“L’IA au service des Français” : les propositions de LR à l’épreuve du droit

Bruno Retailleau a publié en juillet 2026 un document de 56 pages intitulé « L’IA au service des Français ». C’est une source primaire, signée, datée, disponible sur le site des Républicains. Ce n’est pas un discours de meeting ni une synthèse journalistique : c’est un programme structuré en 11 propositions, avec une approche budgétaire chiffrée et un glossaire.

À ce stade de la campagne présidentielle, c’est le seul document de cette nature rendu public. Gabriel Attal a annoncé un plan à 200 milliards en meeting. Édouard Philippe a évoqué l’IA lors de son premier rassemblement. Le RN n’a pas encore formalisé de position. Analyser le programme LR n’est donc pas un choix politique : c’est analyser ce qui existe. Si d’autres candidats publient des documents comparables, ils appelleront le même traitement.

Ce document mérite une lecture juridique sérieuse. Non pas pour commenter les choix politiques qu’il contient, ce n’est pas l’objet de cet article, mais parce que plusieurs de ses propositions se heurtent frontalement au droit européen en vigueur. D’autres sont juridiquement fondées, voire déjà en cours de construction par les textes existants. Et certaines reposent sur une confusion entre ce qu’un gouvernement français peut décider seul et ce qui appartient à l’ordre juridique de l’Union européenne.

C’est cette distinction qui sera le fil conducteur de ce qui suit : pas seulement proposer, mais jusqu’où le droit permet de le faire.

Le socle : données souveraines et zéro surtransposition

Les propositions 1 et 4 forment le socle idéologique du programme. Elles sont aussi les plus révélatrices des confusions juridiques qu’il contient.

Sur la souveraineté des données (proposition 1), le programme propose d’héberger les données sensibles de l’État, de la santé et des secteurs vitaux sur des offres de type SecNumCloud, « intégralement sous juridiction européenne, hors d’atteinte des lois extraterritoriales ». Il prévoit également la création de Data Spaces sectoriels agrégés sous une marque commune baptisée EuroDatas.

Sur ce point, le droit est aligné avec l’ambition. Le règlement européen sur la gouvernance des données (Data Governance Act, entré en application en septembre 2023) crée précisément le cadre juridique des espaces de données sectoriels. L’European Health Data Space (EHDS), adopté en 2024, organise le partage des données de santé à l’échelle de l’Union. La qualification SecNumCloud est un standard ANSSI reconnu, qui s’articule avec le European Cybersecurity Certification Scheme on Cloud Services (EUCS) en cours de finalisation à Bruxelles. Ces instruments existent. La proposition 1 ne crée pas un nouveau cadre : elle s’inscrit dans l’un qui est déjà en construction. C’est sa partie la plus solide juridiquement.

Ce qui l’est moins, c’est le principe qu’elle accompagne : « la France n’imposera jamais plus que ce que l’Europe exige ».

Sur le zéro surtransposition (proposition 4), le document est explicite : « Toute règle devra être strictement limitée à ce que prévoient les textes européens, sans ajout national. » L’intention est lisible : mettre fin au zèle réglementaire français qui alourdit les contraintes au-delà de ce que Bruxelles impose. Mais elle heurte une réalité juridique précise.

Le RGPD n’est pas un texte monolithique. Il est un règlement à architecture ouverte, qui ménage délibérément des marges nationales : l’article 6§2 permet aux États membres de maintenir ou introduire des dispositions nationales pour préciser les bases légales de traitement liées à l’intérêt public. L’article 9§4 autorise des conditions supplémentaires pour le traitement des données sensibles. L’article 23 permet des restrictions nationales aux droits des personnes pour des motifs d’intérêt public. La loi Informatique et Libertés de 1978, dans sa version actuelle, mobilise précisément ces marges, notamment sur les données de santé, les données judiciaires, et les traitements à des fins de recherche.

Supprimer « tout ajout national » ne simplifie pas l’application du RGPD. Cela crée un vide là où le RGPD lui-même prévoit que les États légifèrent. Le résultat ne serait pas moins de réglementation : ce serait une réglementation incomplète, privée des précisions que le texte européen délègue expressément au niveau national.

