ElegArtechTechnologie · Organisations · Action publique
S’abonner
Numérique, IA & souveraineté—Régulation et droit · Gouvernance—Analyse

CNIL 2026 : la règle technique avant la loi

Le 7 avril 2026, la CNIL publie son programme de travail annuel, dense et détaillé. Quatre mois plus tôt, la Commission européenne entamait la réécriture de l'AI Act, du RGPD et de plusieurs autres textes sous l'étiquette « Omnibus numérique ». L'article propose de lire cette concordance des calendriers à la lumière d'un concept précis, celui de* Lex Informatica *formulé par Joel Reidenberg en 1998. Ce cadre éclaire un mode particulier de régulation, où la norme technique produit de l'effectivité avant que la norme juridique ne soit stabilisée, et il permet de nommer la tension qui traverse l'année réglementaire française.

AM
Par Alexandre Berge23 avril 2026 · 18 min de lecture
Illustration éditoriale pour « CNIL 2026 : la règle technique avant la loi »
Entre ambition et réalité : les transformations à l’épreuve du terrain.

Un programme dense dans un calendrier incertain

Le programme 2026 est inhabituellement fourni. La CNIL y annonce la finalisation de fiches sectorielles sur l'IA au travail et l'IA en santé, la version finale de sa recommandation sur le vote électronique à distance, des consultations publiques sur les messageries sécurisées, la vérification d'identité à distance et les outils de détection de points de terminaison (EDR), la publication de travaux sur la chaîne de valeur IA, ainsi que des recommandations sur le logement social, le dossier patient informatisé, l'exercice du droit d'accès et le consentement pour les fonctionnalités cross-domain. Trois axes de contrôle thématiques 2026 ont été annoncés le 3 avril, distincts du programme d'accompagnement, et centrés sur le recrutement, le répertoire électoral unique et les fédérations sportives. La CNIL précise que l'ensemble est donné à titre indicatif et pourra évoluer « notamment en fonction de l'actualité ». Formulation prudente. Elle reflète une réalité que la seule lecture du programme ne donne pas à voir.

Depuis novembre 2025, la Commission européenne a engagé la réécriture partielle d'une demi-douzaine de textes qui fondent ces travaux. Le calendrier de l'AI Omnibus est le plus avancé. Après un avis conjoint défavorable sur plusieurs points, rendu par l'EDPB et l'EDPS le 20 janvier 2026, une position générale du Conseil adoptée le 13 mars, le Parlement européen a arrêté sa position plénière le 26 mars 2026 par 569 voix contre 45. Les trilogues se sont ouverts en avril. L'objectif d'accord politique sous présidence chypriote est fixé à mai 2026. Le Digital Omnibus général suit une trajectoire un peu plus lente, marquée par un avis conjoint de l'EDPB et de l'EDPS du 11 février 2026 et par un retrait, au Conseil, de la redéfinition controversée de la notion de « donnée personnelle ».

Cette concordance crée une situation singulière. La CNIL publie son programme, ouvre des consultations et prépare des contrôles, alors que les textes qui donnent compétence et cadre à plusieurs de ses travaux font eux-mêmes l'objet de modifications en cours de négociation interinstitutionnelle. L'effet d'affichage masque une tension structurelle. Ce que le programme nomme « accompagnement des professionnels » relève d'une production normative qui précède, en pratique, la stabilisation juridique du socle. Nommer cette tension suppose de disposer d'un concept.

Lex Informatica, une grammaire du droit par la technique

Le concept le plus juste pour nommer ce que produit la CNIL en 2026 n'est pas celui de « code is law » popularisé par Lawrence Lessig en 1999, même s'il s'en rapproche. C'est celui de Lex Informatica proposé par Joel Reidenberg un an plus tôt dans la Texas Law Review. Là où Lessig décrit l'architecture logicielle comme une modalité de contrainte comportementale parmi d'autres (loi, marché, normes sociales, code), Reidenberg pense l'hybridation active entre droit et technique. La Lex Informatica désigne le corps de règles produites conjointement par des autorités régulatrices et des acteurs techniques, règles qui se matérialisent dans des référentiels, des protocoles, des gabarits méthodologiques et, parfois, dans du code exécutable. Ce registre produit de l'effectivité avant, et parfois sans, l'intervention du législateur.

