Sommaire6
Le 18 février 2026, le Sénat a adopté le projet de loi qui désigne, en France, les autorités chargées de contrôler l’AI Act. Au 20 octobre 2026, huit mois plus tard, le texte n’a toujours pas été adopté par l’Assemblée nationale, où aucun rapport de commission n’est encore publié. Le règlement européen, lui, s’applique déjà : il demandait aux États de nommer leurs autorités avant le 2 août 2025.
Cet article de notre rubrique IA d’entreprise fait le point à partir du dossier législatif et du texte adopté par le Sénat. Ce n’est pas un conseil juridique : pour un usage sensible, votre DPO ou un avocat a le dernier mot. Ce que l’AI Act demande à une entreprise qui utilise l’IA est rassemblé dans notre guide de l’AI Act et du RGPD pour les PME.
En bref
La France n’a pas encore désigné par la loi ses autorités de contrôle de l’AI Act : le projet de loi d’adaptation au droit européen attend l’Assemblée nationale.
Le texte du Sénat fait de la CNIL l’autorité centrale : la plupart des pratiques interdites, le recrutement, la gestion du personnel, la biométrie.
L’Arcom, la DGCCRF et l’ACPR se partagent le reste : transparence des contenus générés, consommateurs, finance et assurance.
L’attente ne suspend rien : les obligations courent, et le Bureau de l’IA contrôle les modèles généralistes depuis le 2 août 2026.
Pourquoi la France n’a-t-elle pas encore ses autorités de l’AI Act ?
L’AI Act est un règlement : il s’applique sans transposition. Mais son article 70 oblige chaque État à désigner au moins une autorité de surveillance du marché et une autorité notifiante, et à rendre publiques leurs coordonnées au plus tard le 2 août 2025. En France, cette désignation passe par une loi, et la loi a pris du retard. Selon le dossier législatif de l’Assemblée nationale, consulté le 20 octobre 2026, le texte en est là :
- 2 août 2025
Date limite fixée par l’AI Act pour désigner les autorités nationales et adopter les sanctions.
- 9 septembre 2025
Bercy présente son schéma de répartition entre autorités existantes.
- 10 novembre 2025
Le gouvernement dépose au Sénat le projet de loi d’adaptation au droit de l’Union européenne, en procédure accélérée.
- 18 février 2026
Le Sénat adopte le texte, après un amendement du gouvernement qui renforce le rôle de la CNIL.
- 20 février 2026
Le texte est transmis à l’Assemblée nationale et renvoyé à la commission des affaires économiques.
- 23 avril 2026
Quatre autres commissions de l’Assemblée sont saisies pour avis.
- 2 août 2026
Les contrôles de l’AI Act commencent au niveau européen et national, selon le calendrier de la Commission.
Le schéma de septembre 2025 est celui que Next a détaillé à sa présentation ; l’amendement de février 2026, qui en déplace une partie vers la CNIL, est décrit par Next le 13 février 2026. Le calendrier européen est celui du service d’assistance de l’AI Act.
Qui contrôlerait quoi, selon le texte du Sénat ?
Le texte adopté le 18 février 2026 ne crée pas de régulateur unique : il répartit les contrôles entre des autorités existantes, selon l’usage de l’IA. Voici la répartition qui concerne une entreprise, lue dans le texte adopté par le Sénat (articles 24 à 24 terdecies). C’est un texte voté par une seule chambre, pas une loi : au 20 octobre 2026, l’Assemblée nationale ne l’a pas encore examiné et peut tout modifier, autorités comme montants. Sous cette réserve, voici ce qu’il prévoit :
- Recrutement, gestion du personnel, évaluation des salariés : la CNIL, qui contrôlerait les usages à haut risque de l’emploi (annexe III, point 4).
- Biométrie et reconnaissance des émotions : la CNIL, y compris pour l’obligation d’informer les personnes exposées à ces systèmes.
- Accès au crédit et à l’assurance : l’ACPR pour les banques et assureurs qu’elle supervise déjà, la CNIL pour les autres.
- Éducation : la CNIL, sauf la formation professionnelle, confiée à la DGCCRF.
