Contrôles CNIL 2026 IA : les 3 usages à documenter en cabinet de 25 personnes

En bref

• La CNIL a inscrit le recrutement parmi ses 3 priorités officielles de contrôle 2026 [source: https://www.cnil.fr/fr/controles-prioritaires-2026], aux côtés du répertoire électoral unique (REU) et des fédérations sportives, avec un focus explicite sur les systèmes de décision automatisée et l’information des candidats.
• En 2025, les sanctions CNIL cumulées ont atteint 486,8 M€ pour 83 décisions, un record largement porté par Google (325 M€) [source: https://www.cnil.fr/fr/publicites-inserees-entre-les-courriels-et-cookies-la-cnil-sanctionne-google-dune-amende-de-325] et Shein (150 M€) [source: https://www.cnil.fr/fr/cookies-deposes-sans-consentement-la-cnil-sanctionne-shein-dune-amende-de-150-millions-deuros].
• Dans un cabinet de 25 personnes, 3 usages IA sont mécaniquement dans la cible CNIL 2026 : le tri de CV assisté par IA (Teamtailor, Welcome to the Jungle, ChatGPT), le scoring et l’enrichissement client par IA (Clearbit, Kaspr, Dropcontact), la transcription automatique de réunions (Fireflies.ai, Otter.ai, Microsoft Copilot).
• Le dossier de conformité IA attendu tient en 6 pièces : registre des traitements, AIPD, mentions d’information, charte IA interne, DPA fournisseur, registre des incidents.
• L’AI Act (Règlement UE 2024/1689) devient applicable le 2 août 2026, la CNIL agit comme autorité française de surveillance du marché sur le volet emploi, et l’EDPB lance en parallèle l’action coordonnée CEF 2026 [source: https://www.edpb.europa.eu/news/news/2026/cef-2026-edpb-launches-coordinated-enforcement-action-transparency-and-information_en] sur la transparence.

Chiffres clés

Fait clé	Valeur	Source
Priorités de contrôle CNIL 2026	Recrutement, REU, fédérations sportives	CNIL, 3 avril 2026
Part des contrôles couverte par les priorités annuelles	Environ 20 %	CNIL, 3 avril 2026
Total sanctions CNIL 2025	486,8 M€ sur 83 décisions	Legiscope
Sanction Google (1er septembre 2025)	325 M€	CNIL
Sanction Shein (1er septembre 2025)	150 M€	CNIL
Sanction Free Mobile / Free (13 janvier 2026)	42 M€, 24 M de contrats compromis	CNIL
Sanction France Travail (22 janvier 2026)	5 M€	CNIL
Part de dossiers traités en procédure simplifiée	Environ 60 %	Legiscope
Plafond de sanction en procédure simplifiée	20 000 €	Legiscope
Entrée en application AI Act (obligations principales)	2 août 2026	Règlement UE 2024/1689
Autorités mobilisées par le CEF 2026 EDPB	25 autorités européennes	EDPB

Ce que la CNIL a annoncé pour 2026 : 3 priorités et l’IA en fil rouge

Le programme de contrôle CNIL 2026 est le plan de travail annuel publié par la Commission Nationale de l’Informatique et des Libertés (CNIL), autorité française de protection des données, qui fixe les thématiques prioritaires sur lesquelles ses agents concentreront leurs vérifications sur site et à distance. Dans son communiqué du 3 avril 2026 [source: https://www.cnil.fr/fr/controles-prioritaires-2026], la CNIL a annoncé 3 axes prioritaires : le recrutement, le répertoire électoral unique (REU) et les fédérations sportives. Ces thématiques structurent environ 20 % de ses contrôles annuels, soit plusieurs centaines de vérifications [source: https://www.cnil.fr/fr/controles-prioritaires-2026].

L’intelligence artificielle n’est pas un axe séparé. Elle est le fil rouge des priorités 2026. Sur le recrutement, la CNIL cible explicitement 3 sujets : les systèmes de décision automatisée (Article 22 RGPD), l’information des candidats et les durées de conservation. Les trois sont directement activés par l’usage d’un ATS augmenté par IA (Teamtailor, Welcome to the Jungle, Recruitee) ou par un pré-tri via ChatGPT (OpenAI) ou Microsoft Copilot.

