Qui contrôle l'AI Act en France ? Le rôle réel de la CNIL

Aucune autorité française n'est à ce jour formellement désignée pour contrôler l'AI Act. Le gouvernement a publié un schéma de répartition entre autorités existantes, dont la CNIL, mais ce schéma reste conditionné à l'adoption d'une loi. Au niveau européen, la supervision est assurée par le Bureau européen de l'IA et par le Comité européen de l'intelligence artificielle.

Cette nuance n'est pas un détail juridique. Beaucoup de contenus affirment que « la CNIL est l'autorité compétente pour l'AI Act ». C'est une anticipation, pas un fait établi. Voici ce que le règlement prévoit, et où en est réellement la France.

L'AI Act confie-t-il le contrôle à une autorité unique ?

Non. Le règlement organise le contrôle sur deux niveaux, européen et national, et il n'existe aucun guichet unique qui superviserait toutes les entreprises de l'Union.

Au niveau européen, deux structures portent l'essentiel. Le Bureau européen de l'IA, souvent confondu avec une « Agence de l'Union européenne pour l'IA » qui n'existe pas, est un service interne à la Commission européenne. Le Comité européen de l'intelligence artificielle, souvent appelé Comité IA, réunit des représentants des États membres et sert de lieu de coordination. Un forum consultatif et un groupe d'experts scientifiques indépendants complètent l'ensemble.

Au niveau national, le règlement demande à chaque État membre de désigner deux types d'autorités. Les autorités notifiantes, qui encadrent les organismes évaluant certains produits à haut risque. Et les autorités de surveillance du marché, qui contrôlent l'application du texte sur le terrain. Ce sont ces dernières qui concernent une PME.

Que fait le Bureau européen de l'IA, et que ne fait-il pas ?

Le Bureau européen de l'IA supervise directement les modèles d'IA à usage général, ceux qui alimentent les assistants grand public. Il produit des lignes directrices, anime les codes de bonnes pratiques et coordonne les autorités nationales.

Ce qu'il ne fait pas : contrôler l'usage que fait une PME française de ChatGPT ou de Copilot. Ce niveau relève des autorités nationales de surveillance du marché. Pour une entreprise de 30 salariés, l'interlocuteur ne sera jamais Bruxelles.

Cette répartition explique pourquoi la question de la désignation nationale compte autant. Tant qu'elle n'est pas tranchée, personne ne peut dire avec certitude quelle porte s'ouvrira en cas de question. Le cadre général est décrit dans le guide du règlement européen sur l'IA pour les PME.

Où en est la désignation des autorités en France ?

La Direction générale des entreprises et la DGCCRF ont publié un projet de désignation des autorités nationales. Le schéma retenu est décentralisé : plutôt que de créer une autorité dédiée, il répartit la surveillance entre des régulateurs existants, choisis selon leur secteur.

La DGCCRF y assure la coordination des autorités sectorielles et la représentation de la France au niveau européen. L'ANSSI et le PEReN apportent un socle d'expertise technique mutualisé. La logique affichée est simple : une entreprise déjà régulée continue de s'adresser à son régulateur habituel.

Ce schéma n'est pas une désignation. La page officielle le dit sans ambiguïté : il « sera mis en œuvre, sous réserve qu'il soit accepté par le Parlement par le biais d'un projet de loi ». Autrement dit, il faut un texte national pour que la répartition devienne effective. Voir la présentation du projet par la Direction générale des entreprises et l'annonce du rôle de coordination de la DGCCRF.

Ce véhicule législatif existe déjà. Le projet de loi portant diverses dispositions d'adaptation au droit de l'Union européenne, adopté en première lecture par le Sénat, est en cours d'examen à l'Assemblée nationale. Son dossier législatif est public.

Tant que ce texte n'est pas promulgué, la répartition annoncée reste un projet. Aucun texte national désignant les autorités françaises de surveillance du marché n'a été publié à ce jour au Journal officiel de la République française.

La CNIL est-elle l'autorité compétente pour l'AI Act ?

Pas encore, et la CNIL elle-même l'écrit au futur. Son programme de travail pour 2026 indique qu'elle « se prépare à être désignée autorité de surveillance de marché au titre du règlement européen sur l'intelligence artificielle ». Ce rôle viendrait « en plus de ses fonctions d'autorité de protection des droits fondamentaux ». La formulation est celle d'une préparation, pas d'une compétence exercée. Le document est consultable sur le site de la CNIL.

