EU AI Act et biométrie : vidéosurveillance, reconnaissance faciale, contrôle d'accès, reconnaissance des émotions — ce qui est interdit, ce qui est haut risque, ce qui s'applique le 2 août 2026

La biométrie est le seul domaine ou l'EU AI Act ne se contente pas d'encadrer : il interdit. Reconnaissance faciale pour repérer un voleur en magasin, badgeuse a empreinte ou a visage pour ouvrir une porte, caméra qui compte et "analyse" les clients, logiciel qui prétend lire l'humeur d'un candidat en entretien ou la fatigue d'un opérateur sur une ligne : ces usages se diffusent vite dans les commerces, les sites logistiques, les usines et les bureaux. Beaucoup d'entreprises les ont installes en pensant ne traiter qu'un sujet RGPD. C'est une erreur de périmètre. L'AI Act ajoute une couche distincte, et certaines de ces fonctions sont déjà illégales depuis le 2 février 2025, indépendamment de toute mise en conformité RGPD. Cet article fait le tri, catégorie par catégorie, pour une entreprise française : ce qui est interdit, ce qui est à haut risque, ce qui relève de la simple transparence le 2 août 2026, et ce qu'il faut faire concrètement.

Calendrier à jour. Les pratiques interdites (article 5) et la littératie IA (article 4) s'appliquent depuis le 2 février 2025. La transparence (article 50) est due le 2 août 2026. Les obligations des systèmes à haut risque de l'Annexe III ont été reportées au 2 décembre 2027 par le Digital Omnibus (accord politique du 7 mai 2026, texte de compromis du 13 mai). Particularité de la biométrie : son volet le plus contraignant n'est pas le haut risque repousse à 2027, mais l'interdit, déjà en vigueur.

Premier réflexe : la biométrie est un cas à part dans l'AI Act

Le règlement organise les systèmes d'IA en quatre niveaux : risque inacceptable (interdit), haut risque, risque limite (transparence), risque minimal. La plupart des usages d'entreprise tombent dans les deux derniers. La biométrie, elle, est le domaine ou l'on trouve le plus de cas interdits et de cas haut risque. Concrètement : avant de se demander "quelle documentation dois-je produire", une entreprise qui utilise de la reconnaissance faciale ou de la détection d'émotions doit d'abord se demander "ai-je le droit, tout court". Le tri ci-dessous suit cet ordre.

Ce qui est PUREMENT INTERDIT (article 5, en vigueur depuis février 2025)

Quatre pratiques biométriques sont bannies. Les utiliser expose au plafond de sanction le plus élevé de tout le règlement : jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial.

• La reconnaissance des émotions au travail et a l'école. Un système qui prétend déduire l'état émotionnel d'un salarié ou d'un élève (stress, engagement, fatigue, sincérité) est interdit dans les lieux de travail et les établissements d'enseignement, sauf raisons strictement médicales ou de sécurité. Cela vise directement les outils de "scoring émotionnel" d'entretiens d'embauche, les caméras de surveillance de l'attention, ou les dispositifs censés détecter la lassitude d'un opérateur. Si votre RH ou votre site industriel a déployé ce type de fonction, elle doit être désactivée.
• La catégorisation biométrique fondée sur des attributs sensibles. Déduire d'un visage ou d'une donnée biométrique l'origine ethnique, les opinions politiques, l'appartenance syndicale, les convictions religieuses ou philosophiques, la vie ou l'orientation sexuelle est interdit. Cela concerne certains outils de "profilage client" ou de ciblage marketing trop ambitieux.
• Le moissonnage non cible d'images de visages issues d'Internet ou de la vidéosurveillance pour constituer ou enrichir des bases de reconnaissance faciale.
• L'identification biométrique à distance en temps réel dans les espaces publics à des fins répressives, réservée à des exceptions très étroites et à des autorités, donc hors de portée d'une entreprise privée.

