Qui contrôle règlement IA au Luxembourg ? CNPD, CSSF

Publié 2026-08-09· 6 min de lecturePouls réglementaire

Un client vous a envoyé un questionnaire de conformité qui mentionne le règlement sur l'IA. Ou un auditeur, lors d'une revue annuelle, a posé la question sans détour : quelle autorité contrôlerait vos systèmes d'IA si elle en avait la charge ? Pour une PME luxembourgeoise, la réponse spontanée est souvent "la CNPD, comme pour le RGPD" — et c'est un bon réflexe, mais ce n'est qu'une partie de la réponse. Si votre activité touche de près ou de loin au secteur financier, très développé au Grand-Duché, la CSSF entre aussi en jeu. Voici ce que l'on sait aujourd'hui, et surtout ce qui reste encore à préciser.

Ce que le règlement impose : une autorité de surveillance du marché par État membre

L'article 70 du règlement sur l'IA (règlement (UE) 2024/1689) oblige chaque État membre à désigner au moins une autorité notifiante, chargée d'évaluer les organismes de certification, et au moins une autorité de surveillance du marché, chargée de contrôler que les systèmes d'IA effectivement utilisés respectent le règlement. L'échéance fixée par le texte européen était le 2 août 2025. Le règlement laisse chaque pays libre de créer une structure nouvelle ou de confier la mission à des régulateurs existants. À la date de rédaction de cet article, la désignation définitive et publique de l'autorité de surveillance du marché luxembourgeoise n'est pas confirmée avec certitude de notre côté — nous préférons le dire explicitement plutôt que d'affirmer un organigramme qui pourrait ne pas être exact. Ce que l'on peut en revanche raisonner, c'est le terrain le plus probable, à partir des compétences déjà en place.

La CNPD, candidate naturelle pour tout ce qui touche aux données personnelles

La Commission nationale pour la protection des données (CNPD) est l'autorité luxembourgeoise qui applique déjà le RGPD depuis 2018. Dès qu'un système d'IA traite des données à caractère personnel — recrutement assisté par IA, scoring client, chatbot RH, vidéosurveillance augmentée, notation de crédit — la CNPD a vocation à s'y intéresser, que ce soit au titre du RGPD, du règlement sur l'IA, ou des deux textes combinés, tant les deux régimes se recoupent pour la majorité des usages d'IA en entreprise. Nous détaillons précisément ces recoupements et leurs divergences dans notre article sur le RGPD et le règlement sur l'IA pour les entreprises luxembourgeoises. Pour une PME dont l'activité ne relève pas du secteur financier régulé, la CNPD reste, en l'état actuel des choses, l'interlocuteur le plus probable en cas de question sur un système d'IA.

La CSSF : le cas particulier des entités financières déjà supervisées

La Commission de Surveillance du Secteur Financier (CSSF) supervise déjà les banques, les sociétés de gestion de fonds, les gestionnaires d'actifs, les entreprises d'investissement et les assureurs établis au Luxembourg. Si votre entreprise appartient à l'une de ces catégories et utilise l'IA dans un processus déjà couvert par la supervision prudentielle de la CSSF — évaluation du risque de crédit, détection de fraude, conseil en investissement automatisé, lutte contre le blanchiment — il est raisonnable d'anticiper que le contrôle de la conformité au règlement sur l'IA s'appuiera sur cette relation de supervision existante, plutôt que de créer un canal de contrôle entièrement séparé. C'est cohérent avec la logique de l'article 70, qui autorise les États membres à s'appuyer sur des régulateurs sectoriels déjà en place. Nous formulons cela au conditionnel de manière volontaire : à notre connaissance, la CSSF n'a pas publié, à ce stade, de cadre détaillé et définitif décrivant précisément la répartition de compétences entre elle et la CNPD sur les systèmes d'IA utilisés par les entités qu'elle supervise. Si votre activité est régulée par la CSSF, ce point mérite d'être vérifié directement auprès d'elle plutôt que déduit par analogie.

Deux autorités, une seule PME : comment les deux compétences peuvent se cumuler

Une société de gestion de fonds qui utilise un outil d'IA pour analyser des dossiers de souscripteurs cumule en réalité les deux logiques : la CSSF au titre de sa supervision prudentielle, et la CNPD dès lors que des données personnelles de personnes physiques sont traitées. Ce n'est pas un cas rare au Luxembourg — c'est, compte tenu du poids de l'industrie des fonds et de la banque privée dans l'économie du pays, plutôt la situation par défaut pour une bonne partie du tissu des PME financières. Le réflexe utile n'est donc pas de chercher un guichet unique qui n'existe probablement pas, mais de documenter, pour chaque système d'IA utilisé, sa finalité, les données traitées, le niveau de risque au sens du règlement, et le ou les régulateurs qui pourraient légitimement s'y intéresser. C'est ce document qui vous protège, quel que soit l'organisme qui se présente en premier.

Checklist : à qui auriez-vous affaire ?

Le système traite-t-il, même indirectement, des données concernant une personne identifiée ou identifiable (client, salarié, candidat) ? Si oui, la CNPD est concernée.
Votre entité est-elle agréée ou supervisée par la CSSF (banque, société de gestion, entreprise d'investissement, assurance, PSF) ? Si oui, la CSSF est probablement concernée en plus de la CNPD.
Le système d'IA intervient-il dans une décision déjà couverte par une obligation prudentielle existante — scoring de crédit, lutte contre le blanchiment, conseil en investissement, détection de fraude ? Ce recoupement renforce la probabilité d'un contrôle CSSF.
Le système est-il fourni ou hébergé par un prestataire établi hors du Luxembourg ou de l'UE ? La coopération entre autorités de surveillance du marché des différents États membres peut s'appliquer, en plus des règles de transfert de données du RGPD.
Avez-vous un inventaire écrit de vos systèmes d'IA, avec pour chacun sa finalité et son niveau de risque estimé ? Si non, c'est le point de départ le plus utile avant de vous demander quelle autorité pourrait vous contrôler.
Savez-vous qui, en interne, serait chargé de répondre si la CNPD ou la CSSF posait une question sur un système d'IA précis ? L'absence de réponse claire est souvent le signal d'un chantier de conformité encore informel.

Information générale, pas un conseil juridique

Ce qui précède est une information générale destinée à clarifier un paysage institutionnel encore en construction au Luxembourg ; ce n'est pas un conseil juridique, et la répartition exacte des compétences entre la CNPD et la CSSF peut évoluer, notamment à mesure que la désignation officielle de l'autorité de surveillance du marché se précise. Chez Komplya, nous distinguons clairement le contenu qui a été revu juridiquement de celui qui reste un document de travail, et nous actualisons cet article dès que des informations plus fermes sont publiées.

Plutôt que d'attendre une clarification institutionnelle qui reste, à ce jour, encore incomplète, la démarche la plus utile est de savoir précisément où vous en êtes : quels systèmes d'IA vous utilisez, quel régulateur pourrait légitimement s'y intéresser, et ce qu'il vous manque pour y répondre sereinement. Notre questionnaire en ligne vous aide à faire ce point en quelques minutes, sans attendre qu'un régulateur, CNPD ou CSSF, vous pose la question en premier.