Le règlement est applicable depuis le 2 août 2026. La France n’a désigné aucune autorité par un texte en vigueur. Ce décalage est vérifiable, daté, et la plupart des pages françaises sur le sujet affirment le contraire.
Deux autorités sont en cause dans ce schéma : la Commission nationale de l’informatique et des libertés (CNIL) et la direction générale de la concurrence, de la consommation et de la répression des fraudes (DGCCRF).
« La France n’a pas encore désigné ses autorités par un texte en vigueur. Le schéma retenu par le Sénat le 17 février 2026 confie l’essentiel à la CNIL, avec une coordination par la DGCCRF, mais le projet de loi DDADUE qui le porte, voté en première lecture le 18 février 2026, n’a pas été adopté définitivement, ni promulgué, ni publié au Journal officiel. »
Cinq états sont à distinguer et ne se confondent jamais : voté, oui, par le Sénat seulement, le 18 février 2026 ; adopté définitivement par les deux chambres, non ; promulgué, non ; publié au Journal officiel, non ; en vigueur, non.
Que doivent désigner les États membres, et quand ?
L’article 70, paragraphe 1 impose à chaque État membre d’établir ou de désigner « au moins une autorité notifiante et au moins une autorité de surveillance du marché ». Ces autorités exercent leurs pouvoirs « de manière indépendante, impartiale et sans parti pris », et une seule peut cumuler plusieurs rôles « en fonction des besoins organisationnels de l’État membre ».
Le paragraphe 2 porte quatre obligations, et une seule est datée. C’est un point de lecture que presque personne ne relève :
Les États membres communiquent à la Commission les autorités notifiantes et les autorités de surveillance du marché désignées et les tâches incombant à ces autorités, ainsi que toute modification ultérieure y afférente. Les États membres rendent publiques des informations sur la manière dont les autorités compétentes et les points de contact uniques peuvent être contactés, par voie électronique, au plus tard le 2 août 2025. Les États membres désignent une autorité de surveillance du marché pour faire office de point de contact unique pour le présent règlement et communiquent à la Commission l’identité du point de contact unique. La Commission publie une liste des points de contact uniques.
La date du 2 août 2025 est grammaticalement rattachée à la seule obligation de publier des informations de contact. Les trois autres, communiquer à la Commission les autorités désignées et leurs tâches, désigner le point de contact unique et communiquer son identité, ne portent aucune date.
La désignation des autorités elle-même relève du paragraphe 1, qui ne porte pas davantage de date. Une seconde échéance datée existe, au paragraphe 6 : le rapport à la Commission sur l’état des ressources des autorités, dû au plus tard le 2 août 2025 puis tous les deux ans.
Les autres exigences du même article sont rarement citées et pèsent lourd : des ressources suffisantes et un personnel disposant « d’une compréhension approfondie des technologies de l’IA, des données et du traitement de données, de la protection des données à caractère personnel, de la cybersécurité, des droits fondamentaux, des risques pour la santé et la sécurité, et une connaissance des normes et exigences légales en vigueur » ; une réévaluation annuelle de ces compétences et ressources ; un niveau adapté de cybersécurité ; et les obligations de confidentialité de l’article 78.
Enfin, le paragraphe 8, dans sa rédaction issue du règlement (UE) 2026/1744, autorise les autorités nationales à « fournir des orientations et des conseils », en particulier aux petites structures. Il ajoute une condition peu commentée : lorsque l’orientation touche un domaine relevant d’autres actes de l’Union, les autorités compétentes au titre de ces actes « sont consultées, le cas échéant ».
Quels sont les organes européens de l’IA Act ?
Quatre, et ils n’ont ni le même rôle ni les mêmes pouvoirs. Le Bureau de l’IA, service de la Commission, exerce la compétence exclusive de celle-ci sur tout le chapitre V — les modèles d’IA à usage général — et, sur les systèmes, une compétence exclusive plus étroite. Le Comité IA coordonne et recommande, il ne sanctionne pas. S’y ajoutent le forum consultatif et le groupe d’experts scientifiques.
