Intelligence artificielle et RGPD : quels défis pour les entreprises ?

Un algorithme qui trie des candidatures, un modèle qui note des demandes de crédit, un assistant génératif qui traite des courriels clients : dans beaucoup d’entreprises, l’IA est déjà au travail. Selon l’étude The State of AI de McKinsey (2025), près de trois quarts des organisations déclarent l’utiliser dans au moins une fonction. Mais tous ces usages reposent sur une même matière première, très encadrée : les données personnelles.

Le RGPD, en vigueur depuis 2018, fixe des règles précises sur la façon de collecter, traiter et conserver ces données. Pour une direction juridique, une DSI ou un data scientist, la question n’est donc plus de savoir s’il faut adopter l’IA, mais comment le faire sans accumuler de risque juridique. Et l’enjeu est bien réel : en 2025, la CNIL a prononcé 83 sanctions, pour un total de près de 487 millions d’euros d’amendes (bilan publié en février 2026).

Cet article fait le point sur ce que le RGPD, puis l’AI Act, changent concrètement pour les entreprises, et sur les moyens de concilier innovation et conformité. Pour les équipes qui veulent s’outiller sur ce terrain, CentraleSupélec Exed propose une formation dédiée à la régulation des usages de l’intelligence artificielle : en une journée, elle dresse le panorama des cadres applicables, propose une étude pratique de l’AI Act et aide les participants (juristes, DPO, chefs de projet) à situer leurs propres usages par rapport au droit.

Le RGPD s’applique-t-il aux systèmes d’intelligence artificielle ?

Oui, sans exception. Le RGPD ne cite jamais l’intelligence artificielle, ni l’apprentissage automatique, ni aucune technologie en particulier, et c’est délibéré : le règlement suit un principe de neutralité technologique, confirmé par la Cour de justice de l’Union européenne dans un arrêt du 10 juillet 2018. Dès qu’un système traite des données à caractère personnel, il s’applique, quelle que soit la technologie employée.

Les autorités européennes s’y préparent activement. La Confédération des organisations européennes de protection des données a créé un groupe de travail sur l’IA et les données personnelles, et publié un guide à l’attention des délégués à la protection des données (DPO), appelés à arbitrer de plus en plus souvent ces questions.

En France, la CNIL a rappelé à plusieurs reprises, dans ses travaux publiés entre 2024 et 2026, que les principes du RGPD (finalité, minimisation, transparence, droits des personnes) s’appliquent pleinement aux modèles d’IA. Elle l’a confirmé le 22 juillet 2025 en publiant ses premières recommandations sur l’application du RGPD au développement des systèmes d’IA.

Reste à ne pas confondre automatisation et intelligence artificielle. Un logiciel de gestion de la relation client (CRM) qui enregistre des fiches de façon structurée effectue un traitement automatisé, sans IA. En revanche, un moteur de scoring qui analyse des comportements d’achat pour anticiper des besoins relève bien de l’IA, et donc du RGPD.

Les principes du RGPD mis sous tension par l’IA

Le RGPD s’applique, mais l’appliquer à un système d’IA soulève des difficultés concrètes, techniques comme organisationnelles. Chacun de ses grands principes est mis à l’épreuve par la nature même de ces technologies.

La finalité : définir l’objectif avant de collecter

Le RGPD impose que les données soient collectées pour une finalité déterminée, explicite et légitime. Un modèle d’IA ne peut donc pas être alimenté « au cas où » ou pour des usages futurs indéterminés. La CNIL rappelle que cette exigence vaut aussi pour les phases de recherche ou d’expérimentation.

La contrainte est réelle pour la recherche, où les résultats émergent parfois de corrélations imprévues. Comme le souligne Cédric Cartau, RSSI et délégué à la protection des données du CHU de Nantes et chroniqueur au magazine spécialisé DSIH, il reste possible de définir un traitement large (par exemple « recherche de corrélations sur du big data nominatif »), à condition de compenser ce flou par des mesures de sécurité renforcées et un contrôle strict des accès.

La minimisation : entre performance des modèles et sobriété des données

La minimisation exige de ne collecter que les données strictement nécessaires. Or les systèmes d’apprentissage automatique s’appuient souvent sur de grands volumes pour gagner en performance, ce qui pousse à accumuler des jeux de données toujours plus larges, même quand certaines informations ne sont pas indispensables.

