Autorités AI Act en France : désignations et rôles pour 2026

L'essentiel en 30 secondes

• L'Article 70 impose à chaque État membre de désigner au moins une autorité de notification et une autorité de surveillance du marché, dont une sert de point de contact unique.
• En France, le schéma présenté par le Gouvernement en septembre 2025 confie la coordination et le point de contact unique à la DGCCRF. Il est soumis à l'adoption d'un projet de loi par le Parlement.
• Selon ce schéma, la CNIL contrôlerait la plupart des systèmes de l'Annexe III et plusieurs pratiques interdites, l'ACPR le scoring de crédit et l'assurance vie et santé, l'Arcom et la DGCCRF la transparence de l'Art. 50.
• La CNIL est déjà compétente pour les données personnelles traitées par les systèmes d'IA, au titre du RGPD.
• Il n'y a pas d'autorisation préalable pour la plupart des systèmes à haut risque : le fournisseur évalue la conformité (Art. 43), puis les autorités contrôlent. Ces obligations s'appliquent à partir du 2 décembre 2027.
• Les amendes vont jusqu'à 35 M€ ou 7 % du chiffre d'affaires mondial (pratiques interdites) et 15 M€ ou 3 % (obligations des opérateurs, transparence comprise).

En France, le contrôle de l'AI Act est confié à plusieurs autorités. Selon le schéma présenté par le Gouvernement en septembre 2025, la DGCCRF coordonne et sert de point de contact unique (Art. 70(2)), tandis que la CNIL, l'ACPR, l'Arcom et d'autres autorités se répartissent les usages. Ce schéma ne s'applique qu'une fois adopté par le Parlement : l'état de la désignation formelle est à vérifier avant toute démarche. La CNIL reste, dans tous les cas, compétente pour les données personnelles traitées par les systèmes d'IA.

1. Ce que l'AI Act impose aux États membres

Le Règlement (UE) 2024/1689 organise la gouvernance nationale autour de deux types d'autorités (Art. 70).

L'autorité de surveillance du marché. Elle contrôle le respect du règlement sur le territoire national (Art. 74). Chaque État membre en désigne au moins une, et l'une d'elles sert de point de contact unique pour le règlement (Art. 70(2)). Au niveau européen, le Bureau de l'IA, placé au sein de la Commission, supervise notamment les modèles d'IA à usage général.

L'autorité de notification. Elle désigne et suit les organismes notifiés chargés de l'évaluation de la conformité de certains systèmes à haut risque. Le règlement fixe aussi des règles de compétence par secteur. Pour les systèmes liés aux produits de l'Annexe I, c'est l'autorité de surveillance du marché déjà compétente pour ces produits (Art. 74(3)). Pour les établissements financiers régulés, c'est en principe l'autorité de supervision financière (Art. 74(6)). Pour certains usages répressifs, de gestion des frontières, de justice et de démocratie, les États membres désignent les autorités de protection des données ou des autorités offrant des garanties équivalentes (Art. 74(8)).

Les obligations des systèmes à haut risque de l'Annexe III s'appliquent à partir du 2 décembre 2027, selon le règlement (UE) 2026/1744 (« Omnibus IA »). Le règlement demandait aux États membres de rendre publiques les coordonnées de leurs autorités avant le 2 août 2025 (Art. 70(2)). En France, la répartition entre autorités dépend d'un texte national : voir la section 2.

La page sur les systèmes d'IA à haut risque de l'Annexe III en détaille les huit domaines.

2. La CNIL et le schéma de répartition annoncé en France

La Commission nationale de l'informatique et des libertés (CNIL) est l'autorité de contrôle du RGPD en France. Elle est compétente pour les données personnelles traitées par les systèmes d'IA, que l'AI Act s'applique ou non. Le schéma présenté par le Gouvernement lui confie en outre le contrôle de la plupart des systèmes de l'Annexe III. Ce schéma figure sur une page de la Direction générale des Entreprises du 9 septembre 2025, qui précise qu'il sera mis en œuvre sous réserve de son acceptation par le Parlement par un projet de loi.

Périmètre prévu. La CNIL serait chargée des systèmes de l'Annexe III en matière de biométrie, d'emploi et de gestion des travailleurs, d'usages répressifs, de migration, d'asile et de contrôle aux frontières, ainsi que des systèmes de cette annexe qui ne sont pas confiés à une autre autorité. Elle partagerait avec la DGCCRF le contrôle de l'éducation et de la formation professionnelle, et avec l'Arcom celui des processus démocratiques. Elle contrôlerait aussi plusieurs pratiques interdites de l'Article 5.

Missions. La CNIL publie des recommandations sur l'IA et le RGPD, reçoit les plaintes des personnes concernées, contrôle les responsables de traitement et peut prononcer des sanctions au titre du RGPD.