La confusion entre ce qu’on peut alléger et ce qu’on ne peut pas toucher tient en partie à une méconnaissance de la hiérarchie des normes européennes. Le RGPD et l’AI Act sont des règlements et sont d’application directe et obligatoire dans tous leurs éléments. Ils ne fonctionnent pas comme des directives, qui fixent des objectifs tout en laissant aux États le choix des moyens de transposition. Un gouvernement national peut moduler une directive mais pas un règlement.

La dérogation au RGPD et à l’AI Act : le point de rupture juridique

C’est la proposition la plus commentée du programme, et de loin la plus problématique juridiquement. Le document la formule ainsi : instaurer « un régime expérimental de dérogation, pour une durée de trois ans, du RGPD et de l’AI Act lorsqu’ils entravent directement des projets de recherche, de test ou d’innovation à fort enjeu stratégique ». La décision d’accorder cette dérogation reviendrait au futur ministre délégué chargé de l’IA, qui « en apprécierait l’enjeu stratégique » après avis conforme (ou consultation) d’un comité d’experts.

Le problème n’est pas dans l’intention. Il est dans la nature juridique des textes visés.

Le RGPD est un règlement européen. Un règlement, au sens de l’article 288 du Traité sur le fonctionnement de l’Union européenne, est obligatoire dans tous ses éléments et directement applicable dans tout État membre. Il n’existe pas de mécanisme permettant à un gouvernement national de suspendre unilatéralement son application, même pour trois ans, même pour des projets jugés stratégiques. Ce n’est pas une question d’interprétation : c’est le principe de primauté du droit de l’Union, consacré depuis l’arrêt Costa c. ENEL en 1964. Un ministre français ne peut pas plus déroger au RGPD qu’il ne peut déroger au règlement sur les aides d’État.

L’AI Act, entré en vigueur en août 2024, est soumis au même régime. Sa montée en application est progressive, les interdictions absolues s’appliquent depuis février 2025, les obligations pour les systèmes à haut risque à partir de décembre 2027, mais il demeure un règlement européen d’application directe.

Ce que le programme présente comme une « dérogation » existe pourtant en droit, mais sous une forme très différente de ce que le document décrit. L’AI Act prévoit lui-même, aux articles 57 à 63, un dispositif de bacs à sable réglementaires (regulatory sandboxes). Ces environnements contrôlés permettent à des entreprises de tester des systèmes d’IA dans des conditions réelles, avec un assouplissement encadré de certaines obligations, sous la supervision de l’autorité nationale compétente. La France a désigné la CNIL et l’ANSSI comme autorités compétentes à ce titre. De même, l’article 89 du RGPD prévoit des dérogations spécifiques pour les traitements à des fins de recherche scientifique, encadrées, proportionnées, et soumises à des garanties.

Ces mécanismes existent déjà, et ils sont opérationnels. Mais ils ne fonctionnent pas sur décision ministérielle unilatérale : ils supposent une procédure, une supervision indépendante, et des garanties pour les personnes concernées. Ce que le programme propose, une dérogation accordée par le ministre sur appréciation de l’« enjeu stratégique », n’est pas une version simplifiée de ces dispositifs. C’est autre chose : une décision nationale sur un texte qui ne laisse pas cette compétence aux États membres.

La seule voie légale pour obtenir ce que le programme décrit serait une négociation à Bruxelles, soit pour modifier les textes eux-mêmes, soit pour créer un mécanisme d’exception coordonné au niveau européen. C’est un chantier politique de plusieurs années, qui suppose une majorité qualifiée au Conseil et l’accord du Parlement européen. Un gouvernement français ne peut pas le décider seul au début d’un mandat.

Une objection prévisible mérite d’être anticipée et consisterait en l’invocation de l’article 4§2 du Traité sur l’Union européenne, qui dispose que « la sécurité nationale reste de la seule responsabilité de chaque État membre ». C’est un argument réel, reconnu par la CJUE, et qui a permis à plusieurs États membres de justifier des dérogations ciblées au droit européen dans des contextes régaliens stricts (renseignement, défense, maintien de l’ordre).

