Actualités RGPD & AI Act : ce qu'il ne fallait pas manquer en août 2026
Août 2026 n'a pas été un mois calme pour les régulateurs : entrée en application des obligations pour les systèmes d'IA à haut risque de l'AI Act, délibération de la CNIL encadrant l'entraînement de l'IA sur les données de santé (et une sanction de 2,5M€ pour un éditeur SaaS), lignes directrices du CEPD sur le modèle « pay or consent », et un arrêt majeur de la CJUE élargissant la notion de dommage moral réparable au titre de l'article 82 du RGPD. Tour d'horizon des textes à connaître et checklist pour la rentrée des DPO.
Alors que beaucoup profitaient d'une pause estivale bien méritée, nos régulateurs français et européens n'ont pas marqué de temps d'arrêt. La CNIL, le CEPD et la CJUE ont continué de faire avancer un agenda réglementaire particulièrement chargé sur le front de l'IA et de la protection des données, au grand dam des directions juridiques.
AI Act : cap majeur franchi pour les systèmes à haut risque
Le calendrier d'application du règlement (UE) 2024/1689 (AI Act) s'accélère. Ce mois d'août 2026 marque l'entrée en application directe des obligations relatives aux systèmes d'IA classés à haut risque visés à l'annexe III du texte.
CNIL et IA santé : ce que change la délibération n° 2026-084
La CNIL a profité de la fin du mois d'août pour publier sa délibération n° 2026-084 du 27 août 2026, qui encadre spécifiquement l'entraînement des modèles d'IA à partir de données de santé.
Face à la multiplication des projets d'IA médicale et à l'alimentation des entrepôts de données de santé (EDS), l'autorité précise les règles de réutilisation secondaire des données médicales.
Pseudo-anonymisation et réidentification
La CNIL réaffirme que le simple retrait des noms et prénoms ou le codage d'un dossier patient ne constitue pas une anonymisation irréversible face aux capacités d'inférence des modèles d'IA. Les données de santé réutilisées restent, dans la quasi-totalité des cas, des données pseudonymisées soumises à l'intégralité du RGPD (article 9).
Information et droit d'opposition des patients
La délibération exige une information claire et individuelle des patients sur la réutilisation de leurs données de santé pour l'entraînement d'IA, associée à une procédure d'opposition (opt-out) simple et sans rupture de prise en charge médicale.
Gouvernance des EDS
L'accès aux bases cliniques pour le fine-tuning d'algorithmes doit faire l'objet d'une AIPD spécifique et être systématiquement encadré par des engagements d'impossibilité de réidentification contractuelle.
Sanction CNIL de 2,5M€ : quand un éditeur SaaS réutilise les données clients pour son IA
Par sa délibération SAN-2026-012 du 20 août 2026, la formation restreinte de la CNIL a lourdement sanctionné un éditeur SaaS de logiciels de gestion. Le motif : avoir réutilisé les bases de données clients (contenant des données de santé et de bien-être) pour entraîner son propre modèle interne d'IA, sans base légale valide ni information conforme.
CEPD : des règles harmonisées pour le modèle « pay or consent »
Le comité européen de la protection des données (CEPD / EDPB) a adopté ses lignes directrices 02/2026 du 18 août 2026 encadrant définitivement les modèles alternatifs de tarification appliqués aux plateformes en ligne.
Liberté du consentement : l'alternative payante proposée pour refuser le ciblage publicitaire ne doit pas présenter un tarif dissuasif. Le coût de l'accès neutre doit être justifié et proportionné pour garantir un choix réellement libre de l'utilisateur.
Architecture des choix : le CEPD bannit explicitement les dark patterns visant à complexifier le parcours de l'utilisateur souhaitant opter pour la version sans suivi comportemental par rapport à l'option de paiement en données.
Analyse approfondie : l'arrêt CJUE du 14 août 2026 (Affaire C-384/25)
L'arrêt rendu le 14 août 2026 par la Cour de justice de l'Union européenne (affaire C-384/25) marque une avancée décisive dans la jurisprudence relative à l'article 82 du RGPD (droit à réparation du dommage subi).
