Depuis l’entrée en application du Règlement IA, la question n’est plus seulement juridique ; elle devient très concrète pour les entreprises, les administrations et les équipes techniques. En France, la Gouvernance de l’IA repose sur plusieurs Autorités de régulation appelées à répartir la Surveillance de l’IA selon les usages, les risques et les secteurs concernés.
Cette organisation, pensée pour combiner expertise et Responsabilité, vise aussi la Protection des données, le Contrôle des algorithmes et une vraie Conformité réglementaire. Pour comprendre ce Cadre législatif, il faut suivre la logique par niveaux de risque avant d’examiner les rôles attribués à chaque acteur ; c’est précisément ce qui éclaire la suite.
A retenir :
- Répartition sectorielle des contrôles
- Risque IA hiérarchisé
- Coordination DGCCRF et DGE
- Expertises CNIL, ANSSI, PEReN
- Lisibilité utile pour les entreprises
Le cadre européen du Règlement IA et la logique de risque
Le passage du principe à l’action commence par la classification des usages, car le Règlement IA ne traite pas toutes les applications de la même manière. Selon la Commission européenne, le texte distingue les pratiques interdites, les systèmes à haut risque et les usages plus légers, afin d’ajuster la Conformité réglementaire au danger réel.
Lecture des niveaux de risque :
Niveau
Exemples
Exigences principales
Pratiques interdites
Notation sociale, manipulation cognitive, inférence émotionnelle
Interdiction totale
Haut risque
Santé, justice, éducation, biométrie autorisée
Traçabilité, supervision humaine, robustesse
Risque limité
Chatbots, certains assistants génératifs
Transparence renforcée
Risque minimal
Usages courants sans impact sensible
Codes volontaires
Selon la Commission européenne, cette architecture n’encadre pas la technologie en elle-même, mais les effets qu’elle produit sur les personnes. Dans un service RH, par exemple, un outil de tri de candidatures ne soulève pas les mêmes exigences qu’un chatbot de support client, car le premier peut peser sur des droits fondamentaux.
Ce classement change la lecture habituelle du numérique, parce qu’il oblige à documenter les usages avant de chercher un fournisseur ou un modèle. Pour une PME comme pour un grand groupe, la première question n’est plus “quel outil acheter ?”, mais “quel niveau de risque assumons-nous ?”, et cette réponse guide la suite des contrôles.
Pratiques interdites et obligations renforcées
Ce premier niveau éclaire le cœur de l’encadrement, car une pratique interdite sort immédiatement du champ d’acceptabilité. Selon la Commission européenne, les systèmes destinés à manipuler le comportement, à classer socialement les individus ou à déduire des émotions de façon intrusive sont exclus.
Dans une collectivité, cela évite qu’un outil opaque influence des décisions sensibles sans contrôle réel. La logique est simple, mais elle impose une discipline documentaire très stricte, car l’absence de preuve devient vite un risque juridique.
« Nous avons cartographié nos outils d’IA avant même de parler de conformité ; sinon, impossible de savoir ce qui relevait du risque élevé. »
Camille R.
Ce retour d’expérience illustre une réalité fréquente : les organisations découvrent souvent leurs propres usages en les inventoriant. Le sujet suivant montre pourquoi cette méthode devient indispensable dès que les autorités entrent en jeu.
Haut risque, traçabilité et supervision humaine
Ce second niveau prolonge le précédent, car la forte sensibilité des usages appelle un contrôle plus proche. Selon le texte européen, les systèmes à haut risque doivent garantir la traçabilité, la robustesse et une supervision humaine effective.
Un hôpital qui utilise une aide au diagnostic, ou une école qui recourt à un outil d’orientation, ne peut pas se contenter d’une simple promesse commerciale. Il faut garder des traces, comprendre les limites du modèle et pouvoir intervenir rapidement si le système déraille.
Tableau des exigences opérationnelles :
Exigence
But
Exemple concret
Traçabilité
Reconstituer les décisions
Journal des tests et versions du modèle
Supervision humaine
Éviter une automatisation totale
Validation finale par un agent
Robustesse
Résister aux erreurs et intrusions
Tests adversariaux réguliers
Transparence
Informer les utilisateurs concernés
Notice claire sur l’usage de l’outil
Pour les opérateurs, cette exigence a un effet très concret sur l’organisation interne, car le droit rejoint les routines techniques. Cette pression prépare directement la question suivante : qui contrôle quoi, et avec quelle compétence.
Les autorités de régulation françaises et la répartition des compétences
Une fois les niveaux de risque clarifiés, la France a dû organiser les acteurs chargés de la Surveillance de l’IA. Le projet publié en 2025 s’appuie sur des autorités déjà présentes, ce qui évite de créer un guichet entièrement nouveau, mais complexifie la lecture pour les entreprises.
Selon la DGCCRF et la DGE, cette architecture privilégie la spécialisation sectorielle, avec une coordination centrale et des relais techniques. Ce choix répond à un besoin de réalisme administratif, même s’il laisse subsister des zones grises dans certains cas d’usage sensibles.
Répartition des rôles envisagée :
Autorité
Rôle principal
Champ d’intervention
DGCCRF
Coordination de la surveillance de marché
Systèmes mis en circulation
DGE
Coordination stratégique
Dialogue européen et pilotage
CNIL
Protection des données et usages biométriques
Cas liés aux données personnelles
ANSSI
Cybersécurité
Infrastructures critiques
PEReN
Expertise technique
Évaluation des algorithmes
Cette mosaïque administrative paraît cohérente sur le papier, mais elle oblige les acteurs à identifier rapidement leur interlocuteur. Pour une entreprise régulée dans son secteur, cela signifie souvent retrouver le régulateur habituel, tout en intégrant les exigences nouvelles du Cadre législatif.