Lex Informatica (Reidenberg, 1998)

La Lex Informatica désigne la formation de règles de politique publique par la technologie et les institutions qui la produisent. Ces règles reposent sur des standards, des référentiels, des gabarits et des outils logiciels qui orientent les comportements avant qu'ils n'entrent dans le champ de la contrainte juridique formelle. Elle se distingue de la thèse « code is law » par l'attention donnée à la co-production entre régulateurs publics et acteurs techniques, au-delà de la seule architecture logicielle.

Référence : Joel Reidenberg, « Lex Informatica : The Formulation of Information Policy Rules Through Technology », Texas Law Review, 76(3), 1998, p. 553-593.

Le programme 2026 de la CNIL illustre ce registre à une densité inhabituelle. Les fiches sur l'IA au travail et l'IA en santé construisent un référentiel opérationnel, avec des niveaux de recommandation gradués qui vont du standard au réflexe à adopter. Le guide HAS-CNIL soumis à consultation jusqu'au 16 avril 2026 compte douze fiches couvrant le développement, la validation, le déploiement et la gouvernance des systèmes d'IA en contexte de soins. Le référentiel sur les durées de conservation RH, publié le 2 avril 2026, opère un travail analogue sur un périmètre sensible. Les consultations sur les EDR, les messageries et la vérification d'identité à distance façonnent un corpus opposable avant que leur traduction législative ne soit achevée. Dans chacun de ces cas, ce qui est produit n'est pas une simple interprétation du droit existant. C'est un référentiel prescriptif qui pré-structure les choix d'architecture technique des responsables de traitement et, par ricochet, la future application de textes en cours de négociation.

PANAME, le basculement vers le code

Un élément du programme CNIL 2026 mérite une attention distincte, car il franchit la frontière que Reidenberg décrivait. Le projet PANAME (Privacy Auditing of AI Models) associe quatre acteurs publics français. La CNIL assure le pilotage et le cadrage juridique. L'ANSSI apporte l'expertise cybersécurité et la modélisation des menaces. Le PEReN développe la bibliothèque logicielle. Le projet IPoP du PEPR Cybersécurité, piloté par Inria, assure la direction scientifique. Le partenariat a été annoncé en juin 2025. Le 26 février 2026, la CNIL a publié un appel à manifestation d'intérêt pour associer des testeurs au développement d'une bibliothèque destinée à évaluer, par des attaques documentées (inférence d'appartenance, inférence d'attribut, reconstruction), la mémorisation indésirable des données d'entraînement dans les modèles d'IA. L'atelier de présentation a eu lieu à la CNIL le 13 avril 2026. La publication de la bibliothèque en open source est annoncée pour l'automne 2026.

PANAME n'est pas un guide. Ce n'est pas une recommandation. C'est un outil logiciel qui, une fois publié, permettra de qualifier techniquement le statut d'un modèle d'IA au regard du RGPD, notamment pour établir s'il peut ou non être considéré comme anonyme. La qualification juridique du caractère personnel des données traitées par un modèle devient, par ce moyen, le produit d'un test exécutable. C'est l'illustration stricte de ce que Lessig avait en tête en 1999 lorsqu'il écrivait « code is law ». Quand la norme juridique se matérialise dans du code qui s'exécute et renvoie une mesure, la distinction entre ce que dit le droit et ce que fait la technique devient indécidable.

Mobiliser Lessig au sens strict sur l'ensemble du répertoire de la CNIL serait abusif. Les fiches, les référentiels et les recommandations demeurent des normes prescriptives adressées à des responsables de traitement humains, médiatisées par des juristes et des ingénieurs. Mais PANAME constitue un cas limite où l'action du régulateur bascule dans un registre d'exécution automatisée. C'est précisément à la frontière des deux registres que la Lex Informatica de Reidenberg opère sa plus grande valeur heuristique, puisqu'elle permet de nommer ce qui se joue sans devoir choisir entre le juridique et le technique.

