Le 2 août 2026 marque l’application générale de l’AI Act. Les obligations relatives aux systèmes à haut risque de l’annexe III s’appliqueront à partir du 2 décembre 2027, tandis que les premières dispositions substantielles s’appliquaient déjà depuis le 2 février 2025. La France a proposé un schéma sectoriel fondé sur des autorités existantes, dont la finalisation restait soumise à l’acceptation du Parlement : la DGCCRF assure la coordination opérationnelle des autorités de surveillance du marché et la DGE représente la France au Comité européen de l’IA. L’Irlande prévoit un AI Office central de coordination et de point de contact au sein d’un modèle de supervision distribué entre plusieurs autorités compétentes ; sa création statutaire restait liée à l’entrée en vigueur de la loi nationale.

L’essentiel

  • La France a fragmenté la gouvernance de l’AI Act entre vingt autorités compétentes sans coordination centrale ni interlocuteur désigné auprès de la Commission européenne.
  • L’Irlande a créé un AI Office opérationnel au 1er août 2026, la Suède a délégué à une agence centrale : deux modèles alternatifs qui permettent une réponse unifiée aux incidents.
  • L’AI Act prévoit des sanctions allant jusqu’à 35 M€ ou 7 % du chiffre d’affaires mondial pour les manquements graves, ce qui exige une autorité capable de qualifier l’incident et d’instruire le dossier.
  • La fragmentation crée un angle mort opérationnel : lors d’un incident grave impliquant un système d’IA à haut risque, aucune autorité française n’est désignée pour agir en première ligne.
  • La fenêtre pour corriger l’architecture est étroite, les premières obligations substantielles s’appliquent, et les ajustements institutionnels prennent du temps.

Vingt régulateurs, zéro chef de file

La Suède a réparti les compétences entre plusieurs autorités, la PTS occupant une fonction de coordination centrale sur certains volets, sans concentration de toutes les attributions de l’AI Act dans une agence unique. Les sanctions prévues par le règlement atteignent 35 millions d’euros ou 7 % du chiffre d’affaires mondial pour les violations les plus graves. Une autorité devra identifier et sanctionner les contrevenants.

La logique française est compréhensible sur le papier. L’IA traverse tous les secteurs : la santé, la finance, le recrutement, la justice, les transports. Il est donc cohérent que la CNIL supervise les enjeux de données personnelles, que l’ACPR surveille les usages bancaires, que la HAS s’occupe des dispositifs médicaux à composante algorithmique. Chaque régulateur connaît son secteur. La compétence sectorielle est réelle.

La difficulté apparaît dès qu’un système sort de ce schéma ordonné. Un système d’IA à haut risque ne se loge pas toujours dans une seule catégorie réglementaire. Un outil de recrutement automatisé touche simultanément au droit du travail, aux données personnelles et aux règles anti-discrimination. L’autorité compétente dépend du type de système et du secteur ; la répartition et la coordination françaises ont été publiées.

La DGCCRF est désignée comme point de contact unique dans le schéma français proposé, mais cette désignation n’apparaissait pas encore comme finalisée dans la liste de la Commission. Les fournisseurs, et dans certains cas les déployeurs, doivent signaler les incidents graves aux autorités nationales de surveillance du marché ; les autorités nationales compétentes doivent notifier immédiatement à la Commission tout incident grave. Une publication DPO Partage de mars 2026 évoque la CNIL comme autorité compétente ; la source officielle française propose que la DGCCRF soit le point de contact unique, sous réserve de la finalisation du dispositif législatif.

Cet éclatement n’est pas un accident administratif : c’est un choix politique. La France a privilégié les régulateurs existants tout en confiant un rôle de coordination opérationnelle à la DGCCRF et un rôle de coordination stratégique à la DGE. Le résultat est une architecture fonctionnelle par temps calme, fragile par temps de crise.

L’Irlande comme contre-exemple opérationnel

L’Irlande a retenu un modèle de supervision distribué entre plusieurs autorités compétentes. Avec son AI Office, Dublin prévoit un guichet unique pour les entreprises et un interlocuteur identifié pour la Commission européenne ; la coordination et le point de contact sont centralisés, tandis que l’instruction et l’exécution restent largement sectorielles. Le pays héberge les sièges européens de Google, Meta, Apple et de nombreux acteurs de l’IA : il avait un intérêt direct à clarifier le cadre rapidement, et il l’a fait.

