IA et droit numérique : enjeux et cas pratiques en 2026
En moins d'un an, l'intelligence artificielle a obligé presque toutes les branches du droit numérique à se réécrire. Le 26 janvier 2026, la Commission européenne ouvre une enquête contre X après la diffusion massive d'images sexualisées produites par son IA Grok. Le 10 mars, la Cour de justice de l'Union européenne entend pour la première fois une affaire consacrée à l'IA générative et au droit d'auteur. Le 27 juillet, un règlement dit « omnibus » reporte une partie de l'AI Act à la fin de l'année 2027, tout en y ajoutant une nouvelle interdiction. IA et droit numérique avancent désormais ensemble, et chaque nouvel usage de l'intelligence artificielle met un texte existant à l'épreuve.
Comment l'IA remodèle-t-elle le droit numérique ? Entre IA et droit numérique, la relation est double. L'intelligence artificielle crée d'abord un droit propre, le règlement européen sur l'intelligence artificielle, qui classe les systèmes selon le risque qu'ils présentent. Elle force surtout les règles existantes à s'adapter : le RGPD pour les données d'entraînement, le droit d'auteur pour les œuvres absorbées par les modèles, le DSA pour les contenus générés, le droit de la responsabilité pour les dommages causés par un logiciel autonome.
Cet article dresse la carte des enjeux de l'IA et du droit numérique, puis les illustre par des cas pratiques tirés de l'actualité judiciaire et réglementaire de 2025 et 2026. Il s'adresse aux juristes, aux entreprises qui intègrent l'IA dans leurs outils et à tous ceux qui veulent savoir où passent désormais les lignes rouges. Pour les notions de base sur l'IA et le droit numérique, notre article sur la définition du droit numérique pose le cadre général.
IA et droit numérique : un nouveau socle européen
L'AI Act, premier droit propre de l'intelligence artificielle
Le règlement (UE) 2024/1689 sur l'intelligence artificielle, dit AI Act, est entré en vigueur le 1er août 2024. Il ne réglemente pas une technologie, mais des usages, classés selon leur niveau de risque, ce qui en fait la pièce centrale du dialogue entre IA et droit numérique. Les pratiques jugées inacceptables, comme la notation sociale, la manipulation des personnes vulnérables, la reconnaissance des émotions au travail et à l'école ou la constitution de bases de reconnaissance faciale par moissonnage d'images, sont interdites depuis le 2 février 2025. Les systèmes à haut risque, utilisés notamment pour le recrutement, l'éducation, le crédit, l'accès aux services essentiels ou la justice, devront respecter des exigences strictes de qualité des données, de documentation, de contrôle humain et de robustesse. Les autres systèmes sont soumis, pour l'essentiel, à des obligations de transparence. Les manquements les plus graves exposent à une amende pouvant atteindre 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial.
Depuis le 2 août 2025, les fournisseurs de modèles d'IA à usage général, ceux qui alimentent les assistants conversationnels, doivent tenir une documentation technique, mettre en place une politique de respect du droit d'auteur et publier un résumé suffisamment détaillé des contenus utilisés pour l'entraînement. Ceux dont les modèles présentent un risque systémique doivent en outre les évaluer, atténuer ces risques et signaler les incidents graves. Depuis le 2 février 2025, enfin, toute entreprise qui utilise un système d'IA doit former son personnel à ses usages et à ses limites, une obligation de littératie souvent ignorée qui touche directement le lien entre IA et droit numérique.
Le règlement omnibus de 2026 redessine le calendrier
Le règlement (UE) 2026/1744, dit omnibus numérique sur l'IA, est entré en vigueur le 27 juillet 2026, après son approbation par le Parlement européen le 16 juin et par le Conseil le 29 juin. Pour l'IA et le droit numérique, il repousse au 2 décembre 2027 l'application des obligations visant les systèmes à haut risque autonomes de l'annexe III, et au 2 août 2028 celle des systèmes intégrés dans des produits déjà réglementés, comme les machines ou les dispositifs médicaux. Les obligations de transparence de l'article 50 s'appliquent bien depuis le 2 août 2026, mais les fournisseurs de systèmes déjà sur le marché avant cette date ont jusqu'au 2 décembre 2026 pour marquer les contenus générés.