Un précédent structurel, la séquence 2016-2018

Le répertoire CNIL 2026 n'est pas inédit dans sa forme. Il trouve un précédent structurellement proche dans la séquence 2016-2018, au cours de laquelle la CNIL et ses homologues européennes réunies au sein du G29 ont produit un corpus considérable d'instruments opposables pendant la période qui séparait l'adoption du RGPD, le 27 avril 2016, de sa mise en application, le 25 mai 2018. Les lignes directrices WP 242 sur le droit à la portabilité, WP 243 sur le délégué à la protection des données, WP 244 sur l'autorité chef de file, WP 248 sur l'analyse d'impact, WP 250 sur les notifications de violations, WP 251 sur le profilage, WP 259 sur le consentement et WP 260 sur la transparence ont constitué, avant toute jurisprudence et avant toute publication des lignes directrices révisées par l'EDPB successeur, le référentiel opérationnel qui a guidé les politiques de conformité des entreprises et des administrations. La CNIL a complété ce corpus par son propre outil PIA (Privacy Impact Assessment), logiciel libre publié en 2018, et par son règlement-type biométrie de janvier 2019, premier règlement-type adopté sous l'article 8-II-9 de la loi Informatique et Libertés modifiée par la loi du 20 juin 2018.

La proximité avec 2026 est frappante. Même schéma institutionnel, c'est-à-dire une autorité nationale articulée avec un organe européen de régulateurs. Même gamme d'instruments, c'est-à-dire lignes directrices, FAQ, référentiels, outils logiciels. Même séquence temporelle, c'est-à-dire production intensive pendant la période qui sépare l'adoption d'un grand texte de sa pleine application. La CNIL sait faire cela, et les cadres du SI public qui ont vécu 2017-2018 reconnaissent immédiatement la méthode.

Une différence importante sépare toutefois les deux périodes, et elle est précisément ce qui fait la spécificité de 2026. Entre 2016 et 2018, le socle juridique ne bougeait pas. Le RGPD était adopté, son calendrier d'application était fixe, et les lignes directrices du G29 traduisaient un texte stabilisé en gabarits opérationnels. La base juridique était un point fixe. En 2026, elle est en mouvement.

L'Omnibus numérique, un socle en réécriture

L'AI Omnibus, tel qu'il ressort de la position du Parlement européen du 26 mars 2026, maintient les dates butoirs de l'AI Act mais introduit des mécanismes de lissage. Les systèmes à haut risque de l'Annexe III restent régulés à compter du 2 décembre 2027 et ceux de l'Annexe I à compter du 2 août 2028, la Commission ayant échoué à obtenir un report conditionnel de type « stop-the-clock ». Les obligations relatives aux modèles d'IA à usage général préexistants sont étendues jusqu'en février 2027. Un nouvel article 4 bis introduit une base juridique explicite pour le traitement de catégories particulières de données à des fins de détection et de correction des biais, dont le seuil a été rehaussé de « nécessaire » à « strictement nécessaire » par les colégislateurs, en réponse à l'avis conjoint EDPB-EDPS. Une nouvelle interdiction d'IA générant du contenu sexuel ou intime non consenti a été ajoutée par les parlementaires.

Calendrier Omnibus (au 18 avril 2026)

Propositions Commission COM(2025) 836 (IA) et COM(2025) 837 (texte général) déposées le 19 novembre 2025. Avis conjoint EDPB-EDPS sur l'AI Omnibus, 20 janvier 2026. Avis conjoint sur le Digital Omnibus général, 11 février 2026. Position générale Conseil (IA), 13 mars 2026. Position plénière Parlement européen (IA), 26 mars 2026, par 569 voix contre 45. Trilogues en cours. Objectif d'accord politique sous présidence chypriote, mai 2026. Dates butoirs AI Act inchangées pour l'Annexe III (2 décembre 2027) et l'Annexe I (2 août 2028).

Le Digital Omnibus général touche plus frontalement le socle sur lequel travaille la CNIL. La notification des violations de données personnelles verrait son seuil relevé à « risque élevé » et son délai porté à 96 heures, avec un point d'entrée unique via l'ENISA pour l'ensemble des régimes de notification (RGPD, NIS 2, DORA, CER, eIDAS). Les cookies et assimilés seraient intégrés au RGPD, avec refus en un clic et gel de six mois. Les demandes manifestement infondées au titre du droit d'accès pourraient être rejetées. Un article 88 bis envisagé donnerait à l'intérêt légitime une base légale pour le développement et le déploiement de modèles d'IA.