La Suède s’appuie sur plusieurs agences existantes, avec un rôle de coordination central possible pour la PTS, plutôt que de concentrer toutes les attributions AI Act dans une seule agence. Deux modèles, deux choix institutionnels différents, mais une logique commune : identifier qui commande avant que l’incident se produise, et non après.

Ces choix ne sont pas sans limites. La concentration des compétences dans une structure unique peut créer des angles morts sectoriels, un régulateur généraliste de l’IA connaît rarement aussi bien la finance ou la médecine que le régulateur spécialisé. Mais face à un règlement européen qui exige des procédures d’enquête, des délais de réponse et des canaux de notification standardisés, la lisibilité institutionnelle a une valeur propre que la profondeur sectorielle ne compense pas entièrement.

Les exigences concrètes de l’AI Act

Le règlement exige une chaîne de responsabilité traçable de bout en bout. Lorsqu’un système à haut risque est déployé, l’autorité compétente doit pouvoir vérifier la documentation technique, demander des corrections, imposer un retrait du marché ou engager une procédure de sanction dans des délais précisément encadrés. Cette chaîne suppose qu’une autorité soit juridiquement habilitée à agir à chaque maillon ; plusieurs autorités se partageant des fragments de compétence sans qu’aucune puisse actionner l’ensemble du dispositif ne satisfont pas cette exigence. La fragmentation institutionnelle ne produit pas un vide total, mais elle génère des frictions à chaque transition entre maillons, avec un coût en temps et en cohérence. Un dossier qui franchit la frontière entre la compétence d’un régulateur sectoriel et celle d’un autre ralentit mécaniquement, faute de procédure commune de transmission formalisée entre des autorités qui n’avaient pas vocation à travailler ensemble avant l’entrée en vigueur du règlement.

L’AI Act n’est pas un texte de principes. Il définit des catégories de risque, des obligations précises et des procédures d’enquête. Pour les systèmes à haut risque, qui couvrent des domaines aussi variés que la sélection de candidats à l’emploi, les décisions de crédit, la gestion des infrastructures critiques, les outils d’évaluation scolaire ou certains dispositifs médicaux, les obligations incluent une documentation technique détaillée, des tests de robustesse, une supervision humaine formalisée et une déclaration de conformité.

Comme l’analysait le JdP lors de l’entrée en vigueur des premières dispositions, l’AI Act sanctionne des entreprises dont les critères de conformité restent encore à préciser. Ce flou normatif est réel. Mais il s’ajoute, en France, à un flou institutionnel : non seulement les critères précis manquent parfois, mais le schéma français identifie des autorités de conformité et de surveillance par secteur, sous réserve de sa finalisation législative.

Les sanctions prévues par le règlement atteignent jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires mondial pour les violations les plus graves, et jusqu’à 15 millions d’euros ou 3 % pour d’autres catégories. Cette échelle crée une pression réelle sur les entreprises, mais aussi sur les États.

Chaque État membre doit désigner un point de contact unique pour l’application du règlement et le notifier à la Commission. Si vingt autorités se partagent la compétence sans désignation claire, la réponse risque d’être tardive, contradictoire ou absente.

Le délai de mise en conformité est déjà entamé

Le calendrier de l’AI Act est gradué. Certaines dispositions s’appliquent depuis août 2026, d’autres monteront en charge jusqu’en 2027 et au-delà. La fenêtre d’ajustement institutionnel existe encore, mais elle se referme à mesure que les premières procédures d’enquête ou de notification s’enclenchent.

Pour les entreprises françaises, l’incertitude sur l’interlocuteur compétent génère des coûts concrets. Construire une démarche de conformité suppose de savoir qui peut valider une documentation technique, qui instruit une plainte, qui délivre ou refuse une certification. Multiplier ces interlocuteurs potentiels multiplie aussi les démarches et les risques d’interprétations divergentes selon les secteurs. Les grandes entreprises peuvent absorber cette complexité. Les acteurs plus petits, souvent dans des situations d’incertitude plus aiguë sur les formations nécessaires pour développer des compétences IA, sont exposés à des coûts de conformité disproportionnés.

