CNPD et IA : ce que l'autorité attend des entreprises
· Mis à jour le
Joaquín Trapero in Expert en intelligence artificielle et en protection des données, fondateur de Nonimo.
La CNPD peut se présenter au siège social de votre société avec un ordre de mission, photographier ce qu’elle voit et vous laisser deux jours ouvrables pour envoyer votre registre. Ce n’est pas une hypothèse : c’est écrit dans ses délibérations de 2025.
Je parle ici de l’institution : qui la dirige depuis le 1er novembre 2026, ce qu’elle peut faire chez vous, ce qu’elle a sanctionné, ce qu’elle propose sur l’IA. Les règles du RGPD pour un projet d’IA sont dans notre guide RGPD et IA au Luxembourg.
La CNPD contrôle le RGPD au Grand-Duché, y compris quand vos équipes utilisent l'IA. Elle peut enquêter d'office, visiter vos locaux et infliger amendes ou injonctions. En 2025, cinq de ses sept décisions publiées visaient un registre des traitements incomplet.
Président et commissaires : un collège de quatre, renouvelé en novembre
La loi du 1er août 2018 fait de la CNPD un établissement public indépendant, doté de la personnalité juridique et de l’autonomie financière (article 3). Pas de directeur : un collège de quatre membres, dont un président, et quatre suppléants (article 16).
Nommés par le Grand-Duc pour six ans renouvelables une fois, ils agissent en toute indépendance (article 17). Ce collège tranche les dossiers luxembourgeois ; une plainte contre OpenAI suit un autre chemin, décrit dans notre page sur ChatGPT au Luxembourg.
Le collège a été renouvelé en partie le 1er novembre 2026 : Philippe Ney succède à Tine A. Larsen à la présidence. Je lirai de près ses premières décisions, pour voir si un avocat que la CNPD présente comme spécialiste de l’IA change la façon dont l’autorité traite ce terrain.
Le collège de la CNPD au 10 novembre 2026
La ligne surlignée est la nomination la plus récente à la tête de l'autorité.
| Membre | Fonction | En poste depuis | Avant la CNPD, selon sa fiche |
|---|---|---|---|
| Philippe Ney | Président | 1er novembre 2026 | Avocat au barreau de Luxembourg pendant 19 ans |
| Andreea Monnat | Commissaire | 1er novembre 2026 | Fonds national de la recherche |
| Alain Herrmann | Commissaire | 1er septembre 2021 | Expert informatique à la CNPD dès 2012 ; chef d'enquête dans les sept décisions de 2025 |
| Florent Kling | Commissaire | 1er septembre 2025 | Service des inspections de la CNPD |
Source : CNPD, page « Composition », consultée le 10 novembre 2026 ; délibérations 1FR à 7FR/2025 pour le rôle de chef d'enquête. Siège : 15, boulevard du Jazz, L-4370 Belvaux.
Enquête de la CNPD : du vote du collège à la décision
Tout part d’un commissaire. Il propose l’ouverture, le collège vote dans le mois et désigne un chef d’enquête, jamais le président (article 38). La CNPD agit d’office ou sur réclamation (article 37) : aucune plainte n’est nécessaire pour qu’elle frappe à votre porte.
L’enquête se mène à charge et à décharge (article 39). Le chef d’enquête notifie ensuite une communication des griefs, et vous avez au moins quinze jours calendaires pour répondre. La formation restreinte décide sans lui (article 41).
Nous avons lu la délibération 4FR/2025 : 676 jours entre le vote et la décision, sept versions du registre. Mon impression : la CNPD juge sur ce que vous pouvez montrer. Une fuite suit une autre voie, la notification d’une violation.
Une enquête de la CNPD, à l'échelle du temps
Le dossier 4FR/2025, du vote du collège à l'amende.
Dates tirées de la délibération n° 4FR/2025 (version pseudonymisée publiée par la CNPD). L'axe est proportionnel au temps : 676 jours du premier au dernier point.
Contrôle sur place : ce que les agents ont le droit de faire
L’article 58, paragraphe 1, point f), du RGPD donne à l’autorité l’accès à tous les locaux et moyens de traitement ; l’article 12 de la loi de 2018 lui confère ces pouvoirs. L’article 8 de son règlement d’enquête (décision 08AD/2024) prévoit le cas d’une visite avant tout courrier.
