Qui contrôle l'application du règlement sur l'IA en France ?
Vous avez lu qu'une amende était possible en cas de manquement au règlement sur l'IA, et la question qui suit naturellement est : concrètement, qui viendrait vérifier ? Un inspecteur de la CNIL, comme pour le RGPD ? Un autre organisme dont vous n'avez jamais entendu parler ? La réponse n'est pas unique, et c'est précisément ce flou qui rend la question légitime pour une PME qui essaie de savoir à qui elle aurait affaire en cas de contrôle, ou simplement à qui poser une question.
Ce que le règlement impose aux États membres : désigner des autorités, pas en créer une seule
L'article 70 du règlement sur l'IA oblige chaque État membre à désigner au moins une autorité notifiante et au moins une autorité de surveillance du marché, avec une échéance fixée au 2 août 2025. Le texte n'impose pas de créer un organisme unique et nouveau : il autorise explicitement les États à s'appuyer sur des régulateurs déjà en place, secteur par secteur, plutôt que de partir d'une page blanche. C'est l'option que la France a retenue, à la différence de l'Espagne, qui a créé une agence dédiée, l'AESIA — un choix institutionnel déjà détaillé dans notre article sur le règlement sur l'IA pour les PME françaises.
Concrètement, cela veut dire qu'il n'existe pas, en France, un numéro unique à appeler pour toute question liée au règlement sur l'IA. L'autorité compétente dépend du secteur d'activité et du type de système concerné, un peu comme la surveillance de la sécurité des produits ou de la conformité électrique répartit déjà les rôles entre plusieurs administrations selon le produit en cause.
La CNIL, en première ligne dès que des données personnelles sont en jeu
La CNIL est l'autorité française la plus engagée sur le sujet, pour une raison simple : la grande majorité des systèmes d'IA utilisés par les PME traitent des données personnelles, ce qui la rend compétente à double titre — au titre du RGPD, et au titre du règlement sur l'IA pour tout système qui recoupe les deux textes. Elle a publié dès 2023 des recommandations sur l'IA générative, puis des fiches pratiques régulièrement enrichies, ce qui en fait aujourd'hui l'interlocuteur le mieux outillé pour répondre aux questions concrètes des entreprises, même sur des points qui relèvent formellement du règlement sur l'IA plus que du RGPD.
Les régulateurs sectoriels : la CNIL n'est pas seule
Pour tout ce qui touche à la protection des consommateurs — pratiques commerciales trompeuses, publicité, information du consommateur face à un système d'IA — la DGCCRF (Direction générale de la concurrence, de la consommation et de la répression des fraudes) intervient sur son périmètre habituel, désormais élargi aux pratiques impliquant de l'IA. D'autres régulateurs sectoriels ont vocation à jouer un rôle équivalent sur leur domaine : l'ACPR et l'AMF pour le scoring de crédit ou les usages dans la finance et l'assurance, l'ANSM pour les dispositifs médicaux intégrant de l'IA, ou encore l'ARCOM pour certains usages liés aux contenus audiovisuels et en ligne. Le principe général : le régulateur qui contrôlait déjà votre secteur avant le règlement sur l'IA est, sauf exception, celui qui continue de le faire, avec ce texte en plus dans son périmètre.
- Système d'IA traitant des données personnelles (RH, scoring client, chatbot) : CNIL.
- Pratique commerciale, information du consommateur, publicité générée par IA : DGCCRF.
- Crédit, assurance, scoring financier : ACPR et AMF.
- Dispositif médical ou diagnostic assisté par IA : ANSM.
- Contenu audiovisuel ou plateforme en ligne : ARCOM.
- Vous ne savez pas dans laquelle de ces cases ranger votre outil : c'est le cas le plus fréquent, et celui pour lequel commencer par la CNIL reste le réflexe le plus sûr.
Ce que cela change concrètement pour une PME
Pour l'immense majorité des PME, en pratique, cette répartition ne change presque rien au quotidien : la CNIL reste l'interlocuteur naturel, parce que la plupart des usages d'IA impliquent des données personnelles d'une manière ou d'une autre. La distinction devient utile surtout si votre entreprise reçoit une question, une demande d'information ou un contrôle : savoir à l'avance quel régulateur est probablement compétent évite de perdre du temps à chercher le bon contact au moment où vous en avez le moins. Pour les montants et le régime de sanctions applicables, quel que soit le régulateur qui agit, notre article sur le règlement sur l'IA pour les PME françaises détaille l'article 99 et ses plafonds réduits pour les PME.
Une checklist pour savoir à qui vous auriez affaire
Quatre questions suffisent, en général, à se faire une idée raisonnable avant même de consulter un texte de loi :
- Votre système d'IA traite-t-il, même indirectement, des données concernant une personne identifiée ou identifiable ? Si oui, la CNIL est compétente, seule ou aux côtés d'un autre régulateur.
- Votre secteur est-il déjà soumis à une autorité de contrôle spécifique (banque, assurance, santé, audiovisuel) ? Cette autorité garde vraisemblablement un rôle sur vos usages d'IA.
- L'usage concerné touche-t-il directement un consommateur (publicité, recommandation de produit, service client automatisé) ? La DGCCRF peut s'y intéresser, indépendamment de la CNIL.
- En cas de doute persistant après ces trois questions, la CNIL reste, dans les faits, le point d'entrée le plus documenté et le plus accessible pour une PME française aujourd'hui.
Information générale, pas un conseil juridique
Ce qui précède est une information générale pour vous orienter, pas un conseil juridique sur votre situation précise. Le paysage des autorités compétentes pour le règlement sur l'IA continue d'évoluer en France comme dans le reste de l'Union, et certains rôles décrits ici pourront être précisés ou ajustés par de futurs textes d'application. Quand Komplya publie ce type de contenu, nous distinguons clairement ce qui a été revu juridiquement de ce qui reste un document de travail, afin que vous puissiez l'utiliser en connaissance de cause.
Le moyen le plus rapide de savoir quel régulateur correspond à votre situation est de partir de vos usages réels de l'IA plutôt que d'une liste générale. Répondez à un court questionnaire sur votre utilisation de l'IA et obtenez une lecture en langage simple de votre situation probable, régulateur par régulateur.