CNIL : audit intelligence artificielle renforcé 2025-2028

## Une stratégie offensive face à l'essor de l'[intelligence artificielle](/fr/blog/ai-act-cnil-sanctions-entreprises-2026) La Commission nationale Informatique et Libertés (CNIL) a présenté le 16 janvier 2025 son plan stratégique pour les années 2025 à 2028. Cette feuille de route marque un tournant décisif dans la régulation française de l'intelligence artificielle et place la CNIL intelligence artificielle audit au cœur de ses préoccupations. Pour la période 2025-2028, la CNIL orientera son action autour de 4 principaux axes au cœur du développement de la société numérique : l'IA, la protection des mineurs en ligne, la cybersécurité et deux usages du quotidien numérique. L'intelligence artificielle occupe désormais une position centrale dans cette stratégie. Ainsi, la CNIL poursuivra ses travaux pour clarifier le cadre légal sur l'IA, dialoguer avec l'écosystème et développer les capacités d'audit. Cette priorité stratégique répond à des enjeux concrets qui touchent directement les entreprises françaises. ## Des risques identifiés qui justifient une surveillance accrue L'intelligence artificielle et ses nombreux usages comportent des risques importants au regard de la vie privée, de la cybersécurité, comme de l'éthique. En particulier, la popularisation de l'[IA générative](/fr/blog/ia-generative-chatgpt-obligations-transparence) s'accompagne d'un accroissement de contenus potentiellement malveillants ou trompeurs, comme en témoignent les hypertrucages de la voix ou de l'image des personnes. Les implications juridiques sont multiples. D'abord, la question de la base légale des traitements de données personnelles par les systèmes d'IA génère des incertitudes pour les entreprises. Ensuite, les obligations de transparence prévues par l'[article 13 du RGPD](/fr/blog/droit-acces-rectification-effacement-rgpd) se complexifient lorsque les décisions sont prises par des algorithmes opaques. Enfin, l'exercice des droits des personnes, notamment le droit d'opposition prévu par l'[article 21 du RGPD](/fr/blog/droit-acces-rectification-effacement-rgpd), nécessite des adaptations techniques spécifiques. La CNIL identifie également des risques émergents liés à l'utilisation massive de données biométriques dans les systèmes de reconnaissance faciale et vocale. Ces technologies soulèvent des questions particulières concernant le traitement des [données sensibles au sens de l'article 9 du RGPD](/fr/blog/donnees-pseudonymisees-rgpd-definition). Les entreprises qui déploient ces solutions doivent justifier d'une base légale spécifique et mettre en place des garanties appropriées. ## Le projet PANAME : une révolution technique au service du droit Le développement des capacités d'audit constitue l'innovation majeure de ce plan stratégique. Afin de répondre aux enjeux de conformité et de lever les freins identifiés, la CNIL et ses partenaires lancent le projet PANAME (Privacy Auditing of AI Models). Pendant 18 mois, le PEReN, l'ANSSI, le projet IPoP piloté par INRIA du PEPR Cybersécurité et la CNIL travailleront ensemble au développement d'une bibliothèque logicielle disponible toute ou partie en source ouverte, destinée à unifier la façon dont la confidentialité des modèles est testée. Cet outil technique répond à une nécessité juridique précise. L'avis adopté par le comité européen de la protection des données (CEPD) en décembre 2024 rappelle que le RGPD s'applique, dans de nombreux cas, aux modèles d'IA entraînés sur des données personnelles, en raison de leurs capacités de mémorisation. Il précise également qu'il est très souvent nécessaire de démontrer dans une analyse qu'un modèle résiste à des attaques portant sur la confidentialité des données pour conclure à son caractère anonyme, condition permettant de le sortir du champ d'application du RGPD. La CNIL, l'ANSSI, le PEReN et Inria lancent un appel à manifestation d'intérêt pour tester un outil d'audit dénommé PANAME et qui permet d'évaluer la confidentialité des modèles d'IA. Ce projet vise à développer