Le point qui surprend le plus les entreprises est le premier : la reconnaissance des émotions au travail. Beaucoup de solutions de recrutement ou de "people analytics" l'ont intégrée comme argument commercial. Elle est aujourd'hui illégale, sans période de grâce. Voir notre guide AI Act pour les DRH et le recrutement.

Ce qui est HAUT RISQUE (Annexe III, obligations applicables au 2 décembre 2027)

Quand la biométrie n'est pas interdite, elle bascule le plus souvent en haut risque. L'Annexe III classe ainsi :

• les systèmes d'identification biométrique à distance (identifier une personne en la comparant à une base, par exemple la reconnaissance faciale anti-vol qui cherche un individu connu dans un flux vidéo) ;
• les systèmes de catégorisation biométrique non interdits ;
• les systèmes de reconnaissance des émotions autorises (hors travail et école).

Attention à une distinction technique qui change tout. Un contrôle d'accès qui compare votre empreinte ou votre visage au seul gabarit que vous avez vous-même enregistré pour déverrouiller votre propre telephone, votre poste ou une porte (vérification "un contre un", à votre demande) n'est généralement pas un système d'identification à distance à haut risque. En revanche, un dispositif qui scrute un flux et cherche à reconnaître des personnes dans une foule "un contre plusieurs", sans action de leur part, est un système d'identification à distance, donc haut risque. La frontière est donc : vérification consentie un-contre-un = encadre mais léger ; identification à distance un-contre-plusieurs = haut risque.

Pour les systèmes effectivement haut risque, votre entreprise est en général déployeur, pas fournisseur : vous devez utiliser le système conformément à sa notice, assurer une supervision humaine, surveiller son fonctionnement, conserver les journaux, et informer les personnes concernées. La documentation technique lourde et l'évaluation de conformité pèsent sur le fournisseur. Pour cartographier qui fait quoi, lisez notre guide fournisseur, déployeur ou importateur.

Ce qui s'applique des le 2 août 2026 : la transparence (article 50)

C'est l'échéance proche. Lorsque vous exploitez un système de reconnaissance des émotions autorise ou un système de catégorisation biométrique, vous devez informer les personnes exposées de leur fonctionnement. Une caméra "intelligente" en magasin, un dispositif d'analyse de file d'attente, un controle d'accès à la biométrie : les personnes doivent être informées de maniere claire, en plus de la signalétique RGPD habituelle. Cette obligation de transparence n'attend pas 2027 ; elle tombe le 2 août 2026, en même temps que les autres mentions de l'article 50 (voir notre guide article 50).

Le double socle : AI Act + RGPD (et CNIL)

La biométrie est le terrain ou les deux réglementations se superposent le plus étroitement. Le RGPD qualifie les données biométriques de données sensibles : leur traitement est en principe interdit sauf exception (consentement explicite, obligation légale, etc.), impose une AIPD (analyse d'impact) dans la quasi-totalité des cas, et la CNIL surveille de près le controle d'accès biométrique sur le lieu de travail, qu'elle n'admet que lorsqu'un badge ou un code ne suffit pas. Autrement dit : un dispositif peut être licite au regard de l'AI Act (par exemple une vérification un-contre-un) tout en étant refuse par la CNIL faute de necessite démontrée. La conformité biométrique se gagne donc sur deux fronts à la fois. Notre méthode d'analyse d'impact sur les droits fondamentaux aide à documenter ce double socle.

Cas concrets : que faire selon votre situation

Commerce qui veut de la reconnaissance faciale anti-vol. C'est un système d'identification à distance, haut risque, et le RGPD plus la doctrine CNIL le rendent très difficile à justifier (necessite, proportionnalité). À réserver à des cas étroits, fortement documentes, avec information renforcée. Le plus souvent, des mesures non biométriques sont préférables.

Entreprise avec badgeuse biométrique. Si c'est une vérification un-contre-un consentie, le sujet est surtout RGPD/CNIL (necessite). Cote AI Act, transparence et bon usage. Pas de bascule automatique en haut risque.