Il y a donc deux choses à ne pas confondre. Sur les données personnelles, la CNIL est pleinement compétente aujourd'hui, au titre du RGPD, et elle l'est depuis longtemps. Sur l'AI Act, sa compétence est annoncée mais pas encore installée par un texte.

En pratique, la distinction change peu de choses pour un dirigeant. Un usage d'IA qui traite des données de salariés ou de clients relève déjà d'une autorité connue et active. Les deux régimes se superposent sans se remplacer, ce que détaille l'article sur les différences entre l'AI Act et le RGPD.

À partir de quand ces pouvoirs de supervision s'exercent-ils ?

Depuis le 2 août 2026. Les autorités nationales supervisent et appliquent l'article 4, celui qui porte sur la littératie IA. Les obligations de transparence de l'article 50 sont devenues applicables à cette même date.

Les échéances les plus lourdes, elles, ont été repoussées. Les systèmes à haut risque de l'Annexe III basculent au 2 décembre 2027, ceux de l'Annexe I au 2 août 2028.

Une PME dont les usages restent bureautiques n'est pas concernée par ces deux échéances : rédaction, traduction, synthèse de documents, aide à la recherche d'information. Le tri automatique de candidatures, lui, relève de l'Annexe III. Une entreprise de quinze personnes qui l'utilise est donc concernée par l'échéance de 2027. Le niveau de risque qualifie l'usage, pas la taille de l'entreprise.

Le cadre des sanctions figure à l'article 99 du règlement. Les montants sont fixés par les autorités nationales et doivent rester proportionnés, avec une atténuation explicite prévue pour les PME. Le détail est repris dans l'article sur les sanctions prévues par l'AI Act.

Que demandera-t-on en premier en cas de contrôle ?

Des documents, pas des intentions. L'expérience du RGPD est un bon repère : ce qui est demandé en premier, ce sont des traces écrites, datées et cohérentes entre elles.

Pour un déployeur, les pièces les plus probables sont les suivantes.

• La liste des systèmes d'IA utilisés dans l'entreprise, avec leur finalité.
• Le rôle tenu pour chacun : simple utilisateur d'un outil du marché, ou metteur sur le marché sous son propre nom.
• La trace des mesures prises pour développer la littératie IA des équipes : sessions de sensibilisation, supports, dates, participants.
• L'information donnée aux personnes lorsqu'un contenu est généré par IA ou lorsqu'un interlocuteur dialogue avec une machine.

Une entreprise qui n'a rien écrit n'a rien à montrer, quelle que soit la qualité réelle de ses pratiques. C'est le seul risque véritablement immédiat, et il ne dépend d'aucune désignation d'autorité.

Questions fréquentes

La CNIL peut-elle déjà sanctionner mon entreprise au titre de l'AI Act ?

Rien ne permet de l'affirmer aujourd'hui, puisque aucun texte national ne l'a désignée autorité de surveillance du marché. Elle reste en revanche pleinement compétente sur les traitements de données personnelles, y compris ceux réalisés par des outils d'IA. Un usage d'IA mal encadré peut donc déjà poser un problème, mais sur le fondement du RGPD.

Le Bureau européen de l'IA peut-il contrôler directement une PME française ?

Non. Son action porte sur les modèles d'IA à usage général et sur la coordination européenne, pas sur l'usage quotidien d'outils par une entreprise utilisatrice. Le contrôle des déployeurs relève des autorités nationales de surveillance du marché.

Faut-il attendre la désignation officielle pour agir ?

Ce serait un mauvais calcul. Les obligations applicables depuis le 2 août 2026 ne dépendent pas de l'identité de l'autorité qui les contrôlera. Les mesures utiles, recenser les usages, former les équipes, informer les personnes, prennent plusieurs semaines à mettre en place et se documentent au fil de l'eau, pas rétroactivement.

Où en est votre entreprise ?

L'audit de maturité IA d'Harmonia évalue en 3 minutes vos usages, votre exposition et vos priorités. Gratuit, sans création de compte.

Lancer l'audit de maturité IA