Le texte ne se limite pas à un report, et il touche directement l'IA et le droit numérique des contenus. Il ajoute à la liste des pratiques interdites les systèmes d'IA conçus pour générer des images sexuelles ou intimes non consenties et des contenus pédocriminels, à compter du 2 décembre 2026. Il étend certaines simplifications documentaires aux entreprises de taille intermédiaire, renforce les compétences du Bureau européen de l'IA sur les modèles à usage général et resserre le régime de traitement des données sensibles utilisées pour détecter les biais. Le report ne suspend rien de ce qui s'applique déjà : interdictions, littératie et obligations des modèles à usage général restent pleinement en vigueur.
IA et droit numérique : un empilement de textes à articuler
L'AI Act ne remplace aucun texte existant. Un même assistant conversationnel peut relever en même temps du RGPD, parce qu'il traite des données personnelles, du DSA, s'il est intégré à une plateforme, du droit d'auteur, parce qu'il a été entraîné sur des œuvres, du règlement sur la cyberrésilience, s'il est vendu comme produit, et de la nouvelle directive sur les produits défectueux, s'il cause un dommage. La difficulté pratique du couple IA et droit numérique tient moins à l'absence de règles qu'à leur superposition. En France, la régulation de l'IA et du droit numérique se partage entre plusieurs autorités : la CNIL a vocation à jouer un rôle central pour les systèmes qui touchent aux droits fondamentaux, aux côtés de l'Arcom pour les plateformes, de la DGCCRF pour les produits et de l'ANSSI pour la sécurité. Le tableau ci-dessous résume les cas pratiques d'IA et de droit numérique développés dans cet article et les textes qu'ils mobilisent.
| Question posée par l'IA | Texte principal | Cas pratique | Échéance clé |
|---|---|---|---|
| Entraîner un modèle sur des œuvres protégées | Art. L. 122-5-3 CPI, directive (UE) 2019/790, art. 53 AI Act | GEMA c. OpenAI, Like Company c. Google, auteurs français c. Meta | Obligations des modèles à usage général depuis le 2 août 2025 |
| Entraîner un modèle sur des données personnelles | RGPD, recommandations de la CNIL | Amende italienne contre OpenAI, entraînement de Meta sur les données européennes | Applicable dès maintenant |
| Générer des images sexuelles de personnes réelles | DSA, art. 226-8-1 du Code pénal, AI Act modifié | Grok : enquête de la Commission et information judiciaire à Paris | Nouvelle interdiction au 2 décembre 2026 |
| Trier des candidats ou noter des clients | Art. 22 RGPD, annexe III de l'AI Act | Arrêts SCHUFA et Dun & Bradstreet de la CJUE | Haut risque au 2 décembre 2027 |
| Réparer un dommage causé par une IA | Directive (UE) 2024/2853 | Logiciels et systèmes d'IA traités comme des produits | Transposition avant le 9 décembre 2026 |
IA et droit numérique : cas pratiques d'auteur et de données
Entraîner une IA sur des œuvres : le cas GEMA contre OpenAI
Le droit d'auteur est la branche où le choc entre IA et droit numérique est le plus visible. Pour entraîner un modèle, il faut copier d'immenses volumes de textes, d'images et de sons. Le droit européen autorise la fouille de textes et de données, prévue par l'article 4 de la directive (UE) 2019/790 et transposée en France à l'article L. 122-5-3 du Code de la propriété intellectuelle, mais il permet aux titulaires de droits de s'y opposer par un procédé lisible par machine. Toute la question est de savoir si cette exception couvre l'entraînement d'une IA générative, et ce qui se passe lorsque le modèle restitue les œuvres qu'il a absorbées.
