Croire que le RGPD suffit
Faux. L'AI Act ajoute une couche autonome, qui couvre des cas où le RGPD ne s'applique pas (ex. systèmes haut-risque sur données non personnelles).
Mis à jour le
Sur cette page
Lucidité opérationnelle
IA et droit : ce que vous risquez vraiment.
Jurisprudence FR émergente, sanctions CNIL, AI Act : trois risques chiffrables en millions.
⏱ 8 min de lecture⚖️ 3 risques majeurs💶 47 M€ CNIL Q1 2026
ChatGPTClaudeGeminiVibe
2026 est un tournant juridique. AI Act applicable, jurisprudence FR émergente, contrôles CNIL renforcés sur RH+IA. Le Q1 2026 a déjà 47 M€ d'amendes CNIL.
Promesse
À la fin de cette leçon
Vous saurez identifier les 3 risques juridiques majeurs liés à l'IA générative en 2026, et chiffrer leur exposition pour votre organisation.
Pourquoi maintenant
Un tournant juridique
L'AI Act européen est applicable, la jurisprudence française émerge sur les hallucinations, la CNIL renforce ses contrôles sur le couple recrutement-IA, et les sanctions RGPD et AI Act sont cumulables. Le Q1 2026 a déjà cumulé 47 M€ d'amendes CNIL. Depuis le 2 août 2026, le régime de sanctions est actif : article 50 (transparence) applicable, autorités dotées de leurs pouvoirs. Les obligations haut-risque (Annexe III), elles, sont reportées au 2 décembre 2027 par le règlement omnibus de juillet 2026.
Pour un cadre francophone, ne pas connaître ce paysage en 2026 expose son organisation à des risques chiffrables en millions.
Risque 1 · Hallucination
Responsabilité hallucination
Le risque le plus concret en 2026 pour un cadre francophone. Plusieurs juridictions françaises ont identifié et rejeté des écritures « clairement rédigées par une IA générative ».
Tribunal administratif de Rennes, 28 janvier 2026. Requête rejetée sur le fondement de l'article R. 222-1 du code de justice administrative, faute de précisions permettant d'en apprécier le bien-fondé, le juge relevant qu'elle avait manifestement été rédigée à l'aide d'un outil d'intelligence artificielle générative. La série avait été ouverte par les ordonnances du tribunal administratif de Grenoble des 3 et 9 décembre 2025, puis par celle du tribunal administratif d'Orléans du 29 décembre 2025, qui a constaté des références jurisprudentielles inexistantes (lexbase.fr).
Cour administrative d'appel de Bordeaux, 26 février 2026. Confirmation en appel. La pratique se consolide.
Guide déontologique du CNB, 17 mars 2026. Le Conseil national des barreaux adopte un guide sur la déontologie et l'intelligence artificielle. Obligation déontologique de vérification systématique.
Cas canon international : Moffatt v. Air Canada, 2024 BCCRT 149.
L'enseignement : produire un texte avec une IA et le diffuser sans vérification engage votre responsabilité, et celle de votre organisation. Le coût n'est pas l'amende, c'est le rejet de l'acte et la perte de crédibilité.
Risque 2 · RGPD
Conformité RGPD et CNIL
Le second risque est RGPD, pas AI Act. La CNIL a déjà 47 M€ d'amendes au Q1 2026.
Free Mobile et Free, délibérations du 8 janvier 2026 : 27 M€ et 15 M€ d'amende, soit 42 M€.
France Travail, 22 janvier 2026 : 5 M€ d'amende.
Cumul Q1 2026 : 47 M€ d'amendes RGPD, délibérations publiées sur cnil.fr.
Le 3 avril 2026, la CNIL a publié ses priorités de contrôle : recrutement et IA en tête. Trois axes ciblés : loyauté algorithmique (anti-discrimination), information du candidat sur l'usage IA, durées de conservation des CV. Le stockage indéfini de CV via IA est qualifié de ligne rouge (priorités de contrôle 2026, cnil.fr).
Exposition typique d'une PME : un outil de tri automatique de CV qui conserve les fichiers indéfiniment, sans information claire au candidat. Risque chiffrable plusieurs centaines de milliers d'euros minimum.
Risque 3 · AI Act
AI Act cumulé au RGPD
Le troisième risque est la couche AI Act, qui se superpose au RGPD sans le remplacer.
Omnibus IA : règlement (UE) 2026/1744, JO du 24 juillet 2026. Cadre confirmé, calendrier ajusté, en vigueur depuis le 27 juillet 2026.
Applicable depuis le 2 août 2026 : transparence article 50 (chatbots, deepfakes, contenus générés) et pouvoirs de sanction des autorités, jusqu'à 15 M€ ou 3 % du CA mondial.
Échéance haut-risque reportée au 2 décembre 2027. Pour les systèmes Annexe III (RH, scoring, accès aux services publics, justice), initialement attendus au 2 août 2026. Les systèmes haut risque intégrés à des produits déjà réglementés (Annexe I) glissent, eux, au 2 août 2028 : deux échéances, pas une.
GPAI > 10^25 FLOPs présumé à risque systémique. Tous les modèles frontière 2026 concernés. Obligations : adversarial testing, doc technique, résumé public des données d'entraînement, conformité copyright.
Cumul théorique RGPD + AI Act : jusqu'à 11 % du CA mondial pour une même infraction (4 % RGPD + 7 % pratiques interdites).
L'exposition réelle n'est pas l'amende plafond. C'est la conformité documentaire : si vous ne pouvez pas démontrer la qualification du système, la formation des équipes, la gouvernance des prompts, vous êtes en risque.
