Nadia, DPO d'une startup chatbot, face aux 550 000 € d'amendes CNIL IA — récit d'une mise en conformité sous pression

Nadia a ouvert le site de la CNIL un mardi matin de janvier 2026. Café tiède, Slack encore muet. Elle cherchait un formulaire banal pour une notification de sous-traitant. Ce qu'elle a trouvé, c'est la décision qui allait changer ses six prochains mois.

250 000 € d'amende. Profilage automatisé discriminatoire dans un processus de recrutement. La formation restreinte de la CNIL n'avait pas tremblé.

Nadia est DPO — Data Protection Officer — dans une startup parisienne de 23 personnes. Leur produit : un chatbot d'assistance RH alimenté par un modèle de langage, vendu à des ETI françaises. Pas de la reconnaissance faciale, pas du scoring crédit. Un chatbot. Assez inoffensif en apparence.

Sauf que les quatre sanctions CNIL liées à l'IA depuis le début de 2026 racontent une histoire différente.

Les quatre coups de semonce

Quand Nadia a compilé les décisions publiques ce mardi matin-là, le tableau l'a glacée.

Date	Montant	Motif	Ce qui manquait
20 janvier 2026	250 000 €	Profilage automatisé discriminatoire (recrutement)	Contrôle humain, AIPD, base légale solide
10 février 2026	150 000 €	Chatbot sans information claire sur l'usage d'IA	Transparence, notice RGPD, mention IA Act
15 mars 2026	50 000 €	Reconnaissance faciale sans base légale	Consentement, AIPD, registre des traitements
5 décembre 2025	100 000 €	Scoring crédit sans évaluation d'impact IA	AIPD, documentation technique, droit d'opposition

Total : 550 000 €. En quatre mois.

La deuxième ligne — chatbot sans information claire — c'était presque mot pour mot leur produit. Un chatbot déployé chez des clients, branché sur des données RH, sans mention visible qu'une IA traitait les échanges. Nadia a reposé son café.

« On n'est pas concernés, si ? »

C'est la phrase qu'elle a entendue quand elle a présenté le tableau en comité produit. Le CTO a froncé les sourcils. Le CEO a souri — un réflexe de défense, probablement. La responsable commerciale a demandé si la CNIL contrôlait vraiment les startups.

Oui. La CNIL contrôle les startups.

Nadia le savait parce qu'elle épluchait les 64 décisions CNIL référencées dans sa veille réglementaire, et parce qu'elle suivait en parallèle les 55 avis du Comité Européen de la Protection des Données (CEPD). Soit 119 textes rien qu'entre ces deux sources — sur un total de 136 documents réglementaires qu'elle avait identifiés en croisant les publications de la CNIL, du Journal Officiel de l'UE, de Legifrance et du CEPD.

Le problème n'était pas de savoir si leur chatbot posait question. Le problème, c'est que la réponse était oui sur au moins trois axes : transparence, base légale, et évaluation d'impact.

Premier chantier : dire aux gens qu'ils parlent à une IA

Ça paraît évident. Ce ne l'était pas.

Le chatbot de la startup s'appelait « Lou ». Il apparaissait dans un widget en bas à droite des intranets clients, avec un avatar rond et une bulle « Bonjour, je suis Lou, votre assistant RH ». Nulle part il n'était écrit qu'il s'agissait d'un système d'intelligence artificielle. Nulle part les collaborateurs des entreprises clientes n'étaient informés que leurs messages alimentaient un modèle de langage, ni que les données pouvaient être utilisées pour affiner les réponses.

L'amende de 150 000 € infligée en février 2026 visait exactement ce scénario. Un chatbot déployé sans information claire sur l'usage d'IA.

Nadia a commencé par le plus simple — ce qui, dans la conformité, est souvent le plus efficace. Elle a rédigé une notice d'information intégrée au widget. Trois paragraphes : ce que fait Lou, comment il traite les données, comment exercer ses droits. Pas un roman. Pas non plus une ligne cachée dans des CGU que personne ne lit.