Le 11 novembre 2025, le tribunal régional de Munich a donné raison à la GEMA, société allemande de gestion des droits musicaux, contre OpenAI. Les juges ont constaté que les modèles GPT-4 et GPT-4o pouvaient restituer presque mot pour mot les paroles de neuf chansons allemandes. Pour eux, cette mémorisation constitue une reproduction des œuvres dans le modèle lui-même, que l'exception de fouille de textes et de données ne couvre pas. OpenAI a fait appel. À l'inverse, la Haute Cour de Londres a jugé, le 4 novembre 2025, dans l'affaire Getty Images contre Stability AI, que le modèle de génération d'images ne stockait pas les photographies d'entraînement et ne constituait donc pas une copie contrefaisante. Deux juridictions européennes, deux lectures opposées du même phénomène technique : c'est dire l'incertitude qui pèse sur l'IA et le droit numérique en matière d'œuvres.
Like Company contre Google : la CJUE saisie pour la première fois
La réponse viendra de Luxembourg, dans le premier grand dossier d'IA et de droit numérique soumis à la Cour. Dans l'affaire C-250/25, un éditeur de presse hongrois reproche à Google d'avoir laissé son assistant Gemini reproduire le contenu de l'un de ses articles. La juridiction hongroise demande à la Cour de justice si la réponse d'un chatbot peut constituer une communication au public, si l'entraînement d'un modèle est un acte de reproduction, si l'exception de fouille de textes et de données peut le couvrir et si le droit européen s'applique lorsque l'entraînement a lieu hors de l'Union. L'audience s'est tenue le 10 mars 2026. L'arrêt à venir fixera, pour les vingt-sept États membres, la grille de lecture de l'entraînement des IA au regard du droit d'auteur.
En France, les auteurs et les éditeurs contre Meta
Le contentieux de l'IA et du droit numérique est aussi français. Le 6 mars 2025, le Syndicat national de l'édition, la Société des gens de lettres et le Syndicat national des auteurs et des compositeurs ont assigné Meta devant la troisième chambre du tribunal judiciaire de Paris, spécialisée en propriété intellectuelle. Ils lui reprochent d'avoir entraîné son modèle Llama sur des livres protégés, invoquent la contrefaçon et le parasitisme et réclament le retrait des œuvres des jeux de données. Pour une entreprise qui intègre un modèle tiers, la leçon pratique est immédiate : exiger du fournisseur des garanties contractuelles sur l'origine des données d'entraînement et sur le respect des oppositions exprimées par les titulaires de droits. Nous avons détaillé ces enjeux dans notre dossier sur les données personnelles et l'IA.
Données d'entraînement : l'intérêt légitime sous conditions
Le RGPD pose la seconde grande question du couple IA et droit numérique : sur quelle base juridique entraîner un modèle avec des données personnelles ? Le consentement de chaque personne est impossible à recueillir à cette échelle. Dans ses recommandations publiées le 19 juin 2025, la CNIL admet que l'intérêt légitime puisse fonder l'entraînement, à condition que le développeur limite la collecte, exclue les données sensibles lorsque c'est possible, respecte les refus exprimés par les sites et facilite l'exercice du droit d'opposition. Le moissonnage massif et indifférencié du web reste donc encadré, et non interdit.
Dans ce volet de l'IA et du droit numérique, les autorités européennes ont déjà sanctionné. En décembre 2024, l'autorité italienne de protection des données a infligé 15 millions d'euros d'amende à OpenAI pour avoir entraîné ChatGPT sans base légale suffisante, manqué à son obligation de transparence et négligé la vérification de l'âge des utilisateurs. En mai 2025, Meta a commencé à entraîner ses modèles sur les publications publiques de ses utilisateurs européens adultes, après leur avoir ouvert un droit d'opposition. Pour l'utilisateur, le droit d'opposition reste l'outil le plus concret ; pour l'entreprise, l'analyse d'impact préalable devient indispensable dès que l'IA traite des données à grande échelle. Les droits d'accès et de rectification se heurtent enfin à une difficulté inédite pour l'IA et le droit numérique : une information fausse sur une personne réelle, inventée par un modèle, ne figure dans aucune base de données que l'on pourrait simplement corriger.