Méthode
Cinq réflexes pour limiter l'exposition
Cinq actions concrètes, pas optionnelles, pour un cadre francophone en 2026.
-
Cartographier les usages
Lister les outils, prompts récurrents, données qui passent dans chaque outil. Sans cartographie, pas de gouvernance.
-
Vérifier l'opt-out training
ChatGPT, Claude, Gemini, Vibe : chaque plan a sa configuration par défaut. À documenter par écrit.
-
Documenter chaque décision IA
Prompt, modèle, date, validation humaine, résultat publié. C'est la preuve qui protège en cas de contrôle.
-
Former les équipes au filtre lucidité
Le filtre « quand ne pas utiliser l'IA » doit être appropriée par tout l'effectif, pas par les seuls cadres.
-
Mettre à jour CGU et politique conf.
Les politiques de 2023 ne couvrent pas l'usage IA. À reprendre une fois par an minimum.
À éviter
Les pièges courants
Penser que « petit usage » exonère
Faux. La CNIL contrôle aussi les petites structures, et la jurisprudence FR rejette des écritures de PME comme de grandes entreprises.
Ignorer la jurisprudence émergente
TA Rennes janvier, CAA Bordeaux février, guide CNB mars : la trajectoire 2026 est déjà tracée.
Confondre opt-out et chiffrement
L'opt-out training empêche la réutilisation, pas la lecture par le fournisseur. Pour la confidentialité, il faut chiffrement et juridiction acceptable.
Exemple complet
La fiche de traçabilité, remplie
Documenter une décision assistée par IA prend deux minutes et tient en six lignes. Voici une fiche réelle.
Date. 3 juin 2026.
Décision concernée. Rédaction de la clause de résiliation du contrat cadre avec le prestataire logistique.
Outil et version. Assistant génératif, version du modèle notée précisément, pas seulement le nom commercial.
Prompt. Copié en entier, pas résumé. C'est la pièce qui manque toujours et la seule qui permette de comprendre après coup pourquoi la réponse était ce qu'elle était.
Validation humaine. Relu et modifié par la responsable juridique le 4 juin. Deux modifications : ajout du préavis de trois mois, suppression d'une clause pénale inapplicable en droit français que le modèle avait proposée.
Ce qui a été publié. La version validée, jointe à la fiche.
La ligne la plus utile est la cinquième. Elle prouve qu'un humain a exercé un jugement, et elle documente une erreur du modèle rattrapée avant signature.
Quiz de validation
Quiz de validation
10 questions. 60 % de bonnes réponses pour valider la leçon.
Synthèse
À retenir
Cinq points pour ancrer la leçon
Trois risques distincts. Responsabilité hallucination, RGPD, AI Act. Chacun dimensionnant pris seul.
Jurisprudence FR émergente. TA Orléans décembre 2025, TA Rennes janvier 2026, CAA Bordeaux février, guide CNB mars.
CNIL Q1 2026 : 47 M€ d'amendes. Free 27 + 15 M€, France Travail 5 M€. RH et IA en priorité 2026.
AI Act + RGPD cumulés jusqu'à 11 % du CA. Cadre cumulatif, pas alternatif. Transparence et sanctions actives depuis le 2 août 2026, haut-risque reporté au 2 décembre 2027.
Cinq réflexes minimum. Cartographier, opt-out, documenter, former, mettre à jour CGU.
Mise en pratique
5 à 10 minutes pour cartographier
Cartographiez sur une feuille les 5 principaux usages IA dans votre périmètre pro. Pour chacun, indiquez : outil, données traitées, opt-out training (oui/non), validation humaine (oui/non), conservation des prompts (durée). Identifiez la première ligne où une case est rouge.
Critère de réussite : vous avez une carte des risques chiffrée et un plan d'action priorisé pour ramener les lignes rouges à l'ambre.
Questions fréquentes
Quels risques juridiques à utiliser l'IA au travail ?
Trois, dimensionnants pris isolément : la responsabilité en cas d'hallucination, le RGPD et l'AI Act. Les deux cadres se cumulent et peuvent atteindre 11 % du chiffre d'affaires.
La justice française s'est-elle prononcée sur l'IA ?
Oui, une jurisprudence émerge : tribunal administratif de Rennes le 28 janvier 2026, cour administrative d'appel de Bordeaux le 26 février 2026, guide déontologique du CNB en mars 2026. Les écritures produites par IA et non vérifiées ont été écartées.
Quelles sanctions prévoit l'AI Act ?
Jusqu'à 15 M€ ou 3 % du chiffre d'affaires mondial pour le barème général, et 7 % pour les pratiques interdites. Le régime de sanctions est actif depuis le 2 août 2026, en même temps que les obligations de transparence de l'article 50.
L'AI Act remplace-t-il le RGPD ?
Non, il s'y superpose. Un même incident peut être sanctionné sur les deux fondements, ce qui porte le cumul théorique à 11 % du chiffre d'affaires mondial (4 % RGPD + 7 % pratiques IA interdites). En pratique, le risque le plus fréquent reste RGPD.
Les obligations haut risque sont-elles reportées ?
Oui, mais pas toutes à la même date. Le règlement omnibus (UE) 2026/1744 reporte les systèmes autonomes de l'Annexe III au 2 décembre 2027, et ceux intégrés à des produits déjà réglementés (Annexe I) au 2 août 2028. Ce report ne touche ni l'article 4 ni l'article 50, tous deux applicables.