- Pratiques interdites : la CNIL pour la plupart (notation sociale, reconnaissance des émotions au travail, bases de reconnaissance faciale constituées par la collecte non ciblée d’images en ligne), l’Arcom pour la manipulation et l’exploitation des vulnérabilités ; la DGCCRF pourrait aussi constater la manipulation, l’exploitation des vulnérabilités et la notation sociale au titre du code de la consommation.
- Chatbots, contenus générés et hypertrucages (transparence de l’article 50) : l’Arcom, la DGCCRF étant habilitée côté consommateurs.
- IA intégrée à des produits réglementés (jouets, dispositifs médicaux, ascenseurs, équipements sous pression) : l’autorité qui surveille déjà ces produits.
La coordination de l’ensemble reviendrait à la DGCCRF et à la Direction générale des entreprises, selon l’analyse de Banque des Territoires ; le PEReN et l’ANSSI apporteraient leur expertise technique aux contrôleurs. Le même article compte une quinzaine d’autorités compétentes au total.
Attention
Ce schéma est celui du Sénat. L’Assemblée nationale peut le modifier ; en cas de désaccord entre les deux chambres, une commission mixte paritaire peut être réunie après une seule lecture, puisque la procédure accélérée est engagée. La répartition définitive ne sera connue qu’à la promulgation.
Ce que pourrait sanctionner la CNIL
Le texte du Sénat donne à la formation restreinte de la CNIL des pouvoirs propres à l’AI Act, et renvoie, pour le montant des amendes, aux plafonds du règlement européen :
par jour de retard au plus : l’astreinte qui pourrait accompagner une injonction de mise en conformité, selon le texte du Sénat, montant que les députés peuvent encore changer
du chiffre d’affaires mondial, le plus élevé des deux, pour une pratique interdite, selon l’article 99 de l’AI Act
pour les autres manquements, dont ceux d’un déployeur, selon le même article
Pour une PME, c’est le plus faible des deux montants qui sert de plafond ; depuis juillet 2026, c’est aussi le cas d’une « petite entreprise à moyenne capitalisation » (moins de 750 personnes), sauf pour les pratiques interdites. Ce que la révision de juillet a changé est détaillé dans ce que l’Omnibus numérique a changé dans l’AI Act.
En attendant la loi, qu’est-ce qui s’applique déjà ?
L’absence d’autorité nationale ne met pas l’AI Act en pause. Trois contrôles existent dès aujourd’hui :
- Le RGPD : la CNIL contrôle déjà toute donnée personnelle traitée par un outil d’IA, et l’article 22 encadre les décisions entièrement automatisées, comme l’explique notre article sur la décision automatisée.
- Le Bureau de l’IA : depuis le 2 août 2026, la Commission peut contrôler et sanctionner les fournisseurs de modèles d’IA généralistes, sans passer par une autorité nationale. Ses pouvoirs sont détaillés dans notre article sur l’AI Office et les modèles généralistes.
- Les obligations elles-mêmes : interdictions depuis février 2025, transparence depuis août 2026. Une fois les autorités en place, elles contrôleront des obligations qui couraient déjà.
Les prochaines échéances, du 2 décembre 2026 au 2 août 2028, sont rassemblées dans notre calendrier de la réglementation de l’IA.
Ce que ça change pour une équipe de 20 à 500 personnes
Savoir qui contrôlera quoi dit surtout à qui préparer son dossier. Si votre IA touche au recrutement ou à l’évaluation des salariés, votre interlocuteur probable sera la CNIL, celle qui contrôle déjà votre registre RGPD : un même inventaire peut servir aux deux textes. Si vous publiez des contenus générés ou exploitez un chatbot, ce sera plutôt l’Arcom ou la DGCCRF. Dans la finance et l’assurance, l’ACPR, déjà présente.
Le geste utile ne dépend pas du vote : lister vos usages d’IA, savoir lesquels touchent des personnes, garder la trace de qui a décidé quoi. La méthode, droits d’accès compris, est dans notre guide de la gouvernance de l’IA, et la démarche d’ensemble dans notre guide pour intégrer l’IA en entreprise.
Sur le terrain
C’est ainsi que nous tenons notre propre usage. Le moteur SEO qui prépare les articles de ce blog tourne depuis le 25 août 2026 (date de mise en service relevée dans notre propre dépôt, mesure interne au 20 octobre 2026) : il produit des brouillons, rien ne se publie sans une relecture humaine, et l’historique du dépôt garde qui a généré, qui a relu et quand. Si un contrôleur demandait demain comment l’IA intervient dans ce que nous publions, cette trace serait notre réponse.
