Personne, au sens strict. Au 3 novembre 2026, date de notre dernière vérification, aucun texte français d’application du règlement n’a été identifié comme en vigueur : ni loi, ni ordonnance, ni décret. Le projet de loi qui doit y pourvoir confie l’essentiel à la CNIL, avec une coordination par la DGCCRF et un rôle pour l’Arcom. Il est bloqué à l’Assemblée nationale depuis le 23 avril 2026.
Deux autorités peuvent déjà agir : le Bureau de l’IA, pour les modèles d’IA à usage général, et la CNIL, au titre du RGPD.
Beaucoup de sources présentent la CNIL comme désignée. Elle ne l’est pas.
| Autorité | Ce qu’elle contrôle | Base | Statut |
|---|---|---|---|
| Bureau de l’IA (Commission) | Modèles d’IA à usage général ; certains systèmes fondés sur ces modèles | Articles 88 et 75 bis à 75 quinquies | En vigueur depuis le 2 août 2026 |
| Comité IA | Coordination, avis, recommandations | Chapitre VII du règlement | En place, ne sanctionne pas |
| Contrôleur européen de la protection des données | Institutions et organes de l’Union | Article 70, paragraphe 9 | En vigueur |
| CNIL | Pratiques interdites (notation sociale, police prédictive, biométrie, reconnaissance des émotions) ; systèmes à haut risque de l’annexe III ; transparence des systèmes de reconnaissance des émotions | Loi du 6 janvier 1978, futurs articles 124-10 à 124-12 | Prévu, non adopté |
| DGCCRF | Pratiques interdites (manipulation, exploitation des vulnérabilités, notation sociale) ; transparence des chatbots, du marquage et des hypertrucages ; formation professionnelle ; coordination | Code de la consommation, futur 35° de l’article L. 511-7 | Prévu, non adopté |
| Arcom | Pratiques interdites (manipulation, exploitation des vulnérabilités) ; transparence des chatbots, du marquage, des hypertrucages et des textes d’intérêt public | Loi du 30 septembre 1986, futur article 20-12 | Prévu, non adopté |
| ACPR | Évaluation de solvabilité et tarification en assurance vie et santé, pour les établissements qu’elle supervise | Code monétaire et financier, futur 9° du II de l’article L. 612-1 | Prévu ; l’ACPR se dit déjà désignée |
| Autorité notifiante pour l’annexe III | Désignation des organismes notifiés | — | Inconnue |
La CNIL est-elle l’autorité de l’AI Act en France ?
Pas encore. La CNIL est pressentie par le Gouvernement et retenue par le Sénat. Aucun texte en vigueur ne la désigne.
Ce que la loi lui confierait
Le texte adopté par le Sénat le 18 février 2026 insère dans la loi du 6 janvier 1978 un titre consacré aux systèmes d’IA. Trois articles fixent le périmètre de la CNIL.
Le futur article 124-10 lui confie les pratiques interdites des points c à h de l’article 5. Notation sociale, police prédictive fondée sur le profilage, constitution de bases de reconnaissance faciale par moissonnage, reconnaissance des émotions au travail et à l’école, catégorisation biométrique, identification biométrique à distance : tout cela en relève.
Le futur article 124-11 lui confie la surveillance du marché des systèmes à haut risque de l’annexe III dans les domaines suivants : biométrie, emploi, répression, migration et frontières, justice et processus démocratiques. L’éducation s’y ajoute, sauf la formation professionnelle. Les services essentiels aussi, sauf le crédit et l’assurance des établissements supervisés par l’ACPR.
Le futur article 124-12 lui confie la transparence du paragraphe 3 de l’article 50 : les systèmes de reconnaissance des émotions et de catégorisation biométrique.
Le même texte fait de la CNIL un organisme notifié, chargé de délivrer des certificats de conformité. Elle serait à la fois contrôleur et certificateur.
Ce que la CNIL dit d’elle-même
Dans son programme de travail 2026, publié le 7 avril 2026, la CNIL écrit qu’elle « se prépare à être désignée autorité de surveillance de marché au titre du règlement européen sur l’intelligence artificielle ». Au 7 avril 2026, la CNIL elle-même ne se disait donc pas désignée.
→ La doctrine de la CNIL sur l’IA, déjà applicable
Qui peut vous contrôler aujourd’hui ?
