Vidéosurveillance algorithmique : est-ce légal en entreprise ?

Une entreprise peut faire analyser ses images pour détecter un événement sans identifier personne, comme un franchissement de clôture la nuit ou un comptage anonyme, dans le respect du RGPD. Identifier par leur visage les personnes filmées, ou repérer en temps réel les gestes suspects des clients, reste hors de portée légale d’une entreprise privée au 14 octobre 2026. L’expérimentation de la loi JO ne vise pas les entreprises.

Détecter un événement ou identifier quelqu’un : de quoi parle-t-on ?

« Caméra IA », « vidéosurveillance intelligente », « VSA » : ces mots désignent une caméra ou un enregistreur dont le logiciel analyse les images au lieu de seulement les stocker. La CNIL parle de caméras « augmentées ». Le droit distingue ces analyses selon ce que le logiciel cherche.

Détecter un événement, c’est repérer une situation : un objet abandonné, une personne au sol, un véhicule à contresens, un passage dans une zone interdite. Le logiciel ignore qui est la personne. Identifier, c’est comparer les traits d’un visage à une base pour retrouver une identité : on traite alors des données biométriques au sens du RGPD (article 4, point 14).

Entre les deux, une zone grise : classer les passants par âge ou par genre, prêter une intention à un geste. Le règlement européen sur l’IA appelle « reconnaissance des émotions » la déduction d’émotions ou d’intentions à partir de données biométriques (article 3, point 39).

Notre page sur la vidéosurveillance d’entreprise décrit la chaîne où s’insèrent ces fonctions ; ce guide décrit le cadre, pas une offre.

Que permet exactement la loi sur les Jeux de 2024, et à qui ?

L’article 10 de la loi n° 2023-380 du 19 mai 2023 a créé une expérimentation, pas une autorisation générale. Des traitements algorithmiques analysent les images de systèmes de vidéoprotection déjà autorisés et de caméras installées sur des aéronefs, pour détecter en temps réel des événements prédéterminés susceptibles de révéler des risques d’actes de terrorisme ou d’atteintes graves à la sécurité des personnes. Chaque emploi est autorisé par le préfet. Les signalements vont à des services désignés : police, gendarmerie, secours et sûreté des transports dans la version de 2023, « services de sécurité compétents » fixés par décret depuis août 2026.

Le décret n° 2023-828 du 28 août 2023 a fixé huit événements : objet abandonné, présence ou usage d’une arme, circulation à contresens, entrée dans une zone interdite ou sensible, personne au sol après une chute, mouvement de foule, densité excessive, départ de feu. La loi exclut toute identification biométrique, tout traitement de données biométriques et toute reconnaissance faciale, ainsi que tout rapprochement avec d’autres fichiers. Les traitements restent en permanence sous le contrôle des personnes qui les mettent en œuvre, et un signalement ne fonde à lui seul aucune décision individuelle ni aucune poursuite.

Aucune de ces versions ne permet à une entreprise de déployer l’outil pour ses propres besoins, comme la lutte contre le vol : la finalité reste la prévention du terrorisme et des atteintes graves aux personnes, sous autorisation préfectorale. Dans sa délibération n° 2026-023 du 12 mars 2026 sur le projet de loi qui portait l’échéance à 2030, la CNIL craint qu’une telle durée pérennise en pratique un dispositif présenté comme expérimental, et rappelle les faux positifs significatifs relevés par l’évaluation de 2024.

Qu’accepte la CNIL d’une entreprise, et que bloque-t-elle ?

La position publiée par la CNIL le 19 juillet 2022 reste la référence pour les caméras augmentées dans les lieux ouverts au public, magasins compris. Elle laisse de côté les lieux non ouverts au public, l’analyse en temps différé, la détection de sons et la reconnaissance biométrique.

L’intérêt légitime d’un commerçant peut fonder le traitement, sans déséquilibre manifeste avec les attentes des personnes filmées. Le responsable démontre la nécessité du dispositif face à des moyens moins intrusifs (capteurs, agents de sécurité, enquêtes de fréquentation), puis sa proportionnalité. La CNIL attend une protection dès la conception : définition abaissée, floutage, traitement local près de la caméra, suppression quasi immédiate des images sources. Une analyse d’impact s’impose dans la grande majorité des cas, et la mise à jour du panneau de vidéoprotection ne suffit pas à informer.

Le droit d’opposition, verrou de la détection de comportements

Le RGPD ouvre à chacun le droit de s’opposer, à tout moment, à un traitement fondé sur l’intérêt légitime (article 21). Une caméra augmentée analyse toute personne qui entre dans son champ, sans pouvoir écarter celle qui s’y oppose. Pour la détection de comportements anormaux ou suspects, la CNIL note que ce droit contredit l’objet même du traitement. Sa conclusion : sauf finalité statistique ou droit d’opposition réellement praticable, ces dispositifs doivent être autorisés par un texte au moins réglementaire, conforme à l’article 23 du RGPD. Pour les commerces, ce texte n’existe pas.

Deux portes ouvertes : la statistique et les caisses automatiques

La statistique d’abord. Compter les entrées par tranche horaire ou mesurer l’affluence relève d’une finalité statistique si le résultat est anonyme, agrégé, et ne sert à aucune décision visant une personne.