Les entreprises doivent donc pouvoir démontrer que les données utilisées sont pertinentes, limitées au nécessaire et proportionnées à l’objectif. Le point est particulièrement sensible en cas de web scraping (l’aspiration automatisée de données publiques en ligne) ou de réutilisation de bases existantes pour entraîner un modèle.

La transparence : le défi de la « boîte noire »

La transparence est sans doute le point de friction le plus vif entre IA et RGPD. Le règlement impose d’informer les personnes sur l’utilisation de leurs données. Mais les algorithmes d’IA, en particulier les réseaux de neurones profonds, fonctionnent souvent comme des « boîtes noires » dont le raisonnement interne reste difficile à reconstituer, parfois même pour leurs concepteurs.

Cette opacité complique, voire empêche, l’explication d’une décision à la personne concernée. Comment justifier à un candidat qu’un algorithme de tri de CV l’a écarté, quand des millions de paramètres ont contribué au résultat ?

Rendre ces systèmes intelligibles est devenu un champ de recherche à part entière, l’explicabilité (ou XAI), sur lequel la CNIL et son laboratoire d’innovation numérique (LINC) ont publié plusieurs travaux. C’est aussi l’un des axes de l’Executive Certificate Intelligence Artificielle et Sciences des Données de CentraleSupélec Exed : ce parcours certifiant de 19 jours (éligible au CPF), piloté par Frédéric Pascal, directeur de l’institut DATAIA Paris-Saclay, outille des professionnels déjà expérimentés pour concevoir des projets d’IA en maîtrisant à la fois leurs dimensions techniques et leurs enjeux éthiques et réglementaires.

Les droits des personnes : l’impasse technique du modèle entraîné

Accès, rectification, opposition, effacement : ces droits restent applicables aux systèmes d’IA. Mais leur mise en œuvre change de nature une fois le modèle entraîné. Tant que les données sont stockées dans une base classique, les exercer est simple. Intégrées aux paramètres d’un modèle, elles deviennent difficiles à modifier, supprimer ou isoler.

Dans certains cas, honorer une demande de suppression suppose de réentraîner tout le modèle, à un coût élevé en temps et en ressources. Dans d’autres, on met en place des mécanismes indirects, comme le filtrage des réponses en sortie, qui empêchent la restitution d’informations personnelles sans les retirer du modèle lui-même.

Le RGPD prévoit un délai d’un mois pour répondre à une demande d’exercice de droits, prolongeable de deux mois en cas de complexité. Pour l’IA, cette horloge rend d’autant plus nécessaire d’anticiper ces questions dès la conception.

Les décisions automatisées : l’article 22 en question

L’article 22 du RGPD encadre les décisions entièrement automatisées produisant des effets juridiques ou significatifs sur les personnes. Il ouvre un droit à ne pas subir une telle décision sans intervention humaine. Trois exemples parlants pour les entreprises :

• En banque : un refus de crédit décidé sans regard humain.
• En RH : un tri automatique de candidatures qui écarte des profils.
• En assurance : une tarification individualisée fixée par un algorithme.

Dans chacun de ces cas, l’entreprise doit garantir une intervention humaine et permettre à la personne de contester la décision. En pratique, cela oblige souvent à revoir l’architecture même des outils d’aide à la décision.

IA Act et RGPD : deux réglementations complémentaires

Depuis l’été 2024, les entreprises européennes composent avec un second texte : l’AI Act, premier cadre juridique mondial dédié à l’intelligence artificielle. Entré en vigueur le 1er août 2024, il s’applique de façon progressive jusqu’en 2027.

Pour une entreprise, leur articulation n’est pas qu’une subtilité juridique : elle détermine qui doit documenter quoi. Le RGPD protège les données personnelles quelle que soit la technologie ; l’AI Act encadre les systèmes d’IA selon leur niveau de risque, quel que soit le type de données. Dès qu’un système d’IA traite des données personnelles, les deux textes s’appliquent en même temps et se cumulent sur la documentation, l’analyse des risques et les contrôles. L’AI Act répartit les systèmes en quatre catégories de risque :

• Risque inacceptable : systèmes interdits en Europe (notation sociale, reconnaissance faciale en temps réel dans l’espace public). Interdictions effectives depuis le 2 février 2025. Exemple : un dispositif de « score citoyen ».
• Risque élevé : usages dans des domaines sensibles (recrutement, scoring financier, santé, justice). Exemple : un logiciel de tri de CV ou un modèle de scoring de crédit. À partir du 2 août 2026, ces systèmes devront documentation, audits, transparence renforcée et marquage CE.
• Risque limité : chatbots et assistants virtuels, soumis à une obligation de transparence. Exemple : un agent conversationnel de support client, qui doit indiquer à l’utilisateur qu’il parle à une IA.
• Risque minimal : la grande majorité des usages (filtres anti-spam, moteurs de recommandation simples). Aucune obligation spécifique.

