Une IA peut être exacte et coûter 7 millions d'euros : la CNIL sanctionne Fnac Darty pour un traceur qui nourrissait, sans consentement, un algorithme de recommandation

Ce qui s'est passé

L'affaire part d'une plainte de l'association NOYB. En mars 2024, la CNIL contrôle l'application mobile Fnac. Elle constate qu'un traceur réalise des opérations de lecture et d'écriture sur les téléphones des utilisateurs, par une interface de programmation (API) vers un domaine tiers, sans consentement. Les requêtes contiennent un identifiant attribué à l'utilisateur et des données sur son activité, comme les produits consultés. Les utilisateurs qui avaient choisi « Continuer sans accepter » étaient suivis comme les autres.

Le 22 octobre 2026, la formation restreinte de la CNIL prononce deux amendes : 6 millions d'euros à Fnac Darty Participations et Services et 1 million à Fnac Direct, responsables conjoints du traitement. La décision est publiée sur Légifrance le 29 octobre, avec un communiqué de la CNIL. Les sociétés ne seront plus nommées au bout de deux ans. L'application avait dépassé 1,5 million de téléchargements en France entre mars 2023 et mars 2024, avec environ 37 400 utilisateurs par jour.

Le point qui concerne vos IA

Le traceur servait à afficher des produits personnalisés selon l'historique de navigation et d'achat, et, selon les termes de la décision, à « l'entraînement d'un algorithme de recommandations de produits ». La formation restreinte juge que cet entraînement « s'inscrit dans l'objectif plus large du ciblage commercial » et ne pouvait donc être mis en œuvre sans le consentement préalable des personnes.

Elle écarte aussi un argument fréquent : un traceur à plusieurs finalités ne bénéficie d'une exemption de consentement que si aucune de ses finalités n'en exige un. Une seule finalité soumise à consentement contamine l'ensemble.

Les sociétés ont indiqué que leur nouvel outil de recommandation repose désormais sur un consentement préalable et sur des données de navigation anonymisées. La formation restreinte n'a pas considéré ce point comme démontré à la clôture de l'instruction, et demande qu'il le soit sous un mois, faute de quoi une astreinte de 10 000 euros par jour s'applique.

Ce qui est établi, et ce qui ne l'est pas

Établi par la décision. Le dépôt du traceur sans consentement, les opérations de lecture et d'écriture, l'envoi d'un identifiant et de données d'activité vers un domaine tiers, le suivi des utilisateurs ayant refusé, l'entraînement d'un algorithme de recommandation parmi les finalités. Le montant retient le chiffre d'affaires du groupe, supérieur à 10 milliards d'euros en 2025, au titre de la notion d'« entreprise » du droit de la concurrence.

Non établi. La décision ne parle pas d'« intelligence artificielle » ni de l'AI Act : elle est prise sur le fondement de l'article 82 de la loi Informatique et Libertés, qui transpose la directive ePrivacy. Elle ne dit rien de la qualité des recommandations produites. Elle est susceptible de recours.

Pourquoi c'est un sujet de direction

Un modèle de recommandation est une IA en exploitation, et ses données d'entraînement sont un référentiel. Quand la base juridique de la collecte tombe, c'est tout ce que le modèle a appris qui devient indéfendable, sans qu'aucune « hallucination » soit en cause. Et la question arrive rarement par le canal qu'on attend : ici, une plainte sur les cookies d'une application mobile a conduit la CNIL jusqu'au moteur de recommandation.

La seconde leçon tient dans le délai : un mois pour démontrer. Une entreprise qui sait dire, pour chaque IA, d'où viennent ses données, sur quelle base elle les traite, et depuis quand, répond par un export. Celle qui ne le sait pas ouvre un projet.

Ce qu'un responsable conformité doit vérifier cette semaine

• Pour chaque IA en production (recommandation, scoring, assistants branchés sur le CRM ou sur les documents) : la liste de ses sources de données d'entraînement et de contexte, la base juridique de chacune, et la date de la dernière vérification.
• Le lien entre le refus et le flux. Quand un utilisateur refuse, qu'est-ce qui cesse réellement d'alimenter le modèle ? Un test suffit à le savoir.
• Les traceurs et les API à plusieurs finalités, dont une seule exige le consentement.
• La preuve de l'anonymisation, si l'argument est utilisé : par qui, selon quelle méthode, et avec quels éléments à produire à un contrôleur.

Ce qu'une équipe bien outillée fait différemment

Elle versionne le lignage des données de chaque IA : les sources, la base juridique, le responsable, la date. Elle sait rejouer, à une date passée, ce que le modèle utilisait et sur quel fondement. Et quand une autorité lui donne un mois, elle produit des pièces datées avant la demande, pas reconstituées après.

C'est la logique du Cockpit : le cadran Référentiels suit, pour chaque système du registre des IA, la fraîcheur et la provenance de ce qui le nourrit, et le dossier AI Act conserve des preuves horodatées qu'un contrôleur peut vérifier.

Le danger	Le conseil
Personne ne sait, pour un modèle de recommandation ou de scoring, d'où viennent ses données d'entraînement ni sur quelle base elles ont été collectées.	Tenez, pour chaque IA, la liste de ses sources, leur base juridique, un responsable et une date de dernière vérification.
Le refus de l'utilisateur est enregistré dans l'interface, mais le flux vers le modèle continue.	Testez le refus de bout en bout : ce qui doit cesser d'alimenter le modèle cesse-t-il vraiment ?
L'anonymisation est affirmée, sans pièce qui la démontre au jour du contrôle.	Documentez la méthode, le responsable et la date, et conservez ces éléments comme une preuve datée, prête à être produite sous un mois.