Deux autorités, pour deux terrains distincts. Le Bureau de l’IA contrôle les modèles d’IA à usage général. La CNIL contrôle le traitement des données personnelles, au titre du RGPD. Aucune autorité française ne peut infliger une amende au titre de l’AI Act.
Le Bureau de l’IA
Service de la Commission, il est chargé des modèles d’IA à usage général. L’omnibus lui a donné des pouvoirs propres, articles 75 bis à 75 quinquies, applicables depuis le 2 août 2026 : enquête, inspection, engagements rendus contraignants, décisions de non-conformité, amendes et astreintes, publication des décisions avec le nom des parties.
Sur les modèles, sa compétence est totale. L’article 88 donne à la Commission des pouvoirs exclusifs pour surveiller le chapitre V, et lui fait confier ces tâches au Bureau de l’IA. Tout fournisseur de modèle d’IA à usage général en relève, avec les amendes de l’article 101.
Sur les systèmes, sa compétence couvre deux cas. Les systèmes fondés sur un modèle d’IA à usage général développé par le même fournisseur, ou par un fournisseur de la même entreprise. Les systèmes qui constituent une très grande plateforme ou un très grand moteur de recherche en ligne, ou qui y sont intégrés.
Quatre exceptions retirent des systèmes du premier cas : les produits couverts par l’annexe I ; les infrastructures critiques du point 2 de l’annexe III ; les systèmes fournis par les autorités répressives, les autorités de gestion des frontières et les établissements financiers, dans la mesure où ils relèvent de l’article 74, paragraphe 6 ; l’administration de la justice.
Sa compétence ne vise que les fournisseurs. Un déployeur n’y est soumis que s’il est aussi fournisseur, ou de la même entreprise que lui. Un simple déployeur relève de l’autorité nationale, quelle que soit la technologie qu’il utilise.
→ Ce que le Bureau de l’IA peut infliger
La CNIL, au titre du RGPD
La CNIL est pleinement compétente sur le terrain du règlement général sur la protection des données, indépendamment de l’AI Act. Elle a publié un corpus de recommandations sur l’IA. Un système d’IA qui traite des données personnelles relève donc déjà de son contrôle, à ce titre.
L’ACPR, qui se déclare désignée
L’article 74, paragraphe 6, déplace la compétence pour le secteur financier. Pour les systèmes utilisés par des établissements financiers régis par la législation de l’Union sur les services financiers, l’autorité de surveillance du marché est le superviseur financier national, dans la mesure où l’usage du système est directement lié à la fourniture de ces services. Quelle autorité française occupe cette fonction n’est établi par aucun texte.
L’Autorité de contrôle prudentiel et de résolution se présente comme autorité de surveillance du marché pour le secteur financier, sur son propre site. Elle ne cite ni l’article 74 ni aucune autre base juridique. C’est une auto-désignation, et nous la rapportons comme telle.
→ Le cumul réglementaire du secteur financier
Personne, pour les amendes de l’AI Act
Aucune autorité française ne peut aujourd’hui prononcer une amende au titre du règlement. La loi qui doit créer ce pouvoir n’est pas votée.
Quelle autorité pour votre secteur, selon le projet de loi ?
Le texte adopté par le Sénat ne crée pas d’autorité unique. Il répartit le contrôle entre une dizaine d’autorités existantes, en modifiant chacun de leurs codes. Voici cette répartition, telle que votée en première lecture. Elle peut encore changer à l’Assemblée nationale.
