Company W (scoring crédit) : le système attribuait un score et le transmettait directement au service commercial.

L'article 14 de l'IA Act est tranchant : les systèmes IA à haut risque doivent être « effectivement supervisés par des personnes physiques ». Pas un humain décoratif qui clique sur « valider » sans regarder. Une supervision réelle, avec capacité d'intervention et de correction.

C'est d'ailleurs le point sur lequel je suis le plus pessimiste. La supervision humaine effective coûte cher. Elle ralentit les process. Elle va à rebours de la promesse d'automatisation. Combien d'entreprises vont réellement l'implémenter versus cocher une case dans un registre ? Je crains connaître la réponse.

Et la contradiction est là, assumée : on demande aux entreprises d'investir dans l'IA pour être compétitives, puis on leur dit de mettre un humain dans la boucle à chaque étape. Les deux injonctions sont réelles. Le curseur entre efficacité et conformité, personne ne l'a encore trouvé. Les Guidelines de l'AI Office du 1er avril 2026 tentent de clarifier les niveaux de supervision attendus selon les classes de risque, mais le texte reste vague sur le « effectivement ». Un opérateur qui survole 200 décisions par jour supervise-t-il quoi que ce soit ? La CNIL devra trancher.

6. Défaut d'information sur les droits RGPD — le manquement universel

Quatre décisions sur quatre. Cent pour cent. À chaque fois que la CNIL a examiné un système IA, elle a constaté un défaut d'information sur les droits des personnes concernées : droit d'accès, droit de rectification, droit d'opposition, et surtout le droit de ne pas faire l'objet d'une décision entièrement automatisée (article 22 RGPD).

Aucune sanction financière autonome pour l'instant sur ce point. Mais la trajectoire est claire.

Le CEPD a publié 6 documents de guidelines sur les droits des personnes concernées. La CNIL a consacré un webinaire entier en 2026 aux « fiches IA : informer, respecter et faciliter l'exercice des droits des personnes concernées ». Le fléchage politique est évident : la prochaine vague de sanctions isolera ce grief.

Mon conseil — et c'est un conseil ferme, pas une suggestion polie : ajoutez un paragraphe dédié dans vos mentions légales et dans votre politique de confidentialité qui décrit précisément quels traitements utilisent de l'IA, sur quelles données, et comment exercer ses droits. Le retour de terrain d'une DPO que nous avons documenté ici montre à quel point c'est sous-estimé.

7. Conservation excessive des données d'entraînement

Un seul cas explicite dans les 4 décisions, mais c'est un sujet qui monte. Company Z conservait l'intégralité de son jeu de données d'entraînement — incluant des CV de candidats — sans limitation de durée et sans base légale de conservation distincte de celle du traitement initial.

Le RGPD est sans ambiguïté : les données personnelles ne peuvent être conservées que le temps nécessaire à la finalité du traitement. Entraîner un modèle, c'est une finalité. Stocker les données une fois le modèle entraîné, c'en est une autre. Il faut une justification pour chaque étape.

Le Data Act (Règlement 2023/2854) et le Data Governance Act (Règlement 2022/868) ajoutent des couches supplémentaires pour les données partagées et réutilisées. Le mille-feuille réglementaire se densifie. Et les entreprises qui gardent tout « au cas où » s'exposent.

Un point technique que beaucoup ignorent : quand un modèle a été entraîné sur des données personnelles, la suppression des données sources ne suffit pas nécessairement à satisfaire le droit à l'effacement. Le modèle lui-même peut contenir des traces des données d'entraînement — c'est le problème du « machine unlearning ». La CNIL a commencé à s'y intéresser en publiant un outil de traçabilité pour les modèles IA en open source. Aucune jurisprudence claire n'existe encore sur ce point, mais le jour où elle tombera, les entreprises qui auront conservé des téraoctets de données d'entraînement seront les premières visées.

8. Transferts hors UE non encadrés

Mentionné en filigrane dans l'affaire Company Y (chatbot). Le modèle de langage était hébergé chez un fournisseur américain, les requêtes utilisateurs transitaient par des serveurs hors UE, et aucune clause contractuelle type ni évaluation d'impact transfert n'encadrait le flux.

L'EDPB a publié 11 documents de guidelines sur les transferts internationaux. Le sujet occupe des sous-groupes entiers du Comité européen. Recommendations 1/2026 sur les Processor Binding Corporate Rules. Guidelines 02/2024 sur l'article 48 RGPD. C'est un dossier massif.

Pour les systèmes IA, le problème est amplifié : chaque requête envoyée à un LLM hébergé hors UE constitue potentiellement un transfert de données personnelles. Chaque prompt contenant un nom, un email, une description de situation. Les entreprises qui utilisent des API OpenAI, Anthropic ou Google sans clauses contractuelles types jouent à la roulette.