Les sanctions de l’AI Act s’ajoutent à celles du RGPD : jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires mondial pour les infractions les plus graves. Une entreprise qui exploite une IA à haut risque peut donc être sanctionnée au titre des deux réglementations. En France, la CNIL a été désignée en août 2025 comme l’une des autorités de contrôle de l’AI Act : elle peut désormais intervenir à la fois sur le volet données personnelles et sur le volet intelligence artificielle.

Les recommandations de la CNIL pour les entreprises

La CNIL a structuré son action autour de quatre objectifs : comprendre les systèmes d’IA et leurs impacts, permettre le développement d’une IA respectueuse des données, accompagner les acteurs innovants et auditer les systèmes déployés. Ses recommandations, publiées entre 2024 et 2026, dessinent une feuille de route opérationnelle.

La première porte sur la base légale : chaque usage d’IA impliquant des données personnelles doit reposer sur un fondement explicite (intérêt légitime, consentement, exécution d’un contrat). Une entreprise qui déploie un outil d’analyse des conversations clients doit ainsi documenter précisément son objectif et s’assurer que les données ne serviront pas à une autre finalité, comme du marketing non autorisé.

La CNIL insiste ensuite sur l’information des personnes, y compris quand les données sont collectées indirectement. Une entreprise qui entraîne un modèle sur des données issues du web doit publier une page expliquant les sources utilisées et les finalités du traitement.

Le niveau de transparence doit par ailleurs s’adapter au risque. Un modèle interne de gestion RH suppose une information détaillée des salariés concernés, tandis qu’un modèle fondé sur des données publiques peut faire l’objet d’une information plus globale, dès lors qu’elle reste accessible.

Sur l’exercice des droits, la CNIL se montre pragmatique mais ferme : elle reconnaît la difficulté technique, sans accepter qu’elle serve d’excuse. « On ne peut pas » n’est pas une réponse recevable sans justification documentée ni mesures compensatoires. Les entreprises doivent prévoir des mécanismes de traitement des demandes de suppression, par réentraînement ou par filtrage en sortie.

En décembre 2025, la CNIL a publié, avec son laboratoire d’innovation numérique (LINC), un outil de traçabilité des modèles d’IA en source ouverte. Il permet d’explorer la généalogie d’un modèle sur la plateforme HuggingFace et facilite ainsi l’exercice des droits d’accès, d’opposition ou d’effacement.

Autre chantier : le projet PANAME (Privacy Auditing of AI Models), un projet collaboratif réunissant la CNIL, l’ANSSI, le PEReN et le projet IPoP piloté par l’Inria. Son objectif : développer une bibliothèque logicielle en source ouverte pour auditer la confidentialité des modèles d’IA. Un appel à manifestation d’intérêt, ouvert du 26 février au 28 mars 2026, invite entreprises et laboratoires à participer à la phase de test.

Les défis opérationnels de la conformité IA-RGPD

Au-delà des principes juridiques, la mise en conformité pose des défis très concrets aux équipes techniques et métier.

La traçabilité des données d’entraînement

Un système d’IA se nourrit rarement d’une source unique. Il agrège des données internes, des bases existantes, parfois des contenus en ligne. Peu à peu, ces flux se mélangent et se transforment. Le problème n’est pas tant le volume que la perte de lisibilité : plus le modèle se construit, plus il devient difficile de retracer l’origine des données ou de savoir si une information personnelle s’y trouve.

La CNIL rappelle que cette traçabilité reste attendue, même dans des systèmes complexes, avec un niveau de précision adapté au contexte. Plus le système est performant, plus l’exigence de documentation monte.

L’analyse d’impact sur la vie privée (AIPD)

L’article 35 du RGPD impose une analyse d’impact dès qu’un traitement recourant à de nouvelles technologies peut créer un risque élevé pour les droits et libertés des personnes. L’IA remplit presque toujours ce critère, car elle cumule souvent plusieurs facteurs de risque identifiés par les lignes directrices du G29 (le groupe des autorités européennes de protection des données) : traitement à large échelle, croisement de données, décision automatisée, usage innovant.