Le contexte 2025 est chargé. La CNIL a prononcé 486,8 M€ de sanctions cumulées sur 83 décisions, selon le bilan Legiscope [source: https://www.legiscope.com/blog/bilan-cnil-sanctions-2025-priorites-2026.html], soit la deuxième année la plus active de son histoire. Deux dossiers concentrent l’attention : Google (325 M€, décision du 1er septembre 2025 [source: https://www.cnil.fr/fr/publicites-inserees-entre-les-courriels-et-cookies-la-cnil-sanctionne-google-dune-amende-de-325]) et Shein (150 M€, même jour [source: https://www.cnil.fr/fr/cookies-deposes-sans-consentement-la-cnil-sanctionne-shein-dune-amende-de-150-millions-deuros]). Les 11 M€ restants se répartissent sur 81 décisions plus modestes, dont beaucoup visent des ETI et PME.

En parallèle, la CNIL a inscrit à son programme de travail 2026 [source: https://www.cnil.fr/fr/accompagnement-des-professionnels-le-programme-de-travail-de-la-cnil-pour-2026] un chantier doctrinal sur l’analyse automatique des communications vocales, qui vise nommément les outils de transcription et les logiciels de visioconférence. Le projet PANAME [source: https://www.cnil.fr/fr/paname-un-partenariat-pour-laudit-de-la-confidentialite-des-modeles-dia], lancé le 26 juin 2025 avec l’ANSSI, le PEReN et l’Inria, livrera à l’automne 2026 une bibliothèque open source d’audit de la confidentialité des modèles d’IA. L’AI Act (Règlement UE 2024/1689) devient applicable le 2 août 2026, avec la CNIL positionnée comme autorité de surveillance du marché sur le volet emploi. Voir notre analyse détaillée des obligations AI Act pour les PME en 2026. Le plan stratégique CNIL 2025-2028 [source: https://www.cnil.fr/fr/ia-mineurs-cybersecurite-quotidien-numerique-la-cnil-publie-son-plan-strategique-2025-2028] confirme l’IA, les mineurs, la cybersécurité et le quotidien numérique comme quatre axes structurants.

Pourquoi un cabinet de 25 personnes est désormais dans la cible

La procédure simplifiée CNIL est un circuit court de sanction créé en 2022 qui permet à la formation restreinte de trancher un dossier sans audience publique en 4 à 6 mois, contre 18 à 24 mois pour la procédure ordinaire. Selon Legiscope [source: https://www.legiscope.com/blog/bilan-cnil-sanctions-2025-priorites-2026.html], elle traite désormais environ 60 % des dossiers, avec des sanctions plafonnées à 20 000 € mais assorties d’injonctions contraignantes.

Procédure simplifiée vs formation restreinte ordinaire

Critère	Procédure simplifiée (créée 2022)	Formation restreinte ordinaire
Part des dossiers en 2025	Environ 60 % [source: https://www.legiscope.com/blog/bilan-cnil-sanctions-2025-priorites-2026.html]	Environ 40 %
Délai moyen	4 à 6 mois	18 à 24 mois
Plafond de sanction	20 000 €	4 % du CA mondial (RGPD)
Audience publique	Non	Oui
Cible typique	ETI, PME, cabinets	Grands groupes

Cette évolution change la donne pour les cabinets de 10 à 50 personnes. Il n’existe plus de seuil implicite en dessous duquel un cabinet de conseil, une agence ou un cabinet d’avocats était statistiquement épargné. Le rapport coût-bénéfice d’un contrôle a basculé du côté de la CNIL.

Deux signaux 2026 confirment cette pression. La sanction Free Mobile et Free du 13 janvier 2026 [source: https://www.cnil.fr/fr/sanction-free-2026] (42 M€, 24 millions de contrats compromis) sanctionne notamment la conservation excessive de données de contrats résiliés au titre de l’Article 5(1)(e) RGPD, une vulnérabilité quasi systématique quand un cabinet empile transcripts, CV enrichis et fiches clients sans purge. La sanction France Travail du 22 janvier 2026 [source: https://www.cnil.fr/fr/violation-de-donnees-sanction-5millions-france-travail] (5 M€) vise l’authentification insuffisante des conseillers et une journalisation défaillante, deux points de contrôle classiques d’un audit CNIL en PME.

À cela s’ajoute le Coordinated Enforcement Framework 2026 de l’EDPB [source: https://www.edpb.europa.eu/news/news/2026/cef-2026-edpb-launches-coordinated-enforcement-action-transparency-and-information_en], qui mobilise 25 autorités européennes de protection des données sur les obligations d’information et de transparence (Articles 12 à 14 RGPD). La CNIL y contribue, en cohérence avec sa priorité “information des candidats” pour 2026. Les questionnaires du CEF sont envoyés à des responsables de traitement du secteur privé, indépendamment de leur taille.