Cette exception a des contours précis que le programme déborde largement. La CJUE l’a rappelé dans ses arrêts Schrems II et La Quadrature du Net : l’exception de sécurité nationale ne peut pas être invoquée de manière générale pour justifier des traitements de données à grande échelle sans garanties. Elle ne couvre pas l’innovation économique, l’administration numérique ou l’entraînement de modèles d’IA à des fins commerciales ou administratives générales. Autrement dit : elle permet de protéger un système de renseignement militaire. Elle ne permet pas de créer un régime dérogatoire au RGPD pour les startups françaises qui développent des modèles de fondation.

La question du risque contentieux est ici inséparable de la question de faisabilité. Si un gouvernement passait en force sur cette dérogation, les entreprises françaises qui s’appuieraient sur ce régime se retrouveraient dans une situation d’insécurité juridique majeure. Une question préjudicielle posée à la CJUE par n’importe quelle juridiction nationale d’un autre État membre suffirait à suspendre l’application du dispositif dans l’attente d’un arrêt. Si la Cour invalide la dérogation (ce qui, au regard de sa jurisprudence constante, est l’issue la plus probable) les traitements réalisés sous ce régime deviendraient rétroactivement non conformes. Pour une startup ayant construit son modèle économique sur cette fenêtre réglementaire, les conséquences seraient potentiellement fatales.

Il y a enfin un paradoxe économique que le programme ne voit pas. En promettant aux acteurs français une dérogation nationale au cadre européen, il les prive simultanément du principal avantage concurrentiel que ce cadre leur offre : la conformité à l’AI Act est le passeport d’accès au marché unique européen. Un système d’IA développé hors de ce cadre, même performant, ne peut pas être commercialisé légalement dans les vingt-six autres États membres sans une mise en conformité complète. Ce que le programme présente comme un allègement pour les entreprises françaises est en réalité un obstacle à leur expansion européenne.

L’IA Marianne et la décision administrative automatisée

La proposition 8 est celle qui occupe le plus de place dans la communication du programme. Un assistant administratif unique baptisé « Marianne », capable de traiter une demande de retraite « en trois minutes sans se déplacer », alimenté par l’automatisation de l’équivalent de 250 000 postes de fonctionnaires. Le document prend soin de préciser que « l’IA ne remplace pas l’agent public : elle lui rend son vrai métier ». Le programme projette 125 000 postes vacants par départ à la retraite non pourvus et 125 000 agents redéployés vers d’autres missions. Ce chiffre n’est pas anecdotique juridiquement : si les agents censés superviser Marianne disparaissent simultanément, la supervision humaine effective qu’exige l’article 14 de l’AI Act devient structurellement impossible.

Ce cadrage crée une tension juridique immédiate avec deux corpus de textes.

Le premier est le RGPD, article 22. Toute personne a le droit de ne pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques la concernant ou l’affectant de manière significative. Une demande de retraite traitée par Marianne produit précisément ce type d’effet. Le droit à l’intervention humaine, à l’expression du point de vue et à la contestation de la décision n’est pas une option : c’est une obligation dont les exceptions sont strictement encadrées par le texte lui-même et qui sont le consentement explicite, la nécessité contractuelle, ou l’autorisation législative assortie de garanties appropriées.

Le programme ne mentionne pas l’article 22. Il ne décrit pas non plus les garanties qui permettraient de s’inscrire dans ses exceptions. La supervision humaine évoquée « là où l’on a besoin d’un humain, nous en aurons davantage » est présentée comme un choix d’allocation des ressources, pas comme une obligation juridique structurant l’architecture du système.

Le second corpus est l’AI Act, Annexe III. Les systèmes d’IA utilisés par des autorités publiques pour évaluer l’éligibilité des personnes aux prestations et services publics essentiels, ou pour prendre des décisions à leur égard, sont classés à haut risque sans ambiguïté. Cette qualification n’est pas anodine : elle emporte un ensemble d’obligations précises avant tout déploiement. Une documentation technique complète. Un système de gestion des risques maintenu tout au long du cycle de vie. Des données d’entraînement répondant à des critères de qualité documentés. Un enregistrement dans la base de données européenne des systèmes d’IA à haut risque prévue à l’article 51. Et surtout, des mesures de supervision humaine effectives au sens de l’article 14, autrement dit pas formelles mais effectives : exercées par des personnes qui comprennent les capacités et les limites du système, et qui peuvent intervenir ou l’interrompre.