L’AIPD doit justifier la légitimité des données recueillies, ainsi que leurs conditions de collecte et de conservation au regard de la finalité. Elle détaille aussi les mesures de sécurité physique, logique et organisationnelle mises en place.

Les biais algorithmiques et la discrimination

Les algorithmes d’IA peuvent reproduire, voire amplifier, les biais présents dans leurs données d’entraînement. Un logiciel de recrutement entraîné sur un historique où les femmes sont sous-représentées dans certains postes techniques risque de pénaliser les candidatures féminines. De même, des études ont montré que certains systèmes de reconnaissance faciale affichent des taux d’erreur bien plus élevés pour les personnes à la peau foncée.

Le RGPD impose transparence et équité : une décision automatisée ne doit pas produire d’effets négatifs disproportionnés sur certaines catégories de personnes. L’AI Act renforce cette exigence en imposant aux systèmes à haut risque une documentation sur la qualité des données d’entraînement et des audits réguliers.

La sécurité des données

Les systèmes d’IA, surtout dans le cloud, peuvent être vulnérables aux cyberattaques. Le risque est double : une faille peut exposer des données personnelles, et une attaque ciblée peut permettre d’extraire des informations du modèle lui-même (attaques cherchant à savoir si une personne figurait dans les données d’entraînement, ou à reconstituer ces données). Le RGPD exige des mesures de sécurité adaptées. En 2025, la sécurisation insuffisante des données a d’ailleurs figuré parmi les trois principaux motifs de sanction de la CNIL en procédure simplifiée, et les amendes infligées à Free (42 millions d’euros) et France Travail (5 millions d’euros) début 2026, toutes deux liées à des failles, illustrent la sévérité croissante du régulateur. Pour approfondir les risques croisés entre IA, données et cybersécurité, CentraleSupélec Exed propose un éclairage dédié aux enjeux, risques éthiques et cybersécurité de l’IA.

L’IA comme outil d’aide à la conformité RGPD

Le rapport entre IA et RGPD ne se résume pas à une tension. L’intelligence artificielle peut aussi servir la conformité. Quelques cas d’usage concrets l’illustrent :

• Détecter les données sensibles : un service client qui reçoit des milliers de messages par jour peut s’appuyer sur l’IA pour repérer et retirer automatiquement, dans les zones de commentaires libres, des informations personnelles (noms, adresses) ou des contenus inappropriés.
• Accélérer la réaction aux fuites : le RGPD impose de notifier une violation sous 72 heures. Des systèmes d’IA détectent les fuites plus vite, déclenchent des alertes et font gagner un temps précieux aux équipes de sécurité.
• Cartographier les données personnelles : un acteur du e-commerce qui peine à localiser les données dispersées dans ses bases peut les classifier automatiquement, réduisant les erreurs humaines et facilitant la tenue du registre des traitements.
• Traiter les demandes de droits : l’automatisation aide à répondre dans les délais aux demandes d’accès, de suppression ou de portabilité, un gain net pour les entreprises qui en reçoivent beaucoup.

Objet de régulation d’un côté, outil de conformité de l’autre : ce double visage de l’IA est une opportunité que les organisations les plus avancées commencent à exploiter.

Comment structurer une gouvernance IA conforme au RGPD

La conformité IA-RGPD ne se règle pas par un audit ponctuel ni par une clause contractuelle. Elle demande une gouvernance structurée, intégrée dès la conception des projets et entretenue dans la durée.

Intégrer le privacy by design dans les projets IA

La CNIL martèle un principe simple : la conformité ne peut plus s’ajouter en fin de projet, elle se pense dès la conception. Cela suppose d’anticiper les usages, les risques, l’identification des données et les modalités d’exercice des droits avant même de collecter les données d’entraînement.

Certains vont plus loin et plaident pour un passage du privacy by design à l’ethics by design, c’est-à-dire l’intégration des considérations éthiques (biais, équité, impact sociétal) dès les premières étapes. Le LINC de la CNIL avait d’ailleurs publié dès 2019 un rapport sur les architectures de choix et leurs conséquences sur les individus.

Documenter chaque étape du cycle de vie

La documentation est le socle de l’accountability, le principe de responsabilité qui, dans le RGPD, oblige chaque organisation à pouvoir démontrer sa conformité à tout moment. Pour un système d’IA, elle couvre les sources de données, les choix techniques (architecture, paramètres d’entraînement), les arbitrages entre performance et protection des données, les résultats des tests de biais et les limites identifiées.