Il existe des pistes d’évolution. Plusieurs options sont sur la table, sans qu’aucune ait été tranchée : désigner la CNIL comme autorité cheffe de file au titre de sa compétence transversale sur les données, créer un comité de coordination interrégulateurs avec un secrétariat permanent, ou confier le rôle d’interlocuteur européen au ministère de l’Économie avec un mandat de coordination. Chacune a ses avantages et ses inconvénients. Aucune n’est parfaite, mais une architecture imparfaite avec un chef de file vaut mieux qu’une architecture propre sans personne aux commandes lors d’une crise.

La gouvernance fragmentée comme handicap structurel

La fragmentation entre autorités se manifeste structurellement dans les procédures ordinaires. Chaque clarification demandée par une entreprise, chaque réclamation de plaignant, chaque détermination de compétence entre autorités consomme du temps et produit de l’incertitude. Cette friction répétée pèse sur la qualité globale de la régulation, non par incompétence des régulateurs mais parce que la coordination entre acteurs distincts exige des ressources que la coopération interne à une structure unique n’exige pas.

La fragmentation oriente une partie de l’énergie réglementaire vers les questions de périmètre et de légitimité à agir, au détriment de l’examen de fond des systèmes eux-mêmes. Ce coût d’organisation interne demeure invisible dans les textes mais réel dans les pratiques, et il s’accumule à mesure que le volume des dossiers liés à l’IA augmente dans tous les secteurs simultanément.

La question dépasse le seul AI Act. L’IA s’inscrit dans des chaînes d’action de plus en plus rapides : un modèle déployé aujourd’hui peut affecter des millions de décisions demain. La vitesse d’adoption est asymétrique avec la vitesse des procédures réglementaires classiques. Dès lors, la capacité de réponse d’une autorité compte autant que son expertise.

La fragmentation française n’empêche pas la régulation de fonctionner au quotidien. Une gouvernance multi-acteurs peut créer des enjeux de coordination, mais la France a publié un schéma prévoyant ces mécanismes, sous réserve de sa finalisation législative. Bruxelles négocie les modalités d’application avec les États membres ; les États membres qui parlent d’une seule voix pèsent davantage dans ces négociations que ceux qui doivent d’abord coordonner de nombreuses positions internes avant de répondre.

L’Irlande a fait le choix inverse pour des raisons qui tiennent à sa situation particulière, un petit pays qui concentre une large part des sièges sociaux européens des géants de la tech, avec un intérêt direct à clarifier le cadre au plus vite. La France n’est pas l’Irlande, et son tissu administratif sectoriel a une valeur réelle. Mais l’architecture de gouvernance de l’IA mérite une décision explicite, pas un statu quo par défaut.

Ce qui se joue d’ici 2027

L’AI Act prévoit que les autorités nationales compétentes coopèrent au sein d’un réseau européen coordonné par la Commission. Ce réseau sera d’autant plus efficace que chaque État y envoie un représentant capable de parler pour l’ensemble de son système national. La France associe de nombreuses autorités sectorielles, mais, dans le schéma français proposé, la coordination et la représentation sont attribuées à des interlocuteurs identifiés, sous réserve de la finalisation du cadre légal.

La prochaine étape concrète consiste à clarifier, au niveau législatif ou par circulaire interministérielle, quelle autorité exerce le rôle de point de contact national pour la Commission. Cette désignation ne résout pas tout : elle ne crée pas de compétence technique là où elle manque, elle ne finance pas les effectifs de contrôle, elle ne tranche pas les cas limites entre régulateurs sectoriels. Mais elle rend le reste possible. Gouverner une technologie transnationale commence par décider qui gouverne.

Sources

  1. DPO Partage, AI Act au 2 août 2026 : ce qui s’applique, ce qui attend : https://www.dpo-partage.fr/ai-act-au-2-aout-2026-ce-qui-sapplique-ce-qui-attend/
  2. Ministère de l’Économie (France), Transposition AI Act, septembre 2025 (document sans URL stable disponible)
  3. Commission européenne, Règlement (UE) 2024/1689 sur l’intelligence artificielle (AI Act), juillet 2024 : https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=CELEX:32024R1689