L'IA Act, entré en application progressive depuis août 2024, imposait déjà l'obligation de transparence pour tout système d'IA interagissant avec des personnes physiques. Le RGPD, lui, exigeait cette information depuis 2018 via les articles 13 et 14. Le double régime était désormais en vigueur, et la CNIL avait montré qu'elle ne distinguait plus entre les deux quand elle sanctionnait.

Petit détail que Nadia a découvert en rédigeant : le décret d'application de l'IA Act en France, publié le 20 mars 2026, désignait l'autorité nationale de surveillance. Cela signifiait concrètement qu'en plus de la CNIL sur le volet RGPD, une autorité spécifique allait superviser la conformité IA Act. Deux régulateurs, deux corpus de règles, un seul chatbot. Elle a noté ça dans le registre des traitements. Et soupiré.

Deuxième chantier : quelle base légale, au juste ?

C'est la question qui empêche les DPO de dormir. Pour traiter des données personnelles, le RGPD exige une base légale parmi six options (article 6). En pratique, les startups d'IA se rabattent presque toujours sur l'intérêt légitime. C'est commode. C'est souple. Et c'est en train de s'effondrer.

Trois des quatre décisions CNIL IA de 2026 impliquaient des organismes qui avaient choisi l'intérêt légitime. Trois sur quatre. La CNIL a balayé l'argument à chaque fois, estimant que l'atteinte aux droits des personnes — profilage, scoring, défaut d'information — l'emportait sur l'intérêt invoqué.

Pour Lou, le chatbot RH, Nadia a fait un choix différent. Plutôt que l'intérêt légitime du responsable de traitement (l'entreprise cliente), elle a proposé le contrat de travail comme base — article 6.1.b du RGPD. Le chatbot faisait partie de l'outil RH mis à disposition des salariés dans le cadre de leur relation contractuelle avec l'employeur.

Sauf que. Toujours un « sauf que ».

Le CEPD — ce comité européen qui chapeaute les CNIL nationales — avait publié en février 2026 un avis sur l'articulation entre IA Act et RGPD. Sa lecture révélait une nuance que Nadia avait d'abord manquée : quand un système d'IA traite des données à des fins qui dépassent la finalité initiale (par exemple, réentraîner un modèle à partir des conversations), le changement de finalité impose soit un nouveau consentement, soit une base légale distincte. Le contrat de travail ne couvrait pas le réentraînement.

Résultat : deux bases légales pour un même chatbot. Contrat pour le traitement des questions RH. Consentement explicite pour toute utilisation des conversations à des fins d'amélioration du modèle. Nadia a passé un week-end à réécrire la documentation technique.

La parenthèse France Travail

Un mot sur un sujet connexe, parce qu'il a pesé dans les discussions internes de la startup. En janvier 2026, la CNIL a infligé 5 millions d'euros à France Travail pour une violation de données. Pas de l'IA à proprement parler — un défaut de sécurité classique. Mais le montant a circulé dans tout l'écosystème tech français.

5 millions. Pour un organisme public.

Le CEO de la startup a cessé de sourire en comité produit après ça. La CNIL, manifestement, frappait large.

Troisième chantier : l'AIPD, ce document que personne ne veut écrire

L'Analyse d'Impact relative à la Protection des Données — AIPD, ou DPIA en anglais — est le document que tout le monde repousse. C'est long, c'est technique, c'est souvent perçu comme un exercice bureaucratique. Et pourtant.

100 000 € d'amende en décembre 2025 pour un scoring crédit déployé sans AIPD.

L'article 35 du RGPD impose cette analyse quand un traitement est « susceptible d'engendrer un risque élevé pour les droits et libertés des personnes physiques ». Un chatbot IA qui traite des données RH ? Risque élevé, a tranché Nadia sans hésiter. Profilage potentiel, données relatives à l'emploi, traitement automatisé à grande échelle. Trois des neuf critères du Groupe de travail Article 29 (devenu l'EDPB) cochés.