| Domaine | Autorité prévue | Disposition du texte du Sénat |
|---|---|---|
| Pratiques interdites : techniques subliminales ou manipulatrices, exploitation des vulnérabilités (article 5, points a et b) | Arcom et DGCCRF | Art. 20-12 de la loi de 1986 ; 35° de l’art. L. 511-7 du code de la consommation |
| Pratiques interdites : notation sociale (article 5, point c) | CNIL et DGCCRF | Art. 124-10 de la loi de 1978 ; 35° de l’art. L. 511-7 |
| Pratiques interdites : police prédictive fondée sur le profilage, moissonnage de bases de reconnaissance faciale, reconnaissance des émotions au travail et à l’école, catégorisation biométrique, identification biométrique à distance (article 5, points d à h) | CNIL | Art. 124-10 |
| Haut risque : biométrie, emploi, répression, migration, justice (annexe III, points 1, 4, 6, 7, 8) | CNIL | Art. 124-11, 1° |
| Haut risque : éducation (point 3) | CNIL ; DGCCRF pour la formation professionnelle | Art. 124-11, 2° ; 35° de l’art. L. 511-7 |
| Haut risque : services essentiels (point 5) | CNIL ; ACPR pour le crédit et l’assurance des établissements supervisés | Art. 124-11, 3° ; 9° du II de l’art. L. 612-1 du code monétaire et financier |
| Haut risque : infrastructures critiques (point 2) | Autorité désignée par décret, domaine par domaine | Art. L. 1340-2 du code de la défense |
| Systèmes utilisés par les juridictions | Conseil d’État, Cour de cassation, Cour des comptes, par leurs autorités de contrôle internes | Article 24 ter du projet de loi |
| Transparence : information sur l’interaction avec une IA, marquage des contenus générés, hypertrucages, textes d’intérêt public (article 50, paragraphes 1, 2 et 4) | Arcom et DGCCRF | Art. 20-12 ; 35° de l’art. L. 511-7 |
| Transparence : information des personnes exposées à la reconnaissance des émotions ou à la catégorisation biométrique (article 50, paragraphe 3) | CNIL | Art. 124-12 |
| Dispositifs médicaux | ANSM | Art. L. 5211-2 du code de la santé publique |
| Produits de consommation, jouets, bateaux de plaisance, équipements radio, ascenseurs, installations à câbles | Autorités sectorielles existantes | Articles 24 et 24 quater à 24 decies du projet de loi |
Trois précisions de lecture.
Plusieurs compétences se chevauchent. La manipulation et l’exploitation des vulnérabilités relèvent de l’Arcom et de la DGCCRF ; la notation sociale, de la CNIL et de la DGCCRF. Le futur article 55-2 de la loi pour la confiance dans l’économie numérique organise l’échange d’informations entre autorités « afin de prévenir un cumul des poursuites et des sanctions pour les mêmes faits ».
Le texte prévoit un appui technique. Les autorités de surveillance du marché pourront recourir à l’expertise du service mentionné à l’article 36 de la loi du 25 octobre 2021, le PEReN, et, pour la sécurité des systèmes d’information, à celle de l’ANSSI.
Le texte ne nomme pas de point de contact unique. Les articles 24 à 24 terdecies du texte adopté ne contiennent pas cette expression. Le rôle de point de contact unique de la DGCCRF reste une annonce du Gouvernement du 9 septembre 2025 : « La DGCCRF est chargée de la coordination des autorités de surveillance du marché et jouera à ce titre le rôle de point de contact unique en application de l’article 70.2 du règlement. » La direction générale des entreprises, elle, se présente comme autorité réglementaire en charge du règlement et siégeant au Comité européen de l’IA. Elle n’est présentée ni comme autorité de surveillance du marché, ni comme point de contact unique.
→ Les systèmes à haut risque de l’annexe III
Où en est la loi DDADUE ?
Le véhicule est le projet de loi portant diverses dispositions d’adaptation au droit de l’Union européenne, dit DDADUE. Il a été déposé au Sénat le 10 novembre 2025, en procédure accélérée.
| Date | Étape |
|---|---|
| 10 novembre 2025 | Dépôt au Sénat, texte n° 118 |
| 17 février 2026 | Adoption en séance publique des amendements du Gouvernement désignant les autorités |
| 18 février 2026 | Adoption du projet de loi par le Sénat en première lecture, texte n° 63 |
| 20 février 2026 | Transmission à l’Assemblée nationale, texte n° 2518, commission des affaires économiques saisie au fond |
| 23 avril 2026 | Saisine pour avis de quatre commissions |
| Depuis | Aucune date d’examen en commission ni en séance |
Cinq états se distinguent et ne se confondent jamais.
- Voté : oui, par le Sénat seulement, le 18 février 2026.
- Adopté définitivement : non. L’Assemblée nationale n’a pas voté le texte.
- Promulgué : non.
- Publié au Journal officiel : non.
- En vigueur : non.