Ressources. La CNIL publie sur cnil.fr des fiches pratiques sur l'IA et le RGPD, gratuites et directement utilisables par les PME. Les recommandations de la CNIL sur l'IA pour les PME complètent ces fiches.

Autorité	Rôle prévu par le schéma du Gouvernement (septembre 2025)
DGCCRF	Coordination des autorités de surveillance du marché et point de contact unique (Art. 70(2)) ; transparence de l'Art. 50 avec l'Arcom ; certaines pratiques interdites
CNIL	Données personnelles (RGPD) ; pratiques interdites de l'Art. 5(1), points c à h ; systèmes de l'Annexe III (biométrie, emploi, répression, migration, éducation avec la DGCCRF) ; reconnaissance des émotions et catégorisation biométrique (Art. 50(3))
Arcom	Techniques manipulatrices ou trompeuses, avec la DGCCRF ; transparence de l'Art. 50 ; textes générés d'intérêt public ; processus démocratiques, avec la CNIL
ACPR	Solvabilité, score de crédit, assurance vie et santé, lorsque l'opérateur relève de sa compétence (Annexe III, point 5)
Hauts fonctionnaires de défense et de sécurité des ministères	Infrastructures critiques (Annexe III, point 2)
Conseil d'État, Cour de cassation, Cour des comptes	Systèmes utilisés par les autorités judiciaires (Annexe III, point 8, a)
PEReN et ANSSI	Appui technique aux autorités de contrôle

3. Systèmes d'IA à haut risque : qui contrôle quoi ?

L'Annexe III du Règlement (UE) 2024/1689 liste huit domaines de systèmes à haut risque. Dans le schéma présenté par le Gouvernement, chaque domaine relève d'une ou plusieurs autorités, sous réserve de l'adoption du projet de loi.

Emploi et ressources humaines. Les systèmes utilisés pour le recrutement, l'évaluation des performances, la promotion ou la rupture des contrats relèvent de l'Annexe III, point 4. Le schéma prévoit la CNIL comme autorité de contrôle. Les employeurs doivent informer les représentants du personnel et les travailleurs concernés avant d'utiliser un tel système (Art. 26(7)).

Santé. Les dispositifs médicaux intégrant une composante d'IA relèvent de l'Annexe I (règlement (UE) 2017/745). Pour ces produits, c'est l'autorité de surveillance du marché déjà compétente pour les dispositifs médicaux qui voit son périmètre élargi (Art. 74(3)). La CNIL intervient dès que des données de santé sont traitées. Voir l'IA médicale et les obligations des dispositifs.

Infrastructures critiques. L'Annexe III, point 2, vise les systèmes d'IA servant de composants de sécurité dans la gestion et l'exploitation d'infrastructures numériques critiques, du trafic routier ou de l'approvisionnement en eau, gaz, chauffage et électricité. Le schéma présenté les confie aux hauts fonctionnaires de défense et de sécurité des ministères concernés.

Services financiers. L'Annexe III, point 5, vise l'évaluation de la solvabilité, le score de crédit, ainsi que l'évaluation des risques et la tarification en assurance vie et santé. Le schéma prévoit l'ACPR lorsque l'opérateur relève de sa compétence. L'Article 74(6) retient en principe l'autorité de supervision financière pour les établissements financiers régulés. Voir l'AI Act et les banques françaises.

Transparence et manipulation. La DGCCRF aurait un rôle de contrôle sur la transparence de l'Article 50 et sur certaines pratiques interdites (techniques manipulatrices, notation sociale), avec l'Arcom ou la CNIL.

Pour une PME, identifier la bonne autorité est utile avant d'entamer une démarche formelle. Le guide AI Act pour les PME françaises présente le cadre général.

4. Transparence (Article 50) : obligations en vigueur depuis le 2 août 2026

Les systèmes visés par l'Article 50 (chatbots, contenus générés, hypertrucages) ne font pas l'objet d'une autorisation préalable. Des obligations de transparence s'appliquent directement depuis le 2 août 2026.

Obligations de transparence. L'Article 50 du Règlement (UE) 2024/1689 impose d'informer les personnes qu'elles échangent avec un système d'IA, de signaler les hypertrucages et de signaler les textes générés par IA publiés pour informer le public sur des questions d'intérêt public, sauf relecture humaine avec responsabilité éditoriale. Le marquage technique lisible par machine des contenus générés (Art. 50(2), fournisseurs) s'applique à partir du 2 décembre 2026 pour les systèmes mis sur le marché avant le 2 août 2026. La checklist de l'Article 50 détaille ces obligations.

Autorités. Dans le schéma présenté par le Gouvernement, la DGCCRF et l'Arcom contrôleraient les systèmes qui interagissent avec des personnes ou qui génèrent des contenus de synthèse et des hypertrucages. La CNIL contrôlerait la reconnaissance des émotions et la catégorisation biométrique, et l'Arcom les textes générés d'intérêt public.