Décryptage de la décision
La CJUE était saisie d'une question préjudicielle portant sur une fuite de données personnelles découlant d'une cyberattaque. Plusieurs personnes concernées réclamaient une indemnisation sans pour autant apporter la preuve d'une utilisation frauduleuse effective de leurs données (telle qu'un vol d'identité ou un préjudice financier direct).
La perte de contrôle constitue en soi un dommage moral indemnisable
La Cour confirme que le terme « dommage » prévu à l'article 82 du RGPD doit recevoir une interprétation large. Le sentiment d'anxiété, la crainte d'une utilisation malveillante future ou le simple sentiment de perte de contrôle sur ses données personnelles constituent des préjudices moraux légitimes pouvant donner lieu à réparation, sans qu'il soit nécessaire d'établir un dommage corporel ou financier.
Absence de seuil de gravité de minimis
La CJUE réitère qu'il n'existe pas de seuil de gravité minimal pour ouvrir droit à réparation. Dès lors que la personne concernée démontre un dommage moral réel, même de faible intensité, et un lien de causalité direct avec la violation du RGPD par le responsable de traitement, la réparation ne peut être écartée au seul motif du caractère « minime » de la gêne subie.
Inversion de la charge de la preuve
Si la personne concernée doit prouver la réalité de son préjudice moral (l'anxiété subie), il incombe au responsable de traitement de prouver qu'il n'est en aucun cas responsable du fait générateur ayant provoqué la violation (article 82, paragraphe 3), en démontrant l'efficacité optimale et l'état de l'art des mesures de sécurité (art. 32 RGPD) déployées avant l'incident.
Impact opérationnel et risque contentieux
Cet arrêt accroît considérablement le risque juridique en cas de fuite de données (data breach). Il facilite le succès des actions de groupe (class actions) engagées par des associations de consommateurs ou des collectifs de victimes après une cyberattaque, en supprimant l'obstacle de la preuve d'un préjudice financier individualisé.
Checklist DPO pour préparer la rentrée
Pour préparer vos comités de pilotage de septembre :
- Auditer les projets IA & santé : si votre structure manipule des données de santé, vérifiez la conformité de vos entrepôts de données et vos notices d'information au regard de la délibération CNIL n° 2026-084
- Réviser vos contrats et politiques SaaS : assurez-vous que vos sous-traitants ne s'arrogent pas le droit de réutiliser vos données pour l'entraînement de leurs propres algorithmes d'IA
- Consolider le plan de gestion des violations de données : intégrez le risque d'indemnisation du dommage moral dans la quantification des impacts financiers liés aux cyberattaques et réévaluez la suffisance de vos polices d'assurance cyber
FAQ - actualités RGPD et AI Act d'août 2026
Quels systèmes d'IA sont concernés par les obligations « haut risque » de l'AI Act ?
Les systèmes visés à l'annexe III du règlement (UE) 2024/1689, notamment les outils utilisés en ressources humaines, dans le diagnostic ou dans le scoring automatisé, désormais soumis à un système de gestion des risques, à une FRIA pour le secteur public et à un audit de leurs jeux de données d'entraînement
Peut-on entraîner un modèle d'IA à partir de données de santé pseudonymisées ?
Non sans respecter le RGPD : la CNIL rappelle dans sa délibération n° 2026-084 que le retrait des noms et prénoms ne suffit pas à anonymiser un dossier patient, qui reste donc une donnée pseudonymisée soumise à l'article 9 du RGPD
Le modèle « pay or consent » est-il autorisé par le CEPD ?
Oui sous conditions : le CEPD exige que le tarif de l'alternative sans ciblage publicitaire ne soit pas dissuasif et que le parcours utilisateur ne comporte aucun dark pattern favorisant le paiement en données
Faut-il prouver un préjudice financier pour être indemnisé après une fuite de données ?
Non, la CJUE confirme dans son arrêt du 14 août 2026 que la perte de contrôle sur ses données et l'anxiété ressentie suffisent à caractériser un dommage moral réparable au titre de l'article 82 du RGPD, sans seuil de gravité minimal
