AI Act : qui contrôle vraiment en France ?
Le 2 août 2026, les autorités nationales ont obtenu leurs pouvoirs de contrôle au titre de l'AI Act. En France, le gouvernement a choisi depuis un an qui ferait quoi, mais la loi qui doit l'officialiser n'est toujours pas adoptée. Une situation inconfortable, qui ne protège aucune entreprise.
Ce qui a changé le 2 août
L'AI Act s'applique par étapes. Les pratiques interdites et l'obligation de former les équipes s'appliquent depuis février 2025, les règles sur les grands modèles d'IA depuis août 2025. Le 2 août 2026 marque une étape différente : c'est la date à laquelle les autorités nationales de surveillance du marché disposent de leurs pouvoirs d'enquête et de sanction, et à laquelle les obligations de transparence de l'article 50 entrent en application.
Chaque État membre devait désigner ses autorités compétentes avant le 2 août 2025. La France ne l'a pas fait dans les délais.
Le schéma français : choisi, mais pas encore adopté
Le 9 septembre 2025, la Direction générale des entreprises et la DGCCRF ont publié le projet de désignation retenu par le gouvernement. Il ne crée pas de nouveau régulateur : il répartit la surveillance entre des autorités existantes, chacune sur son domaine.
| Autorité | Ce qu'elle surveillerait |
|---|---|
| DGCCRF | Coordination de l'ensemble et point de contact unique avec la Commission européenne |
| CNIL | Pratiques interdites liées à la biométrie, à la reconnaissance des émotions et à la notation sociale ; systèmes à haut risque dans l'emploi, l'éducation, la démocratie et les migrations |
| Arcom | Techniques de manipulation interdites ; transparence des contenus générés et des systèmes d'IA qui échangent avec le public |
| ACPR | Systèmes d'IA qui évaluent la solvabilité et le crédit |
| PEReN et ANSSI | Expertise technique mise à disposition des autres autorités |
Le gouvernement l'a écrit lui-même : ce schéma sera mis en œuvre sous réserve d'être accepté par le Parlement, par le biais d'un projet de loi. Or les dispositions prévues ont été retirées du projet de loi d'adaptation au droit européen présenté fin 2025. À la date où nous écrivons, d'après les informations publiques disponibles, aucun texte n'a encore officialisé cette désignation.
Pas d'autorité désignée ne veut pas dire pas de règle. Le règlement s'applique, et les autorités qui existent déjà n'ont rien perdu de leurs pouvoirs.
Pourquoi ce flou ne vous protège pas
Il serait tentant d'en conclure qu'il n'y a rien à faire tant que la loi n'est pas votée. Ce serait une erreur, pour trois raisons.
- Le règlement européen est d'application directe. Ses obligations pèsent sur les entreprises depuis leur date d'entrée en application, qu'une autorité française soit formellement désignée ou non.
- Les autorités pressenties contrôlent déjà leurs domaines. La CNIL applique le RGPD, qui couvre l'essentiel des usages d'IA sur des données personnelles. La DGCCRF sanctionne déjà les pratiques commerciales trompeuses, y compris quand elles passent par un chatbot.
- Une désignation peut être votée en quelques semaines. Les contrôles porteront alors sur ce que l'entreprise a fait depuis l'entrée en application des obligations, pas depuis le vote.
Ce qu'une PME peut faire dès maintenant
Rien de ce qui suit ne dépend de la désignation des autorités. Tout sera utile quelle que soit l'organisation finalement retenue.
- Faire la liste des outils d'IA utilisés dans l'entreprise, par qui et sur quelles données. C'est la base de tout le reste.
- Vérifier les mentions de transparence : un chatbot sur votre site doit dire qu'il est une IA dès le premier échange. Nous avons détaillé ce point dans notre article sur l'article 50.
- Former les équipes qui utilisent l'IA et garder la trace de ces formations. C'est l'obligation de l'article 4, en vigueur depuis février 2025.
- Mettre à jour le registre RGPD pour les traitements qui passent par un outil d'IA. C'est la CNIL qui contrôlera en premier, et elle contrôle déjà.
Pour savoir où en est votre entreprise, notre test AI Act en cinq questions donne un premier repère en une minute.