L'AI Act est souvent présenté comme une obligation européenne uniforme, comme s'il existait un seul régulateur européen auquel chaque entreprise devrait rendre des comptes. Ce n'est pas le cas : le règlement délègue son application concrète à des autorités nationales, que chaque État membre doit désigner. La façon dont la France a géré cette désignation illustre bien, à elle seule, la complexité réelle du chantier de mise en conformité, au-delà du texte lui-même.

Ce que prévoit le règlement

L'article 70 du règlement (UE) 2024/1689 impose à chaque État membre de désigner au moins une autorité notifiante et une autorité de surveillance du marché, dotées de ressources techniques, humaines et financières suffisantes, et de rendre ces informations publiques. L'échéance fixée par le texte pour cette désignation était le 2 août 2025.

Où en est la France, concrètement

Cette échéance n'a pas été tenue. Le 9 septembre 2025, la Direction générale des entreprises (DGE) et la DGCCRF ont publié un projet de désignation. Il ne crée pas de nouvelle autorité : il répartit le contrôle entre dix-sept autorités existantes, dont trois couvrent la majorité des cas d'usage : la CNIL, la DGCCRF et l'Arcom. La DGE assurerait le pilotage stratégique et la DGCCRF la coordination opérationnelle, avec un appui technique mutualisé de l'ANSSI et du PEReN. Les autres autorités, souvent sectorielles, interviendraient dans leurs domaines habituels.

Ces dispositions ont été retirées du projet de loi d'adaptation au droit de l'Union européenne avant son dépôt au Parlement. En février 2026, un amendement sénatorial qui désignait cinq autorités a lui aussi été retiré. Au 8 octobre 2026, à notre connaissance, aucun texte formalisant cette désignation n'a été adopté.

Ce que ça signifie concrètement pour une entreprise française

Trois conséquences pratiques découlent de cette situation, encore non formalisée :

Il n'y a pas "un" régulateur AI Act, mais plusieurs, selon le système concerné. Un outil de scoring RH n'engage pas la même autorité qu'un système utilisé dans le secteur bancaire ou dans le domaine médical. La bonne question n'est pas "qui contrôle l'AI Act", mais "qui contrôle mon système, compte tenu de son usage et de son secteur".

Une désignation de la CNIL, si elle intervient, créerait une continuité utile avec le RGPD. Les entreprises déjà en relation avec la CNIL pour leurs traitements de données personnelles auraient, de fait, une longueur d'avance sur la façon dont cette autorité fonctionne, communique et instruit ses dossiers : un atout pour qui a déjà structuré sa gouvernance des données.

L'incertitude institutionnelle n'est pas une raison d'attendre. Que le dispositif soit ou non formellement adopté par le Parlement ne change rien au fait qu'un système à haut risque doit être cartographié, documenté et corrigé le cas échéant. Le flou sur qui contrôlera précisément ne retire rien à l'obligation elle-même : retarder la préparation en attendant une clarification institutionnelle revient à confondre une question administrative encore ouverte avec le fond du travail de conformité, qui, lui, ne dépend pas de cette désignation.

En résumé

La gouvernance française de l'AI Act est encore en construction, avec un retard déjà pris sur le calendrier initial du règlement lui-même, un rappel utile que même les institutions sous-estiment parfois le temps que prend ce chantier. Pour une entreprise, la bonne approche reste la même quel que soit l'état d'avancement de cette désignation : identifier précisément quels systèmes d'IA sont utilisés, quel est leur niveau de risque, et engager le travail de mise en conformité sans attendre que chaque pièce du dispositif de contrôle soit officiellement en place. Notre audit de conformité AI Act permet de poser ce diagnostic indépendamment de l'avancement institutionnel.

Sources