Sur place, les agents copient tout document et accèdent aux logiciels et aux données. Le secret ne leur est pas opposable, sauf l’article 67 pour avocats, notaires et réviseurs ; les cabinets liront ce que leur secret impose quand un cabinet utilise l’IA.
Les cinq dossiers « registre » de 2025 ont tous commencé par une visite au siège. Dans l’un, les agents ont laissé deux jours ouvrables pour envoyer le registre. Je n’aimerais pas découvrir ce jour-là que l’assistant d’IA du service comptable n’y figure pas.
Pendant une visite de la CNPD : qui fait quoi
La ligne surlignée est celle qu'on oublie une fois les agents repartis.
| Moment | Ce que font les agents | De votre côté |
|---|---|---|
| Arrivée | Remettent la décision d'ouverture contre récépissé | Demandez l'ordre de mission et leur pièce d'identité |
| Refus de signer | Notent le refus au procès-verbal | La décision vous arrive par recommandé dans les quinze jours |
| Visite | Accèdent aux lieux de traitement, sauf les parties affectées au domicile privé | Accompagnez-les ; avocats, notaires et réviseurs relèvent de l'article 67 |
| Documents | Copient tout support, consultent logiciels et données | Ce qui n'a pas pu être copié reste en l'état jusqu'à la fin des recours |
| Après | Dressent un procès-verbal, notifié par recommandé ou par un moyen qui en prouve la date | Relisez-le et prenez position par écrit |
D'après l'article 8 du règlement de la CNPD relatif à la procédure d'enquête (décision n° 08AD/2024 ; nous avons lu la traduction anglaise publiée par la CNPD, le texte français fait foi), l'article 58 du RGPD et l'article 67 de la loi du 1er août 2018.
Décisions et amendes de la CNPD en 2025 : le registre en tête
La rubrique « Décisions » du site de la CNPD compte sept délibérations pour 2025, et aucune pour 2026 au 10 novembre. Aucune ne parle d’intelligence artificielle. Cinq sanctionnent un registre des activités de traitement incomplet, dans des secteurs très ordinaires.
La plus lourde, 1FR/2025, vise un établissement de crédit : 175 000 € pour des demandes d’exercice des droits restées sans réponse dans les délais. Selon la banque, la boîte e-mail du DPO, noyée sous le spam, ne laissait plus repérer certaines demandes. Les banques reconnaîtront le scénario.
Je parie que la première décision luxembourgeoise touchant l’IA ressemblera à ces dossiers : un outil absent du registre, des destinataires hors UE mal désignés, comme dans la 7FR/2025. Une fiduciaire qui fait résumer ses dossiers par un assistant américain a cette ligne à écrire.
Les sept délibérations de la CNPD publiées pour 2025
Filtrez par motif. La ligne surlignée est celle qui parle le plus aux utilisateurs d'IA.
| Délibération | Activité du contrôlé | Manquement retenu | Issue |
|---|---|---|---|
| 1FR, 6 janvier 2025 | Établissement de crédit | Délais de réponse aux demandes d'exercice des droits (art. 12.3 et 12.4 RGPD), 47 réclamations | Rappel à l'ordre, amende de 175 000 € |
| 2FR, 26 mars 2025 | Lycée (enquête menée auprès d'un ministère) | Vidéosurveillance : responsabilité, information, minimisation, conservation, sécurité | Rappel à l'ordre, injonction sous trois mois, pas d'amende ; la délibération rappelle que l'art. 48 l'exclut contre l'État (le lien est notre lecture) |
| 3FR, 30 avril 2025 | Ingénierie et études techniques | Registre incomplet (art. 30.1 a, c, f) | Amende de 7 000 € |
| 4FR, 16 décembre 2025 | Sécurité privée | Registre incomplet (art. 30.1 a, c à g) | Rappel à l'ordre, injonction sous un mois, amende de 2 784 € |
| 5FR, 16 décembre 2025 | Activités comptables | Registre incomplet (art. 30.1 a, c, e, f) | Amende de 5 000 € |
| 6FR, 16 décembre 2025 | Transport routier | Registre incomplet (art. 30.1 a, c, d, f, g) | Amende de 1 277 € |
| 7FR, 16 décembre 2025 | Fabrication d'équipements techniques | Registre incomplet (art. 30.1 a, c, d, e), dont les destinataires dans des pays tiers | Rappel à l'ordre, injonction sous deux mois, amende de 7 000 € |
Source : CNPD, rubrique « Décisions » et délibérations 1FR à 7FR/2025, versions pseudonymisées. Montants tels que publiés dans chaque dispositif, sans calcul de notre part.