DGCCRF, DGE et coordination centrale
Ce premier binôme structure l’ensemble, car il donne une colonne vertébrale à l’organisation française. Selon le gouvernement, la DGCCRF concentre l’expérience de la surveillance de marché, tandis que la DGE apporte une vision stratégique au niveau européen.
Dans la pratique, cela évite qu’un dossier reste coincé entre plusieurs services sans responsable clair. Un fabricant d’outil IA industriel, par exemple, a besoin de savoir qui le reçoit, qui l’oriente et qui tranche en cas de doute technique.
« J’ai gagné du temps en identifiant d’abord l’autorité la plus proche de mon cas d’usage, puis en préparant un dossier unique. »
Julien M.
Cette méthode pragmatique réduit les allers-retours et améliore la qualité des échanges. Elle devient encore plus utile lorsque les questions touchent aux données personnelles, à la biométrie ou aux contenus audiovisuels.
CNIL, ANSSI et PEReN au service du contrôle des algorithmes
Ce second appui prolonge la coordination centrale, car les sujets techniques exigent des compétences de terrain. Selon la CNIL, l’ANSSI et le PEReN, certaines analyses demandent une lecture croisée entre Protection des données, cybersécurité et évaluation algorithmique.
Une caméra intelligente dans une gare, par exemple, peut soulever à la fois une question de biométrie, une question de sécurité informatique et une question d’explicabilité. Sans coopération, le dossier devient vite illisible pour l’opérateur comme pour l’administration.
« Le point le plus délicat n’a pas été la technique, mais l’identification du bon interlocuteur selon le type de système. »
Sophie L.
Le témoignage souligne un enjeu central : la lisibilité conditionne l’efficacité du dispositif. Cette difficulté renvoie directement aux obligations concrètes qui attendent les organisations sur le terrain.
Conformité réglementaire et mise en pratique pour les organisations
Quand les autorités sont identifiées, la Conformité réglementaire cesse d’être une abstraction et devient une suite d’actions mesurables. Les organisations qui utilisent déjà l’IA doivent documenter leurs cas d’usage, qualifier les risques et clarifier leur rôle dans la chaîne de valeur.
Selon plusieurs retours de terrain publiés par des acteurs de la conformité, les équipes gagnent du temps quand elles partent de la réalité opérationnelle plutôt que d’une liste théorique. Le bon réflexe consiste à regarder où l’IA intervient vraiment, puis à rapprocher cet inventaire des obligations applicables.
Étapes utiles pour démarrer :
Démarche de mise en conformité :
- Cartographier tous les cas d’usage internes
- Évaluer les bénéfices et les risques
- Créer un registre des systèmes IA
- Associer chaque usage à un niveau de risque
- Préparer les preuves de conformité
Cette méthode évite les angles morts et donne une base solide en cas de contrôle. Pour une direction juridique, elle facilite aussi le dialogue avec les métiers, car chacun voit plus clairement ce qu’il doit produire.
La même logique s’applique aux fournisseurs, aux intégrateurs et aux utilisateurs, mais avec des responsabilités différentes. C’est cette granularité qui fait la force du dispositif, tout en exigeant une grande rigueur documentaire.
Cartographier les usages et construire un registre
Ce premier réflexe conditionne tout le reste, parce qu’on ne protège bien que ce que l’on connaît. Selon la pratique recommandée par plusieurs spécialistes du sujet, le registre doit lister les modèles utilisés, leur finalité et le niveau de risque associé.
Dans une entreprise, un simple assistant rédactionnel ne pose pas les mêmes questions qu’un outil de présélection des CV. La différence semble évidente, pourtant elle disparaît vite si personne ne tient la cartographie à jour.
« Après avoir recensé nos systèmes, nous avons découvert trois usages non déclarés par des équipes différentes. »
Claire D.
Ce type de découverte arrive souvent au moment de la mise en ordre, et non pendant le déploiement. Le point suivant montre pourquoi cette discipline interne sert aussi la relation avec les autorités.
Anticiper les contrôles et documenter la responsabilité
Ce second axe découle naturellement du registre, car un contrôle ne se prépare pas le jour où il arrive. Selon les orientations françaises publiées autour du Règlement IA, la preuve de diligence compte autant que la déclaration d’intention.
Un dossier solide rassemble les tests, les choix de paramétrage, les validations humaines et les limites connues du système. Pour les équipes, cela rend la Responsabilité plus lisible et protège aussi les décisions prises sous pression.
« Notre audit interne a surtout montré que la documentation devait vivre avec le projet, pas après lui. »
Marc T.
Cette exigence documentaire rapproche le droit du quotidien des équipes, sans les enfermer dans un formalisme stérile. Elle prépare un dernier point décisif : la capacité à articuler Éthique de l’IA, innovation et efficacité administrative.
Source : Commission européenne, « Règlement sur l’intelligence artificielle », Commission européenne, 2024 ; Gouvernement français, « Projet de désignation des autorités compétentes pour le règlement IA », 2025 ; CNIL, « Intelligence artificielle : ressources et recommandations », CNIL, 2023.
