Depuis le 2 août 2026, une idée circule dans les comités de direction : le règlement européen sur l'intelligence artificielle serait désormais surveillé en France par trois autorités, et une entreprise en défaut s'exposerait à 15 millions d'euros d'amende. Cette lecture est répandue, elle figure dans plusieurs commentaires de cabinets, et elle est prématurée sur le point qui compte.
Au 7 octobre 2026, le texte qui désignera les autorités françaises compétentes pour ce règlement n'est pas promulgué. Les obligations, elles, existent. Le Sénat a adopté, le 18 février 2026, un texte qui confie à la Commission nationale de l'informatique et des libertés le contrôle des systèmes d'IA à haut risque en matière d'emploi. Ce texte attend à l'Assemblée nationale depuis le 20 février 2026 et n'y a plus connu d'acte depuis le 23 avril 2026.
Ce qui a été annoncé, et ce qui a été adopté
La répartition entre l'Arcom, la Commission nationale de l'informatique et des libertés et la Direction générale de la concurrence, de la consommation et de la répression des fraudes a bien été rendue publique. Elle a été introduite au Sénat par amendements du Gouvernement, en séance, le 17 février 2026, et elle figure dans le texte que le Sénat a adopté le lendemain.
Un détail de cette procédure éclaire la suite : cette désignation ne figurait pas dans le projet de loi initial, le Conseil d'État ayant soulevé des difficultés. La rapporteure du Sénat le regrette expressément dans son rapport du 4 février 2026. Ce n'est donc pas un oubli de calendrier, c'est une question qui a résisté.
Les trois autorités n'y sont d'ailleurs pas désignées de la même façon. L'Arcom et la Commission nationale de l'informatique et des libertés sont nommées dans le texte adopté. La Direction générale de la concurrence, de la consommation et de la répression des fraudes ne l'est pas : elle est atteinte par un article qui insère un alinéa au code de la consommation, lequel vise certaines pratiques interdites de l'article 5 du règlement et une partie de ses obligations de transparence. Un dirigeant qui chercherait son nom dans la loi ne l'y trouverait pas.
Et le dispositif ne vit pas seulement dans le code de la consommation. Un article nouveau du code du travail organise le prononcé et le recouvrement des amendes prévues par le règlement, et rend sanctionnables les manquements à trois de ses obligations : la mise à disposition des documents, la surveillance après commercialisation et le signalement des incidents graves. Pour une direction des ressources humaines, ce point vaut d'être retenu : l'application française de ce règlement passera en partie par le droit du travail, avec les acteurs et les procédures qui vont avec.
La suite est une chronologie, et elle se lit seule. Projet de loi déposé au Sénat le 10 novembre 2025, en procédure accélérée. Adopté par le Sénat le 18 février 2026. Transmis à l'Assemblée nationale le 20 février. Renvoyé en commission des affaires économiques, cinq commissions saisies, avis rendus le 23 avril. Depuis, rien : aucune adoption par l'Assemblée, aucune commission mixte paritaire, aucune promulgation.
Aucun acte depuis le 23 avril 2026, sur un texte que le Gouvernement avait lui-même placé en procédure accélérée.
Pourquoi personne ne mord en France
Les plafonds de sanction existent bel et bien, et ils sont européens. Le chapitre XII du règlement s'applique depuis le 2 août 2025, à l'exception de son article 101 sur lequel nous revenons plus bas. Son article 99 fixe trois plafonds d'amende administrative, et chacun retient le montant le plus élevé des deux termes, le pourcentage ne s'appliquant que si l'auteur de l'infraction est une entreprise : 35 000 000 EUR ou 7 % du chiffre d'affaires annuel mondial total de l'exercice précédent pour le non-respect des pratiques interdites de l'article 5 ; 15 000 000 EUR ou 3 % pour la non-conformité aux obligations limitativement énumérées au paragraphe 4, dont celles des déployeurs au titre de l'article 26 et les obligations de transparence de l'article 50 ; 7 500 000 EUR ou 1 % pour des informations inexactes, incomplètes ou trompeuses fournies aux organismes notifiés ou aux autorités nationales compétentes en réponse à une demande. Le règlement atténue ces plafonds pour les plus petites structures, par des catégories qu'il définit lui-même et qui ne se confondent pas avec l'usage courant des mots. Relève de la première, la petite ou moyenne entreprise au sens de la recommandation 2003/361/CE, celle qui occupe moins de 250 personnes et dont le chiffre d'affaires annuel n'excède pas 50 000 000 EUR ou le total du bilan 43 000 000 EUR : pour elle, c'est le chiffre le plus faible qui est retenu sur les trois plafonds. Relève de la seconde, la petite entreprise à moyenne capitalisation au sens de la recommandation (UE) 2025/1099, celle qui n'est pas une petite ou moyenne entreprise, occupe moins de 750 personnes, et dont le chiffre d'affaires n'excède pas 150 000 000 EUR ou le bilan 129 000 000 EUR : pour elle, le plus faible ne vaut que pour les deux derniers plafonds. Au-delà de ces catégories, le montant le plus élevé s'applique. Et ni l'effectif ni les comptes ne se lisent sur la seule entreprise considérée : à partir de 25 % de détention, les données d'une entreprise partenaire s'agrègent au prorata de la participation et celles d'une entreprise liée se consolident, ce qui peut faire sortir de ces catégories une société qui, prise seule, y entrerait.