IA et droit numérique : contenus, décisions et responsabilité
Les deepfakes de Grok : trois régimes pour un seul incident
Début janvier 2026, des milliers d'utilisateurs de X ont demandé à Grok de « déshabiller » des photos de femmes, parfois de mineures, publiées sur la plateforme. L'Arcom a appelé les victimes à se manifester. Le 26 janvier 2026, la Commission européenne a ouvert une procédure formelle au titre du DSA pour vérifier si X avait évalué et atténué les risques de son outil avant de le déployer dans l'Union. À Paris, l'enquête ouverte en janvier 2025 sur X a été élargie à Grok ; après une perquisition dans les locaux parisiens de la société en février 2026 et une convocation d'Elon Musk à laquelle il ne s'est pas rendu, le parquet a ouvert une information judiciaire le 7 mai 2026, visant notamment la complicité de diffusion d'images pédocriminelles et les hypertrucages à caractère sexuel.
Ce cas pratique montre comment IA et droit numérique se combinent. Le DSA saisit la plateforme et sa gestion des risques. Le droit pénal saisit les auteurs, avec l'article 226-8-1 du Code pénal, créé par la loi SREN du 21 mai 2024, qui punit la diffusion sans consentement d'un hypertrucage à caractère sexuel de trois ans d'emprisonnement et 75 000 euros d'amende lorsqu'elle a lieu en ligne. L'AI Act saisira bientôt l'outil lui-même : à compter du 2 décembre 2026, un système conçu pour générer ce type d'images sera purement et simplement interdit dans l'Union, et les contenus générés devront porter un marquage détectable.
Décisions automatisées : le droit d'obtenir une explication
En matière d'IA et de droit numérique, le report de l'AI Act ne laisse pas les personnes sans protection face aux algorithmes qui décident à leur place. L'article 22 du RGPD leur reconnaît le droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques ou les affectant de manière significative. Dans l'arrêt SCHUFA du 7 décembre 2023 (C-634/21), la CJUE a jugé que le score de crédit calculé par une agence constitue une telle décision dès lors qu'il joue un rôle déterminant dans le refus d'un prêt. Dans l'arrêt Dun & Bradstreet Austria du 27 février 2025 (C-203/22), elle a précisé que la personne concernée a droit à une explication de la procédure et des principes effectivement appliqués, et que le secret des affaires ne permet pas, à lui seul, de refuser toute information. Ces deux arrêts comptent parmi les décisions fondatrices de l'IA et du droit numérique.
Prenons le cas d'un employeur qui confie le tri des candidatures à un outil d'IA. Cet usage figure à l'annexe III de l'AI Act et sera soumis aux exigences du haut risque au 2 décembre 2027. Mais dès aujourd'hui, l'employeur doit informer les candidats, réaliser une analyse d'impact, garantir une intervention humaine réelle et consulter le comité social et économique, compétent sur l'introduction de nouvelles technologies en vertu de l'article L. 2312-8 du Code du travail. Un candidat écarté sans explication peut saisir la CNIL ou le juge, ce qui place le couple IA et droit numérique au cœur du contentieux de l'embauche. En matière d'IA et de droit numérique, attendre 2027 pour se mettre en conformité revient à ignorer des obligations déjà en vigueur.
Responsabilité : quand l'IA cause un dommage
Le dernier chantier de l'IA et du droit numérique est celui de la réparation. La directive (UE) 2024/2853 relative à la responsabilité du fait des produits défectueux, qui doit être transposée avant le 9 décembre 2026, range expressément les logiciels et les systèmes d'IA parmi les produits. Le fabricant répondra sans faute du dommage causé par un défaut, y compris lorsque ce défaut tient à une mise à jour, à l'absence de correctif de sécurité ou à un comportement appris après la mise sur le marché. La victime bénéficiera de présomptions et pourra obtenir du juge la communication d'éléments techniques, un apport décisif pour l'IA et le droit numérique. Le projet de directive spécifique sur la responsabilité en matière d'IA ayant été retiré par la Commission en 2025, ce texte devient le principal levier européen pour mettre en cause l'éditeur d'un système défaillant, à côté du droit commun de la faute.