Le Bureau de l’IA
Service de la Commission, chargé des modèles d’IA à usage général. L’omnibus lui a donné des pouvoirs propres, articles 75 bis à 75 quinquies, applicables depuis le 2 août 2026 : enquête, inspection, engagements rendus contraignants, décisions de non-conformité, amendes et astreintes, publication des décisions avec le nom des parties.
Sur les modèles, elle est totale. L’article 88 donne à la Commission des pouvoirs exclusifs pour surveiller et contrôler le respect du chapitre V, et lui fait confier l’exécution de ces tâches au Bureau de l’IA. Tout fournisseur de modèle d’IA à usage général en relève, avec les amendes de l’article 101.
Sur les systèmes, elle est plus étroite que sa réputation. Elle couvre deux cas : les systèmes fondés sur un modèle d’IA à usage général développé par le même fournisseur ou par un fournisseur de la même entreprise, et les systèmes qui constituent une très grande plateforme ou un très grand moteur de recherche en ligne, ou qui y sont intégrés.
Quatre exceptions retirent des systèmes du premier cas : ceux liés à des produits couverts par l’annexe I ; les infrastructures critiques du point 2 de l’annexe III ; ceux fournis par les autorités répressives, les autorités de gestion des frontières et les établissements financiers, dans la mesure où ces systèmes relèvent de l’article 74, paragraphe 6 ; et l’administration de la justice.
Et sa portée personnelle est limitée aux fournisseurs. Elle ne s’étend aux déployeurs que lorsqu’ils sont aussi fournisseurs, ou de la même entreprise que le fournisseur. Un simple déployeur relève de l’autorité nationale, quelle que soit la technologie qu’il utilise.
→ Ce que le Bureau de l’IA peut infliger
Le Comité IA
Il réunit les représentants des États membres et rend des avis, des recommandations et des contributions écrites. Il intervient notamment dans l’évaluation d’adéquation des codes de bonne pratique, et la Commission lui transmet les rapports des États membres sur les ressources de leurs autorités.
Le Contrôleur européen de la protection des données
C’est lui, et non le Comité européen de la protection des données, qui surveille les institutions, organes et organismes de l’Union relevant du règlement, article 70, paragraphe 9. Attention au sigle : en français, « CEPD » désigne indifféremment les deux, et il ne faut jamais écrire ce sigle seul.
Qui est l’autorité de l’IA Act en France ?
Aucune, à ce jour, par un texte en vigueur. Le règlement impose à chaque État membre de désigner au moins une autorité notifiante et au moins une autorité de surveillance du marché ; la France ne l’a pas fait par un texte publié et en vigueur. Le constat est daté, sourcé, et assorti d’une réserve de méthode que nous donnons ci-dessous.
Au 24 août 2026, date de notre dernière vérification, aucun texte français d’application du règlement n’a été identifié comme en vigueur : ni loi, ni ordonnance, ni décret.
Il repose sur cinq sources officielles datées et concordantes, dont une postérieure au 2 août 2026, et non sur une simple absence de résultat : le dossier législatif du projet de loi DDADUE, la page de la direction générale des entreprises du 9 septembre 2025, le programme de travail 2026 de la CNIL, la liste des points de contact uniques publiée par la Commission, où l’entrée France est vide, et la page de la Commission consacrée à la gouvernance et à l’exécution du règlement, mise à jour le 7 août 2026. Mais il n’a pas pu être vérifié directement sur Legifrance : le 24 août 2026, le moteur de recherche du site et la page du Journal officiel consultée ont tous deux renvoyé une erreur HTTP 403, et le blocage n’a pas été contourné. Aucune recherche négative n’a donc été conduite sur le corpus réglementaire français lui-même, décrets et arrêtés compris. Nous le signalons plutôt que de présenter le constat comme soldé.
Le Gouvernement a publié un projet de désignation le 9 septembre 2025, et il l’a lui-même conditionné : « Le schéma retenu par le Gouvernement sera mis en œuvre, sous réserve qu’il soit accepté par le Parlement par le biais d’un projet de loi. »
La coordination et le point de contact unique reviendraient à la DGCCRF : « La DGCCRF est chargée de la coordination des autorités de surveillance du marché et jouera à ce titre le rôle de point de contact unique en application de l’article 70.2 du règlement. »
La direction générale des entreprises se présente comme autorité réglementaire en charge du règlement et siégeant au Comité européen de l’IA. Elle n’est présentée ni comme autorité de surveillance du marché, ni comme point de contact unique.