un outil pour auditer la confidentialité des modèles d'IA. Il prendra la forme d'une librairie permettant de réaliser des tests d'extraction et/ou de réidentification de données sur les modèles d'IA. Le projet PANAME s'articule autour de trois modules principaux : l'évaluation de la mémorisation des données d'entraînement, l'analyse des risques de ré-identification et la mesure de l'efficacité des techniques de préservation de la confidentialité différentielle. Cette approche modulaire permettra aux entreprises d'adapter les tests à leur contexte spécifique et à leurs contraintes techniques. ## L'audit IA devient une obligation légale structurée L'évolution réglementaire européenne impose désormais aux entreprises de mettre en place des procédures d'audit IA formalisées. Le règlement européen sur l'intelligence artificielle (AI Act) distingue plusieurs catégories de systèmes selon leur niveau de risque et impose des obligations d'audit proportionnées. Pour les systèmes d'IA à haut risque, l'audit doit couvrir la qualité des données d'entraînement, la robustesse du système, la précision des résultats et la supervision humaine. Les entreprises doivent documenter leurs procédures d'évaluation et conserver les preuves de conformité pendant au moins dix ans après la mise sur le marché du système. Les systèmes d'IA à usage général font l'objet d'obligations spécifiques lorsqu'ils dépassent 10²⁵ opérations de calcul en virgule flottante (FLOPS). Ces modèles fondamentaux doivent faire l'objet de tests de résistance adverses, d'évaluations d'impact systémique et de mesures de cybersécurité renforcées. ## Méthodologies d'audit intelligence artificielle : approches techniques et juridiques L'audit des systèmes d'intelligence artificielle nécessite une approche interdisciplinaire combinant expertise technique et analyse juridique. Les méthodologies d'audit IA développées par la CNIL s'articulent autour de quatre dimensions principales : la conformité réglementaire, la sécurité technique, l'éthique algorithmique et la gouvernance des données. La dimension technique comprend l'analyse du code source, l'évaluation des performances sur des jeux de données de test et la mesure de la robustesse face aux attaques adverses. Les auditeurs examinent également les biais potentiels dans les données d'entraînement et leurs répercussions sur les décisions automatisées. La dimension juridique porte sur la vérification des bases légales, l'adéquation des mesures de sécurité avec l'état de l'art et la conformité des processus de développement avec les exigences du RGPD et de l'AI Act. Cette analyse inclut l'examen des contrats avec les fournisseurs de données et les prestataires techniques. L'évaluation éthique examine les impacts sociétaux du système, notamment en matière de discrimination, de transparence et d'équité. Cette dimension prend une importance particulière pour les systèmes utilisés dans des secteurs sensibles comme l'emploi, l'éducation ou la justice. ## Des sanctions qui s'intensifient drastiquement La dimension répressive du plan stratégique ne laisse aucun doute sur les intentions de la CNIL. L'année 2025 restera dans les annales de la protection des données. La CNIL a prononcé 83 sanctions pour un montant total de 486 839 500 euros — contre 55,2 millions en 2024. Une multiplication par neuf du montant des amendes en un an. Cette escalation répressive s'accompagne d'une systématisation des procédures. Avec 67 sanctions sur 83 prononcées via la procédure simplifiée en 2025, ce mécanisme est devenu le mode opératoire principal de la CNIL. Cette procédure simplifiée permet des sanctions plus rapides et expose les PME à un risque accru de poursuites, même pour des manquements considérés comme courants. L'analyse des sanctions 2025 révèle une attention particulière portée aux violations impliquant des systèmes automatisés. Les amendes les plus lourdes concernent les entreprises ayant déployé des algorithmes de profilage sans base légale appropriée ou ayant omis de mettre en place une supervision humaine suffisante