CNIL

Le 24 septembre 2026, Alliance Digitale a annoncé la relance du label Privacy Protection - Pact, destiné aux professionnels de la data, du marketing et de la publicité digitale souhaitant démontrer leur conformité en matière de protection des données personnelles. Pour son édition 2026-2027, le référentiel du label a été entièrement actualisé par un cabinet d'avocats afin d'intégrer les dernières recommandations de la CNIL, notamment sur les pixels dans les e-mails et l'encadrement du démarchage téléphonique. Le dispositif repose sur sept piliers, dont la gouvernance, les cookies et traceurs, la sécurité et les relations entre responsables de traitement et sous-traitants. Il s'agit d'un label d'engagement fondé sur une auto-évaluation documentée, non d'une certification RGPD accréditée. Les candidatures pour l'édition 2026-2027 sont ouvertes.

Le 15 septembre 2026, le député de la Charente René Pilato a déposé à l'Assemblée nationale la proposition de loi n° 3149 « visant à garantir le développement de systèmes d'intelligence artificielle éthique et sécurisé », cosignée par 69 autres députés. Ses 25 articles créent une Autorité nationale de l'intelligence artificielle (ANIA), autorité administrative indépendante de dix-huit membres calquée sur la CNIL, qui délivrerait une autorisation préalable de mise sur le marché et pourrait prononcer des amendes jusqu'à 7 % du chiffre d'affaires annuel mondial. Le texte, renvoyé à la commission des affaires économiques, interdit les systèmes conçus pour simuler une relation affective, exercer une emprise psychologique ou entretenir une dépendance affective, impose un marquage numérique indélébile des contenus générés et oblige fournisseurs et déployeurs à notifier tout dysfonctionnement menaçant la sécurité ou la santé des personnes dans un délai de 48 heures.

Le 26 août 2026, la CNIL a mis en ligne une nouvelle version de Genmod, démonstrateur développé par son service IA avec le Laboratoire d'innovation numérique (LINC) pour explorer la généalogie des modèles d'IA publiés en source ouverte, leurs ascendants comme leurs descendants, à partir des modèles et jeux de données publics de Hugging Face. Lancé en novembre 2025, l'outil est désormais disponible en français et en anglais, affiche la progression des recherches, accepte des requêtes simultanées via une file d'attente, classe les résultats par nombre de téléchargements et actualise ses données chaque semaine ; une requête sans limite aboutit en une vingtaine de secondes. La CNIL s'en sert pour étudier les conséquences de la mémorisation des données d'entraînement par les modèles et les conditions d'exercice des droits prévus par le RGPD. Genmod est accessible sur Hugging Face, à l'adresse huggingface.co/spaces/cnil/genmod.

Le 24 août 2026, la CNIL a publié un communiqué sur la sanction prononcée le 21 août par l'Autoriteit Persoonsgegevens (AP), son homologue néerlandaise, contre Uber B.V. et Uber Technologies Inc. : 824 990 000 euros d'amende pour violation de l'article 22 du RGPD, relatif aux décisions entièrement automatisées. Entre 2018 et 2022, un logiciel désactivait temporairement les comptes de chauffeurs en cas de suspicion de fraude ou de notes clients trop basses, et définitivement en cas de notes basses persistantes, sans examen humain ; l'AP relève aussi un défaut d'information des chauffeurs. La procédure est née d'une plainte collective déposée en 2020 auprès de la CNIL par la Ligue des droits de l'Homme au nom de 171 chauffeurs français, puis instruite par l'AP au titre du guichet unique. Uber a fait appel de la décision. C'est la quatrième amende de l'AP contre le groupe, après 600 000 euros en 2018, 10 millions en 2023 et 290 millions en 2024.

Le 20 juillet 2026, la CNIL et le Conseil de l'IA et du Numérique ont publié une note exploratoire sur les conséquences de l'IA agentique pour les données personnelles. Les deux organismes relèvent un changement d'échelle lié à l'accès des agents à de multiples sources, à la circulation des données entre services et à la conservation de mémoires persistantes, qui favorisent des profils utilisateurs très détaillés. L'autonomie des systèmes complique également le partage des responsabilités et étend les risques de cybersécurité aux services connectés. La note estime que le droit européen de la protection des données et la réglementation de l'IA s'appliquent déjà à ces systèmes, mais que leur autonomie, leur mémoire et leur capacité à agir au nom de l'utilisateur imposent d'adapter les modalités de mise en œuvre de ces règles.