Partager l'article
Etiquettes
L’actualité juridique de cette première semaine d’avril 2026 marque un tournant décisif dans la régulation européenne et française du numérique.
Entre la structuration de la gouvernance de l’intelligence artificielle (AI Act), le renforcement des contrôles de la CNIL et les premières actions d’envergure fondées sur le Digital Services Act (DSA), les entreprises font face à un paysage normatif de plus en plus coercitif.
Le cabinet Tfeyl Avocat vous propose une analyse approfondie des cinq actualités majeures de la semaine, décryptées sous l’angle des risques contentieux et des stratégies de mise en conformité.
1. Gouvernance de l’IA : La CNIL prépare son rôle d’autorité de surveillance dans le domaine du travail
Le 3 avril 2026, la CNIL a dévoilé ses thématiques prioritaires de contrôle pour l’année en cours [1]. Parmi elles, le recrutement occupe une place centrale. La Commission a explicitement annoncé que ces contrôles cibleront les systèmes de prise de décision automatisée et les algorithmes de tri de CV utilisés par les grandes entreprises et les cabinets de recrutement.
L’articulation RGPD / AI Act
Cette annonce n’est pas anodine : la CNIL précise que cette thématique « préfigurera l’exercice par la CNIL de ses futures attributions en tant qu’autorité de surveillance de marché dans le champ « travail » au titre du règlement sur l’intelligence artificielle » [1].
En effet, l’annexe III de l’AI Act classe comme « à haut risque » les systèmes d’IA utilisés pour le recrutement, la sélection, l’évaluation des candidats et la gestion de la main-d’œuvre [2].
La Direction générale des Entreprises (DGE) avait déjà confirmé que la CNIL serait chargée du contrôle de ces systèmes spécifiques en France [2].
Recommandations pratiques
Les employeurs doivent impérativement :
•Cartographier leurs outils SIRH intégrant de l’IA (tri de CV, analyse sémantique des entretiens, scoring).
•Mener des Analyses d’Impact sur la Protection des Données (AIPD) spécifiques à ces outils.
•S’assurer que l’information délivrée aux candidats mentionne explicitement l’utilisation de traitements algorithmiques.
2. Jurisprudence IA et Santé : L’affaire Lokken v. UnitedHealth Group et le risque de « mauvaise foi »
L’utilisation de l’IA pour la prise de décision automatisée génère déjà un contentieux de masse aux États-Unis, dont les entreprises européennes doivent tirer les leçons. L’affaire Estate of Gene B. Lokken et al. v. UnitedHealth Group, Inc. (D. Minn., 2023-2026) illustre parfaitement ce risque [3].
Les faits et la décision
Dans cette action collective, les plaignants accusent l’assureur santé UnitedHealth d’avoir utilisé un algorithme (nH Predict) pour refuser systématiquement des prises en charge de soins post-aigus, en ignorant les recommandations des médecins traitants [3].
Le 9 mars 2026, le tribunal fédéral du Minnesota a rendu une ordonnance de discovery (communication de pièces) majeure : il a contraint l’assureur à fournir les documents internes détaillant le fonctionnement de l’algorithme, ses objectifs de développement, et surtout, s’il a été conçu pour « supplanter la prise de décision des médecins » [4].
Implications pour les acteurs de la santé en Europe
Bien que relevant du droit américain, cette affaire résonne fortement avec l’article 14 de l’AI Act européen, qui impose une « supervision humaine » (human oversight) pour les systèmes à haut risque.
•Le risque juridique : L’automatisation complète d’une décision ayant des effets juridiques ou médicaux majeurs, sans véritable revue humaine, expose l’entreprise à des actions en responsabilité civile (voire pénale).
•La transparence des algorithmes : Les juges n’hésitent plus à exiger l’accès aux « boîtes noires » algorithmiques pour vérifier l’absence de biais ou de conception fautive.
3. RGPD : Le nouveau référentiel de la CNIL sur les durées de conservation RH
Le 2 avril 2026, la CNIL a publié un référentiel très attendu concernant les durées de conservation des données dans le domaine de la gestion des ressources humaines [5].
Ce document, qui s’adresse à tous les employeurs publics et privés, couvre dix activités clés, allant du recrutement à la gestion des contentieux, en passant par les alertes professionnelles et la vidéosurveillance.
L’apport du référentiel
La force de ce document réside dans sa distinction claire entre :
1.Les durées obligatoires, fixées par des textes législatifs ou réglementaires (ex: conservation des bulletins de paie pendant 5 ans).
2.Les durées recommandées (droit souple), basées sur la doctrine de la CNIL pour répondre au principe de proportionnalité (ex: conservation des données d’un candidat non retenu pendant 2 ans maximum, sauf accord exprès).