pour les décisions automatisées. ## Priorités de contrôle 2026 : les secteurs dans le viseur Certains secteurs sont particulièrement vulnérables à un contrôle renforcé de la CNIL. Les plateformes numériques grand public, les startups développant des solutions de scoring ou d'IA d'aide à la décision, les sites de e-commerce exploitant des traceurs publicitaires, les organisations manipulant des données sensibles (santé, finance) et les fournisseurs de services cloud font partie des cibles probables. La raison en est simple : ces acteurs combinent souvent des volumes importants de données, des logiques de traitement complexes et un impact potentiel élevé sur les droits des personnes. La CNIL a également précisé ses axes de contrôle thématiques. L'autorité, qui dispose d'un pouvoir de contrôle et de sanction, entend participer dans les prochaines années à des contrôles avec les autorités de protection des données européennes, notamment des solutions de grands modèles de langage. Les contrôles coordonnés au niveau européen concerneront prioritairement les fournisseurs de modèles d'IA générative ayant un impact transfrontalier. Ces investigations porteront sur la transparence des données d'entraînement, le respect des droits d'auteur et la mise en place de mécanismes de retrait des données personnelles (right to be forgotten). ## L'évaluation des risques IA selon la nouvelle grille CNIL La CNIL développe une grille d'évaluation spécifique aux systèmes d'intelligence artificielle qui complète les analyses d'impact traditionnelles sur la protection des données (AIPD). Cette grille d'audit IA structure l'évaluation autour de critères techniques, juridiques et éthiques adaptés aux spécificités de l'intelligence artificielle. Les critères techniques incluent l'explicabilité des décisions, la mesure de l'incertitude des prédictions, la robustesse face aux données aberrantes et la reproductibilité des résultats. Ces éléments techniques conditionnent la capacité de l'entreprise à respecter ses obligations de transparence et de rectification. Les critères juridiques portent sur l'identification des bases légales applicables selon les finalités du traitement, l'évaluation de la proportionnalité des mesures au regard des risques identifiés et la vérification de la conformité des transferts internationaux de données. Cette analyse juridique doit tenir compte des spécificités de l'IA, notamment en matière d'inférence et de profilage. Les critères éthiques examinent l'impact sur l'autonomie des personnes, les risques de discrimination directe ou indirecte et les conséquences sociétales du déploiement du système. Cette dimension éthique prend une importance croissante dans l'évaluation globale de la conformité. ## Implications pratiques pour les entreprises ### Tableau des obligations selon le type de système IA

Type de système	Obligations principales	Sanctions encourues	Délai d'application
IA interdite	Arrêt immédiat	Jusqu'à 35M€ ou 7% CA	Depuis février 2025
IA à haut risque	Audit, documentation, supervision humaine	Jusqu'à 15M€ ou 3% CA	Août 2026-2027
IA générative	Information des utilisateurs, transparence	Sanctions RGPD + IA Act	Immédiat
IA à usage général	Tests de résistance, évaluation d'impact	Variable selon usage	En cours d'application

Les entreprises doivent désormais intégrer cette nouvelle donne réglementaire dans leur stratégie de conformité. L'absence de préparation expose à des risques financiers et réputationnels considérables. Le cabinet PLR Avocat accompagne régulièrement les entreprises lyonnaises dans ces démarches de mise en conformité, notamment pour l'élaboration d'analyses d'impact sur la protection des données (AIPD) spécifiques aux systèmes d'IA. La mise en conformité nécessite une approche structurée en plusieurs étapes : inventaire des systèmes d'IA existants, classification selon les catégories de l'AI Act, évaluation des risques spécifiques et élaboration d'un plan de mise en conformité échelonné. Cette démarche doit impliquer les équipes techniques, juridiques et métier pour garantir