Cette documentation doit rester à jour et disponible en cas de contrôle, la CNIL vérifiant systématiquement le registre des traitements dès le début de ses vérifications.

Articuler les rôles : DPO, DSI et équipes data

La conformité IA-RGPD est un sujet transversal. Le DPO doit comprendre les enjeux techniques des systèmes d’IA ; les data scientists et ingénieurs doivent intégrer les contraintes réglementaires dans leurs pratiques ; la DSI doit garantir que l’infrastructure permet le respect des droits.

Le plan stratégique 2025-2028 de la CNIL fait d’ailleurs de l’intelligence artificielle l’un de ses quatre axes prioritaires, aux côtés de la protection des mineurs, de la cybersécurité et des usages du quotidien numérique. Les contrôles vont donc s’intensifier, et les entreprises doivent pouvoir démontrer leur conformité à tout moment.

Anticiper le calendrier réglementaire

Le calendrier s’accélère. Les interdictions de l’AI Act sont effectives depuis février 2025 ; les obligations sur les modèles d’IA à usage général (GPAI, c’est-à-dire les modèles polyvalents comme les grands modèles de langage) s’appliquent depuis août 2025. En août 2026, les obligations les plus lourdes visant les systèmes à haut risque deviennent pleinement opposables : documentation technique, gestion des risques, marquage CE, inscription dans la base de données européenne.

Les entreprises qui n’auront pas anticipé s’exposent à des risques juridiques et financiers importants. Celles qui ont déjà structuré leur gouvernance RGPD partent avec une longueur d’avance : les principes se recoupent (transparence, minimisation, évaluation des risques, documentation), et une bonne conformité RGPD couvre déjà une partie du chemin vers l’AI Act.

Pour préparer ces échéances, le Mastère Spécialisé Intelligence Artificielle de Confiance de CentraleSupélec Exed, co-construit avec l’IRT SystemX dans le cadre du programme national Confiance.ai (France 2030), forme sur un an (à raison d’une semaine par mois) des professionnels capables de concevoir, développer et déployer des systèmes d’IA fiables. Explicabilité, robustesse, transparence et sécurité y sont au cœur du programme, qui s’adresse aux data scientists, ingénieurs et chefs de projet et ouvre sur des postes comme responsable IA, chef de projet IA ou auditeur de projets d’IA.

Former les équipes : un investissement indispensable

L’AI Act en fait même une obligation. Son article 4 (règlement (UE) 2024/1689), applicable depuis février 2025, impose aux entreprises de garantir un niveau suffisant de « littératie IA » à toute personne qui utilise ou déploie ces systèmes pour leur compte, à un degré proportionné à son rôle. Or le retard est réel : plus de 7 cadres sur 10 déclarent n’avoir reçu aucune formation à l’IA (enquête Microsoft France et YouGov, janvier 2026). Un écart qui est aussi une opportunité : les entreprises qui investissent tôt dans les compétences de leurs équipes se construisent un avantage durable.

Pour être utile, cette formation doit couvrir plusieurs dimensions :

• la compréhension technique des systèmes d’IA, pour éviter l’effet « boîte noire » en interne ;
• les obligations réglementaires (RGPD, AI Act) ;
• les enjeux éthiques (biais, discrimination, explicabilité) ;
• la gouvernance des données.

CentraleSupélec Exed a structuré son offre autour de ces besoins, des ressources sur l’IA en entreprise et la façon de s’y préparer jusqu’aux cursus certifiants en sciences des données. Un investissement à relativiser, du reste : les études menées par la CNIL avec des chercheurs montrent que le coût de la mise en conformité au RGPD a été surtout temporaire et plus faible qu’anticipé, sans preuve d’un frein à l’innovation. De quoi voir la conformité comme un investissement structurant plutôt que comme une charge.

Ce qu’il faut retenir

IA et RGPD ne s’opposent pas : ils s’ajustent. Les entreprises qui expérimentent l’IA sans cadre accumulent une dette juridique et technique difficile à résorber. Celles qui intègrent les contraintes dès la conception construisent des systèmes plus robustes, plus fiables et mieux acceptés, par les utilisateurs comme par les autorités.