Mise en conformité
Les directions juridiques et RH doivent auditer leurs Systèmes d’Information Ressources Humaines (SIRH) pour s’assurer que les politiques de purge automatique sont alignées sur ce nouveau référentiel. Une mise à jour du registre des activités de traitement (article 30 RGPD) est également requise.
4. Protection des mineurs : Le Sénat adopte la « liste noire » des réseaux sociaux
Le 31 mars 2026, le Sénat a adopté la proposition de loi visant à protéger les mineurs des risques liés aux réseaux sociaux [6].
Le mécanisme de la « liste noire »
Plutôt que d’opter pour une interdiction générale et absolue — qui risquait la censure du Conseil constitutionnel —, les sénateurs ont privilégié une approche ciblée. Le texte confie à l’ARCOM (Autorité de régulation de la communication audiovisuelle et numérique) la mission d’établir une « liste noire » des plateformes jugées dangereuses pour l’épanouissement physique, mental ou moral des mineurs de moins de 15 ans [6].
Les plateformes inscrites sur cette liste se verront interdire l’accès à ce public en France. Ce texte, qui doit encore passer en commission mixte paritaire, place la France à l’avant-garde de la régulation des réseaux sociaux en Europe.
5. Digital Services Act (DSA) : La Commission européenne ouvre une enquête formelle contre Snapchat
L’étau se resserre sur les Très Grandes Plateformes en Ligne (VLOPs). Le 26 mars 2026, la Commission européenne a annoncé l’ouverture d’une procédure formelle contre Snapchat pour manquements présumés au DSA [7].
Les griefs de la Commission
L’enquête porte spécifiquement sur la protection des mineurs. La Commission soupçonne que les paramètres par défaut de l’application ne fournissent pas un niveau suffisant de confidentialité et de sécurité pour les enfants [7]. Cette action s’inscrit dans une offensive plus large, la Commission ayant épinglé le même jour quatre sites pornographiques majeurs pour l’inefficacité de leurs systèmes de vérification d’âge (le simple clic « j’ai plus de 18 ans » étant jugé non conforme au DSA).
L’ère du « Privacy and Safety by Design »
Pour les éditeurs de services numériques, le message est clair : la conformité ne s’évalue plus seulement sur les conditions générales d’utilisation, mais sur l’architecture même de l’interface (UI/UX). Le Privacy by Design (RGPD) se double désormais d’un Safety by Design (DSA).
Cette veille juridique est fournie à titre d’information générale et ne saurait se substituer à une consultation juridique personnalisée.
Pour toute question relative à la mise en conformité de vos systèmes d’information ou de vos algorithmes, le cabinet Tfeyl Avocat se tient à votre disposition.
Références :
[1]: https://cnil.fr/fr/controles-prioritaires-2026 « CNIL, « Les contrôles en 2026 : recrutement, répertoire électoral unique et fédérations sportives », 3 avril 2026. »
[2]: https://www.entreprises.gouv.fr/priorites-et-actions/transition-numerique/soutenir-le-developpement-de-lia-au-service-de-0 « Direction générale des Entreprises (DGE ), « Les autorités compétentes pour la mise en œuvre du règlement européen sur l’intelligence artificielle », 9 septembre 2025. »
[3]: https://litigationtracker.law.georgetown.edu/litigation/estate-of-gene-b-lokken-the-et-al-v-unitedhealth-group-inc-et-al/ « Georgetown Law, Health Care Litigation Tracker, « Estate of Gene B. Lokken et al. v. UnitedHealth Group, Inc. et al. », consulté le 6 avril 2026. »
[4]: https://www.hunton.com/hunton-insurance-recovery-blog/court-allows-discovery-into-insurers-use-of-ai-to-deny-claims « Hunton Andrews Kurth, « Court Allows Discovery Into Insurer’s Use of AI to Deny Claims », 23 mars 2026. »
[5]: # « CNIL, « Gestion des ressources humaines : la CNIL publie un référentiel de durées de conservation », 2 avril 2026. »
[6]: https://www.senat.fr/salle-de-presse/communiques-de-presse/presse/31-03-2026/le-senat-adopte-la-liste-noire-des-reseaux-sociaux-interdits-aux-enfants-de-moins-de-15-ans.html « Sénat, « Le Sénat adopte la liste noire des réseaux sociaux interdits aux enfants de moins de 15 ans », 31 mars 2026. »
[7]: https://digital-strategy.ec.europa.eu/en/policies/strategy-better-internet-kids « Commission européenne, « European strategy for a better internet for kids – BIK+ », 26 mars 2026. »