L’article France Travail publié sur ce site la semaine dernière documentait précisément ce que « supervision humaine » signifie en pratique quand les agents ne maîtrisent pas les paramètres du système qu’on leur demande de superviser. Marianne poserait exactement les mêmes questions, à une échelle sans comparaison : non pas 500 000 contrôles ciblés, mais l’ensemble des interactions administratives des Français avec l’État.

Ce que le programme ne dit pas et que le droit impose, c’est que déployer Marianne suppose d’abord de démontrer la conformité du système avant sa mise en service, sous le regard d’une autorité indépendante. En l’occurrence la CNIL, dont le programme prévoit par ailleurs de recentrer le mandat.

Vidéosurveillance algorithmique et recentrage de la CNIL : une contradiction interne

Ces deux propositions méritent d’être lues ensemble parce qu’elles se contredisent.

Sur la vidéosurveillance algorithmique (proposition 11), le programme autorise « dans un cadre strict et contrôlé » l’usage de la vision par ordinateur pour la sécurité publique, la lutte contre le terrorisme, la détection d’incendies et la protection des sites critiques. Il pose une limite explicite : « interdiction de la reconnaissance faciale en temps réel dans l’espace public à des fins de surveillance de masse ». Cette formulation mérite d’être lue attentivement, car elle est plus permissive qu’elle ne le paraît.

L’AI Act, en son article 5, pose des interdictions absolues sur certains usages de l’identification biométrique à distance en temps réel dans les espaces accessibles au public. Ces interdictions ne visent que la « surveillance de masse » mais les exceptions qu’il ménage sont strictement délimitées : recherche ciblée d’une victime spécifique d’enlèvement, de traite ou d’exploitation sexuelle, prévention d’une menace terroriste spécifique et imminente, identification d’un suspect dans le cadre d’une infraction pénale grave. Chaque usage doit faire l’objet d’une autorisation judiciaire ou administrative préalable, sauf urgence.

Le programme fait l’inverse : il autorise par principe et n’interdit que la « surveillance de masse » sans définir de seuil, ni encadrer les usages intermédiaires. Il ne précise pas non plus comment s’articulent les garanties qu’il mentionne avec le cadre européen existant, ni quelle autorité indépendante serait chargée du contrôle effectif de ces usages. Ce « cadre strict et contrôlé » reste une intention sans architecture juridique décrite.

Ce qui rend la lacune particulièrement visible, c’est la proposition 4 sur le recentrage de la CNIL.

Sur le recentrage de la CNIL (proposition 4), le document est explicite : l’autorité devra « mieux distinguer ce qui protège effectivement les personnes de ce qui bloque de façon disproportionnée l’entraînement des modèles ». Elle concentrera ses moyens sur « la protection des mineurs, des familles, des publics vulnérables et sur les abus manifestes des grandes plateformes ». Elle « ne doit plus être l’un des symboles de l’impossibilisme numérique français ».

Le problème est que la CNIL n’est pas une agence gouvernementale dont le mandat se définit par décret. C’est l’autorité de contrôle nationale désignée par le RGPD lui-même, en application de son article 51. Ce statut emporte deux conséquences que le programme ne mentionne pas.

La première est que l’indépendance de la CNIL est une exigence du RGPD, pas une tradition française. L’article 52 impose que l’autorité de contrôle agisse en toute indépendance dans l’exercice de ses missions et de ses pouvoirs. Un gouvernement peut nommer ses membres, définir son budget, orienter ses priorités dans les limites de la loi, mais il ne peut pas lui imposer de ne pas contrôler certains types de traitements sans violer le texte européen qui définit son existence.