Mais l'article 99 du règlement renvoie aux États membres le soin de déterminer le régime de sanctions applicable. Ces montants ne sont pas des amendes : ce sont des plafonds. Ils bornent un dispositif national qui, en France, n'existe pas encore. Une autorité ne peut pas prononcer une sanction que la loi ne lui a pas donné le pouvoir de prononcer.
Et pourtant, une autorité mord déjà
C'est le point que les commentaires manquent, et il est plus important que le premier.
L'article 101 du règlement permet à la Commission européenne d'infliger directement aux fournisseurs de modèles d'intelligence artificielle à usage général des amendes n'excédant pas 3 % du chiffre d'affaires annuel mondial total de l'exercice précédent ou 15 000 000 EUR, le montant le plus élevé étant retenu. Ce pouvoir ne dépend d'aucune loi nationale. Il ne passe par aucune autorité française. Il s'exerce depuis Bruxelles, sur les fournisseurs de modèles.
Une précision de méthode, parce qu'elle change le statut de la phrase précédente : la date d'entrée en application de cet article 101 est notre lecture de la clause d'application du règlement, et non une mention littérale du texte. L'article 113 exclut l'article 101 de l'échéance anticipée du 2 août 2025 sans lui assigner explicitement une autre date ; le renvoi à la règle générale est la lecture naturelle. Nous l'écrivons comme une lecture, pas comme une citation.
Pour une entreprise qui utilise ces modèles sans les fournir, la conséquence pratique est double. Elle n'est pas exposée à ce mécanisme. Mais son fournisseur l'est, et ce qu'une sanction européenne changerait à un service qu'elle a intégré dans ses processus ne dépend pas d'elle.
L'incertitude porte sur le gendarme, pas sur la règle. Attendre le premier pour appliquer la seconde est un contresens qui se paiera à la date où le texte passera.
Olivier Indovino, IARH Consulting
Ce que cela change pour une direction générale
La tentation est d'en conclure qu'il n'y a rien à faire avant l'adoption du texte français. C'est l'erreur que cet article cherche à éviter.
Les obligations du règlement ne dépendent pas de la loi française. Elles s'appliquent depuis leurs propres dates, à des entreprises qui n'ont pas attendu la désignation d'une autorité pour y être soumises. S'agissant de l'intelligence artificielle, ce que le texte national ajoutera n'est pas une obligation nouvelle : c'est la capacité de sanctionner celles qui existent déjà.
Une précision s'impose, parce que ce texte n'est pas une loi sur l'intelligence artificielle. C'est un projet de loi d'adaptation au droit de l'Union qui couvre aussi l'économie, l'environnement, l'énergie, les transports, la santé, l'agriculture et la pêche, et il crée des obligations dans plusieurs de ces domaines. Notre affirmation vaut pour son volet consacré à l'intelligence artificielle, où nous avons vu des pouvoirs de contrôle et une procédure d'amende, et pas pour le reste du texte.
Autrement dit, le jour où ce texte entrera en vigueur, aucune entreprise ne recevra d'obligation nouvelle en matière d'intelligence artificielle. Certaines découvriront simplement qu'elles sont en défaut depuis des mois, et qu'une autorité peut désormais le constater.
Ce jour-là n'est d'ailleurs pas celui du vote. Adoption, promulgation et entrée en vigueur sont trois moments distincts, et le texte échelonne lui-même son application : certaines de ses dispositions sont prévues pour le 20 janvier 2027, d'autres suivent le calendrier du règlement européen. Attendre ce texte pour agir revient donc à attendre une date qui n'existe pas encore, et qui ne sera pas la même pour tout le monde.
Deux conséquences pratiques en découlent, et aucune n'appelle un projet.
La première est qu'un inventaire des systèmes utilisés, de ce qu'ils décident et de ce qui a été dit aux personnes concernées ne se périme pas. Il sera demandé un jour, et il coûte moins cher fait à froid que reconstitué sous contrôle.
La seconde est qu'un dirigeant qui interroge son fournisseur sur sa propre conformité au règlement pose la question au bon moment. Aujourd'hui elle est une question de gouvernance ; le jour où une sanction européenne frappera un fournisseur de modèles, elle deviendra une question de continuité.
Ce que cet article ne dit pas
Nous ne détaillons pas la répartition précise des rôles entre les trois autorités pressenties. Le texte qui la porte n'est pas définitif, et la vérification de sa rédaction adoptée n'a pas été conduite. Décrire un partage de compétences qui peut encore changer reviendrait à faire exactement ce que nous reprochons aux commentaires cités en ouverture.
Nous ne donnons pas non plus de date pour l'adoption du texte. Une immobilité depuis le 23 avril 2026, en procédure accélérée, n'autorise aucune prévision.