La France n’a pas créé d’autorité de l’intelligence artificielle. Elle a réparti le contrôle entre une quinzaine de régulateurs sectoriels, coordonnés par la DGCCRF, dans un cadre que la loi n’a pas encore entériné.
Le contrôle se partage sur deux niveaux. La Commission européenne, à travers son Bureau de l’IA, surveille directement les modèles à usage général et peut les sanctionner elle-même. Les États membres surveillent les systèmes mis sur leur marché. La France n’a pas créé d’autorité unique : le schéma présenté par la DGE et la DGCCRF en septembre 2025 répartit le contrôle entre une quinzaine de régulateurs sectoriels, avec la DGCCRF comme coordinateur et point de contact unique. Ce schéma attend encore son véhicule législatif à la date de publication.
Une candidate est écartée par un outil de présélection. Elle a lu qu’un règlement européen encadre ces systèmes et veut se plaindre. Elle cherche une adresse. Elle ne trouve pas d’Autorité française de l’intelligence artificielle, parce qu’il n’en existe pas.
Ce n’est pas un oubli. C’est un choix d’architecture, assumé et discuté, qui distingue nettement la France de la logique adoptée pour les données personnelles. Le RGPD a une autorité, la CNIL, connue de tous. Le règlement sur l’IA en a une quinzaine, et leur désignation formelle n’était pas achevée à la date de publication de cet article.
La question « qui contrôle » se dédouble en réalité : qui contrôle les modèles, et qui contrôle les systèmes construits autour d’eux. Les réponses ne sont pas au même étage.
Le règlement partage le travail sur une ligne nette. Les modèles d’IA à usage général relèvent de la Commission européenne, à travers le Bureau de l’IA, créé en son sein en 2024. La Commission dispose sur ces modèles d’un pouvoir d’enquête et d’un pouvoir d’amende propres, exercés sans intermédiaire national. C’est elle qui vérifie la documentation technique, le résumé public des contenus d’entraînement et la politique de respect du droit d’auteur, sujets abordés à propos de l’entraînement d’un modèle.
Les systèmes d’IA mis sur le marché relèvent au contraire des autorités des États membres, selon la mécanique habituelle du droit européen des produits : une autorité notifiante qui encadre les organismes d’évaluation, et une ou plusieurs autorités de surveillance du marché qui contrôlent après la mise sur le marché, avec pouvoir d’exiger des informations, d’ordonner des mesures correctives, de retirer ou de rappeler un système.
Autour de ces deux étages gravitent trois instances de coordination : le Comité européen de l’intelligence artificielle, où siègent les représentants des États, un groupe scientifique d’experts indépendants, et un forum consultatif ouvert aux parties prenantes. Aucune ne rend de décision individuelle, toutes façonnent la doctrine.
Le règlement laisse aux États la liberté de désigner plusieurs autorités de surveillance du marché, à condition d’en identifier une comme point de contact unique. La France a exploité cette latitude au maximum. Le schéma présenté par la Direction générale des entreprises et la DGCCRF en septembre 2025 répartit le contrôle entre une quinzaine d’autorités existantes, chacune sur son terrain.
| Autorité | Périmètre envisagé sur l’IA | Ce qu’elle fait déjà aujourd’hui |
|---|---|---|
| DGCCRF | Coordination nationale, point de contact unique auprès de la Commission | Conformité des produits, pratiques commerciales trompeuses |
| CNIL | Biométrie, emploi, éducation, migration, usages répressifs | Contrôle du RGPD, sanctions, recommandations sectorielles |
| Arcom | Contenus générés, manipulation, articulation avec le règlement sur les services numériques | Régulation audiovisuelle et des plateformes |
| ACPR et AMF | Solvabilité, tarification en assurance, marchés financiers | Supervision bancaire, assurantielle et boursière |
| ANSM et Haute Autorité de santé | Dispositifs médicaux et outils d’aide à la décision médicale | Autorisation et évaluation des produits de santé |
| ANSSI et PEReN | Appui technique transversal, expertise et outillage d’audit | Sécurité des systèmes d’information, analyse des plateformes |
| Juridictions suprêmes et Cour des comptes | Systèmes employés dans l’administration de la justice | Contrôle interne de leur propre ordre |
L’argument en faveur de ce découpage tient en un mot : compétence métier. Juger si un score d’assurance santé est acceptable demande de comprendre l’assurance santé, et l’ACPR le sait mieux qu’une agence généraliste. L’argument inverse, très présent dans les débats, tient en un autre mot : lisibilité. Une entreprise qui déploie un même outil auprès de plusieurs services devra composer avec plusieurs autorités, plusieurs doctrines et plusieurs cultures de contrôle.