La seconde est que le périmètre de contrôle de la CNIL est défini par le RGPD, pas par Paris. Réduire ce périmètre aux mineurs, familles et plateformes suppose soit de modifier le RGPD (ce qui n’est pas une décision nationale) soit d’accepter que la France soit en infraction avec ses obligations européennes, s’exposant à des procédures d’infraction de la Commission.

La contradiction interne est ici évidente : le programme confie à la vidéosurveillance algorithmique un « cadre strict et contrôlé », dont la crédibilité repose sur l’existence d’une autorité de contrôle indépendante et dotée de moyens réels, puis réduit le mandat et l’ambition de la seule autorité qui pourrait exercer ce contrôle. Ce n’est pas une incohérence de détail. C’est une tension structurelle qui traverse l’ensemble du programme.

Conclusion

Ce programme a le mérite rare d’exister sous forme écrite, structurée et chiffrée. C’est une base de travail sérieuse, et c’est précisément pour cette raison qu’elle supporte une analyse juridique rigoureuse.

Ce que cette lecture révèle n’est pas un programme mal intentionné. C’est un programme qui confond régulièrement deux niveaux de décision : ce qu’un gouvernement français peut faire seul, et ce qui appartient à l’ordre juridique de l’Union européenne. Cette confusion n’est pas anodine. Elle produit des propositions qui semblent opérationnelles mais qui, au contact du droit en vigueur, se heurtent à des obstacles que la volonté politique ne suffit pas à lever.

La proposition de dérogation au RGPD et à l’AI Act est la manifestation la plus nette de cette confusion. Les mécanismes qu’elle vise (sandboxes réglementaires, dérogations pour la recherche) existent déjà dans les textes européens, mais ils fonctionnent sous supervision indépendante, pas sur décision ministérielle. Présenter l’un comme l’équivalent de l’autre, c’est promettre une flexibilité que le droit ne permet pas dans la forme décrite.

Le recentrage de la CNIL suit la même logique : réduire le mandat d’une autorité dont l’indépendance et le périmètre sont définis par un règlement européen suppose de modifier ce règlement, pas de prendre un décret.

Ce qui est juridiquement solide dans ce programme mérite d’être dit aussi clairement. L’orientation vers SecNumCloud pour les données sensibles s’inscrit dans des cadres existants et cohérents. Les sandboxes de l’AI Act sont un levier réel, sous-utilisé en France. Le principe Buy European First tel que formulé dans le programme (une préférence systématique pour l’offre française et européenne dans la commande publique) se heurte aux mêmes obstacles que ceux documentés dans l’article sur l’audition d’Arthur Mensch. Les critères de souveraineté objectivés dans les appels d’offres ont une base juridique fragile, et ce que le programme présente comme un principe général est en réalité conditionné à une évolution du droit européen que la France ne peut pas décider seule.

La question qui restera ouverte après cette élection, quel qu’en soit le résultat, est celle que ce programme pose sans la résoudre : comment construire une politique nationale de l’IA ambitieuse dans un cadre réglementaire qui est, par définition, européen ? La réponse ne peut pas être de s’affranchir du cadre. Elle suppose de le comprendre assez finement pour en utiliser toutes les marges, et de peser suffisamment à Bruxelles pour en faire évoluer les limites.

C’est un travail de négociation, de durée et de technique juridique. L’illusion qu’un gouvernement national peut décider seul de s’affranchir du cadre européen n’est pas propre à ce programme, car c’est le piège classique des politiques numériques nationales face à un droit qui, par construction, ne laisse pas cette compétence aux États membres.

L’analyse, le cadrage juridique et les choix éditoriaux de cet article relèvent d’un travail humain. La rédaction a bénéficié d’une assistance par IA, intégralement relue, corrigée et validée par l’auteure.

Rédigé par Anne-Sophie
Juriste en droit du numérique & Fondatrice de Celestial Guardian

Certifiée CIPP/E (IAPP) et forte de 15 ans d’expérience au cœur d’écosystèmes fortement réglementés, j’aide les entreprises du numérique et les dirigeants tech à sécuriser leurs usages : ingénierie contractuelle, conformité RGPD & AI Act et gouvernance opérationnelle. Une approche de terrain pour transformer la contrainte juridique en levier stratégique.