IA et droit numérique : ce que les entreprises doivent faire maintenant
La première étape consiste à cartographier les systèmes d'IA utilisés, y compris les outils grand public adoptés sans autorisation par les équipes, et à déterminer leur catégorie au regard de l'AI Act. Il faut ensuite former le personnel, adopter une charte d'usage, mener les analyses d'impact exigées par le RGPD et revoir les contrats fournisseurs pour obtenir des garanties sur les données d'entraînement, la sécurité et la répartition des responsabilités. Les entreprises qui diffusent des contenus générés, premières concernées par ce volet de l'IA et du droit numérique, doivent enfin anticiper le marquage et l'information du public prévus par l'article 50 de l'AI Act.
Pour les cabinets d'avocats, les juristes et les legaltechs qui accompagnent cette transition, la pédagogie est devenue un levier commercial. Les dirigeants cherchent des réponses précises sur l'IA et le droit numérique au moment où la question se pose, et des analyses à jour, appuyées par un audit SEO et des contenus juridiques rédigés pour le référencement, permettent d'être trouvé à cet instant. L'intelligence artificielle ne crée pas un droit à part : elle oblige le droit numérique tout entier à démontrer qu'il sait encore s'appliquer.
IA et droit numérique : questions fréquentes
Comment l'IA remodèle-t-elle le droit numérique ?
Elle crée un droit propre, l'AI Act, qui classe les systèmes selon leur niveau de risque, et oblige les règles existantes à s'adapter : le RGPD pour les données d'entraînement, le droit d'auteur pour les œuvres utilisées par les modèles, le DSA pour les contenus générés et le droit de la responsabilité pour les dommages causés par un logiciel autonome.
Quels textes encadrent l'IA et le droit numérique en 2026 ?
Principalement le règlement (UE) 2024/1689, dit AI Act, modifié par le règlement omnibus (UE) 2026/1744, le RGPD, le DSA, la directive de 2019 sur le droit d'auteur et la directive (UE) 2024/2853 sur les produits défectueux. En France s'ajoutent le Code de la propriété intellectuelle, le Code pénal modifié par la loi SREN et le Code du travail.
IA et droit numérique : peut-on entraîner une IA sur des œuvres protégées ?
L'exception de fouille de textes et de données le permet en principe, sauf si le titulaire des droits s'y est opposé par un procédé lisible par machine. Mais en novembre 2025, un tribunal de Munich a jugé que la mémorisation de paroles de chansons par un modèle constituait une reproduction non couverte. La CJUE doit trancher dans l'affaire Like Company contre Google.
IA et droit numérique : qui répond des deepfakes générés par une IA ?
L'auteur de la diffusion encourt jusqu'à trois ans d'emprisonnement et 75 000 euros d'amende pour un hypertrucage sexuel diffusé en ligne sans consentement. La plateforme répond de sa gestion des risques au titre du DSA, comme le montre l'enquête ouverte contre X pour Grok. À partir du 2 décembre 2026, l'AI Act interdit en outre les outils conçus pour ces contenus.
Quand s'appliquent les règles de l'IA et du droit numérique sur le haut risque ?
Depuis le règlement omnibus de juillet 2026, les obligations visant les systèmes à haut risque de l'annexe III, comme le recrutement ou le crédit, s'appliquent le 2 décembre 2027, et celles des systèmes intégrés à des produits réglementés le 2 août 2028. Les interdictions, la formation du personnel et le RGPD s'appliquent déjà.
Le présent article revêt une portée strictement informationnelle et journalistique. CTRLZed n'est pas un cabinet d'avocats et ne dispense aucun conseil juridique personnalisé. Les procédures citées sont décrites selon les informations publiées au 29 octobre 2026 ; plusieurs restent pendantes et les actes d'application de l'AI Act continuent d'évoluer. Rédaction CTRLZed.
Faire entendre votre expertise au bon endroit
Création de contenu éditorial qui porte votre voix.
