CNIL et IA Act : amendes de 35 M EUR sur l'automatisation

La CNIL : autorité française de l'IA Act

La CNIL (Commission Nationale de l'Informatique et des Libertés) a été officiellement désignée comme autorité nationale de supervision de l'IA Act en France en février 2026. Avec des sanctions record de 486 millions d'EUR prononcées en 2025, la CNIL est déjà l'un des régulateurs de protection des données les plus actifs d'Europe, et dispose désormais de pouvoirs d'application de l'IA Act en plus.

Nouveaux pouvoirs de sanction

• Pratiques d'IA interdites : Jusqu'a 35 millions d'EUR ou 7 % du chiffre d'affaires mondial
• Autres violations de l'IA Act : Jusqu'a 15 millions d'EUR ou 3 % du chiffre d'affaires mondial
• Violations du RGPD (existantes) : Jusqu'a 20 millions d'EUR ou 4 % du chiffre d'affaires mondial

Impact sur la gestion documentaire par IA

Les entreprises utilisant l'IA pour le traitement documentaire en France doivent se conformer a la fois au RGPD et aux exigences de l'IA Act. Le programme d'orientation 2026 de la CNIL couvre la minimisation des données RGPD-IA, les exigences d'AIPD pour les systèmes d'IA, les limites de conservation liées a la finalité du traitement et la documentation de traçabilité. Les obligations relatives aux IA a haut risque s'appliquent entre août 2026 et août 2027.

Segur du Numérique : exigences numériques pour le secteur de la santé

A compter du 1er janvier 2026, l'aide financière numérique (forfait numérique) pour les cabinets de santé exige des logiciels references Segur. L'authentification a deux facteurs est devenue obligatoire pour l'acces des professionnels de santé au DMP/Mon Espace Santé. Les données de santé doivent être hébergées dans des environnements certifies HDS avec une conservation de 10 ans apres la fermeture.