une approche exhaustive. ## Articles liés - [AI Act conformité : calendrier définitif 2026 pour entreprises](/fr/blog/ai-act-conformite-calendrier-2026) - [Sanctions CNIL RGPD : record de 486 M€ en 2026](/fr/blog/sanctions-cnil-rgpd-amendes-record-2026) - [AI Act systèmes haut risque : guide de classification 2026](/fr/blog/ai-act-systemes-haut-risque-classification) ## L'essentiel à retenir • **Priorité stratégique** : L'IA devient l'axe central du plan CNIL 2025-2028, avec des capacités d'audit renforcées via le projet PANAME • **Sanctions décuplées** : Le montant des amendes a été multiplié par neuf en 2025, atteignant 487 millions d'euros • **Procédure accélérée** : 80% des sanctions utilisent désormais la procédure simplifiée, exposant davantage les PME • **Outils techniques** : PANAME permettra d'auditer la confidentialité des modèles IA et leur conformité RGPD dès l'automne 2026 • **Secteurs ciblés** : Plateformes numériques, startups IA, e-commerce et organisations traitant des données sensibles sont prioritaires ### Comment anticiper un contrôle CNIL sur votre système IA ? Un contrôle CNIL sur un système d'intelligence artificielle nécessite une préparation spécifique. D'abord, documentez l'architecture technique de votre système, les données d'entraînement utilisées et les mesures de sécurité mises en place. Ensuite, réalisez une analyse d'impact sur la protection des données (AIPD) dédiée à votre système IA, en évaluant particulièrement les risques de ré-identification et de biais algorithmiques. ### Quelles sont les obligations spécifiques pour les IA génératives ? Votre chatbot favori tombe dans cette catégorie. L'obligation principale ? Informer clairement que vous interagissez avec une machine. Les deepfakes doivent aussi être étiquetés comme tels. Il n'y a pas de paperasserie excessive, mais la transparence est une exigence non négociable que la CNIL fera respecter. ### Comment le projet PANAME va-t-il changer les audits IA ? L'objectif de l'outil est de permettre une mise en œuvre efficace et à moindre coût de certains tests techniques d'extraction d'informations sur les données d'entraînement que les acteurs de l'écosystème IA sont susceptibles de devoir réaliser pour évaluer le statut d'un modèle d'IA au regard du RGPD. Après une première phase de spécifications techniques et de développements sur la libraire, la CNIL, le PEReN, l'ANSSI et Inria souhaitent lancer une phase de tests avec des administrations et des industriels afin de s'assurer que le développement de l'outil se fait en cohérence avec leur contexte d'utilisation. ### Quels sont les risques financiers réels pour les entreprises ? Pour les violations impliquant des pratiques interdites, les amendes peuvent atteindre jusqu'à 35 millions d'euros ou 7% du chiffre d'affaires mondial de l'entreprise. Pour d'autres infractions, le maximum est de 15 millions d'euros ou 3% du chiffre d'affaires mondial. Ces montants sont conçus pour attirer l'attention même des géants de la technologie. ### Quand entrent en vigueur les nouvelles obligations ? La mise en œuvre est progressive. Les pratiques interdites sont bannies depuis février 2025. Les obligations pour les IA à haut risque s'appliqueront entre août 2026 et août 2027, selon la catégorie. Le plan stratégique 2025-2028 de la CNIL transforme définitivement le paysage de la régulation de l'intelligence artificielle en France. La CNIL intelligence artificielle audit devient un enjeu central pour les entreprises, qui doivent désormais anticiper des contrôles plus fréquents et des sanctions plus lourdes. La réussite de cette transition réglementaire dépendra de la capacité des organisations à s'approprier les nouveaux outils techniques et à intégrer les exigences de conformité dans leur stratégie de développement de l'IA.

---

**Besoin d'un accompagnement en droit des affaires ?** Je vous accompagne dans la négociation et la sécurisation de vos contrats, en France comme à l'international. [Consultation en visioconférence](/fr/qui-suis-je) · [Prendre rendez-vous](/fr/qui-suis-je)