Les 3 usages IA prioritaires à documenter : synthèse

Usage IA	Outils typiques en cabinet	Base légale critique	Document CNIL clé	Risque majeur
Tri de CV assisté par IA	Teamtailor, Welcome to the Jungle, Recruitee, ChatGPT, Copilot	Consentement ou intérêt légitime + Article 22 RGPD	AIPD + mention d’information candidats	Décision automatisée non déclarée
Scoring et enrichissement client par IA	Clearbit, Kaspr, Dropcontact, PhantomBuster	Intérêt légitime motivé ou consentement	Cartographie des sources + AIPD	Prospection illicite, données inférées non listées
Transcription automatique de réunions	Fireflies.ai, Otter.ai, Fathom, Read.ai, Microsoft Copilot	Consentement explicite des participants	DPA + politique de consentement + purge	Hébergement hors UE, réutilisation entraînement

Usage n°1 : l’assistant RH et le tri de CV par IA

Le tri de CV par IA est l’ensemble des pratiques par lesquelles un algorithme classe, score, filtre ou résume automatiquement des candidatures, que ce soit via un ATS commercial (Teamtailor, Welcome to the Jungle, Recruitee) doté d’un module IA, ou via un usage informel de ChatGPT (OpenAI) ou Microsoft Copilot pour trier 80 CV en 10 minutes.

Trois niveaux de risque coexistent, et la CNIL les traite différemment.

• Niveau 1 : décision entièrement automatisée. Un algorithme rejette seul un candidat, sans intervention humaine substantielle. L’Article 22 RGPD interdit ce mode par défaut. Il exige soit le consentement explicite du candidat, soit une base contractuelle stricte, soit une disposition législative. AIPD obligatoire. Ce cas déclenche un contrôle presque à coup sûr.
• Niveau 2 : recommandation automatisée avec validation humaine. Un LLM classe les CV, un recruteur valide. La CNIL considère ce cas comme un traitement à haut risque nécessitant une AIPD si le volume de candidats est significatif ou si le modèle intervient sur des critères sensibles (âge, origine, genre inférés du CV).
• Niveau 3 : usage occasionnel non déclaré. Un consultant colle 20 CV dans ChatGPT gratuit pour se faire aider. Aucun DPA, aucun contrôle des transferts, aucune information des candidats. C’est le shadow AI RH, et c’est le plus fréquent dans les cabinets de 25 personnes. Les mécanismes sont détaillés dans notre dossier sur les risques du shadow AI et de ChatGPT en entreprise.

Ce qu’il faut produire cette semaine

• Fiche registre des traitements “Recrutement assisté par IA” (Article 30 RGPD) : finalité, base légale, catégories de données, destinataires, durée de conservation.
• Mention d’information candidats mise à jour, précisant l’usage d’un algorithme, la logique, les conséquences envisagées et le droit à une intervention humaine.
• AIPD synthétique si l’IA intervient dans la décision, même en soutien. Le guide CNIL IA/RGPD de février 2025 [source: https://www.cnil.fr/fr/ia-et-rgpd-la-cnil-publie-ses-nouvelles-recommandations-pour-accompagner-une-innovation-responsable] fournit un cadre exploitable ; voir aussi notre modèle d’AIPD pour PME de conseil.
• Politique de conservation courte : la CNIL recommande 2 ans maximum pour les candidatures non retenues, sauf accord explicite.
• Interdiction écrite du copier-coller de CV dans un LLM grand public sans compte entreprise doté d’un DPA.

Usage n°2 : le scoring et l’enrichissement client par IA

Le scoring client par IA désigne toute pratique qui attribue à un prospect ou client une note, une probabilité de churn, une propension d’achat ou un profil comportemental via un modèle statistique ou un LLM, souvent à partir de données enrichies par des services tiers (Clearbit, Kaspr, Dropcontact, PhantomBuster) ou par des modules internes CRM (Salesforce Einstein, HubSpot AI).

Trois zones grises dominent en cabinet de conseil.