Le Gouvernement avait lui-même conditionné son schéma, le 9 septembre 2025 : « Le schéma retenu par le Gouvernement sera mis en œuvre, sous réserve qu’il soit accepté par le Parlement par le biais d’un projet de loi. »
Une proposition de loi n° 3149, déposée le 15 septembre 2026 par des députés La France insoumise, créerait une Autorité nationale de l’intelligence artificielle et soumettrait les modèles à usage général à une autorisation préalable. Elle a été renvoyée en commission des affaires économiques, sans date d’examen. Ce n’est pas le véhicule de la désignation.
Deux adresses de contact ont été publiées : reglement-ia@dgccrf.finances.gouv.fr et reglement-ia.dge@finances.gouv.fr. C’est la seule des obligations de l’article 70, paragraphe 2, qui ait reçu un commencement d’exécution.
L’absence d’autorité française suspend-elle vos obligations ?
Non. Le règlement est d’application directe. Aucune obligation n’attend un texte français pour exister. Ce qui manque, c’est l’autorité chargée de les faire respecter.
Les pratiques interdites de l’article 5 sont exigibles depuis le 2 février 2025. Deux points ajoutés par l’omnibus, b bis) et b ter), et les paragraphes 1 bis et 1 ter qui en fixent la portée, le seront au 2 décembre 2026. La maîtrise de l’IA est exigible depuis le 2 février 2025, la transparence de l’article 50 depuis le 2 août 2026.
Le fait qu’aucune autorité française ne puisse aujourd’hui infliger une amende ne rend rien licite.
→ Les pratiques interdites, point par point
Que doivent désigner les États membres, et quand ?
L’article 70, paragraphe 1, impose à chaque État membre d’établir ou de désigner « au moins une autorité notifiante et au moins une autorité de surveillance du marché ». Ces autorités exercent leurs pouvoirs « de manière indépendante, impartiale et sans parti pris ». Une seule peut cumuler plusieurs rôles « en fonction des besoins organisationnels de l’État membre ».
Le paragraphe 2 porte quatre obligations. Une seule est datée.
Les États membres communiquent à la Commission les autorités notifiantes et les autorités de surveillance du marché désignées et les tâches incombant à ces autorités, ainsi que toute modification ultérieure y afférente. Les États membres rendent publiques des informations sur la manière dont les autorités compétentes et les points de contact uniques peuvent être contactés, par voie électronique, au plus tard le 2 août 2025. Les États membres désignent une autorité de surveillance du marché pour faire office de point de contact unique pour le présent règlement et communiquent à la Commission l’identité du point de contact unique. La Commission publie une liste des points de contact uniques.
La date du 2 août 2025 est rattachée à la seule obligation de publier des informations de contact. Les trois autres ne portent aucune date : communiquer à la Commission les autorités désignées et leurs tâches, désigner le point de contact unique, communiquer son identité. La désignation elle-même relève du paragraphe 1, qui n’en porte pas davantage.
Une seconde échéance datée existe, au paragraphe 6 : le rapport à la Commission sur l’état des ressources des autorités, dû au plus tard le 2 août 2025 puis tous les deux ans.
Le même article exige des ressources suffisantes et un personnel disposant « d’une compréhension approfondie des technologies de l’IA, des données et du traitement de données, de la protection des données à caractère personnel, de la cybersécurité, des droits fondamentaux, des risques pour la santé et la sécurité, et une connaissance des normes et exigences légales en vigueur ». Ces compétences sont réévaluées chaque année. S’y ajoutent un niveau adapté de cybersécurité et les obligations de confidentialité de l’article 78.
Le paragraphe 8, dans sa rédaction issue du règlement (UE) 2026/1744, autorise les autorités nationales à « fournir des orientations et des conseils », en particulier aux petites structures. Lorsque l’orientation touche un domaine relevant d’autres actes de l’Union, les autorités compétentes au titre de ces actes « sont consultées, le cas échéant ».
→ Le calendrier d’application, date par date
Comité IA et Contrôleur européen : qui fait quoi ?
Le Comité IA
Il réunit les représentants des États membres. Il rend des avis, des recommandations et des contributions écrites. Il intervient dans l’évaluation d’adéquation des codes de bonne pratique, et la Commission lui transmet les rapports des États membres sur les ressources de leurs autorités. Il ne sanctionne pas.
Deux autres organes l’entourent : le forum consultatif et le groupe scientifique d’experts indépendants.
Le Contrôleur européen de la protection des données
C’est lui qui surveille les institutions, organes et organismes de l’Union relevant du règlement, article 70, paragraphe 9. Il peut leur infliger les amendes de l’article 100.