Base de données de l'UE. Le fournisseur enregistre dans la base de données de l'UE les systèmes à haut risque de l'Annexe III (hors point 2) et les systèmes qu'il estime non à haut risque au titre de l'Art. 6(3) (Art. 49 et 71). Un déployeur ne s'enregistre que s'il est une autorité publique (Art. 49(3)).

5. Le rôle d'appui du PEReN et de l'ANSSI

Selon la Direction générale des Entreprises, le Pôle d'expertise de la régulation numérique (PEReN) et l'Agence nationale de la sécurité des systèmes d'information (ANSSI) mutualisent leurs compétences techniques en IA et en cybersécurité pour appuyer les autorités dans leurs contrôles. Leur rôle décrit est un appui technique.

Exigences de cybersécurité. L'Article 15 de l'AI Act impose aux systèmes à haut risque un niveau approprié d'exactitude, de robustesse et de cybersécurité. Il vise notamment les attaques par empoisonnement des données ou des modèles et les exemples contradictoires.

Infrastructures critiques. Une PME qui développe ou déploie un système d'IA servant de composant de sécurité d'une infrastructure critique relève de l'Annexe III, point 2. Dans le schéma présenté, le contrôle est confié aux hauts fonctionnaires de défense et de sécurité des ministères concernés.

6. Systèmes d'IA expérimentaux et nouveaux usages

Le Règlement (UE) 2024/1689 prévoit des bacs à sable réglementaires (regulatory sandboxes) pour tester des systèmes innovants sous la supervision d'une autorité (Article 57). Ils ne servent pas à classer un système : ils permettent de l'expérimenter dans un cadre encadré.

Bacs à sable réglementaires. Chaque État membre veille à ce que ses autorités établissent au moins un bac à sable national, opérationnel au plus tard le 2 août 2027 selon le règlement (UE) 2026/1744, ou participent à un bac à sable existant. Les entreprises innovantes y testent leurs systèmes sous la supervision d'une autorité compétente.

Accès prioritaire pour les PME. L'Article 62 prévoit un accès prioritaire aux bacs à sable pour les PME et les start-up établies dans l'Union, dans la limite des conditions d'éligibilité et des critères de sélection. Tant que le fournisseur respecte le plan convenu et suit de bonne foi les orientations de l'autorité, aucune amende administrative n'est infligée pour les infractions au règlement commises dans le cadre du bac à sable.

Procédure. L'accès se fait sur demande auprès de l'autorité qui exploite le bac à sable, avec une description du système et du périmètre du test. Les conditions fixées par l'autorité s'imposent au candidat.

7. Contrôle a posteriori et sanctions

Le contrôle de conformité par les autorités nationales se déroule en plusieurs temps.

Contrôle a posteriori. Pour la plupart des systèmes à haut risque de l'Annexe III, aucune autorité ne délivre d'autorisation préalable. Le fournisseur procède lui-même à l'évaluation de conformité avant la mise sur le marché (Art. 43). Les autorités de surveillance du marché contrôlent ensuite, notamment à la suite de plaintes des personnes concernées (Art. 85).

Exception : produits de l'Annexe I. Les systèmes d'IA intégrés dans des produits couverts par la législation d'harmonisation de l'Annexe I (par exemple les dispositifs médicaux) suivent la procédure d'évaluation de conformité prévue par cette législation, souvent avec un organisme notifié (Art. 43(3)). Leurs obligations s'appliquent à partir du 2 août 2028.

Sanctions. Les États membres fixent les sanctions applicables, dans les limites de l'Article 99 du Règlement (UE) 2024/1689. L'amende dépend de la gravité du manquement, de la taille de l'entreprise et des mesures prises pour l'éviter ou en limiter les effets (Art. 99(7)).

Type de violation	Plafond d'amende	Base juridique
Pratique interdite (Art. 5)	35 M€ ou 7 % du CA mondial	Art. 99(3)
Manquement aux obligations des opérateurs, transparence de l'Art. 50 comprise	15 M€ ou 3 % du CA mondial	Art. 99(4)
Informations inexactes, incomplètes ou trompeuses fournies aux autorités	7,5 M€ ou 1 % du CA mondial	Art. 99(5)

Pour une PME, c'est le montant le plus bas des deux plafonds qui s'applique (Art. 99(6)). Le guide des amendes AI Act pour les PME détaille les plafonds et leur calcul.

8. Impact concret sur les PME françaises

Pour les PME, le morcellement des autorités crée un défi pratique : identifier le bon interlocuteur avant d'engager des démarches.