Une réserve s’impose sur le détail. Le partage exact de certaines compétences, notamment sur les pratiques interdites et sur les obligations de transparence, a été présenté de façon variable selon les documents successifs. Seule la loi le stabilisera. Pour un cas concret, vérifiez auprès de l’autorité sectorielle qui vous paraît la plus proche du dossier.
Le règlement imposait à chaque État de notifier ses autorités compétentes avant le 2 août 2025. La France n’a pas tenu cette échéance. Le véhicule retenu est le volet numérique d’un projet de loi d’adaptation au droit de l’Union européenne, adopté par le Sénat le 17 février 2026, qui modifie notamment la loi Informatique et Libertés pour confier des compétences de surveillance du marché à la CNIL. À la date de publication de cet article, ce texte attend son examen à l’Assemblée nationale.
La conséquence est étrange et mérite d’être dite clairement. Les huit pratiques d’IA interdites le sont en France depuis le 2 février 2025 : le règlement s’applique directement, sans transposition. Mais le régime national d’amendes qui doit les sanctionner n’a pas encore été voté, et les autorités qui doivent les constater ne sont pas toutes formellement désignées. L’interdiction est juridiquement pleine, son bras armé est incomplet.
Deux nuances évitent d’en tirer une conclusion trop confortable. D’abord, les autorités existantes gardent tous leurs pouvoirs sur les fondements qu’elles maîtrisent déjà : la CNIL sur le RGPD, la DGCCRF sur les pratiques commerciales, le juge sur la responsabilité civile et pénale. Ensuite, une pratique illicite pendant deux ans reste illicite : la régularisation ultérieure ne l’efface pas, et la charge de la preuve documentaire, elle, court dès aujourd’hui. Cette situation évolue ; vérifiez l’état d’avancement du texte avant de fonder une décision dessus.
Le retard n’est d’ailleurs pas une singularité française. Plusieurs États membres ont dépassé la même échéance, ce qui a nourri une partie des arguments en faveur du report des obligations sur le haut risque. Un calendrier européen ne vaut que par la vitesse d’équipement des administrations chargées de l’appliquer, et cette vitesse s’est révélée très inférieure à celle du législateur.
Le mot « contrôle » évoque une autorisation préalable. Le règlement fonctionne à l’envers. Pour la majorité des systèmes à haut risque de l’annexe III, l’évaluation de conformité se fait par contrôle interne : le fournisseur vérifie lui-même, documente, déclare, appose le marquage CE et enregistre le système. Aucun fonctionnaire ne lit le dossier avant la mise sur le marché.
Le contrepoids se situe donc entièrement en aval. Une autorité de surveillance peut réclamer la documentation technique, exiger l’accès aux jeux de données d’entraînement et au code source lorsque c’est nécessaire pour évaluer la conformité, imposer des mesures correctives, retirer un système du marché. Ce déséquilibre entre déclaration facile et contrôle exigeant explique pourquoi la question des moyens des autorités revient dans tous les débats. Le même schéma vaut pour les produits physiques et pour la conformité des biens que vous achetez : la sanction est postérieure, pas préalable.
Un assistant conversationnel intégré à un réseau social peut relever simultanément de trois régimes européens, avec trois autorités différentes.
Ces trois textes ne se recouvrent pas : ils empilent des exigences distinctes sur un même service. Une entreprise qui raisonne « nous sommes conformes au RGPD, donc nous sommes conformes » commet une erreur de catégorie, symétrique de celle décrite dans la présentation du calendrier européen.
Une autorité de surveillance ne fait pas que sanctionner. Le règlement impose à chaque État membre de mettre en place au moins un bac à sable réglementaire pour l’IA, c’est-à-dire un cadre où une entreprise développe et teste un système sous la supervision de l’autorité, avec un accompagnement sur la conformité et une sécurité juridique accrue avant la mise sur le marché. Le règlement omnibus de juillet 2026 a fixé au 2 août 2027 la date à laquelle ces dispositifs nationaux doivent être opérationnels.
Deux détails comptent pour une petite structure. Le premier : l’accès est censé être prioritaire et gratuit pour les PME et les jeunes pousses, ce qui en fait le seul canal d’expertise publique gratuite prévu par le texte. Le second : la participation à un bac à sable n’exonère pas de la responsabilité en cas de dommage, elle organise un dialogue avec le régulateur, pas une immunité.