Attention au sigle. En français, « CEPD » désigne aussi le Comité européen de la protection des données, qui n’a pas ce rôle. Ce sigle ne s’écrit jamais seul.
Ce qui reste inconnu
Plusieurs éléments n’ont pas pu être établis. Nous préférons le dire que les inventer.
- L’existence d’organismes notifiés français au titre du règlement.
- L’autorité chargée du canal externe de signalement des lanceurs d’alerte, article 87.
- Le fondement juridique de la compétence que l’ACPR s’attribue aujourd’hui.
- La notification française à la Commission au titre de l’article 70, paragraphe 2. L’entrée France de la liste publiée reste vide.
- L’existence d’un bac à sable réglementaire français, dont l’échéance est au 2 août 2027.
Sur quoi cette page s’appuie
Les articles 70, 74 à 78, 87 et 100 du règlement (UE) 2024/1689 dans sa version consolidée au 27 juillet 2026, telle que modifiée par le règlement (UE) 2026/1744. L’article 70 a été extrait d’EUR-Lex le 28 août 2026 et les citations qui en sont faites sont reproduites mot à mot.
Côté français, le texte n° 63 adopté par le Sénat le 18 février 2026, dont les articles 24 à 24 terdecies ont été relus le 3 novembre 2026 : la répartition sectorielle ci-dessus en est tirée directement. Le dossier législatif de l’Assemblée nationale, la proposition de loi n° 3149, les pages officielles du 9 septembre 2025 de la direction générale des entreprises et de la DGCCRF, le programme de travail 2026 de la CNIL. Côté européen, la liste des points de contact uniques publiée par la Commission et sa page consacrée à la gouvernance et à l’exécution du règlement. Tous consultés le 3 novembre 2026.
Le constat d’absence de texte français en vigueur repose sur ces sources officielles concordantes. Il n’a pas pu être vérifié directement sur Légifrance, dont le moteur de recherche est resté inaccessible le 24 août puis le 3 novembre 2026. Aucune recherche négative n’a donc été conduite sur les décrets et arrêtés. Nous le signalons.
Sources. Règlement (UE) 2024/1689, version consolidée au 27 juillet 2026, règlement (UE) 2026/1744, texte n° 63 adopté par le Sénat, dossier législatif de l’Assemblée nationale, proposition de loi n° 3149, page de la direction générale des entreprises du 9 septembre 2025, actualité de la DGCCRF, programme de travail 2026 de la CNIL et liste des points de contact uniques de la Commission.
Questions fréquentes
La CNIL est-elle l'autorité française de l'AI Act ?
Pas encore. Au 3 novembre 2026, date de notre dernière vérification, aucun texte français d’application du règlement n’a été identifié comme en vigueur : ni loi, ni ordonnance, ni décret. Ce constat n’a pas pu être vérifié directement sur Legifrance, resté inaccessible ce jour-là avec une erreur HTTP 403 : aucune recherche négative n’a été conduite sur le corpus réglementaire français, décrets et arrêtés compris, et le constat repose sur cinq sources officielles concordantes. Le projet de loi DDADUE, adopté par le Sénat le 18 février 2026, confierait à la CNIL le contrôle de la plupart des pratiques interdites et des systèmes à haut risque de l'annexe III. Ce texte n'a pas été voté par l'Assemblée nationale. La CNIL elle-même écrivait en avril 2026 qu'elle « se prépare à être désignée ».
Quelle échéance la France a-t-elle manquée ?
Une seule est datée. Dans l'article 70, paragraphe 2, le 2 août 2025 ne porte que sur la publication des informations de contact. Deux adresses ont été publiées. Les trois autres obligations du paragraphe ne portent aucune date : communiquer à la Commission les autorités désignées, désigner le point de contact unique, communiquer son identité. Ce sont elles qui ne sont pas satisfaites.
Qui surveille les institutions européennes elles-mêmes ?
Le Contrôleur européen de la protection des données, article 70, paragraphe 9. C'est lui, et non le Comité européen de la protection des données, qui peut leur infliger des amendes au titre de l'article 100 : 1 500 000 EUR au plus pour un manquement à l'article 5, 750 000 EUR pour les autres.
Ce contenu est une ressource d’information technique et réglementaire. Il ne constitue pas un conseil juridique.