Le cadre européen, RGPD et AI Act réunis, ne cherche pas à freiner l’innovation, mais à écarter les usages non maîtrisés et à garantir le respect des droits fondamentaux. Pour une entreprise, c’est une incitation à aligner sa gouvernance des données et de l’IA. Concrètement, trois priorités se dégagent : se former, documenter et anticiper, en particulier l’échéance d’août 2026 sur les systèmes à haut risque et le renforcement des contrôles de la CNIL.

Pour prendre de la hauteur sur ces sujets, CentraleSupélec Exed propose enfin une vision d’ensemble de l’avenir de l’intelligence artificielle, de ses progrès et de ses implications.

FAQ

Le RGPD interdit-il l’utilisation de l’IA ?

Non. Le RGPD n’interdit pas l’intelligence artificielle : il encadre le traitement des données personnelles, quelle que soit la technologie. Une entreprise peut développer et déployer des systèmes d’IA, à condition de respecter les principes de finalité, de minimisation et de transparence, ainsi que les droits des personnes. La CNIL a d’ailleurs indiqué explicitement que l’idée d’un RGPD qui empêcherait l’innovation en IA est fausse.

Quelles sanctions risque une entreprise en cas de non-conformité ?

Au titre du RGPD, jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial. L’AI Act prévoit, lui, jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires mondial pour les infractions les plus graves (usage de systèmes interdits). Comme les deux textes peuvent s’appliquer ensemble, le risque financier total est considérable. En 2025, la CNIL a infligé près de 487 millions d’euros d’amendes cumulées.

Comment savoir si mon système d’IA est considéré à haut risque ?

L’annexe III de l’AI Act liste les domaines concernés : emploi et gestion RH (tri de CV, évaluation), services financiers (scoring de crédit), éducation, santé, infrastructures critiques. Le critère déterminant est l’impact du système sur les droits fondamentaux : si votre outil influence des décisions significatives pour la vie des personnes, il est probablement classé à haut risque.

Faut-il réaliser une analyse d’impact (AIPD) pour tout projet d’IA ?

Une AIPD est obligatoire dès qu’un traitement est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes. Les projets d’IA cochent presque toujours au moins deux des neuf critères du G29 (nouvelle technologie, traitement à large échelle, croisement de données, décision automatisée). En pratique, il est recommandé d’en réaliser une pour tout projet mêlant IA et données personnelles.

Quel est le rôle du DPO face aux projets d’IA ?

Le DPO doit être impliqué dès la conception des projets d’IA traitant des données personnelles. Son rôle dépasse désormais la seule conformité RGPD : comprendre les enjeux techniques de l’IA, piloter les AIPD, articuler RGPD et AI Act, et traduire les risques réglementaires en impacts opérationnels pour la direction. La CNIL le décrit comme un « architecte de confiance numérique », au croisement du droit, de la cybersécurité et de la gouvernance des données.

ChatGPT et les IA génératives sont-ils conformes au RGPD ?

Un outil d’IA générative n’est pas « conforme » ou « non conforme » en soi : tout dépend de son usage. Les points de vigilance concernent les données saisies dans l’outil, leur éventuelle réutilisation pour entraîner les modèles, la localisation et la juridiction du fournisseur, et les garanties contractuelles. La CNIL a publié des guides expliquant comment s’opposer à la réutilisation de ses données personnelles pour l’entraînement des agents conversationnels.

Références 

• CNIL (2025). Recommandations sur l’application du RGPD au développement des systèmes d’IA, publiées le 22 juillet 2025.
• CNIL (2026). Bilan des sanctions et mesures correctrices 2025, publié le 9 février 2026 (83 sanctions, 486 839 500 euros d’amendes cumulées).
• CNIL (2025). Outil de traçabilité des modèles d’IA publiés en source ouverte, publié le 18 décembre 2025.
• CNIL (2026). Programme de travail 2026-2028 de la mission d’analyse économique, publié le 2 février 2026.
• ANSSI / CNIL (2026). Appel à manifestation d’intérêt pour le test de l’outil d’audit des modèles d’IA (projet PANAME), publié en mars 2026.
• Règlement (UE) 2024/1689 (AI Act), notamment l’article 4 sur la littératie en IA, publié au JOUE le 12 juillet 2024.
• Règlement (UE) 2016/679 (RGPD).
• McKinsey (2025). The State of AI in early 2025.
• Microsoft France et YouGov (janvier 2026). Enquête sur la formation des cadres à l’IA.
• Confédération des organisations européennes de protection des données. Guide à l’attention des DPO sur l’IA et les données personnelles.