Pour une organisation qui n’a ni le volume ni les moyens d’un tel dispositif, la voie de gestion des risques la plus praticable reste interne : documenter les usages, désigner un référent, encadrer ce que les équipes ont le droit de faire avec ces outils. C’est l’objet d’une charte d’usage de l’IA en entreprise, qui n’a aucune valeur réglementaire propre mais constitue la première pièce d’un dossier de conformité.
Le règlement prévoit un droit de réclamation auprès de l’autorité de surveillance du marché, mais ce droit suppose une autorité désignée et outillée. En attendant, les voies existantes restent les plus rapides, et souvent les plus efficaces.
La CNIL a par ailleurs annoncé faire de l’intelligence artificielle, du recrutement et de la cybersécurité des axes de ses contrôles pour 2026. Autrement dit, l’autorité qui dispose déjà de pouvoirs pleins se saisit du sujet avant même d’être formellement investie de nouvelles compétences.
La bonne question n’est pas « quelle autorité s’occupe de l’IA », qui n’a pas de réponse simple en France. La bonne question est « quel préjudice, sur quel fondement, subi par qui ». Le préjudice désigne le texte, le texte désigne l’autorité. Une décision d’embauche opaque relève d’abord du droit des données et de la non-discrimination, pas du règlement sur l’IA.
Pour une organisation qui déploie ces outils, le raisonnement se retourne mais garde la même forme : identifiez votre régulateur habituel, celui qui vous contrôle déjà sur votre métier, car c’est très probablement lui qui vous contrôlera sur l’IA. Les termes techniques employés ici sont repris dans le glossaire du numérique. Pour une situation précise, vérifiez auprès de l’organisme concerné plutôt que de vous fier à un organigramme encore provisoire.
Choisissez selon le préjudice, pas selon la technologie. Données personnelles mal traitées : la CNIL, dont la procédure de plainte fonctionne déjà. Discrimination : le Défenseur des droits. Pratique commerciale trompeuse ou produit non conforme : la DGCCRF, via son service de signalement. Contenu illicite sur une plateforme : la plateforme elle-même, puis Pharos. Le droit de réclamation spécifique prévu par le règlement sur l’IA suppose une autorité de surveillance du marché formellement désignée, ce qui reste incomplet en France.
Par choix d’architecture. Le règlement permet de désigner plusieurs autorités de surveillance du marché, à condition d’en identifier une comme point de contact unique. Le gouvernement a retenu une régulation sectorielle : chaque régulateur suit l’IA dans son domaine, en s’appuyant sur son expertise métier et ses pouvoirs existants. L’argument inverse, celui de la lisibilité pour les entreprises et de la cohérence des doctrines, a été largement exprimé lors des débats parlementaires.
Pour les modèles à usage général, oui. Le règlement confie à la Commission européenne la surveillance de ces modèles et lui donne un pouvoir d’amende propre, exercé sans passer par les autorités nationales. Pour les systèmes d’IA mis sur le marché, en revanche, la compétence appartient aux autorités de surveillance des États membres. Le Bureau de l’IA anime par ailleurs le code de bonnes pratiques publié le 10 juillet 2025 et coordonne les travaux communs.
Non, dans la majorité des cas. Pour la plupart des systèmes à haut risque de l’annexe III, la procédure est le contrôle interne : le fournisseur évalue lui-même la conformité, signe une déclaration et appose le marquage. Un organisme notifié n’intervient que dans certains cas, notamment biométriques, ou pour des produits qui y étaient déjà soumis. Le contrôle par un tiers se fait donc après coup, par la surveillance du marché. Voir les obligations du haut risque.
Entièrement, et c’est le point le plus utile à retenir. La CNIL dispose depuis longtemps de pouvoirs d’enquête, de mise en demeure et de sanction, qu’elle exerce sur les traitements de données mis en œuvre par des systèmes d’IA. Base légale de l’entraînement, information des personnes, analyse d’impact, droit d’opposition : tout cela est exigible aujourd’hui, indépendamment du calendrier du règlement sur l’IA.
Les liens ci-dessus renvoient vers les textes et les organismes cités. Les dates de consultation sont celles de la dernière relecture, le 13 septembre 2026.
Dans ce thème
Dans la rubrique
Modèles de langage, IA générative, deepfakes et règlement européen sur l’IA, expliqués sans hype ni panique.