En France, l’AI Act s’applique directement, mais la loi qui désigne les autorités de contrôle n’est pas définitivement adoptée en octobre 2026. Le schéma retenu par le gouvernement fait de la DGCCRF le point de contact unique et le coordinateur, confie une large part du contrôle à la CNIL, et s’appuie sur l’Arcom, l’ACPR et les régulateurs sectoriels existants.
Les points clés
- Pas de nouvelle autorité dédiée à l’IA : la France répartit le contrôle entre des régulateurs existants, selon le secteur et l’obligation.
- DGCCRF : coordination des autorités de surveillance du marché et point de contact unique au sens de l’article 70 ; DGE : autorité réglementaire et représentation au Comité européen de l’IA.
- CNIL : pratiques interdites liées à la biométrie, reconnaissance des émotions, et plusieurs domaines du haut risque (emploi, éducation, biométrie, répressif, migration).
- Le volet IA du projet de loi d’adaptation au droit de l’Union a été adopté par le Sénat le 18 février 2026 ; nous n’avons pas trouvé d’adoption définitive en octobre 2026.
- Les obligations européennes courent quand même : interdictions, maîtrise de l’IA, transparence de l’article 50.
AI Act en France : pourquoi une loi est encore nécessaire
L’AI Act est un règlement : il s’applique en France sans transposition, exactement comme le RGPD. Mais son article 70 demande à chaque État membre de désigner au moins une autorité notifiante et au moins une autorité de surveillance du marché, ainsi qu’un point de contact unique, et son article 99 lui demande de fixer le régime des sanctions. Le délai européen pour ces désignations était le 2 août 2025. Comme plusieurs autres États membres, la France ne l’a pas tenu.
En septembre 2025, la Direction générale des entreprises (DGE) et la DGCCRF ont publié un projet de désignation des autorités nationales, en précisant qu’il devait être validé par le Parlement. Ce schéma a ensuite été intégré au projet de loi portant diverses dispositions d’adaptation au droit de l’Union européenne en matière économique, financière, environnementale, énergétique, d’information, de transport, de santé, d’agriculture et de pêche, dit « DDADUE ».
Avant d’entrer dans le détail, rappelons que ces débats ne changent rien à vos obligations européennes. Pour les connaître usage par usage, le diagnostic gratuit de gouvernance IA d’Opsio part de vos outils réels.
Besoin d'aide avec cloud ?
Réservez une réunion gratuite de 30 minutes avec l'un de nos spécialistes en cloud. Nous analysons vos besoins et fournissons des recommandations concrètes — sans engagement.
Où en est le projet de loi (octobre 2026) ?
| Date | Étape |
|---|---|
| 9 septembre 2025 | La DGE et la DGCCRF publient le projet de schéma de gouvernance du règlement IA |
| 10 novembre 2025 | Dépôt au Sénat du projet de loi DDADUE n° 118 (2025-2026), procédure accélérée ; l’article 24 porte sur le règlement (UE) 2024/1689 |
| 4 février 2026 | Examen en commission des affaires économiques du Sénat |
| 17 et 18 février 2026 | Séance publique : adoption d’amendements du Gouvernement désignant les autorités et fixant les sanctions, et d’une habilitation à légiférer par ordonnance ; adoption du texte par le Sénat le 18 février |
| 20 février 2026 | Transmission à l’Assemblée nationale (n° 2518) |
| Octobre 2026 | Pas d’adoption définitive ni de promulgation trouvée dans le dossier législatif du Sénat ; vérifiez Légifrance avant de vous y référer |
Tant que la loi n’est pas promulguée, la répartition ci-dessous reste un projet. Elle est cependant stable depuis un an et donne une bonne idée de l’interlocuteur dont vous dépendrez.
Qui contrôle quoi : la répartition prévue
Ce tableau reprend le schéma publié par la DGE et la DGCCRF, complété par les amendements adoptés au Sénat.