Les caisses automatiques ensuite. Le 6 mai 2025, la CNIL a admis des caméras qui repèrent un article non scanné, sous conditions : champ limité à la zone de caisse, angle qui évite les visages, analyse locale de préférence, données supprimées après la détection, aucune liste de personnes signalées, aucune conséquence automatique hormis le blocage de la caisse pour vérification. Une caisse sans caméra augmentée, sans attente nettement plus longue, peut tenir lieu de droit d’opposition. La CNIL précise que ces recommandations ne couvrent pas la détection du vol sur toute la surface de vente.

Une proposition de loi visant à encadrer l’utilisation par les commerçants d’outils d’analyse vidéo automatique pour lutter contre le vol a été adoptée par l’Assemblée nationale le 16 février 2026. Au 14 octobre 2026, le dossier législatif du Sénat ne mentionne aucun examen. D’ici sa promulgation éventuelle, elle ne change rien.

Pourquoi la reconnaissance faciale de surveillance reste-t-elle hors de portée d’une entreprise ?

Comparer un visage filmé à une base revient à traiter des données biométriques pour identifier une personne de manière unique, ce que l’article 9 du RGPD interdit en principe. Ses exceptions, comme le consentement explicite ou un motif d’intérêt public important prévu par un texte, ne correspondent pas à une liste de voleurs présumés tenue par un magasin, et aucun texte français n’organise un tel fichier. L’expérimentation de la loi JO l’exclut elle-même expressément.

Au travail, la biométrie n’est admise que pour contrôler l’accès à des locaux, des appareils ou des applications, dans le cadre du règlement type adopté par la CNIL le 10 janvier 2019. La personne se présente au lecteur : c’est de l’authentification, pas de la surveillance à distance. Notre guide sur la biométrie en entreprise en détaille les conditions.

Le profil M du standard ONVIF prévoit des événements de reconnaissance faciale : la fonction existe sur le marché. Sa présence dans un menu ne la rend pas licite.

Que change l’AI Act pour un employeur, et à partir de quand ?

Le règlement (UE) 2024/1689, publié le 12 juillet 2024, s’applique par étapes. Il n’autorise rien par lui-même : il s’ajoute au RGPD, qui reste la première grille de lecture.

Le report du 2 août 2026 au 2 décembre 2027 résulte de l’omnibus sur l’IA entré en vigueur le 27 juillet 2026, selon la Commission européenne. Il ne vise que le haut risque : les interdits de l’article 5 s’appliquent depuis février 2025. Un logiciel qui prétend lire l’intention de voler dans les gestes d’une personne peut relever de la définition de la reconnaissance des émotions, dès lors qu’il s’appuie sur des caractéristiques physiques ou comportementales. Appliqué à des salariés, il tomberait sous l’interdit.

Dans les locaux fermés au public, que reste-t-il possible ?

La position de 2022 ne couvre ni les bureaux, ni les réserves, ni les entrepôts : le RGPD s’y applique tel quel. À notre lecture, l’usage le plus défendable y est la détection d’intrusion hors des heures d’activité, qui distingue une personne d’un véhicule le long d’une clôture pour déclencher une alerte ou une levée de doute. La finalité est la protection des biens, la période celle où le site doit être vide, et personne n’est identifié.

Dès que l’analyse porte sur des salariés à leur poste, le code du travail ajoute trois exigences : une restriction justifiée et proportionnée (article L. 1121-1), une information préalable de chaque salarié (article L. 1222-4), l’information et la consultation du comité social et économique avant la décision (article L. 2312-38). La CNIL n’admet déjà pas qu’une caméra filme un salarié en continu à son poste, hors circonstances particulières ; compter ses gestes par algorithme va plus loin. Le cadre général est repris dans notre guide sur la loi sur les caméras de surveillance au travail, le registre et l’analyse d’impact dans vidéosurveillance et RGPD.

Questions fréquentes sur la vidéosurveillance algorithmique

Pourquoi l’intelligence artificielle appliquée à la vidéo présente-t-elle des risques ?

Elle analyse toute personne qui passe, sans possibilité réelle de s’y opposer. Elle se trompe : la CNIL relève des faux positifs dans l’évaluation de l’expérimentation de 2024. Généralisée, elle peut modifier le comportement des personnes filmées.

Un commerce peut-il utiliser une caméra IA contre le vol ?

Aux caisses automatiques, oui, dans les conditions fixées par la CNIL le 6 mai 2025. Sur l’ensemble de la surface de vente, pas en l’état du droit au 14 octobre 2026.

Faut-il une autorisation préfectorale pour des caméras avec analyse automatique ?

L’autorisation dépend de ce que filme la caméra : un lieu ouvert au public reste soumis à l’autorisation du préfet, comme l’explique notre guide vidéoprotection ou vidéosurveillance. Elle ne vaut pas autorisation de l’analyse, qui s’apprécie au regard du RGPD.

Information générale, à jour au 14 octobre 2026. Elle ne constitue pas un conseil juridique adapté à votre situation. Sources : loi n° 2023-380 du 19 mai 2023, article 10, dans sa version issue de la loi n° 2026-798 du 18 août 2026 (en vigueur depuis le 20/08/2026) ; décret n° 2023-828 du 28 août 2023 ; Conseil constitutionnel, décision n° 2025-878 DC du 24 avril 2025 ; CNIL, position sur les caméras augmentées (19/07/2022), recommandations sur les caisses automatiques (06/05/2025) et délibération n° 2026-023 ; RGPD, articles 4, 9, 21 et 23 ; règlements (UE) 2024/1689 et 2026/1744 ; code du travail, articles L. 1121-1, L. 1222-4 et L. 2312-38.