• Zone 1 : sources d’enrichissement à base légale fragile. Un email professionnel scrappé sur LinkedIn puis enrichi par une API tierce n’a pas nécessairement de base légale valide pour un traitement de prospection. La CNIL a lourdement sanctionné la prospection illicite en 2025 : selon le bilan Legiscope [source: https://www.legiscope.com/blog/bilan-cnil-sanctions-2025-priorites-2026.html], 12 sanctions ont cumulé 18 M€ sur ce seul motif.
• Zone 2 : score conditionnant une décision significative. Refus d’onboarding, tarification différenciée, priorisation d’attribution : l’Article 22 RGPD s’applique dès que le score produit un effet juridique ou significatif, avec obligation d’AIPD.
• Zone 3 : inférences générées par LLM. Un LLM enrichit une fiche client avec des inférences (secteur, taille, séniorité, intention d’achat). Ces inférences sont des données personnelles au sens du RGPD. Elles doivent figurer au registre, être documentées quant à leur origine et faire l’objet d’un droit d’accès effectif.

Ce qu’il faut produire cette semaine

• Cartographie des sources d’enrichissement utilisées, avec base légale documentée pour chacune (intérêt légitime motivé, consentement, contrat).
• Registre “Scoring et enrichissement client” avec catégories de données inférées explicitement listées.
• AIPD si le score conditionne une décision commerciale significative.
• Clause d’information dans la politique de confidentialité, précisant les catégories de données enrichies et l’existence d’inférences algorithmiques.
• Test d’exercice du droit d’accès sur un compte réel : vérifier que le CRM renvoie les scores IA et les inférences dans l’export.

Usage n°3 : la transcription automatique de réunions

La transcription automatique de réunions client par IA regroupe les outils SaaS qui rejoignent une visioconférence, enregistrent l’audio, produisent un verbatim et souvent un résumé ou une liste d’actions. Fireflies.ai, Otter.ai, Fathom, Read.ai et Microsoft Copilot dominent l’usage en cabinet.

Ce sujet monte le plus vite dans les contrôles à venir. Le programme de travail CNIL 2026 [source: https://www.cnil.fr/fr/accompagnement-des-professionnels-le-programme-de-travail-de-la-cnil-pour-2026] inscrit explicitement l’analyse automatique des communications vocales parmi ses chantiers doctrinaux, avec les centres d’appels et les logiciels de visioconférence nommément visés.

Cinq risques structurent le sujet.

1. Consentement des participants. Enregistrer une réunion sans le consentement explicite de tous les participants viole l’Article 6 RGPD, et potentiellement l’Article 226-1 du Code pénal.
2. Hébergement des données. Les transcripts contiennent des données personnelles et souvent des données confidentielles clients. L’hébergement hors UE sans mécanisme de transfert conforme est une non-conformité directe.
3. Réutilisation pour entraînement. Les Recommandations CNIL du 7 février 2025 [source: https://www.cnil.fr/fr/ia-et-rgpd-la-cnil-publie-ses-nouvelles-recommandations-pour-accompagner-une-innovation-responsable] exigent que le fournisseur signe un DPA garantissant la non-réutilisation des données pour entraîner ses modèles. Voir les clauses obligatoires d’un DPA fournisseur IA.
4. Conservation. Un transcript conservé indéfiniment sur un compte Fireflies personnel est une infraction à l’Article 5(1)(e) RGPD, celui qui vient de coûter 42 M€ à Free [source: https://www.cnil.fr/fr/sanction-free-2026].
5. Secret professionnel. Pour un cabinet d’avocats ou de conseil régulé, la transmission d’échanges à un tiers technique peut engager un secret professionnel opposable au traitement.

Comparatif des principaux outils de transcription à documenter

Outil	Hébergement par défaut	Réutilisation pour entraînement	Point de vigilance CNIL
Fireflies.ai	AWS US (option UE en plan Business+)	Opt-out disponible sur plans payants	Consentement explicite, DPA à signer
Otter.ai	AWS US	Utilisation par défaut, opt-out possible	Transferts hors UE, absence de datacenter EU
Fathom	AWS US	Non-réutilisation annoncée par défaut	Consentement, vérifier DPA sur plan Team
Read.ai	AWS US	Opt-in pour amélioration du modèle	Bot invité sans notification claire
Microsoft Copilot (Teams)	Tenant M365 (EU Data Boundary si activée)	Non-réutilisation contractuelle	Vérifier activation EU Data Boundary

Ce qu’il faut produire cette semaine

• Politique interne “Enregistrement et transcription des réunions client”, validée par la direction.
• Modèle d’annonce de consentement à lire en début de réunion, ou clause insérée dans l’invitation calendrier.
• Fiche registre du traitement, avec l’outil nommé, la finalité, la durée de conservation, l’hébergeur.
• DPA signé avec l’éditeur, archivé dans un dossier dédié.
• Purge automatique paramétrée dans l’outil (90 jours, 6 mois, 1 an selon finalité).
• Blocage technique des comptes personnels non conformes sur les postes du cabinet.