| Domaine | Autorité prévue | Exemples d’entreprises concernées |
|---|---|---|
| Coordination, point de contact unique (art. 70) | DGCCRF | Toute entreprise qui cherche l’interlocuteur national |
| Pilotage réglementaire, Comité européen de l’IA | DGE | — |
| Manipulation et exploitation des vulnérabilités (art. 5.1 a et b) | Arcom et DGCCRF | Plateformes, applications grand public, publicité |
| Notation sociale (art. 5.1 c) | CNIL et DGCCRF | Tout acteur qui note des personnes sur leur comportement social |
| Police prédictive, moissonnage d’images faciales, émotions au travail et à l’école, catégorisation et identification biométriques (art. 5.1 d à h) | CNIL | Éditeurs de vidéosurveillance, outils RH, EdTech |
| Interaction avec une IA, contenus de synthèse, hypertrucages (art. 50.1, 50.2, 50.4) | DGCCRF et Arcom | Chatbots de service client, générateurs de contenus, médias |
| Reconnaissance des émotions, catégorisation biométrique (art. 50.3) | CNIL | Analyse vocale en centre d’appels, analyse de fréquentation en magasin |
| Textes d’intérêt public générés (art. 50.4) | Arcom | Éditeurs de presse, communication publique |
| Haut risque : biométrie, emploi, répressif, migration, frontières (annexe III) | CNIL | Logiciels de recrutement, contrôle d’accès biométrique |
| Haut risque : éducation | CNIL avec la DGCCRF | Plateformes d’orientation, correction automatisée |
| Haut risque : formation professionnelle | DGCCRF | Organismes de formation |
| Haut risque : solvabilité, crédit, tarification en assurance vie et santé (annexe III, point 5) | ACPR, pour les acteurs qu’elle supervise | Banques, assureurs, mutuelles |
| Haut risque : infrastructures critiques | Hauts fonctionnaires de défense et de sécurité des ministères | Énergie, eau, transport |
| Haut risque : processus démocratiques | Arcom, avec la CNIL | Outils de campagne, plateformes |
| Systèmes utilisés par les juridictions | Conseil d’État, Cour de cassation, Cour des comptes | Juridictions |
| Haut risque dans les produits réglementés (annexe I) | Autorités de surveillance déjà compétentes (ANSM, DGPR, ANFR, DG Travail, DGCCRF…) | Dispositifs médicaux, machines, équipements radio, jouets |
| Expertise technique mutualisée | PEReN et ANSSI | Appui aux autorités |
Deux remarques. D’abord, la règle pratique du schéma est simple : une entreprise déjà régulée s’adressera en général à son régulateur habituel (une banque à l’ACPR, un fabricant de dispositifs médicaux à l’ANSM). Ensuite, l’autorité notifiante, chargée de désigner les organismes notifiés pour le haut risque de l’annexe III, n’était pas clairement identifiée dans les documents publics consultés en octobre 2026.
Contrôles et sanctions prévus
L’amendement du Gouvernement n° 442, adopté au Sénat, précise les pouvoirs de la CNIL au titre de l’AI Act : rappel à l’ordre, injonction de mise en conformité avec astreinte pouvant aller jusqu’à 100 000 euros par jour, restriction ou retrait d’un système, et amendes administratives dans la limite des plafonds de l’article 99 du règlement. Les systèmes mis en œuvre par l’État sont exclus des amendes et astreintes. Une procédure d’urgence est prévue en cas de risque grave pour les droits fondamentaux, la santé ou la sécurité.
Les plafonds européens, eux, sont fixés : jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial pour les pratiques interdites, 15 millions d’euros ou 3 % pour la plupart des autres obligations (dont l’article 50 et le haut risque), 7,5 millions d’euros ou 1 % pour les informations inexactes fournies aux autorités. Pour les PME, c’est le montant le plus faible qui s’applique.
Le Sénat a aussi adopté une habilitation permettant au gouvernement de compléter le dispositif par ordonnance dans les six mois suivant la promulgation, notamment pour les bacs à sable réglementaires de l’IA. En octobre 2026, le cadre du bac à sable national n’est donc pas encore fixé, alors que le règlement en exige un dans chaque État au plus tard le 2 août 2027.
Les autres acteurs français à connaître
- CNIL : au-delà de l’AI Act, elle contrôle le RGPD et publie des recommandations sur l’IA. Voir notre article IA, RGPD et CNIL.
- ANSSI : son guide de recommandations de sécurité pour un système d’IA générative (avril 2024) est une référence pour les équipes techniques.
- INESIA : l’institut national pour l’évaluation et la sécurité de l’IA, lancé en février 2025 sous le pilotage du SGDSN et de la DGE, fédère l’ANSSI, Inria, le LNE et le PEReN autour de l’évaluation des modèles. Il n’a pas de pouvoir de sanction.
- Bureau de l’IA : à l’échelle européenne, il contrôle les fournisseurs de modèles d’IA à usage général, pas les entreprises françaises qui les utilisent.
