Premier échange de 30 minutes, sans engagement.
Demande d'information
· Nice et
100 km à la ronde, à distance partout en France.
Depuis le 2 août 2026, l’essentiel du règlement européen sur l’intelligence artificielle est applicable. Les amendes prévues par le texte peuvent atteindre 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial. Mais en France, la loi qui doit désigner les administrations chargées de contrôler et de sanctionner n’est toujours pas votée. Ce décalage mérite d’être compris pour ce qu’il est : ni un sursis, ni une amnistie.
Le règlement (UE) 2024/1689, dit « AI Act », ne se contente pas de fixer des obligations aux entreprises. Il organise aussi sa propre surveillance. Son article 70 impose à chaque État membre de désigner ses autorités notifiantes et ses autorités de surveillance du marché, puis de rendre publiques, par voie électronique, les coordonnées de ces autorités et de son point de contact unique. L’échéance fixée par le texte était le 2 août 2025.
L’article 99 complète le dispositif : les États membres doivent définir le régime de sanctions applicable aux violations du règlement, sanctions qui doivent être « effectives, proportionnées et dissuasives », et les notifier à la Commission. Le règlement plafonne ces amendes à trois niveaux : jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires mondial pour les pratiques interdites, jusqu’à 15 millions d’euros ou 3 % pour la plupart des autres manquements, jusqu’à 7,5 millions d’euros ou 1 % pour les informations inexactes ou incomplètes transmises aux autorités.
Autrement dit, le règlement européen crée l’obligation ; le droit national fournit le bras qui l’applique.
La chronologie française est documentée et publique.
Le 9 septembre 2025, la Direction générale des entreprises (DGE) et la Direction générale de la concurrence, de la consommation et de la répression des fraudes (DGCCRF) publient le projet de désignation des autorités nationales. Le choix retenu est celui d’une gouvernance décentralisée, adossée aux régulateurs existants plutôt qu’à une agence nouvelle. La DGCCRF et la DGE coordonnent conjointement l’action des autorités, la DGE assurant la représentation de la France au Comité européen de l’intelligence artificielle ; les autorités sectorielles conservent leur périmètre. Le principe est explicite dans le communiqué : « En pratique, si une entreprise est déjà régulée sur son secteur, elle s’adressera en très grande majorité à son régulateur habituel pour la mise en œuvre du règlement IA. » L’ANSSI et le PEReN apportent une expertise technique mutualisée.
Le même communiqué précise que ce schéma « doit être soumis au Parlement par le biais d’un projet de loi ». C’est là que la chaîne se grippe.
Le véhicule choisi est le projet de loi portant diverses dispositions d’adaptation au droit de l’Union européenne — le « DDADUE » de la session 2025-2026, déposé au Sénat le 10 novembre 2025. Son article 24 traite des systèmes d’intelligence artificielle. Le rapport de la commission des affaires économiques du Sénat, déposé le 4 février 2026, indique qu’un amendement gouvernemental doit compléter cet article pour « préciser les administrations qui seront en charge de l’application en France » du règlement, et que la répartition des compétences sera débattue en séance.
Cet amendement, déposé le 12 février 2026, redistribue nettement les rôles par rapport au schéma de septembre 2025 : la CNIL devient l’autorité principale, compétente sur les pratiques interdites, sur les obligations de transparence des systèmes de reconnaissance des émotions et de catégorisation biométrique, et sur l’évaluation des systèmes à haut risque ; la DGCCRF conserve la coordination et traite notamment les systèmes à haut risque liés à la formation ; le rôle de l’Arcom est présenté par la presse spécialisée comme réduit à une fonction consultative sur les systèmes en lien direct avec les processus démocratiques — lecture que d’autres comptes rendus nuancent en lui prêtant des compétences propres sur les techniques manipulatoires et la transparence des contenus générés. Le texte adopté départagera ces lectures.
Le Sénat adopte le texte en séance publique le 18 février 2026. Il est transmis à l’Assemblée nationale le 20 février 2026, où il devient le projet de loi n° 2518.
Le dossier législatif de l’Assemblée nationale montre un texte mis en ligne le 17 mars 2026, réparti entre cinq commissions — la commission des affaires économiques saisie au fond le 20 février 2026, quatre commissions saisies pour avis le 23 avril 2026. Aucun rapport de commission n’a été déposé, aucune discussion en séance publique n’a eu lieu : à la date du 21 août 2026, la première lecture à l’Assemblée n’est pas engagée. La suspension des travaux parlementaires pendant l’été rend improbable toute adoption avant la rentrée.
La France dépasse donc de plus d’un an l’échéance du 2 août 2025 fixée par l’article 70, et de près de trois semaines la date d’application générale du règlement.
Il faut ici éviter deux erreurs symétriques.
Première erreur : croire que rien ne s’applique. Un règlement européen est d’application directe. Les obligations qu’il crée pèsent sur les entreprises depuis le 2 août 2026, indépendamment de l’état d’avancement du droit national. Les pratiques interdites sont interdites. Les obligations de transparence de l’article 50 — informer une personne qu’elle interagit avec un système d’IA, marquer les contenus générés ou manipulés — sont exigibles. Et la Commission européenne, via le Bureau européen de l’IA, exerce elle-même depuis cette date ses pouvoirs sur trois blocs : les pratiques d’IA interdites, les obligations des fournisseurs de modèles d’IA à usage général, et les exigences de transparence de certains systèmes.