Le dossier de conformité prêt à envoyer : 6 pièces

Un dossier de conformité IA prêt à envoyer est l’ensemble minimal de documents qu’un cabinet doit pouvoir remettre à la CNIL sous 48 à 72 heures en cas de contrôle sur ses usages d’IA. Aucun texte ne l’impose sous cette forme précise, mais chaque pièce répond à une exigence documentaire explicite du RGPD ou des Recommandations CNIL.

Les 6 pièces attendues :

1. Registre des traitements (Article 30 RGPD), avec fiches distinctes pour chaque usage IA (RH, scoring client, transcription, éventuellement génération de contenu). Format tableur ou solution dédiée.
2. AIPD ou analyse d’impact simplifiée pour chaque traitement à risque élevé. Le modèle CNIL AIPD reste la référence.
3. Mentions d’information mises à jour, distinctes selon les publics : candidats, clients, prospects, salariés.
4. Charte IA interne (recommandée, non obligatoire). Elle précise les outils autorisés, les données interdites de saisie, les responsabilités.
5. DPA (Data Processing Agreement) signé avec chaque fournisseur IA (OpenAI, Anthropic, Microsoft, Fireflies.ai, Otter.ai), archivés dans un référentiel unique.
6. Registre des incidents de sécurité (Article 33 RGPD), même vide, prouvant l’existence d’une procédure.

La CNIL insiste dans ses Recommandations IA de février 2025 [source: https://www.cnil.fr/fr/ia-et-rgpd-la-cnil-publie-ses-nouvelles-recommandations-pour-accompagner-une-innovation-responsable] sur la vérification effective, par le déployeur, que le fournisseur ne réutilise pas les données pour entraîner ses modèles et que les transferts hors UE sont couverts par un mécanisme conforme (clauses contractuelles types, décision d’adéquation).

Ce que la CNIL demande vraiment le jour du contrôle

Un contrôle CNIL sur l’IA se déroule en trois phases distinctes : la notification préalable (parfois inexistante en cas de contrôle inopiné), la vérification sur site ou à distance, et la phase contradictoire écrite. Voici le déroulé opérationnel typique.

• Phase 1, à réception de la lettre de mission. Le cabinet dispose souvent de 8 à 15 jours avant la venue des agents. C’est le moment de rassembler les 6 pièces du dossier, de nommer un point de contact unique (le DPO ou le dirigeant s’il n’y a pas de DPO) et de briefer l’équipe.
• Phase 2, sur site ou en visio. Une délégation de 2 à 4 agents CNIL, généralement avec un ingénieur, mène des entretiens (dirigeant, DPO, RH, IT), examine les preuves documentaires et effectue des tests techniques. Sur l’IA, attendez-vous à des questions du type : “Montrez-moi le paramétrage de rétention dans Fireflies”, “Sur quels critères le score client est-il calculé ?”, “Qui a accès aux transcripts ?”, “Où est stocké le CV que vous m’avez montré ?”. Les captures d’écran font foi.
• Phase 3, procès-verbal et suites. Un PV est remis, souvent contradictoire. Les manquements constatés peuvent conduire à une mise en demeure publique, une injonction, une sanction en formation restreinte ou en procédure simplifiée. Cette dernière traite désormais 60 % des dossiers en 4 à 6 mois, selon Legiscope [source: https://www.legiscope.com/blog/bilan-cnil-sanctions-2025-priorites-2026.html].

Trois points font la différence en contrôle, tirés de retours de terrain de DPO externalisés :

• Le registre présent et à jour, même imparfait, change la tonalité de l’échange. Son absence signale l’improvisation.
• Les mentions d’information cohérentes entre le site, l’ATS et les emails de recrutement rassurent immédiatement les agents.
• La preuve d’une purge automatique paramétrée dans les outils SaaS (et pas seulement dans une politique écrite) est le meilleur signal de maturité.

Ce que vous pouvez faire cette semaine

Un plan d’action rapide en 5 jours ouvrés est le minimum viable pour un cabinet de 25 personnes qui n’a jamais formalisé ses usages IA. Il ne remplace pas un audit approfondi, mais il crée le socle qu’un contrôleur CNIL peut voir.