Deux adresses de contact ont été publiées, reglement-ia@dgccrf.finances.gouv.fr et reglement-ia.dge@finances.gouv.fr. C’est la seule des quatre obligations du paragraphe 2 qui ait reçu un commencement d’exécution.
Le pôle d’expertise de la régulation numérique (PEReN) et l’agence nationale de la sécurité des systèmes d’information (ANSSI) sont annoncés en appui technique, par mutualisation de compétences et d’outils.
Dans son programme de travail 2026, publié le 7 avril 2026, la CNIL écrit qu’elle « se prépare à être désignée autorité de surveillance de marché au titre du règlement européen sur l’intelligence artificielle ». Au 7 avril 2026, la CNIL elle-même ne se disait donc pas désignée.
Le véhicule législatif est le projet de loi portant diverses dispositions d’adaptation au droit de l’Union européenne, dit DDADUE, déposé au Sénat le 10 novembre 2025 en procédure accélérée. Deux dates à ne pas intervertir : le 17 février 2026, adoption en séance publique de onze amendements du Gouvernement portant désignation d’autorités sectorielles ; le 18 février 2026, adoption du projet de loi tout entier par le Sénat en première lecture. Le texte reste en première lecture à l’Assemblée nationale, dernière étape datée du 23 avril 2026.
Nous ne publions pas la répartition domaine par domaine annoncée par le Gouvernement. Elle circule largement, mais nous n’avons pas pu la rouvrir ligne à ligne sur la source officielle, et une répartition d’autorités se cite exactement ou ne se cite pas.
Le secteur financier a-t-il son autorité propre ?
L’article 74, paragraphe 6 déplace la compétence : pour les systèmes utilisés par des établissements financiers régis par la législation de l’Union sur les services financiers, l’autorité de surveillance du marché est le superviseur financier national, dans la mesure où l’usage du système est directement lié à la fourniture de ces services.
Quelle autorité française occupe cette fonction n’est établi par aucun texte. L’Autorité de contrôle prudentiel et de résolution se présente comme autorité de surveillance du marché pour le secteur financier sur son propre site, sans citer l’article 74 ni aucune autre base juridique. C’est une auto-désignation, et nous la rapportons comme telle.
→ Le cumul réglementaire du secteur financier
L’absence d’autorité française suspend-elle vos obligations ?
Non. L’absence d’autorité désignée ne suspend rien. Le règlement est d’application directe : aucune obligation n’attend un texte français pour exister. Ce qui manque, c’est l’autorité chargée de les faire respecter, pas les obligations elles-mêmes.
Elle ne suspend aucune obligation. Les pratiques interdites de l’article 5 sont exigibles depuis le 2 février 2025, à l’exception des deux points ajoutés par l’omnibus, b bis) et b ter), et des paragraphes 1 bis et 1 ter qui en fixent la portée, applicables au 2 décembre 2026. La maîtrise de l’IA est exigible depuis le 2 février 2025, la transparence de l’article 50 depuis le 2 août 2026.
Le fait qu’aucune autorité française ne puisse aujourd’hui infliger une amende ne rend rien licite. Le projet de loi qui doit y pourvoir reste en première lecture à l’Assemblée nationale, dernière étape datée du 23 avril 2026.
Elle ne protège pas des autres autorités. La CNIL est pleinement compétente sur le terrain du règlement général sur la protection des données, indépendamment de l’AI Act, et elle a publié un corpus de recommandations sur l’IA.
Elle ne vaut pas pour les modèles à usage général. Le Bureau de l’IA est en place et ses pouvoirs sont applicables depuis le 2 août 2026.
Ce qui reste inconnu, et que nous ne comblons pas
Plusieurs éléments n’ont pas pu être établis, et nous préférons le dire plutôt que de les inventer : l’existence d’organismes notifiés français ; l’autorité chargée du canal externe de signalement des lanceurs d’alerte de l’article 87 ; le fondement juridique de la compétence que l’ACPR s’attribue ; la notification française à la Commission au titre de l’article 70, paragraphe 2, dont l’entrée France reste vide dans la liste publiée ; et l’existence d’un bac à sable réglementaire français, dont l’échéance est au 2 août 2027.
