Qui contrôle l'AI Act en France, et comment se passe un contrôle

Une question revient dans les réunions de direction depuis quelques mois : qui viendrait contrôler, si un contrôle avait lieu ? La réponse qui circule sur les forums et dans certains articles cite souvent la CNIL, comme si l'affaire était tranchée. Elle ne l'est pas.

Pourquoi la question n'a pas de réponse simple

Le règlement (UE) 2024/1689 fixe des règles communes, mais il laisse à chaque État membre le soin de désigner ses propres autorités de contrôle. L'article 70, paragraphe 2, imposait à chacun de communiquer à la Commission, au plus tard le 2 août 2025, la liste de ses autorités nationales compétentes. Cette échéance est passée. Aucune loi française de désignation n'a été promulguée à ce jour, et il n'est pas possible de confirmer, sur une source officielle accessible, si la France l'a néanmoins respectée par un autre moyen. Ce vide n'a rien d'exceptionnel : chaque règlement européen fonctionne ainsi, le texte pose l'obligation, le droit national nomme qui l'applique.

Le schéma envisagé par le Gouvernement

La Direction générale des entreprises a rendu public un schéma de gouvernance décentralisée pour l'AI Act. La DGCCRF y tiendrait le rôle de coordination opérationnelle et de point de contact unique. À ses côtés : la CNIL, l'Arcom, l'ACPR, le PEReN et l'Anssi. S'y ajouterait une série d'autorités sectorielles, compétentes pour les systèmes d'IA déjà intégrés à des produits réglementés : machines, jouets, équipements radioélectriques, dispositifs médicaux, équipements de protection individuelle, ascenseurs, appareils au gaz. Le chiffre d'une quinzaine d'autorités, souvent avancé, reste un ordre de grandeur. Aucune liste nommée et exhaustive n'a été publiée à ce jour.

Le schéma retenu par le Gouvernement sera mis en œuvre, sous réserve qu'il soit accepté par le Parlement par le biais d'un projet de loi.

Cette phrase résume l'état du dossier à elle seule. Une administration porteuse existe, un schéma existe, mais aucun vote ne l'a encore rendu opposable.

Le véhicule législatif, et ce qu'on ne peut pas encore en dire

Le texte pressenti pour porter cette désignation est le projet de loi portant diverses dispositions d'adaptation au droit de l'Union européenne, le DDADUE. Adopté en première lecture par le Sénat le 18 février 2026, transmis à l'Assemblée nationale deux jours plus tard, il y restait en première lecture au 27 juillet 2026, sans qu'aucun vote n'ait été constaté à cette chambre.

Ce qui est déjà en vigueur, indépendamment de cette désignation

Le calendrier européen ne dépend pas, lui, du droit français. Le chapitre VII du règlement, celui de la gouvernance, s'applique depuis le 2 août 2025, tout comme le chapitre XII des sanctions. La Commission européenne l'écrit dans ses questions-réponses sur la maîtrise de l'IA : les autorités nationales de surveillance du marché commencent à superviser et à faire appliquer l'article 4 à partir du 2 août 2026. Reste une zone d'ombre propre au cas français : qui exerce ce pouvoir tant qu'aucune autorité IA n'est nommément désignée. Nous n'avons trouvé aucune réponse sourcée à cette question précise. Notre pilier sur l'AI Act et l'obligation de former suit ce point à chaque avancée du texte.

Comment se passerait un contrôle : ce qu'on sait et ce qu'on ignore

Le règlement consacre tout un chapitre, le chapitre IX, à la surveillance après commercialisation et au contrôle de l'application. C'est un cadre général, pas un protocole détaillé propre à chaque État, et ce chapitre devient pleinement applicable le 2 août 2026, comme la plupart des dispositions qui n'ont reçu aucune dérogation nommée dans le texte. Aucune source officielle française ne décrit aujourd'hui le déroulé concret d'une inspection au titre de l'AI Act : qui se déplace, sur quel préavis, avec quels pouvoirs locaux exacts. Écrire le contraire reviendrait à inventer une procédure qui n'existe pas encore publiquement, et ce n'est pas notre genre. Ce qui existe déjà, en revanche, c'est le pouvoir européen qui rend ce futur contrôle possible, indépendamment du nom de celui qui viendra le mener en France.

Une chose reste vraie, désignation ou non : un contrôle porte sur des preuves, jamais sur des intentions déclarées. Tenir à jour l'inventaire des systèmes d'IA utilisés, un exercice que nous détaillons dans notre modèle de registre des systèmes d'IA, reste la première pièce que n'importe quelle autorité demandera. Le reste du dossier à préparer est décrit dans notre article sur les pièces à sortir en cas de contrôle, et le calendrier complet des échéances déjà actées dans notre frise des dates de l'AI Act.

Questions fréquentes

La CNIL est-elle l'autorité compétente pour l'AI Act en France ?

Pas seule, et pas encore officiellement. Le schéma envisagé par le Gouvernement associe la CNIL à la DGCCRF, à l'Arcom et à d'autres autorités, mais aucune loi française ne l'a désignée à ce jour.

À partir de quand la France devait-elle désigner ses autorités ?

L'article 70, paragraphe 2, du règlement fixait cette échéance au 2 août 2025. Aucune loi française de désignation n'ayant été promulguée, le respect de cette date ne peut pas être confirmé sur source officielle.

Qu'est-ce qui change concrètement le 2 août 2026 ?

Selon la Commission européenne, c'est la date à partir de laquelle les autorités nationales de surveillance du marché commencent à superviser et à sanctionner les manquements à l'article 4, indépendamment de l'état de la désignation française.

Que faire en l'absence d'autorité désignée ?

Se préparer comme si un contrôle pouvait survenir : tenir un inventaire des systèmes d'IA utilisés, un plan de formation daté et des attestations nominatives. Ce sont les pièces qu'une autorité, quelle qu'elle soit, demandera en premier.

Le flou n'est pas un vide juridique, c'est un texte européen déjà applicable, en attente d'un relais français qui tarde. Plutôt que d'attendre une liste d'autorités qui n'existe pas encore, mieux vaut avancer sur ce qui dépend de vous : savoir qui utilise quels outils dans votre entreprise, et pouvoir le montrer. Nos programmes produisent cette preuve, une attestation à la fois.

Dernière vérification le 27 juillet 2026, contre les publications de la Direction générale des entreprises, le dossier législatif du Sénat et le règlement (UE) 2024/1689.