Date à retenir : aucune pour l’instant. La prochaine étape est l’examen du texte par la commission des affaires économiques de l’Assemblée nationale, sans date annoncée au 20 octobre 2026. Pour savoir quels usages de votre entreprise approchent du haut risque, notre offre IA au juste coût part de vos outils réels.
Questions fréquentes
Quelle autorité contrôle l’AI Act en France ?
Aucune n’est encore désignée par la loi au 20 octobre 2026. Le projet de loi adopté par le Sénat le 18 février 2026 donne le rôle central à la CNIL, confie une partie des contrôles à l’Arcom, à la DGCCRF et à l’ACPR, et la coordination à la DGCCRF. Il attend son examen à l’Assemblée nationale.
La CNIL contrôle-t-elle déjà l’usage de l’IA en entreprise ?
Oui, au titre du RGPD : dès qu’un outil d’IA traite des données personnelles, la CNIL est compétente, y compris pour les décisions entièrement automatisées de l’article 22. Ses pouvoirs propres à l’AI Act, eux, dépendent du vote de la loi d’adaptation.
Les obligations de l’AI Act sont-elles suspendues tant que la loi n’est pas votée ?
Non. Le règlement s’applique directement : les interdictions depuis février 2025, la transparence depuis août 2026. Le Bureau de l’IA contrôle les modèles généralistes depuis le 2 août 2026, indépendamment des autorités nationales. Le retard français porte sur qui contrôle, pas sur ce qui est dû. Pendant ce temps, la CNIL continue d’appliquer le RGPD, outils d’IA compris.
Qui contrôlera un logiciel de recrutement qui utilise l’IA ?
Selon le texte du Sénat, la CNIL, qui contrôlerait les usages à haut risque liés à l’emploi, comme le filtrage des candidatures ou l’évaluation des candidats. Les règles du haut risque ne s’appliquent qu’à partir du 2 décembre 2027, mais le RGPD encadre déjà le tri automatisé de candidatures, et la CNIL le fait déjà respecter.
Sources
- Article 70 (nouvel onglet)ai-act-service-desk.ec.europa.eu
- Le dossier législatif de l’Assemblée nationale (nouvel onglet)assemblee-nationale.fr
- Next a détaillé à sa présentation (nouvel onglet)next.ink
- Next le 13 février 2026 (nouvel onglet)next.ink
- Service d’assistance de l’AI Act (nouvel onglet)ai-act-service-desk.ec.europa.eu
- Le texte adopté par le Sénat (nouvel onglet)senat.fr
- L’analyse de Banque des Territoires (nouvel onglet)banquedesterritoires.fr
- L’article 99 de l’AI Act (nouvel onglet)ai-act-service-desk.ec.europa.eu
Le dossier législatif de l’Assemblée nationale
Lire sur assemblee-nationale.fr(nouvel onglet)Jim · fondateur de Brain Plus AI
À lire aussi en ia d'entreprise
Guide pratique10 min
AI Act et RGPD : ce qu'une PME qui utilise l'IA doit faire
Une PME qui utilise ChatGPT ou un CRM doté d'IA a déjà des obligations. Ce guide fait le point en octobre 2026 : votre rôle au sens de l'AI Act, le calendrier révisé en juillet 2026, ce que demande le RGPD et les étapes pour vous mettre en règle.
Comprendre10 min
Calendrier AI Act et numérique : les échéances 2026 à 2028
AI Act, Data Act, Cyber Resilience Act, NIS2, facturation électronique et premières lois américaines : toutes les dates qui comptent pour une entreprise, de l'automne 2026 à août 2028, sur une seule page tenue à jour. Pour chaque échéance, qui est visé et ce qu'il faut préparer.
Comprendre8 min
AI Office : l'Europe peut sanctionner les modèles d'IA
Depuis le 2 août 2026, la Commission européenne peut exiger des documents des fournisseurs de modèles d'IA généralistes, évaluer leurs modèles et leur infliger des amendes. Ce que ces pouvoirs changent, et ce qu'une entreprise qui achète de l'IA peut demander à son fournisseur.