AI Act : l’obligation s’applique, mais qui vous contrôle en France ?

Les obligations de transparence du règlement européen sur l'intelligence artificielle sont opposables depuis le 2 août 2026. Nous avons détaillé ce qui est devenu obligatoire et proposé un audit en sept étapes pour vérifier sa propre conformité.

Reste une question que ces deux articles laissent entière, et qui arrive vite dès qu'on passe à la pratique : qui contrôle ? Si vous recevez un courrier, il viendra de qui ? Si vous voulez poser une question avant d'être en tort, vous l'adressez à qui ?

La réponse française est déroutante au premier abord, et parfaitement logique au second : il n'y a pas une autorité. Il y en a une quinzaine.

Le schéma retenu par la France

Plutôt que de créer un régulateur de l'intelligence artificielle, la France a choisi de s'appuyer sur les autorités sectorielles existantes, chacune conservant son périmètre. La logique revendiquée est celle de l'expertise : celui qui surveille déjà un secteur est le mieux placé pour y apprécier un système d'IA.

La DGCCRF occupe la position centrale. Elle coordonne l'action des autorités françaises de surveillance et assure leur représentation au niveau européen sur les questions de surveillance du marché. C'est le point de contact prévu par le règlement lorsqu'un État membre désigne plusieurs autorités compétentes.

Autour d'elle, le partage suit les compétences établies. La CNIL sur les traitements de données personnelles et les usages biométriques. L'Arcom sur les contenus et les plateformes. La DGCCRF elle-même sur les relations directes avec les consommateurs. S'y ajoutent, selon les secteurs, l'ACPR et l'AMF pour la finance, l'ANSSI pour les enjeux de sécurité des systèmes d'information.

Pourquoi ça vous concerne plus que vous ne le pensez

Un régulateur unique aurait produit une doctrine unique. Une quinzaine d'autorités sectorielles produiront des doctrines sectorielles, et c'est là que se joue la difficulté pratique.

Prenez trois cas qui relèvent tous de l'article 50, et observez à qui ils répondent. Un site média qui publie des textes générés sans relecture humaine sur des sujets d'intérêt public : c'est l'Arcom qui est dans son périmètre naturel. Un assistant conversationnel bancaire : l'ACPR, avec la CNIL sur le volet données. Une boutique en ligne qui génère ses fiches produit : la DGCCRF, au titre de la relation au consommateur.

Trois interlocuteurs différents, trois cultures de contrôle différentes, pour une même obligation de fond. Et si votre activité en croise plusieurs — ce qui est fréquent, un média qui vend un abonnement fait les deux — vous relevez de plusieurs à la fois.

Le corollaire est agaçant mais utile à connaître : il n'existera pas d'interprétation unique de l'article 50 en France. La manière dont un marquage de contenu généré sera jugé suffisant pourra différer selon l'autorité qui l'examine, au moins le temps que la pratique se stabilise.

Ce que la Commission a apporté début août

La Commission européenne a mis à jour ses lignes directrices sur les obligations de transparence le 6 août 2026, quatre jours après l'entrée en application. Elles ont été élaborées avec les États membres, le Comité européen de l'IA et une consultation publique.

Deux exigences y sont formulées à l'intention des fournisseurs. Concevoir les systèmes de sorte que les personnes soient explicitement informées lorsqu'elles interagissent directement avec une IA. Et ajouter des marques lisibles par machine permettant de détecter un contenu généré ou manipulé — ce second point étant le plus exigeant techniquement, et le plus souvent ignoré.

Du côté des déployeurs, l'information est due dans trois situations : reconnaissance des émotions et catégorisation biométrique, hypertrucages, et publication de textes sur des sujets d'intérêt public sans relecture ni contrôle éditorial humain.

Les lignes directrices prévoient qu'on puisse démontrer sa conformité par le code de bonne pratique sur les contenus générés par IA, ou par « d'autres moyens d'une adéquation équivalente ». Cette dernière formule est une porte ouverte volontaire : elle laisse la place à des solutions techniques qui n'existent pas encore de manière stabilisée.

Ce qu'il faut en retenir

La question à se poser n'est pas « suis-je conforme à l'AI Act », qui est trop large pour appeler une réponse utile. C'est « de quelle autorité je relève, et qu'a-t-elle publié ». Identifier son interlocuteur avant d'avoir à lui écrire est un investissement d'une heure qui évite de découvrir son existence dans un courrier.

Sur le fond des obligations, notre audit en sept étapes reste le point de départ. Ce qui précède ne le remplace pas : il indique à qui vous en rendrez compte.

---

Article publié le 15 août 2026. Le schéma français de désignation des autorités reposant sur des textes récents et encore en cours de consolidation, vérifiez l'état des désignations auprès de la DGCCRF avant toute démarche formelle.

Sources

• Commission européenne — Guidelines on transparency obligations for providers and deployers of AI systems, mise à jour du 6 août 2026
• Commission européenne — Gouvernance et application de la législation sur l'IA
• economie.gouv.fr — La DGCCRF coordonnera l'action des autorités de surveillance en France
• DGE / DGCCRF — Projet de désignation des autorités nationales
• CNIL — Entrée en vigueur du règlement européen sur l'IA : les premières questions-réponses