RH ou site industriel avec "détection d'émotions/attention". Interdit au travail (article 5). À retirer immédiatement.

Caméra de comptage et d'analyse client. Si elle déduit des attributs sensibles, interdit ; si elle "catégorise" ou "lit des émotions" de façon autorisée, transparence due le 2 août 2026 + RGPD.

Par ou commencer : recenser avant de paniquer

La première étape n'est pas juridique, elle est pratique : cartographier tous les dispositifs qui touchent au visage, à la voix, a l'empreinte ou au comportement physique dans votre organisation, y compris ceux installes par un prestataire de sécurité. Pour chacun, posez trois questions dans l'ordre : (1) est-ce une pratique interdite (émotions au travail, catégorisation sensible) ? si oui, on arrête ; (2) sinon, est-ce de l'identification à distance un-contre-plusieurs (haut risque) ou de la vérification un-contre-un (léger) ? (3) dans tous les cas, l'information des personnes au titre de l'article 50 et l'AIPD RGPD sont-elles en place pour le 2 août 2026 ? Cette cartographie est exactement ce que produit notre registre des systèmes d'IA.

FAQ — Biométrie et EU AI Act

La reconnaissance faciale est-elle interdite par l'AI Act ?

Pas en bloc. Certaines formes sont interdites (moissonnage d'images de visages, identification temps réel dans l'espace public à des fins répressives), la plupart des usages d'identification à distance sont à haut risque, et la vérification un-contre-un consentie est encadrée mais légère. Le RGPD et la CNIL ajoutent leurs propres exigences, souvent plus restrictives en pratique.

Puis-je utiliser un logiciel qui détecte les émotions des candidats en entretien ?

Non. La reconnaissance des émotions sur le lieu de travail (ce qui inclut le recrutement) est une pratique interdite par l'article 5 depuis le 2 février 2025, sauf raisons médicales ou de sécurité. Le risque est le plafond de sanction maximal (35 M EUR ou 7 % du CA mondial).

Une badgeuse biométrique me met-elle en haut risque AI Act ?

Généralement non si c'est une vérification un-contre-un à la demande de la personne. Le sujet principal est alors le RGPD et la position de la CNIL sur la necessite du dispositif. Une badgeuse qui identifierait des personnes dans un flux sans leur action serait, elle, un système d'identification à distance à haut risque.

Qu'est-ce qui tombe vraiment le 2 août 2026 pour mon entreprise ?

L'obligation de transparence de l'article 50 : informer les personnes lorsqu'elles sont exposées à un système de reconnaissance des émotions ou de catégorisation biométrique autorise. Les obligations de haut risque, elles, sont reportées au 2 décembre 2027, mais les interdits de l'article 5 s'appliquent déjà.

Comment savoir ou j'en suis sans être juriste ?

Faites le diagnostic gratuit de MaConformite en 3 minutes sur maconformite.fr : vous obtenez la liste de vos obligations AI Act selon vos usages réels, votre score de conformité et une estimation du temps de mise en conformité, sans carte bancaire.

Conclusion

La biométrie est le domaine le plus sévèrement traite par l'EU AI Act parce qu'il touche au corps et aux libertés. Pour une entreprise, la bonne séquence est claire : vérifier d'abord qu'aucun dispositif ne tombe dans l'interdit (émotions au travail, catégorisation sensible) — ce volet s'applique déjà et ne pardonne pas ; trier ensuite l'identification à distance (haut risque, 2 décembre 2027) de la vérification consentie (légère) ; puis sécuriser, pour le 2 août 2026, l'information des personnes au titre de l'article 50 et l'AIPD RGPD. Tout commence par un recensement honnête des caméras et capteurs déjà en place. Lancez le diagnostic gratuit de MaConformite pour savoir, usage par usage, ce qui s'applique à vous.