Sur quoi cette page s’appuie
Les articles 70, 74 à 78, 87 et 100 du règlement (UE) 2024/1689 dans sa version consolidée au 27 juillet 2026, telle que modifiée par le règlement (UE) 2026/1744. L’article 70 a été extrait d’EUR-Lex le 28 août 2026 et les citations qui en sont faites sont reproduites mot à mot.
Côté français, les pages officielles du 9 septembre 2025 de la direction générale des entreprises et de la DGCCRF, le programme de travail 2026 de la CNIL publié le 7 avril 2026, et le dossier législatif du projet de loi DDADUE. Côté européen, la liste des points de contact uniques publiée par la Commission et sa page consacrée à la gouvernance et à l’exécution du règlement, mise à jour le 7 août 2026. Tous consultés le 24 août 2026. Les citations des pages d’amendements du Sénat ne sont pas rapportées entre guillemets, leur libellé exact n’ayant pas été contrôlé caractère par caractère.
Sources. Règlement (UE) 2024/1689, version consolidée au 27 juillet 2026, règlement (UE) 2026/1744, page de la direction générale des entreprises du 9 septembre 2025, actualité de la DGCCRF et programme de travail 2026 de la CNIL.
Questions fréquentes
La Commission nationale de l’informatique et des libertés est-elle l’autorité française pour l’AI Act ?
Pas encore, et la nuance est juridique, pas rhétorique. Au 24 août 2026, date de notre dernière vérification, aucun texte français d’application du règlement n’a été identifié comme en vigueur : ni loi, ni ordonnance, ni décret. Ce constat n’a pas pu être vérifié directement sur Legifrance, resté inaccessible ce jour-là avec une erreur HTTP 403 : aucune recherche négative n’a été conduite sur le corpus réglementaire français, décrets et arrêtés compris, et le constat repose sur cinq sources officielles concordantes. Le schéma retenu par le Sénat le 17 février 2026 confie l’essentiel à la Commission nationale de l’informatique et des libertés, avec une coordination par la direction générale de la concurrence, de la consommation et de la répression des fraudes (DGCCRF), mais le projet de loi qui le porte, voté en première lecture le 18 février 2026, n’a pas été adopté définitivement, ni promulgué, ni publié au Journal officiel. La CNIL elle-même écrivait en avril 2026 qu’elle « se prépare à être désignée ».
Que fait le Bureau de l’IA, exactement ?
Il est le service de la Commission chargé des modèles d’IA à usage général, et l’omnibus lui a donné des pouvoirs propres d’enquête, d’engagement et de sanction, articles 75 bis à 75 quinquies, applicables depuis le 2 août 2026. Le 27 juillet 2026 est la date d’entrée en vigueur de l’omnibus, pas celle de l’application de l’article 75. Mais sa compétence exclusive est étroite : elle ne couvre que deux cas, elle connaît quatre exceptions sur le premier, et elle ne vise que les fournisseurs, un déployeur n’y étant soumis que s’il est aussi le fournisseur ou fait partie de la même entreprise que lui.
Quelle échéance la France a-t-elle manquée ?
La question mérite d’être posée précisément. Dans l’article 70, paragraphe 2, la date du 2 août 2025 n’est grammaticalement rattachée qu’à une seule obligation : rendre publiques les informations de contact. Or deux adresses ont bien été publiées. Les trois autres obligations du paragraphe, communiquer à la Commission les autorités désignées et leurs tâches, désigner le point de contact unique et communiquer son identité, ne portent aucune date dans le texte, et ce sont elles qui ne sont pas satisfaites.
Qui surveille les institutions européennes elles-mêmes ?
Le Contrôleur européen de la protection des données, article 70, paragraphe 9. C’est lui, et non le Comité européen de la protection des données, qui peut leur infliger des amendes au titre de l’article 100, plafonnées à 1 500 000 EUR pour un manquement à l’article 5 et à 750 000 EUR pour les autres.
Ce contenu est une ressource d’information technique et réglementaire. Il ne constitue pas un conseil juridique.