L'impact sur le programme 2026 de la CNIL n'est pas théorique. Les fiches sur l'IA au travail articulent des obligations qui chevauchent l'article 4 bis en discussion. Les consultations sur les messageries et la vérification d'identité touchent à des dispositifs dont la qualification de « risque élevé » dépendra partiellement du seuil retenu. Les référentiels sur la chaîne de valeur IA et les conséquences de l'application du RGPD aux modèles d'IA anticipent précisément le point où l'article 88 bis s'insèrerait. La CNIL produit donc un corpus dont une partie pourrait être à recalibrer dès le premier semestre 2027, selon l'issue des trilogues.

La Commission nationale consultative des droits de l'homme, dans son alerte de mars 2026, et les autorités de protection réunies sous la bannière de l'EDPB ont signalé cette difficulté. Anu Talus, présidente de l'EDPB, résumait la position du collège des régulateurs en une formule que la CNIL a reprise à son compte, « la simplification est essentielle mais pas aux dépens des droits fondamentaux ». Cette prudence institutionnelle laisse apparaître ce que la Lex Informatica permet de voir. Le régulateur n'attend pas la loi pour produire de la norme opérationnelle, mais il ne peut pas non plus s'en rendre entièrement indépendant, sous peine de voir son corpus déclassé par une révision du texte qui le fonde.

Une architecture polycentrique en accélération

Un dernier élément mérite d'être nommé. La CNIL n'agit pas seule. PANAME associe l'ANSSI, le PEReN et Inria. Les fiches IA en santé associent la HAS. Les référentiels sur la cybersécurité s'articulent avec les travaux de l'ANSSI dans le cadre de la transposition NIS 2. L'action coordonnée 2026 du Comité européen de la protection des données sur « l'information et la transparence » est pilotée par la CNIL elle-même. La gouvernance française de l'AI Act, telle qu'elle ressort du schéma publié par la DGE le 9 septembre 2025, distribue les compétences sur une quinzaine d'autorités sectorielles, avec la DGCCRF comme point de contact unique et la CNIL comme référent principal des interdictions de l'article 5 et de la plupart des systèmes à haut risque de l'Annexe III. Julia Black a proposé en 2001 le concept de decentred regulation pour décrire ce type de configuration, où la production normative ne relève plus d'un régulateur unique mais d'un réseau d'acteurs publics et privés dont l'articulation est elle-même un enjeu régulatoire. Le programme 2026 est, à cet égard, le produit d'une architecture polycentrique qui accélère, alors même que le cadre juridique qui la fonde se trouve rouvert.

Un détail supplémentaire mérite d'être relevé, qui prolonge la cartographie polycentrique. La désignation formelle de la CNIL comme autorité nationale compétente au sens de l'article 70 du règlement 2024/1689 n'est pas intervenue avant la date butoir du 2 août 2025, ni au 18 avril 2026. Les dispositions initialement incluses dans le DDADUE de novembre 2025 ont été retirées, et l'investissement vers une loi dédiée se poursuit. La CNIL produit donc une partie de son corpus 2026 dans un cadre de compétence qui, dans l'ordre juridique interne, n'est pas encore entièrement formalisé. La formulation retenue dans le programme du 7 avril, selon laquelle la CNIL « se prépare à être désignée », n'est pas anodine.

Conclusion, une hypothèse à vérifier à douze mois

L'édifice que construit la CNIL en 2026 n'est pas une simple accumulation d'outils. Il relève du registre de la Lex Informatica, c'est-à-dire d'une production normative qui, par ses gabarits, ses référentiels et désormais ses bibliothèques logicielles, produit une effectivité sans attendre la stabilisation du droit positif. PANAME illustre la forme la plus poussée de ce registre, où la règle devient exécutable. Le précédent 2016-2018 montre que la CNIL sait déployer ce type de corpus en période d'entre-deux législatif. Ce qui distingue 2026, c'est que la base juridique elle-même est en mouvement, et que la désignation formelle de l'autorité n'est pas stabilisée.

