Question fréquente
Qui contrôle l'application de l'AI Act en France ?
Aucune autorité française n'est encore pleinement armée pour contrôler et sanctionner au titre de l'AI Act. Le projet de loi DDADUE, qui désigne les autorités compétentes, a été adopté en première lecture par le Sénat le 18 février 2026 et reste en examen à l'Assemblée nationale. Il confie un rôle central à la CNIL, fait de la DGCCRF le point de contact unique prévu par le règlement, et répartit le reste entre une quinzaine d'autorités sectorielles.
Mis à jour le · à jour du règlement (UE) 2026/1744
L'essentiel en chiffres et en dates
- Texte qui organise le contrôle
- Projet de loi DDADUE — non encore adopté
- Adoption au Sénat
- Première lecture, 18 février 2026
- Statut au 23 août 2026
- En examen à l'Assemblée nationale
- Rôle central prévu
- CNIL
- Point de contact unique
- DGCCRF
- Sanctions prononçables aujourd'hui
- Aucune au titre de l'AI Act
Un règlement applicable, un contrôle en construction
Il faut distinguer deux choses souvent confondues. Le règlement européen est directement applicable : vos obligations existent, elles ne dépendent d'aucune transposition. Mais faire appliquer ces obligations suppose des autorités nationales désignées, dotées de pouvoirs d'enquête et d'un barème de sanctions — et cela, chaque État membre doit l'organiser.
La France ne l'a pas encore fait. C'est l'objet du volet numérique du projet de loi portant diverses dispositions d'adaptation au droit de l'Union européenne, voté au Sénat en février 2026 et transmis à l'Assemblée nationale.
L'architecture prévue
La CNIL y occupe une place centrale, ce qui a une logique : elle contrôle déjà les traitements de données personnelles, et la majorité des usages d'IA en entreprise en comportent. Sa formation restreinte pourrait prononcer des injonctions, des astreintes et des amendes.
La DGCCRF est désignée comme point de contact unique au sens de l'article 70 du règlement, ce qui la place en interlocuteur de référence pour les entreprises et la Commission européenne. Une quinzaine d'autorités sectorielles — santé, finance, transports — se partagent le reste selon les domaines.
Ce que cela change pour vous, concrètement
Aucune amende AI Act ne peut vous être infligée aujourd'hui en France. Prudence toutefois sur deux points : le calendrier parlementaire peut s'accélérer sans préavis, et l'absence de sanction AI Act ne vous met à l'abri ni du RGPD, dont la CNIL sanctionne déjà les manquements, ni des exigences contractuelles de vos clients.
La lecture raisonnable est donc celle d'une fenêtre : vos obligations sont applicables, le dispositif de contrôle arrive, et le coût de la mise en conformité est très inférieur aujourd'hui à ce qu'il sera dans l'urgence.
Sources
- Règlement (UE) 2024/1689 (AI Act) — EUR-Lex
- CNIL — IA : les recommandations pour les professionnels
- Assemblée nationale — dossier législatif DDADUE
Chartia est un outil documentaire et ne délivre pas de conseil juridique individualisé. Pour une situation particulière ou un usage à haut risque, rapprochez-vous d'un professionnel du droit.
À lire ensuite
Les questions liées
Et pour votre entreprise, concrètement ?
Le diagnostic gratuit vous dit en 2 minutes quelles obligations IA s'appliquent réellement à votre activité — et lesquelles vous pouvez ignorer.
Questions fréquentes
La CNIL peut-elle déjà me contrôler sur mon usage de l'IA ?+
Oui, mais sur le terrain du RGPD, pas de l'AI Act : si vos outils d'IA traitent des données personnelles, ils relèvent de sa compétence habituelle, avec les sanctions qui l'accompagnent.
Quand la loi DDADUE sera-t-elle adoptée ?+
Aucune date n'est acquise : le texte suit la navette parlementaire. C'est précisément pourquoi il est imprudent de fonder sa stratégie sur l'idée que rien n'arrivera avant longtemps.
Les premiers contrôles viseront-ils les TPE ?+
C'est peu probable en priorité, les autorités annonçant une approche progressive et pédagogique. Mais l'exigence de preuve, elle, viendra bien plus tôt de vos clients et de vos assureurs.