Si votre système traite des données personnelles. La CNIL est compétente au titre du RGPD, et le schéma présenté lui confie le contrôle de la plupart des systèmes de l'Annexe III. Son site cnil.fr centralise ses ressources sur l'IA.

Pour les autres systèmes. Identifiez le domaine d'usage (Annexe III, produit de l'Annexe I, transparence de l'Art. 50) et l'autorité correspondante dans le tableau de la section 2. Le point de contact unique prévu est la DGCCRF.

Ressources disponibles. Le guide AI Act PME présente le cadre général et la page Sources rassemble les textes officiels.

9. Recommandations pratiques

Trois priorités permettent de se préparer à un contrôle.

Priorité 1 : identifier vos systèmes d'IA et leur niveau de risque. Aucune démarche auprès d'une autorité n'a de sens sans classement préalable. Le diagnostic AI Act gratuit donne une première classification en deux minutes.

Priorité 2 : repérer l'autorité compétente pour chaque système. Selon le schéma présenté, la CNIL pour la plupart des systèmes de l'Annexe III, l'ACPR pour le crédit et l'assurance vie et santé, la DGCCRF et l'Arcom pour la transparence. Vérifiez l'état de la désignation formelle avant d'agir.

Priorité 3 : documenter. Constituez le dossier de conformité avant tout contrôle. Si un système doit figurer dans la base de données de l'UE (Art. 49 et 71), c'est le fournisseur qui procède à l'enregistrement. Si vous estimez qu'un système de l'Annexe III n'est pas à haut risque (Art. 6(3)), documentez l'analyse qui justifie cette qualification avant sa mise sur le marché.

FAQ

Quelle autorité doit approuver mes systèmes d'IA à haut risque ?

Il n'existe pas d'autorisation préalable délivrée par une autorité pour la plupart des systèmes à haut risque : le fournisseur évalue la conformité (Art. 43), puis les autorités de surveillance du marché contrôlent a posteriori. En France, le schéma présenté par le Gouvernement en septembre 2025 prévoit la CNIL pour la plupart des systèmes de l'Annexe III (biométrie, emploi, répression, migration, éducation avec la DGCCRF) et l'ACPR pour le crédit et l'assurance vie et santé, sous réserve de l'adoption d'un projet de loi. Le guide AI Act PME présente le cadre général.

Dois-je m'inscrire sur un registre si je n'ai pas de système à haut risque ?

En principe non. L'enregistrement dans la base de données de l'UE (Art. 49 et 71) concerne les systèmes à haut risque de l'Annexe III et les systèmes qu'un fournisseur estime non à haut risque au titre de l'Art. 6(3). Il incombe au fournisseur : un déployeur ne s'enregistre que s'il est une autorité publique. Les autres systèmes sont soumis, selon le cas, à des obligations de transparence (Art. 50), sans enregistrement.

Quelles sont les sanctions en cas de non-conformité pour une PME ?

Les amendes vont jusqu'à 35 M€ ou 7 % du chiffre d'affaires mondial pour les pratiques interdites, et jusqu'à 15 M€ ou 3 % pour les manquements aux obligations des opérateurs, y compris la transparence de l'Art. 50. Pour une PME, le plafond le plus bas des deux montants s'applique (Art. 99(6)). Les informations inexactes, incomplètes ou trompeuses fournies aux autorités sont plafonnées à 7,5 M€ ou 1 %. Le calculateur d'amende AI Act permet de chiffrer le plafond applicable.

Comment savoir si mon système d'IA n'est pas à haut risque ?

Un système n'est pas à haut risque s'il ne relève ni de l'Annexe I (produits réglementés) ni de l'Annexe III, ou si son fournisseur établit, avant la mise sur le marché, qu'il ne présente pas de risque important au titre de l'Art. 6(3). Il peut néanmoins être soumis à l'Art. 50 (transparence) et aux mesures pour favoriser la maîtrise de l'IA (Art. 4). Un filtre anti-spam est un exemple de système à risque minimal.

Où puis-je trouver de l'aide pour la mise en conformité ?

L'AI Act Service Desk de la Commission européenne est un point d'entrée pour s'informer et poser des questions sur l'application du règlement. La CNIL propose des ressources en français sur cnil.fr. La Direction générale des Entreprises indique que la DGCCRF jouerait le rôle de point de contact unique pour le règlement en France.

Sources officielles

• AI Act Service Desk — Commission européenne
• Règlement (UE) 2024/1689 — EUR-Lex
• Règlement (UE) 2026/1744 (« Omnibus IA ») — EUR-Lex
• Texte annoté du règlement — artificialintelligenceact.eu
• Fiches pratiques IA — CNIL
• Direction générale des Entreprises — « Les autorités compétentes pour la mise en œuvre du règlement européen sur l'intelligence artificielle » (9 septembre 2025)

Avertissement — Cet article fournit une information générale et ne constitue pas un conseil juridique.