Le 2 août 2026, l'AI Act a rendu ses obligations pleinement applicables aux systèmes d'IA à haut risque. En France, la CNIL a été désignée comme autorité de surveillance du marché pour le domaine de l'emploi. Elle a inscrit l'IA parmi les trois priorités de son programme de contrôles 2026. Savoir ce que ses inspecteurs cherchent permet de préparer les réponses avant qu'une lettre d'ouverture de contrôle n'arrive.
Un nouveau rôle pour une autorité connue
La CNIL est familière pour la plupart des directions juridiques et des délégués à la protection des données. Mais le 2 août 2026 a élargi son périmètre. L'article 77 de l'AI Act exige que chaque État membre désigne une autorité de surveillance du marché pour les systèmes d'IA. La France a désigné la CNIL pour les usages dans le domaine de l'emploi, en complément de ses compétences RGPD existantes.
Cela signifie que tout système d'IA utilisé dans le recrutement, l'évaluation de la performance ou la surveillance professionnelle relève désormais d'un double contrôle : les données personnelles traitées (RGPD, attribut de la CNIL depuis 1978) et le système d'IA lui-même (AI Act, attribut depuis août 2026). La CNIL n'a pas besoin d'un signalement pour ouvrir un contrôle. Elle peut agir sur plainte, sur dossier ou de sa propre initiative.
Ce que le programme 2026 cible explicitement
Dans son programme de travail publié en janvier 2026, la CNIL a nommé trois priorités : le recrutement, l'intelligence artificielle et la cybersécurité. L'intersection des deux premières est la plus active. Selon son rapport d'activité 2025, la CNIL a conduit 340 contrôles au cours de l'année. L'intégration de l'IA comme priorité explicite pour 2026, combinée à son nouveau mandat de surveillance du marché, laisse anticiper que ce chiffre augmente et se concentre sur les traitements automatisés.
Le premier semestre 2026 a vu la CNIL publier un guide de mise en conformité IA co-rédigé avec l'ANSSI, l'ACPR et la direction interministérielle du numérique. Ce guide donne une indication directe des critères qu'elle utilisera lors des contrôles. Ses axes principaux : transparence envers les personnes concernées, auditabilité des décisions automatisées, robustesse du système face aux biais.
Le recrutement IA : la première cible opérationnelle
L'article 6 de l'AI Act classe parmi les systèmes à haut risque tout système d'IA utilisé dans le recrutement ou la sélection de candidats, l'évaluation d'entretiens, la gestion des tâches et la surveillance de la performance. Si votre équipe RH utilise un outil de tri automatique de candidatures, un système de scoring de CV ou un algorithme d'allocation de planning, ce système est dans le périmètre.
Un exemple concret pour rendre cela tangible. Une entreprise de services financiers utilise depuis 2024 un outil SaaS américain qui attribue un score à chaque candidature avant qu'un recruteur ne la lise. Ce score combine l'historique des formations, les expériences passées et des variables comportementales issues du formulaire en ligne. Ce système traite des données personnelles et prend une décision qui affecte significativement les candidats. Il est soumis au RGPD, à l'AI Act et, en France, à la compétence de contrôle de la CNIL. Si aucune AIPD n'a été conduite avant son déploiement, si aucune information n'est fournie aux candidats sur l'existence de ce scoring, si le DPA avec le prestataire américain ne couvre pas les usages IA : trois points de non-conformité immédiatement identifiables lors d'un contrôle.
Les quatre documents que le contrôle vérifie
D'après les pratiques de contrôle documentées de la CNIL et les orientations du guide co-rédigé avec l'ANSSI, quatre éléments reviennent systématiquement.
La politique IA de l'organisation. Ce document définit quels outils sont autorisés, quelles données ils traitent, qui décide de leur déploiement et comment les incidents sont remontés. La CNIL considère son absence comme un indicateur de maturité insuffisante. Il n'a pas besoin d'être long : une page structurée vaut mieux qu'un document de trente pages jamais mis à jour.
Le registre des traitements IA. Votre registre RGPD doit identifier explicitement les systèmes d'IA. Une entrée qui mentionne "traitement automatisé de candidatures" sans préciser l'outil, son fournisseur, sa logique de scoring, sa durée de conservation et ses destinataires est insuffisante. La CNIL exige la traçabilité des décisions automatisées, pas seulement leur existence.
Les clauses contractuelles avec vos prestataires IA. Si vous utilisez un service IA en mode SaaS, votre accord de traitement des données doit couvrir des clauses spécifiques à l'IA : comment le prestataire entraîne ses modèles, si vos données y contribuent, quels droits résiduels il conserve après résiliation. Les DPA signés avant 2025 ne contiennent généralement pas ces clauses.
L'analyse d'impact relative à la protection des données. Pour tout système d'IA à haut risque au sens de l'AI Act, une AIPD préalable au déploiement est obligatoire. Une AIPD conduite à la signature du contrat prestataire, puis jamais mise à jour en cas de changement de version ou d'extension du périmètre, constitue également une non-conformité. La CNIL vérifie la date et la portée du document, pas seulement son existence.
Les sanctions et le mode opératoire réel
Les sanctions applicables vont jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial annuel pour les manquements graves à l'AI Act, et jusqu'à 20 millions d'euros ou 4 % pour les manquements RGPD. Ces plafonds concernent les violations les plus graves. En pratique, selon le rapport d'activité 2025 de la CNIL, 73 % des mises en demeure ont conduit à une régularisation volontaire sans amende. L'autorité cherche d'abord la conformité, pas la sanction.
Le séquençage habituel : lettre d'ouverture de contrôle avec liste de documents demandés, audition sur place ou à distance, rapport préliminaire, éventuelle mise en demeure avec délai de correction. Le risque opérationnel principal n'est pas l'amende immédiate : c'est le temps mobilisé par l'instruction, les obligations de réponse sous délai et l'exposition publique en cas de décision publiée au Journal officiel.
Par où commencer dans les prochaines semaines
Le premier geste concret est d'inventorier. Demandez à votre direction RH de lister chaque outil numérique qui assiste ou prend une décision sur une personne. Recrutement, évaluation, planning. Pour chaque outil, trois questions : intègre-t-il de l'IA ? Traite-t-il des données personnelles ? A-t-il fait l'objet d'une évaluation avant déploiement ?
Cet inventaire prend rarement plus d'une semaine. Les réponses dessinent l'écart à combler. Rédiger la politique IA, mettre à jour le registre, réviser les DPA et compléter les AIPD manquantes représente deux à quatre semaines de travail pour une organisation qui s'y consacre méthodiquement. L'article sur les lacunes structurelles que la conformité documentaire dissimule détaille les omissions les plus courantes dans les programmes qui formellement se conforment mais manquent le fond.
La CNIL a ouvert le second semestre 2026 avec un mandat élargi et des priorités déclarées. Attendre une lettre d'ouverture pour commencer l'inventaire est la façon la moins efficace d'aborder le sujet.