La CNIL a déjà infligé plus de 50 millions d'euros d'amendes en 2026 : ce que ça annonce pour l'IA
Free sanctionné à 42 millions d'euros, France Travail à 5 millions : la CNIL a montré dès le premier trimestre 2026 qu'elle sanctionne réellement. Ses nouveaux pouvoirs sur l'IA changent la donne.
Plus de 50 millions d'euros d'amendes ont déjà été prononcés par la CNIL au cours du premier trimestre 2026, avec une attention particulière portée au traitement des données personnelles, à la sous-traitance et aux transferts de données. Deux sanctions ont particulièrement marqué ce début d'année, Free, condamné à 42 millions d'euros, et France Travail, condamné à 5 millions d'euros, toutes deux pour des défauts de sécurité précis, l'absence d'authentification multi-facteurs et des droits d'accès trop larges aux bases de données sensibles.
Ces montants concernent des structures de grande taille, et une PME pourrait légitimement se sentir éloignée de ce niveau de risque. Ce serait une lecture incomplète de la situation. Les manquements sanctionnés, absence d'authentification renforcée, droits d'accès mal maîtrisés, ne sont pas des fautes spécifiques aux grandes organisations, ce sont des négligences de configuration que l'on retrouve tout aussi fréquemment dans des structures bien plus petites, simplement avec moins de visibilité médiatique en cas de contrôle.
Ce qui change la donne pour 2026 et les années suivantes, c'est le nouveau rôle attribué à la CNIL. Elle a été désignée autorité de référence pour l'application de l'AI Act en France, ce qui consolide son statut d'acteur central de la régulation numérique et lui confère des pouvoirs de contrôle élargis sur l'intelligence artificielle. Ces nouveaux pouvoirs portent le plafond des sanctions possibles jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial, un niveau qui s'applique en théorie à toute entreprise, sans seuil de taille défini.
Le plan stratégique 2025-2028 de la CNIL fixe quatre axes prioritaires, l'intelligence artificielle, la protection des mineurs, la cybersécurité, et les usages numériques du quotidien. Pour 2026, l'accent est mis spécifiquement sur l'audit des systèmes d'IA et sur l'authentification multi-facteurs pour l'accès aux bases de données sensibles, exactement les deux manquements qui ont coûté 47 millions d'euros combinés à Free et France Travail. L'intelligence artificielle et le scraping de données comptent désormais parmi les nouveaux axes de contrôle prioritaires du régulateur.
Ce contexte change concrètement la nature du risque pour une PME qui utilise des outils d'intelligence artificielle sans cadre documenté. L'absence de contrôle passé ne garantit rien pour l'avenir, en particulier dans un environnement où le régulateur a explicitement fait de l'IA une priorité et démontré, dès le premier trimestre, sa volonté de sanctionner lourdement les manquements constatés. Une PME qui connecte un outil d'IA à ses données clients ou à ses dossiers RH, sans avoir vérifié qui peut y accéder et avec quel niveau d'authentification, s'expose au même type de manquement que celui sanctionné chez Free et France Travail.
Deux vérifications simples, directement inspirées de ces sanctions, permettent à une PME de réduire son exposition sans mobiliser un budget de conformité conséquent. La première consiste à activer l'authentification multi-facteurs sur tout accès à une base de données contenant des informations sensibles, clients, RH, financières. La deuxième consiste à limiter les droits d'accès aux seules personnes qui en ont un besoin réel dans le cadre de leur fonction, plutôt que d'accorder un accès large par facilité de gestion.
C'est ce que l'étape de cadrage doit désormais intégrer explicitement, une revue des accès et de l'authentification pour chaque outil IA connecté à des données sensibles, en s'appuyant directement sur les manquements sanctionnés par la CNIL comme grille de lecture concrète plutôt que sur une checklist théorique et générique. Si vous souhaitez en parler, contactez-moi.
Questions fréquentes
Quel montant d'amendes la CNIL a-t-elle déjà prononcé au premier trimestre 2026 ?
Plus de 50 millions d'euros, avec notamment une sanction de 42 millions d'euros contre Free et de 5 millions d'euros contre France Travail, toutes deux liées à des défauts de sécurité, absence d'authentification multi-facteurs et droits d'accès trop larges.
Quel rapport ces sanctions ont-elles avec l'intelligence artificielle ?
La CNIL a été désignée autorité de référence pour l'application de l'AI Act en France, ce qui consolide son rôle central dans la régulation numérique. Ses nouveaux pouvoirs sur l'IA portent les sanctions possibles jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial.
Ces sanctions concernent-elles uniquement de grandes entreprises comme Free ou France Travail ?
Les montants les plus médiatisés concernent effectivement de grandes structures, mais les obligations sous-jacentes, sécurité des accès, authentification, s'appliquent à toute entreprise traitant des données personnelles, quelle que soit sa taille.
Quels sont les axes prioritaires du plan stratégique 2025-2028 de la CNIL ?
Quatre axes prioritaires, l'intelligence artificielle, la protection des mineurs, la cybersécurité, et les usages numériques du quotidien, avec en 2026 un accent particulier sur l'audit des systèmes d'IA et l'authentification multi-facteurs pour les bases de données sensibles.
Une PME doit-elle s'inquiéter de ces sanctions si elle n'a jamais eu de contrôle CNIL ?
L'absence de contrôle passé ne garantit rien pour l'avenir. L'IA et le scraping de données figurent parmi les nouveaux axes de contrôle prioritaires de la CNIL, et les PME qui utilisent des outils IA sans cadre documenté sont exposées comme les autres.
Quelles obligations de sécurité de base une PME doit-elle vérifier en priorité ?
L'authentification multi-facteurs pour l'accès aux bases de données sensibles et la limitation des droits d'accès aux seules personnes qui en ont réellement besoin, les deux manquements précis à l'origine des sanctions Free et France Travail.
Ces sanctions changent-elles la façon dont une PME devrait aborder ses outils IA ?
Elles confirment que le risque réglementaire n'est plus théorique. Documenter les usages IA, sécuriser les accès aux données qu'ils manipulent, et vérifier les habilitations deviennent des priorités concrètes plutôt que des recommandations abstraites.
Quelle étape d'un projet IA permet d'anticiper ce type de risque ?
L'étape Cadrage doit intégrer une revue des accès et de l'authentification pour chaque outil IA connecté à des données sensibles, en s'appuyant sur les manquements sanctionnés par la CNIL comme grille de lecture concrète.