Le problème, c'est que réaliser une AIPD sérieuse prend du temps. Nadia a structuré la sienne en sept blocs : description du traitement, nécessité et proportionnalité, cartographie des risques, mesures de sécurité, droits des personnes, suivi et révision, consultation de la CNIL si risque résiduel élevé.

Un point l'a surprise. En cartographiant les risques, elle a découvert que Lou, le chatbot, pouvait dans certains cas générer des réponses qui orientaient les collaborateurs vers des dispositifs RH spécifiques — mutuelle, aide sociale, médecine du travail — en fonction du contenu de leurs questions. Le modèle ne « profilait » pas au sens classique. Mais il effectuait une forme de catégorisation implicite.

Est-ce du profilage au sens de l'article 22 du RGPD ? Probablement pas, au sens strict. Mais les lignes directrices de la Commission européenne sur les systèmes d'IA à risque élevé, publiées le 1er avril 2026, précisaient les exigences de documentation pour tout système susceptible d'affecter l'accès à des services. Le chatbot, en orientant vers la médecine du travail plutôt que vers la mutuelle, pouvait tomber dans cette catégorie.

Nadia a ajouté un paragraphe à l'AIPD. Et un filtre dans le pipeline du modèle pour que les orientations soient toujours accompagnées d'un lien vers un interlocuteur humain RH.

Ce que le registre des traitements a révélé

Un truc que les articles sur la conformité oublient souvent de mentionner : le registre des traitements, c'est aussi un outil de diagnostic.

Quand Nadia a mis à jour le registre pour y intégrer les traitements liés à Lou, elle a découvert trois flux de données non documentés. Le premier : les logs de conversation stockés dans un bucket cloud sans chiffrement au repos. Le deuxième : un export hebdomadaire de métriques d'usage envoyé à un outil d'analytics tiers, sans clause contractuelle de sous-traitance (article 28 RGPD). Le troisième : un accès API ouvert à l'équipe de développement pour du debug, sans restriction de durée ni de périmètre.

Trois failles. Aucune n'était malveillante. Toutes existaient parce que le produit avait été construit vite, par une équipe technique qui pensait d'abord au fonctionnel et ensuite — beaucoup ensuite — à la conformité.

C'est banal. C'est aussi exactement ce que la CNIL trouve lors de ses contrôles.

Les 9 textes Legifrance qu'elle a dû éplucher

La conformité IA en France ne se résume pas au RGPD et à l'IA Act. C'est un paysage fragmenté. Nadia a identifié 9 textes sur Legifrance directement applicables à leur activité — décrets, arrêtés, circulaires. Parmi eux, l'arrêté du 28 février 2026 sur les modalités de déclaration des systèmes d'IA à risque élevé, qui imposait une procédure d'enregistrement dans la base européenne.

Leur chatbot relevait-il du « risque élevé » au sens de l'annexe III de l'IA Act ? La question n'était pas tranchée. Les systèmes IA dans le domaine de l'emploi y figurent — article 6.2, annexe III, point 4. Mais un chatbot d'assistance ne prend pas de décision d'embauche ou de licenciement. Il répond à des questions.

Nadia a opté pour la prudence. Elle a préparé le dossier d'enregistrement comme si le chatbot était à risque élevé, tout en documentant les arguments contraires. Si la classification changeait, elle serait prête. Si elle ne changeait pas, le travail de documentation restait utile pour l'AIPD et le registre RGPD.

Une forme de conformité par excès, assumée.

L'avis CEPD de février et le règlement délégué GPAI

Deux textes ont particulièrement compliqué la vie de Nadia en mars.

