Le projet de loi DDADUE, adopté par le Sénat le 18 février 2026, reste en première lecture à l’Assemblée nationale fin juillet 2026. L’architecture française de supervision de l’IA n’a pas encore de valeur juridique.
Les entreprises opèrent dans un entre-deux réglementaire où le règlement européen fixe des obligations sans que les autorités compétentes soient formellement désignées.
A lire en complément : Pourquoi choisir l'immobilier responsable pour un avenir plus durable en Bretagne ?
Répartition des compétences entre autorités françaises : ce que prévoit le projet DDADUE
Le texte DDADUE organise un découpage sectoriel inédit. La CNIL serait l’autorité principale pour la majorité des systèmes à haut risque listés à l’annexe III de l’AI Act. Arcom hériterait des missions liées aux pratiques interdites et à la transparence des contenus, notamment les deepfakes.
L’ACPR prendrait en charge les systèmes d’IA déployés dans le secteur financier, tandis que la DGCCRF superviserait les produits de consommation et la formation professionnelle. Un mécanisme de coordination intersectorielle est prévu pour arbitrer les chevauchements.
Lire également : Notre retour d'expérience sur Space NK : livraison, délais et gestion des colis en France
Nous observons que cette répartition multi-autorités tranche avec le modèle centralisé choisi par d’autres États membres. L’approche française disperse la compétence, ce qui soulève des questions concrètes : quel guichet pour un système d’IA utilisé à la fois dans le crédit bancaire et la protection du consommateur ? Le texte ne tranche pas clairement ce point. Comprendre l’encadrement juridique de l’IA en France suppose donc de suivre l’évolution parlementaire de ce projet, pas seulement le règlement européen.
Obligations AI Act au 2 août 2026 : systèmes à haut risque et documentation technique
Le 2 août 2026 marque l’entrée en application des obligations relatives aux systèmes d’IA à haut risque. Concrètement, tout fournisseur ou déployeur d’un système classé en annexe III doit avoir mis en place un système de gestion des risques, une gouvernance des données d’entraînement documentée et un dispositif de contrôle humain.
La documentation technique devient opposable. Elle doit couvrir la description du système, sa finalité, les métriques de performance, les biais identifiés et les mesures d’atténuation. Les fournisseurs doivent aussi tenir un registre d’activité consultable par l’autorité de surveillance.
Pour les entreprises françaises, le flottement sur la désignation des autorités ne suspend pas ces obligations. Le règlement a effet direct. Un fournisseur qui commercialise un système de scoring RH ou un outil de tri de candidatures est tenu de se conformer au 2 août 2026, même si la CNIL n’a pas encore formellement reçu son mandat de supervision.
Obligations de transparence pour l’IA à usage général
Depuis le 2 août 2025, les fournisseurs de modèles d’IA à usage général (GPAI) doivent publier un résumé suffisamment détaillé des données d’entraînement. Cette obligation vise à permettre aux titulaires de droits d’auteur d’exercer leur droit d’opposition (opt-out) prévu par la directive sur le droit d’auteur dans le marché unique numérique.
Les modèles GPAI présentant un risque systémique sont soumis à des exigences renforcées : évaluation contradictoire (red teaming), notification des incidents graves et documentation de la consommation énergétique du modèle.
Articulation AI Act et RGPD : la question des données d’entraînement
L’entraînement des modèles d’IA sur des données personnelles reste le point de friction majeur entre les deux règlements. La CNIL a publié plusieurs séries de recommandations sur le sujet, et ses contrôles prioritaires pour 2026 ciblent explicitement les usages d’IA.
Trois points de vigilance se dégagent pour les entreprises :
- La base légale du traitement : l’intérêt légitime, souvent invoqué pour l’entraînement, exige une analyse de proportionnalité documentée, pas une simple mention dans le registre des traitements.
- Le droit d’opposition et d’effacement appliqué aux modèles déjà entraînés : la CNIL examine si un modèle peut techniquement « désapprendre » une donnée, et comment le responsable de traitement gère cette impossibilité pratique.
- Les transferts de données vers des fournisseurs de modèles situés hors UE : les clauses contractuelles types ne couvrent pas toujours l’usage des données à des fins d’entraînement ultérieur par le sous-traitant.
IA agentique et protection des données
La CNIL a publié en 2026 une note dédiée à l’IA agentique, ces systèmes capables d’exécuter des tâches de manière autonome en chaînant plusieurs actions. L’IA agentique pose un problème de mémoire persistante : un agent qui conserve le contexte d’interactions successives accumule des données personnelles sans que l’utilisateur en mesure nécessairement la portée.
La note rappelle que chaque action autonome de l’agent constitue un traitement distinct au sens du RGPD. Le responsable de traitement doit donc prévoir des mécanismes de purge, de limitation de la mémoire et d’information de l’utilisateur à chaque étape de la chaîne d’actions.
Responsabilité civile et IA : le vide qui persiste en droit français
Le règlement AI Act ne traite pas de la responsabilité civile. La proposition de directive européenne sur la responsabilité en matière d’IA, qui devait compléter le dispositif, n’a pas abouti dans les délais initialement prévus. Le droit commun français de la responsabilité reste le cadre applicable par défaut.
En pratique, la responsabilité du fait des produits défectueux (articles 1245 et suivants du Code civil) peut s’appliquer à un système d’IA embarqué dans un produit. La difficulté tient à la preuve du défaut : démontrer qu’un modèle de machine learning a produit un résultat dommageable en raison d’un « défaut » suppose d’accéder à sa logique interne, ce que l’opacité des modèles rend souvent impossible.
La contractualisation devient alors le principal levier de gestion du risque. Nous recommandons d’intégrer dans les contrats de fourniture de systèmes d’IA des clauses spécifiques sur la répartition de responsabilité en cas de décision automatisée erronée, sur l’obligation de documentation du fournisseur et sur les modalités d’audit du modèle.
Le cadre juridique de l’IA en France se construit par strates, entre un règlement européen d’application directe, une transposition nationale inachevée et des autorités de contrôle qui préparent leurs outils sans disposer encore de leur mandat définitif. Les entreprises qui attendent la clarification finale pour agir prennent un risque : les obligations du 2 août 2026 n’attendront pas la promulgation de la loi DDADUE.