Que faire en attendant la loi ?
- Ne pas attendre. Les interdictions et la maîtrise de l’IA s’appliquent depuis février 2025, la transparence depuis août 2026. La DGCCRF, la CNIL et l’Arcom disposent déjà de pouvoirs sur le fondement d’autres textes (consommation, RGPD, régulation des plateformes).
- Identifier votre futur interlocuteur à l’aide du tableau ci-dessus, en partant de votre secteur.
- Documenter vos choix : inventaire, classification des risques, charte, formation. C’est ce qu’une autorité demandera en premier.
- Suivre le dossier sur le site du Sénat, de l’Assemblée nationale et de Légifrance, ainsi que sur entreprises.gouv.fr. Les questions peuvent être adressées à reglement-ia@dgccrf.finances.gouv.fr.
Les échéances européennes sont résumées dans le calendrier de l’AI Act, et l’ensemble du texte dans notre guide du règlement européen sur l’IA. Pour une démarche structurée, suivez la checklist de conformité AI Act.
Questions fréquentes sur l’AI Act en France
Quelle est l’autorité de contrôle de l’AI Act en France ?
Il n’y en a pas une seule. Le schéma retenu fait de la DGCCRF le point de contact unique et le coordinateur des autorités de surveillance du marché, confie à la CNIL une grande partie des contrôles (biométrie, emploi, éducation…) et s’appuie sur l’Arcom, l’ACPR et les régulateurs sectoriels. La loi qui consacre cette répartition n’est pas définitivement adoptée en octobre 2026.
La CNIL est-elle l’autorité de l’IA en France ?
La CNIL est déjà compétente pour le RGPD appliqué à l’IA, et le projet de loi lui confie un rôle central au titre de l’AI Act. Mais elle partage ce rôle : la DGCCRF coordonne et sert de point de contact unique, et d’autres régulateurs gardent leur secteur. Pour un logiciel de recrutement, ce sera en principe la CNIL.
Quel est le rôle de la DGCCRF dans l’AI Act ?
Selon le schéma de septembre 2025, la DGCCRF coordonne les autorités de surveillance du marché et joue le rôle de point de contact unique prévu à l’article 70. Elle contrôle aussi certaines pratiques interdites (avec l’Arcom ou la CNIL), la transparence des chatbots et contenus générés avec l’Arcom, et le haut risque dans la formation professionnelle.
L’AI Act s’applique-t-il en France sans loi nationale ?
Oui. Comme tout règlement européen, il est directement applicable. La loi nationale organise les contrôles et les sanctions, mais les obligations elles-mêmes, comme les interdictions de l’article 5 ou la transparence de l’article 50, s’imposent déjà aux entreprises françaises.
Où trouver l’état du projet de loi ?
Sur le dossier législatif du Sénat (projet de loi n° 118, 2025-2026), sur le site de l’Assemblée nationale (texte n° 2518) et, une fois la loi promulguée, sur Légifrance. La page de la DGE consacrée aux autorités compétentes pour le règlement IA est également mise à jour.
Préparez-vous avant les premiers contrôles
Quelle que soit l’autorité qui frappera à votre porte, elle demandera un inventaire, une classification, des règles et des preuves de formation. Le diagnostic gratuit qui rédige votre charte IA et votre gouvernance vous aide à les produire : quatorze étapes, environ 40 minutes, questions en français. Dès l’envoi, quatre documents rédigés à partir de vos réponses et un état des lieux sur dix domaines. Les documents sont livrés en anglais, en Word modifiable, et vous appartiennent.
Cet article est une information générale, pas un conseil juridique. Vérifiez le texte consolidé du règlement (UE) 2024/1689 tel que modifié par le règlement (UE) 2026/1744. La situation législative et la désignation des autorités françaises sont décrites en l’état d’octobre 2026 et peuvent avoir évolué : vérifiez Légifrance et entreprises.gouv.fr.
Rédigé par
Country Manager, Inde
Praveena dirige les opérations d'Opsio en Inde, apportant plus de 17 ans d'expérience inter-sectorielle dans l'IA, la fabrication, le DevOps et les services managés.
Charte éditoriale : Cet article a été rédigé par des praticiens du cloud et relu par notre équipe d'ingénierie. Nous le révisons lorsque la technologie ou la réglementation qu'il traite évolue ; les dates de cette page indiquent la dernière mise à jour. Opsio est éditorialement indépendant.