Le Bureau européen de l’IA a par ailleurs ouvert des canaux de signalement directement accessibles : un outil de plainte permettant à toute personne physique ou morale de signaler une violation présumée, un outil de lanceur d’alerte destiné aux professionnels en lien avec les fournisseurs, et un canal dédié aux fournisseurs en aval de modèles à usage général. Un salarié, un candidat écarté ou un concurrent n’a pas besoin d’une autorité française opérationnelle pour saisir Bruxelles.
Seconde erreur : croire que l’absence de désignation est sans effet. Elle en a un, très concret : tant que la loi n’a pas désigné les autorités et fixé le régime de sanctions, il n’existe pas en droit français d’autorité formellement compétente pour prononcer les amendes de l’article 99 sur le périmètre relevant des États membres. Une entreprise française ne risque pas aujourd’hui une amende nationale AI Act. Elle reste en revanche exposée aux pouvoirs de la Commission sur le périmètre européen, et à l’ensemble du droit préexistant — RGPD, code du travail, droit de la consommation, droit de la non-discrimination — qui n’a jamais cessé de s’appliquer aux systèmes algorithmiques.
La conséquence pratique est donc moins une exonération qu’une incertitude. Une entreprise qui voudrait aujourd’hui dialoguer en amont avec son régulateur, sécuriser une qualification ou lever un doute sur le classement d’un système n’a pas d’interlocuteur formellement désigné. C’est un handicap pour les organisations prudentes, pas un avantage.
Le règlement (UE) 2026/1744 du 8 juillet 2026, dit « omnibus numérique sur l’IA », entré en vigueur le 27 juillet 2026, a modifié le calendrier d’application du règlement de 2024. Trois échéances structurent désormais la suite :
| Date | Objet |
|---|---|
| 2 décembre 2026 | Fin de la période transitoire de marquage prévue à l’article 50, paragraphe 2, pour les systèmes mis sur le marché avant le 2 août 2026, et entrée en application des deux nouvelles interdictions insérées à l’article 5, paragraphe 1, points b bis) et b ter) |
| 2 décembre 2027 | Application des obligations relatives aux systèmes à haut risque autonomes de l’annexe III — dont le recrutement et la gestion des ressources humaines |
| 2 août 2028 | Application des obligations relatives aux systèmes à haut risque intégrés comme composant de sécurité d’un produit réglementé (annexe I) |
Le report des obligations « haut risque » de l’annexe III, décalées de seize mois, est justifié dans les considérants du règlement omnibus par le retard pris sur les instruments d’appui — orientations, normes harmonisées, spécifications communes, codes de bonnes pratiques — et sur la mise en place des autorités nationales. Le considérant 41 impose à la Commission de publier au plus tard le 2 septembre 2027 des orientations, incluant un modèle volontaire, sur le plan de surveillance après commercialisation.
Ce report est la donnée la plus mal comprise du moment. Il ne suspend pas le règlement : il décale une catégorie d’obligations, celle qui concerne le plus directement les directions des ressources humaines. Nous détaillons ailleurs ce que l’annexe III recouvre pour les outils RH et ce que le RGPD exige déjà, sans attendre 2027 : voir Scoring algorithmique : ce que la CNIL rappelle, et pourquoi les DRH devraient le lire.
Ne pas confondre vide institutionnel et vide juridique. Le règlement s’applique. Construisez la conformité sur le texte européen, pas sur la disponibilité d’un interlocuteur français.
Cartographier vos systèmes d’IA maintenant. L’inventaire est le préalable de toute qualification : quels systèmes, fournis par qui, pour quel usage, avec quelles données, dans quel processus de décision. Ce travail prend plusieurs mois dans une organisation de taille moyenne et il n’est pas raccourci par un report d’échéance.
Traiter l’article 50 comme une obligation présente. L’information des personnes interagissant avec un système d’IA et le marquage des contenus générés sont exigibles depuis le 2 août 2026. Pour les systèmes déployés avant cette date, la mise en conformité du marquage doit être bouclée avant le 2 décembre 2026.
Suivre le parcours du projet de loi n° 2518 à la rentrée. Le contenu final de l’article 24 déterminera votre interlocuteur : CNIL, DGCCRF, régulateur sectoriel. La version votée par le Sénat en février place la CNIL en position centrale — une hypothèse de travail raisonnable, mais pas encore le droit.
Anticiper la voie du signalement, pas seulement celle du contrôle. Les canaux ouverts par le Bureau européen de l’IA permettent des saisines directes, y compris anonymes. Un dispositif interne d’alerte et de traitement des réclamations sur les usages d’IA vaut mieux qu’une découverte du problème par une notification bruxelloise.
Documenter, y compris pendant la période d’incertitude. Les décisions de qualification que vous prenez aujourd’hui — « ce système n’est pas à haut risque parce que… » — devront être justifiées demain. Écrivez le raisonnement au moment où vous le tenez.
L'autorité néerlandaise sanctionne Uber de 825 M€ pour des décisions automatisées sans intervention humaine. Ce que cela implique en RH.
Le règlement (UE) 2026/1744 reporte les obligations haut risque RH à décembre 2027 et assouplit l'article 4. Ce qui s'applique vraiment depuis le 2 août 2026.
La CNIL a rappelé le 19 août 2026 les règles du scoring de crédit. Elles s'appliquent déjà, mot pour mot, au tri automatisé des candidatures en entreprise.
Sans engagement, sans diaporama. On regarde où vous en êtes, et je vous dis franchement si nous sommes le bon interlocuteur.
Demande d'information
Réponse sous 24 heures ouvrées. Si vous préférez parler de vive voix, réservez plutôt un créneau de 30 minutes — c'est souvent plus rapide.