• Jour 1. Lister tous les outils IA utilisés dans le cabinet, y compris les comptes personnels (ChatGPT, Microsoft Copilot personnel, Fireflies.ai gratuit). Interroger les équipes sans jugement.
• Jour 2. Créer ou mettre à jour le registre des traitements pour chaque usage identifié, avec les 3 usages CNIL 2026 en priorité.
• Jour 3. Rédiger ou actualiser les mentions d’information (candidats, clients, salariés) et les publier.
• Jour 4. Vérifier les DPA disponibles auprès de chaque fournisseur (OpenAI, Anthropic, Microsoft, Fireflies.ai, Otter.ai). Ceux qui n’en fournissent pas doivent être remplacés ou basculés sur un plan entreprise.
• Jour 5. Paramétrer les purges automatiques et diffuser une charte IA interne courte (2 pages) validée par la direction.

Pour aller plus loin, les Recommandations CNIL IA/RGPD de février 2025 [source: https://www.cnil.fr/fr/ia-et-rgpd-la-cnil-publie-ses-nouvelles-recommandations-pour-accompagner-une-innovation-responsable] et le programme de travail CNIL 2026 [source: https://www.cnil.fr/fr/accompagnement-des-professionnels-le-programme-de-travail-de-la-cnil-pour-2026] sont les deux documents à lire en priorité. Le reste est de l’exécution.

FAQ

Quelles sont les 3 priorités de contrôle CNIL en 2026 ?

Selon le communiqué CNIL du 3 avril 2026 [source: https://www.cnil.fr/fr/controles-prioritaires-2026], les 3 thématiques prioritaires 2026 sont le recrutement (avec focus IA et décision automatisée), le répertoire électoral unique (REU) et les fédérations sportives. Ces priorités structurent environ 20 % des contrôles annuels, soit plusieurs centaines de vérifications.

Une PME de moins de 50 salariés peut-elle vraiment être contrôlée par la CNIL ?

Oui. La procédure simplifiée créée en 2022 traite environ 60 % des dossiers selon le bilan Legiscope [source: https://www.legiscope.com/blog/bilan-cnil-sanctions-2025-priorites-2026.html], avec des sanctions plus rapides (4 à 6 mois) et plafonnées à 20 000 €. Les PME sont statistiquement plus exposées qu’avant, notamment sur les manquements documentaires (registre, mentions, DPA).

L’IA générative utilisée en entreprise nécessite-t-elle une AIPD ?

Elle est fortement recommandée dès qu’un usage professionnel implique un traitement de données personnelles à grande échelle ou dans un contexte à risque (RH, scoring client, transcription réunion). Les Recommandations CNIL du 7 février 2025 [source: https://www.cnil.fr/fr/ia-et-rgpd-la-cnil-publie-ses-nouvelles-recommandations-pour-accompagner-une-innovation-responsable] exigent en outre un DPA fournisseur, la vérification de la non-réutilisation des données pour entraînement, et la conformité des transferts hors UE.

Comment documenter l’usage d’un outil de transcription comme Fireflies ou Otter ?

Il faut inscrire le traitement au registre (Article 30 RGPD), signer un DPA avec l’éditeur, obtenir le consentement explicite des participants avant enregistrement, paramétrer une purge automatique et vérifier le lieu d’hébergement. La CNIL a inscrit l’analyse automatique des communications vocales à son programme de travail 2026 [source: https://www.cnil.fr/fr/accompagnement-des-professionnels-le-programme-de-travail-de-la-cnil-pour-2026], ce qui prépare une doctrine plus stricte.

La charte IA est-elle obligatoire en 2026 ?

Non, elle n’est pas juridiquement obligatoire. Elle est fortement recommandée par la CNIL comme signal de maturité et comme cadre interne opposable aux salariés. En cas de contrôle, sa présence facilite la démonstration d’une gouvernance IA structurée et réduit le périmètre des reproches sur la formation des utilisateurs.

Quel est le lien entre l’AI Act et les contrôles CNIL 2026 ?

L’AI Act (Règlement UE 2024/1689) devient applicable le 2 août 2026 pour ses obligations principales. La CNIL est positionnée comme autorité française de surveillance du marché pour le champ “emploi et travail”, ce qui prolonge sa priorité recrutement 2026 [source: https://www.cnil.fr/fr/controles-prioritaires-2026]. Le RGPD reste applicable en parallèle, la CNIL contrôlant les deux corpus.

Une prochaine étape concrète : bloquer 2 heures cette semaine pour lister vos outils IA en usage réel (y compris les comptes personnels) et confronter cette liste au registre des traitements. C’est le seul diagnostic honnête possible, et il coûte 0 €.