Digression assumée : on parle beaucoup de souveraineté numérique en France, mais les seuls modèles souverains viables à date — Mistral, pour simplifier — ne couvrent pas tous les cas d'usage. Le pragmatisme juridique impose donc de structurer ses transferts, pas de les éviter.

9. Absence de registre de traitement IA

Deux décisions sur quatre mentionnent un registre des traitements incomplet ou absent pour les systèmes IA. Ce n'est pas nouveau — l'article 30 du RGPD l'exige depuis 2018. Mais l'arrivée de l'IA Act crée une obligation complémentaire : l'article 49 impose l'enregistrement des systèmes IA à haut risque dans une base de données publique européenne.

L'entreprise qui déploie un système de scoring, de recrutement automatisé ou de surveillance doit le déclarer. Deux registres, deux logiques, deux autorités de contrôle.

Le décret n° 2024-573 sur l'IA dans l'administration publique (Legifrance, 21 juin 2024) va encore plus loin pour le secteur public. Le décret n° 2023-1122 sur la régulation des algorithmes de recommandation ajoute une troisième couche pour les plateformes.

Trois registres. Bienvenue en 2026.

La loi Informatique et Libertés de 1978 — oui, elle existe toujours, consolidée et mise à jour — impose déjà un registre des traitements pour tout organisme public et pour les entreprises de plus de 250 salariés. Le décret d'application de 2019 (n° 2019-536) précise les modalités. Ajoutez le registre IA Act et le registre algorithmes de recommandation, et vous obtenez un cauchemar administratif que seules les grandes structures peuvent gérer proprement. Les PME, elles, naviguent à vue. Et la CNIL le sait — d'où l'outil PIA gratuit et les webinaires de vulgarisation. Mais entre mettre un outil à disposition et vérifier que les entreprises l'utilisent, il y a un gouffre que les 4 sanctions récentes commencent à combler.

Ce que ce classement révèle sur la stratégie CNIL

En compilant ces 9 failles, un schéma apparaît. La CNIL ne cible pas l'IA en tant que technologie. Elle cible les entreprises qui ont déployé de l'IA sans adapter leur gouvernance données.

Chaque sanction aurait pu être évitée par des mesures qui existaient avant l'IA Act : AIPD, registre, information, base légale. Le RGPD de 2018 contenait déjà tout le nécessaire. L'IA Act n'ajoute qu'une couche supplémentaire — et comme nous l'avons analysé, les amendes restent ridiculement basses par rapport aux enjeux.

Mais ne vous y trompez pas. Le projet PANAME de la CNIL — un outil d'audit RGPD spécifiquement conçu pour les modèles d'IA — indique un changement de phase. L'autorité se dote de moyens techniques pour auditer à l'échelle. Les lignes directrices de l'AI Office du 1er avril 2026 sur les systèmes à haut risque précisent les critères de classification. Le règlement délégué du 10 mars 2026 sur les modèles GPAI encadre les fournisseurs en amont.

Le piège se referme. Lentement, méthodiquement, texte par texte.

Que faire concrètement ? Les 3 priorités

Je ne vais pas vous dresser une checklist de 47 points. Trois choses comptent vraiment.

Premièrement, faites votre AIPD. Si vous déployez un système IA qui traite des données personnelles — et c'est le cas de 95 % des cas — vous devez avoir une analyse d'impact documentée, mise à jour, et accessible. La CNIL fournit un outil gratuit (PIA) et le projet PANAME arrive en renfort.

Deuxièmement, affichez la transparence. Mentionnez l'IA là où elle intervient. Sur vos chatbots, vos systèmes de recommandation, vos outils de scoring. Ce n'est pas optionnel depuis le 2 février 2025. Un bandeau, une phrase, un pictogramme. Le coût est nul. L'absence coûte 150 000 euros.

Troisièmement, cartographiez vos transferts. Chaque API, chaque modèle hébergé, chaque flux de données qui sort de l'UE. Si vous utilisez un LLM externe, documentez le transfert, mettez en place les clauses contractuelles types, et réalisez votre Transfer Impact Assessment.

Le reste — registre, base légale, supervision humaine — est important mais découle de ces trois fondamentaux. Si l'AIPD est bien faite, elle identifie les lacunes. Si la transparence est en place, l'information sur les droits suit naturellement. Si les transferts sont cartographiés, le registre se complète de lui-même.

Pour aller plus loin, notre checklist conformité IA Act et notre template DPA sont disponibles gratuitement sur le site.

Sources des données : CNIL décisions publiques (64 entrées suivies), Journal Officiel EU — EUR-Lex (8 textes), Legifrance (9 textes), avis CEPD (59 entrées suivies). Données agrégées au 25 avril 2026. Total : 140 documents réglementaires monitorés.