Amende d’Amazon au Luxembourg : du jugement de 2025 à l’arrêt de 2026
Le 15 juillet 2021, la CNPD a infligé 746 millions d’euros à Amazon Europe Core pour sa publicité basée sur les intérêts. Le 18 mars 2025, le tribunal administratif a rejeté le recours de la société (rôle n° 46578). Amazon a fait appel.
Le 12 mars 2026, la Cour administrative a annulé la décision de 2021, amende comprise (rôle n° 52757C). Elle confirme la plupart des manquements, mais la CNPD n’avait pas examiné la faute, délibérée ou par négligence, qu’exige la Cour de justice depuis ses arrêts du 5 décembre 2023.
Belvaux doit maintenant analyser la faute et choisir la mesure. La leçon que j’en tire pour une PME : la négligence se discute sur pièces. Une règle d’usage de l’IA, datée et diffusée, en fait partie ; notre modèle de charte IA donne une base pour l’écrire.
Amazon contre la CNPD : ce que l'arrêt du 12 mars 2026 garde et ce qu'il retire
Deux colonnes, d'après les communiqués de la justice et de la CNPD.
Confirmé par la Cour
- L'intérêt légitime n'était pas une base valable pour ces traitements
- L'information des personnes n'était pas conforme à la date de la décision
- La plupart des moyens de procédure d'Amazon sont rejetés
Annulé ou écarté
- La décision de 2021, annulée « sous tous ses volets », dont l'amende de 746 millions d'euros : faute non analysée, amende prononcée quasi automatiquement
- Les griefs sur l'article 21 du RGPD, jugés hors du périmètre de l'enquête
- L'astreinte de 746 000 € par jour : sans objet, Amazon s'étant mis en conformité
Sources : communiqués de justice.public.lu du 19 mars 2025 et du 13 mars 2026 ; communiqué de la CNPD du 13 mars 2026. La CNPD indique poursuivre l'instruction du dossier.
Formation IA de la CNPD, dossiers et AI Act : ce qu’elle propose
Nous n’avons pas trouvé de lignes directrices de la CNPD propres à l’IA générative. Elle publie un dossier thématique « Intelligence artificielle » en deux volets, une introduction et l’AI Act, et donne une formation de quatre heures, gratuite, en français et en présentiel.
La session « Data Protection Basics: Artificial Intelligence » du 24 novembre 2026, à Belval, affiche complet ; celle du 15 décembre prend des inscriptions. La formation vise un public déjà formé ; les autres commencent par « Data Protection Basics » ou le parcours en ligne DAAZ.
Demain, sa charge grossira : le projet de loi n° 8476, toujours en commission, lui donnerait la surveillance résiduelle du marché, comme l’explique notre page sur l’AI Act au Luxembourg. Je n’attendrais pas ce vote pour envoyer mon DPO à la formation.
Par où commencer avec la CNPD, selon votre rôle
Choisissez le profil le plus proche du vôtre.
La formation « Data Protection Basics: Artificial Intelligence ». Quatre heures sur le fonctionnement de l'IA, la gestion des données et les liens entre RGPD et AI Act. Inscription par e-mail à formations@cnpd.lu ; certificat si vous restez toute la session.
Le parcours en ligne DAAZ, puis le dossier thématique. Sans juriste interne, partez des bases avant la formation IA, qui suppose de bonnes connaissances en protection des données. Ensuite, écrivez votre ligne de registre pour chaque outil.
Le bac à sable Sandkëscht. Il accompagne la conception d'un traitement innovant, pas l'achat de licences. Ses conditions et son calendrier sont résumés dans notre guide RGPD et IA au Luxembourg.
Rien à demander à la CNPD. Votre employeur répond devant elle. Votre part : ne coller que ce qui sert la tâche, avec la liste des données à retirer avant d'écrire à une IA.
La CNPD, et la CSSF en plus. Le registre et les droits des investisseurs relèvent de Belvaux ; l'organisation et l'externalisation, de votre superviseur. Les deux se croisent sur notre page pour les fonds d'investissement.