Une hypothèse vérifiable peut en être tirée. Si l'Omnibus numérique sur l'IA est adopté avant août 2026 avec les ajustements introduits par le Parlement (dates butoirs 2 décembre 2027 et 2 août 2028 maintenues, article 4 bis sur les biais, nouvelle interdiction des contenus intimes non consentis), alors les fiches sectorielles CNIL sur l'IA au travail et sur l'IA en santé feront l'objet d'une révision explicite au plus tard au premier semestre 2027. Un lecteur pourra vérifier cette hypothèse selon deux indicateurs observables. Premièrement, la publication sur cnil.fr d'une version 2 des fiches concernées, mentionnant expressément les modifications introduites par l'Omnibus, entre janvier et juin 2027. Deuxièmement, la référence à la bibliothèque PANAME dans au moins un document officiel du CEPD, de l'AI Office ou d'une autre autorité nationale de protection des données, d'ici août 2027, comme outil opérable de qualification de l'anonymat des modèles d'IA. Si l'un de ces indicateurs est présent à l'horizon retenu, la lecture proposée ici tient. S'ils sont tous deux absents, il faudra explorer une autre hypothèse, par exemple celle d'un découplage durable entre le répertoire CNIL et la révision européenne, qui soulèverait une question différente quant à la portée effective de la Lex Informatica dans le cas français.

Note méthodologique

Cet article s'appuie sur les publications officielles de la CNIL entre février et avril 2026, sur les propositions COM(2025) 836 et COM(2025) 837 de la Commission européenne, sur les avis conjoints EDPB-EDPS des 20 janvier et 11 février 2026, ainsi que sur les positions du Conseil du 13 mars 2026 et du Parlement européen du 26 mars 2026. La chronologie du projet PANAME a fait l'objet d'une vérification spécifique. La date du 2 avril 2026 parfois citée comme lancement du projet correspond en réalité à un webinaire distinct. Le partenariat a été annoncé en juin 2025, l'appel à manifestation d'intérêt publié le 26 février 2026, l'atelier de présentation tenu le 13 avril 2026. La date de livraison open source de la bibliothèque (automne 2026) repose sur des indications concordantes de Silicon.fr et du Monde Informatique, mais n'a pas été confirmée par un communiqué officiel de la CNIL au 18 avril 2026. Le choix du cadre théorique a privilégié Reidenberg plutôt que Lessig pour l'ensemble du répertoire CNIL, Lessig étant spécifiquement mobilisé pour PANAME. Le premier cadre rend mieux compte de l'hybridation juridico-technique caractéristique de la plupart des instruments CNIL, alors que le second s'applique au sens strict au code exécutable. D'autres parallèles historiques étaient possibles (loi de 1978 et Convention 108, contentieux biométrique 2019). La séquence 2016-2018 a été retenue pour sa proximité structurelle maximale avec le cas présent.

Sources

Sources primaires institutionnelles françaises

Sources primaires européennes

Cadres théoriques

  • Reidenberg J. R., « Lex Informatica : The Formulation of Information Policy Rules Through Technology », Texas Law Review, 76(3), 1998, p. 553-593.
  • Lessig L., Code and Other Laws of Cyberspace, New York, Basic Books, 1999.
  • Lessig L., Code : Version 2.0, New York, Basic Books, 2006.
  • Black J., « Decentring Regulation : Understanding the Role of Regulation and Self-Regulation in a Post-Regulatory World », Current Legal Problems, 54(1), 2001, p. 103-146.

Parallèle historique

  • Article 29 Data Protection Working Party, Lignes directrices WP 242 à WP 260 (2016-2018), accessibles via le registre archivé de la Commission européenne. https://ec.europa.eu/newsroom/article29/
  • CNIL, délibération n° 2019-001 du 10 janvier 2019 portant règlement-type relatif à la mise en œuvre de dispositifs ayant pour finalité le contrôle d'accès par authentification biométrique aux locaux, aux appareils et aux applications informatiques sur les lieux de travail, JORF n° 0074 du 28 mars 2019 (JORFTEXT000038277620).

Presse spécialisée (triangulation)

Toutes les analyses