PARTIE 1 – Comprendre le rôle des autorités compétentes

Samedi, le 2 août 2026, est entrée en vigueur une étape clé de l’AI Act : les pouvoirs d’enquête et de sanction des autorités de régulation sont devenus pleinement opérationnels . Désormais, les règles sur la transparence des chatbots, le marquage des deepfakes et les obligations des modèles d’IA à usage général (GPAI) sont contrôlables . Mais qui sont les gardiens de ce nouveau cadre ? Le système est hybride : l’Office européen de l’IA veille sur les modèles de fondation, tandis que les Autorités nationales compétentes sont en première ligne pour contrôler les applications concrètes.

Depuis l’entrée en vigueur progressive de l’AI Act, l’attention s’est surtout portée sur les obligations imposées aux développeurs et aux utilisateurs de systèmes d’intelligence artificielle. Transparence, gestion des risques, documentation technique, protection des droits fondamentaux… les exigences sont nombreuses.

Mais une réglementation ne fonctionne que si une autorité est capable d’en contrôler l’application. C’est précisément l’un des aspects les plus ambitieux de l’AI Act : l’Union européenne ne crée pas simplement un cadre juridique. Elle construit une nouvelle architecture administrative destinée à superviser l’intelligence artificielle dans l’ensemble du marché européen.

Une gouvernance construite sur deux niveaux

Contrairement au RGPD, où chaque autorité nationale de protection des données joue un rôle central, l’AI Act répartit les responsabilités entre Bruxelles et les États membres. Le principe est simple. Les modèles d’intelligence artificielle les plus puissants — comme les grands modèles de langage utilisés par des millions d’utilisateurs — relèvent directement de la Commission européenne.

En revanche, les systèmes d’IA déployés dans les entreprises, les administrations, les hôpitaux ou les transports restent sous la surveillance des autorités nationales. Cette organisation reflète la structure même de l’écosystème de l’IA : quelques entreprises développent les modèles de base, tandis que des milliers d’acteurs les intègrent ensuite dans des applications très diverses.

Bruxelles prend la main sur les modèles de fondation

Pour superviser ces modèles dits à usage général (GPAI), la Commission européenne a créé en 2024 un nouvel organisme : le Bureau européen de l’IA. Son rôle dépasse largement celui d’un simple coordinateur.

Le Bureau est chargé d’évaluer les modèles les plus puissants ; identifier les risques systémiques ; coordonner les expertises scientifiques ; contrôler le respect des obligations imposées aux fournisseurs et, si nécessaire, engager des procédures de sanction.

Cette centralisation traduit une évolution majeure : l’Union considère désormais que certains modèles d’IA représentent des infrastructures critiques dont la supervision ne peut plus être laissée aux seuls États.

Les États membres deviennent les gendarmes du marché

Si Bruxelles contrôle les modèles les plus avancés, les États membres conservent un rôle essentiel. Chaque pays devra mettre en place ses propres autorités compétentes. En réalité, l’AI Act distingue deux fonctions très différentes.

La première consiste à certifier les organismes chargés d’évaluer les systèmes d’IA à haut risque avant leur commercialisation.

La seconde est beaucoup plus opérationnelle : contrôler les systèmes déjà utilisés sur le marché, enquêter sur les manquements et, le cas échéant, prononcer des sanctions.

Autrement dit, l’Union européenne crée une véritable police administrative de l’intelligence artificielle.

Une indépendance devenue indispensable

L’IA représente désormais des intérêts économiques considérables. Les autorités chargées de son contrôle devront donc résister à d’importantes pressions industrielles. C’est pourquoi l’AI Act impose des garanties d’indépendance particulièrement strictes.

Les autorités nationales ne pourront recevoir aucune instruction incompatible avec leurs missions. Leurs décisions devront être prises de manière impartiale.

Les personnes qui évaluent les organismes certificateurs ne pourront même pas être celles qui décident officiellement de leur désignation. L’objectif est clair : éviter toute forme de capture réglementaire par les acteurs économiques.

Contrôler l’IA exige des compétences inédites

L’une des difficultés majeures de cette nouvelle gouvernance réside dans les compétences nécessaires. Contrôler un système d’IA ne consiste pas uniquement à vérifier le respect d’un texte juridique. Il faut également comprendre les architectures algorithmiques ; la cybersécurité ; les jeux de données ; les risques liés aux biais ; les méthodes d’évaluation ; les exigences de protection des données et les enjeux liés aux droits fondamentaux.

Autrement dit, les autorités devront réunir des juristes, des ingénieurs, des chercheurs en IA, des spécialistes de cybersécurité et des experts sectoriels. Le défi du recrutement s’annonce considérable.

Jusqu’où pourront aller les contrôleurs ?

L’AI Act confère aux autorités des pouvoirs particulièrement étendus. Dans certaines situations exceptionnelles, elles pourront demander l’accès au code source d’un système d’intelligence artificielle. Une mesure sensible.

Le texte encadre toutefois très strictement cette possibilité. L’accès ne sera autorisé que lorsqu’il sera absolument indispensable pour vérifier la conformité d’un système et uniquement après l’échec des autres méthodes d’audit.

L’Union européenne cherche ainsi à trouver un équilibre entre contrôle public et protection des secrets industriels.

Les « bacs à sable » : réguler sans freiner l’innovation

L’AI Act ne repose pas uniquement sur une logique de contrôle. Chaque État membre devra créer un bac à sable réglementaire permettant aux entreprises de tester leurs systèmes d’IA sous la supervision des autorités publiques. L’idée est simple : accompagner l’innovation plutôt que la bloquer.

Les PME et les start-up pourront expérimenter leurs technologies dans un cadre sécurisé, tout en bénéficiant d’un dialogue direct avec les régulateurs.

Cette approche traduit une volonté de construire une régulation plus collaborative que punitive.

Des sanctions parmi les plus élevées au monde

Lorsque les règles ne seront pas respectées, les autorités disposeront d’un pouvoir de sanction particulièrement dissuasif.

Les pratiques interdites pourront être sanctionnées jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires du contrevenant. Des montants comparables, voire supérieurs, à ceux prévus par le RGPD. Cette sévérité traduit une conviction désormais largement partagée à Bruxelles : l’intelligence artificielle ne constitue plus seulement une innovation technologique, mais un enjeu de sécurité, de confiance et de souveraineté.