D'après les annonces des sessions du 24 novembre et du 15 décembre 2026 et le dossier thématique « Intelligence artificielle » de la CNPD. Le classement par profil est le nôtre.
Outils d’IA et inspection : la liste que je veux prête avant la visite
Un contrôle se prépare avant l’arrivée des agents. Ma liste tient en sept cases, tirées des décisions de 2025 et du règlement d’enquête. Un assistant d’IA y entre comme n’importe quel traitement : une ligne au registre, des destinataires nommés.
Prêt pour une visite de la CNPD ?
Cochez ce qui est vrai aujourd'hui dans votre entreprise.
0 case(s) sur 7
Les cases vides sont celles que les décisions de 2025 ont sanctionnées. Commencez par le registre.
Presque prêt. La case vide est la première question qu'un agent posera.
Tout est coché. Gardez les preuves datées : la négligence se discute sur pièces.
Grille tirée des délibérations 1FR, 4FR et 7FR/2025 et de l'article 8 du règlement d'enquête de la CNPD. Le jour d'un contrôle, c'est votre avocat qui vous conseille, pas cette liste.
Plus un assistant reçoit de données, plus la ligne du registre s’allonge. Pour ces envois, Nonimo au Luxembourg agit sur votre ordinateur : noms, e-mails, numéros de GSM et matricules deviennent des étiquettes avant l’envoi, puis reprennent leur place dans la réponse.
Le matricule mérite cette précaution : ses chiffres trahissent une date de naissance, comme le montre notre page sur le matricule luxembourgeois.
Les fichiers complets, PDF ou Word, ont leurs propres outils de masquage.
Sources
- Loi du 1er août 2018 portant organisation de la CNPD, version consolidée (Legilux) : articles 3, 12, 16, 17, 37 à 41, 48, 55 et 67.
- CNPD, « Composition » : collège en fonction depuis le 1er novembre 2026.
- CNPD, « Décisions » : délibérations 1FR à 7FR/2025 et leurs versions pseudonymisées.
- Justice.public.lu, jugement du tribunal administratif du 18 mars 2025 : recours d’Amazon Europe Core rejeté.
- Justice.public.lu, arrêt de la Cour administrative du 12 mars 2026 : amende annulée, renvoi à la CNPD.
- RGPD sur EUR-Lex : article 58, accès aux locaux.
- Cour de justice, arrêt Deutsche Wohnen du 5 décembre 2023 (C-807/21) : amende seulement en cas de violation délibérée ou par négligence.
- Chambre des députés, dossier n° 8476 : projet de loi sur l’IA, statut « en commission ».
Consulté le 10 novembre 2026.
Guides associés
Questions fréquentes
La CNPD peut-elle contrôler une entreprise sans préavis ?
Son règlement d'enquête prévoit le cas d'une visite avant tout courrier. La décision d'ouverture est alors remise sur place, contre récépissé. Dans le dossier 6FR/2025, une lettre d'ouverture datée de la veille avait précédé la visite.
Qui est le président de la CNPD ?
Philippe Ney, depuis le 1er novembre 2026. Il siège avec trois commissaires : Andreea Monnat, Alain Herrmann et Florent Kling. Chacun est nommé par le Grand-Duc pour six ans, renouvelables une fois.
Quelles amendes la CNPD a-t-elle infligées en 2025 ?
Six amendes, de 1 277 € à 175 000 €. Cinq visaient un registre des traitements incomplet, la plus lourde des réponses tardives aux demandes d'exercice des droits. Le lycée contrôlé pour sa vidéosurveillance n'a reçu que des mesures correctrices.
L'amende de 746 millions d'euros d'Amazon a-t-elle été annulée ?
Oui, par la Cour administrative le 12 mars 2026. Elle a confirmé la plupart des manquements, mais la CNPD n'avait pas analysé la faute d'Amazon. Le dossier lui revient pour cette analyse et le choix de la mesure.
Peut-on contester une décision de la CNPD ?
Oui, devant le tribunal administratif, dans les trois mois. Le recours passe obligatoirement par un avocat à la Cour. Le jugement peut ensuite aller en appel devant la Cour administrative.
La CNPD sera-t-elle l'autorité de l'AI Act au Luxembourg ?
Probablement, mais rien n'est voté. Le projet de loi n° 8476 lui confierait la surveillance du marché quand aucune autre autorité n'est désignée ; au 10 novembre 2026, il reste en commission à la Chambre.