Le premier : l'avis du CEPD de février 2026 sur l'interprétation croisée de l'IA Act et du RGPD. Ce texte clarifiait — enfin — comment les deux réglementations s'articulaient. Bonne nouvelle : pas de contradiction frontale. Mauvaise nouvelle : les obligations se cumulent. Un système d'IA qui traite des données personnelles doit respecter et le RGPD et l'IA Act. Pas l'un ou l'autre.

Le second : le règlement délégué du 10 mars 2026 sur les modèles d'IA à usage général (GPAI). La startup utilisait un modèle fondation commercial, fine-tuné sur des données RH. Ce règlement imposait aux fournisseurs de modèles GPAI des obligations de documentation et de transparence. En tant qu'intégrateur — pas fournisseur — la startup n'était pas directement visée par ces obligations. Mais elle devait s'assurer que son fournisseur les respectait, sous peine de ne pas pouvoir justifier sa propre conformité en aval.

Nadia a envoyé un questionnaire de 14 points au fournisseur du modèle. Réponse reçue trois semaines plus tard, incomplète. Elle a relancé. Deux fois.

Six mois plus tard

Le comité produit d'avril ressemblait peu à celui de janvier. Le CEO ne souriait plus par réflexe — il posait des questions. Le CTO avait intégré un contrôle de conformité dans le pipeline CI/CD. La notice d'information de Lou avait été testée par un panel d'utilisateurs et reformulée deux fois.

Le chatbot n'avait pas été fondamentalement transformé. Il faisait toujours la même chose : répondre aux questions RH des collaborateurs. Mais la couche de conformité — documentation, transparence, base légale, AIPD, registre — avait changé la façon dont l'équipe pensait le produit.

Un changement culturel, pas seulement juridique.

Nadia avoue volontiers qu'elle ne sait toujours pas si leur chatbot est classé « risque élevé » au sens de l'IA Act. La question dépend de l'interprétation que fera l'autorité nationale de surveillance, récemment désignée par le décret du 20 mars. Les lignes directrices d'avril 2026 n'ont pas tranché tous les cas limites.

Mais elle sait une chose. Les quatre amendes CNIL IA ne visaient pas des systèmes plus dangereux que le leur. Elles visaient des systèmes moins bien documentés.

Ce que cette histoire dit du paysage réglementaire IA en France

136 textes réglementaires. Quatre sources distinctes (CNIL, Journal Officiel UE, Legifrance, CEPD). 550 000 € de sanctions IA en quatre mois, et 5 millions de plus pour France Travail. Un décret d'application. Un règlement délégué GPAI. Des lignes directrices sur les systèmes à risque élevé.

Le corpus ne cesse de croître.

Pour une startup de 23 personnes, la charge est réelle. Nadia y consacre environ 40 % de son temps — le reste va aux obligations RGPD classiques qui n'ont pas disparu sous prétexte que l'IA Act est arrivé.

Le paradoxe, c'est que cette charge est aussi un avantage concurrentiel. Les clients ETI de la startup commencent à poser des questions de conformité dans leurs appels d'offres. « Avez-vous réalisé une AIPD ? », « Quelle base légale utilisez-vous ? », « Êtes-vous enregistré dans la base européenne ? ». Ceux qui peuvent répondre oui gagnent le deal. Ceux qui bafouillent le perdent.

Nadia bafouille moins qu'en janvier.

Pour aller plus loin

Les obligations varient selon le type de système IA, le secteur, et le rôle (fournisseur, déployeur, intégrateur). Nous avons publié un récap détaillé sur le double régime IA Act et RGPD en France pour les DPO qui naviguent entre les deux textes. Si votre chatbot traite des données sensibles, notre guide sur la réalisation d'une AIPD en 7 étapes détaille la méthode concrète. Et pour ceux qui veulent comprendre les 13 questions les plus fréquentes autour des sanctions, notre FAQ sur les amendes CNIL IA fait le point.

Pour vérifier où en est votre propre conformité, notre checklist gratuite IA Act + template DPA couvre les points essentiels en un document téléchargeable.