AI Act 2026 : la CNIL devient autorité de contrôle avec des sanctions jusqu'à 35M€

## L'AI Act renforce les pouvoirs de la CNIL : un tournant réglementaire majeur Le 12 février 2026 restera une date clé : le gouvernement a déposé un amendement historique modifiant la loi de 1978 pour désigner la CNIL comme autorité nationale de supervision de l'AI Act. Cette transformation institutionnelle marque une rupture avec l'approche fragmentée qui prévalait jusqu'alors. La CNIL a été désignée autorité de référence pour l'application de l'AI Act en France, consolidant son statut d'acteur incontournable de la régulation numérique. Cette désignation s'accompagne de pouvoirs de contrôle et de sanction considérablement élargis, qui transforment radicalement les enjeux de conformité pour les entreprises françaises. Loin d'être une simple extension de ses missions RGPD, cette évolution confère à la CNIL une compétence autonome sur les systèmes d'intelligence artificielle, avec des implications directes pour toute organisation qui développe, déploie ou utilise des solutions algorithmiques. ## Quels systèmes d'IA concernent votre entreprise ? [L'AI Act encadre le développement, la commercialisation et l'utilisation des systèmes d'IA en Europe](/fr/blog/ai-act-2026-obligations-entreprises-ia-generative-chatbots) selon 4 niveaux de risque. Cette classification détermine vos obligations légales et les sanctions encourues. **Systèmes à risque inacceptable (interdits depuis février 2025)** Les sanctions pour les pratiques interdites — notation sociale, manipulation subliminale, exploitation des vulnérabilités — sont déjà applicables depuis le 2 février 2025. Ces systèmes exposent leur utilisateur à des amendes immédiates. **Systèmes à haut risque (obligations depuis août 2026)** Les obligations pour les IA à haut risque s'appliquent depuis le 2 août 2026 pour les systèmes utilisés dans la biométrie, les infrastructures critiques, l'éducation, l'emploi ou la justice. Cette catégorie concerne notamment : - Les outils de tri de candidatures et de scoring RH - Les systèmes de notation de crédit et d'évaluation financière - Les solutions de diagnostic médical assisté - Les algorithmes de détection de fraude Un logiciel de gestion RH qui inclut un module de scoring des candidats, une solution de crédit-scoring B2B, un outil de détection de fraude interne : autant d'exemples concrets où la PME déployeuse devient responsable au sens de l'AI Act. **Systèmes à risque limité** [Les chatbots relèvent de la catégorie « risque limité »](/fr/blog/ai-act-2026-obligations-entreprises-ia-generative-chatbots). L'obligation principale est d'informer les utilisateurs qu'ils interagissent avec une IA. Une obligation simple mais strictement contrôlée par la CNIL. ## Sanctions CNIL : jusqu'à 35 millions d'euros d'amendes Les amendes vont de 7,5 millions d'euros (ou 1,5 % du CA mondial) pour des informations inexactes, à 35 millions d'euros (ou 7 % du CA mondial) pour l'utilisation de pratiques d'IA interdites. Sa formation restreinte peut prononcer des injonctions, des astreintes jusqu'à 100.000 euros par jour et des amendes pouvant atteindre 35 millions d'euros ou 7% du chiffre d'affaires mondial. Le régime de sanctions s'organise selon trois niveaux :

Type d'infraction	Montant maximum	Pourcentage du CA mondial
Informations inexactes aux autorités	7,5 M€	1,5%
Non-conformité systèmes haut risque	15 M€	3%
Pratiques interdites	35 M€	7%

Pour une entreprise affichant 10 milliards d'euros de chiffre d'affaires mondial, la violation des pratiques interdites pourrait entraîner une amende de 700 millions d'euros. Ce montant dépasse largement les sanctions prévues par le RGPD. Les sanctions peuvent être cumulatives : RGPD jusqu'à 20M€ ou 4% du CA mondial + AI Act jusqu'à 35M€ ou 7% du CA mondial = Total théorique jusqu'à 55M€ pour une même infraction. ## Comment préparer votre entreprise aux contrôles CNIL ? La CNIL dispose déjà d'une expérience solide en matière de contrôle du RGPD, et son cadre d'investigation et de sanction s'appliquera également aux manquements à l'AI Act. Les entreprises qui ont déjà été contrôlées sur le RGPD savent que ces procédures sont sérieuses et exigeantes. **Étape 1 : Inventaire exhaustif des systèmes IA** L'inventaire des outils utilisés est donc la première étape indispensable de toute démarche de conformité sérieuse. Documentez tous les outils qui intègrent des fonctionnalités algorithmiques, y compris les solutions SaaS tierces. **Étape 2 : Classification selon les niveaux de risque** Chaque système identifié doit être évalué selon la grille de l'AI Act. La CNIL aura l'autorité pour vérifier et contester ces évaluations si elle estime qu'une entreprise minimise les risques de son produit. **Étape 3 : Documentation technique et surveillance humaine** Le déployeur doit mettre en place un système de gestion des risques tout au long du cycle de vie du système d'IA, assurer la surveillance humaine effective de ses décisions automatisées, et tenir un registre documenté des usages. **Étape 4 : Formation des équipes** L'obligation de « AI literacy » (formation minimale des équipes manipulant l'IA) est également active. Cette exigence concerne tous les collaborateurs qui interagissent avec des systèmes d'IA dans le cadre de leur activité. ## Calendrier des échéances à ne pas manquer L'application est progressive : interdictions depuis février 2025, obligations GPAI depuis août 2025, et application complète le 2 août 2026.

Date	Obligations applicables
Février 2025	Interdiction des pratiques à risque inacceptable
Août 2025	Obligations pour les modèles d'IA à usage général
**Août 2026**	**Application complète pour les systèmes haut risque**
Août 2027	Extension aux produits réglementés (dispositifs médicaux, jouets)

L'autorité focalisera ses investigations sur l'usage croissant de l'intelligence artificielle dans le tri et la sélection des candidatures. La CNIL a indiqué qu'elle intensifierait ses contrôles sur les systèmes RH à partir de l'automne 2026. ## Articles liés - [AI Act CNIL sanctions entreprises : règles 2026](/fr/blog/ai-act-cnil-sanctions-entreprises-2026) - [CNIL : audit intelligence artificielle renforcé 2025-2028](/fr/blog/cnil-plan-strategique-2025-2028-audit-intelligence-artificielle) - [Sanctions CNIL 2026 : nouvelles compétences AI Act et RGPD](/fr/blog/sanctions-cnil-2026-ai-act-rgpd) ## L'essentiel à retenir • **La CNIL dispose de nouveaux pouvoirs de contrôle sur l'IA** avec des sanctions pouvant atteindre 35 millions d'euros ou 7% du chiffre d'affaires mondial • **Toute entreprise utilisant des systèmes IA est concernée**, des chatbots aux outils de scoring, selon une classification en 4 niveaux de risque • **L'échéance critique est août 2026** pour les systèmes à haut risque : RH, crédit, biométrie, santé • **La mise en conformité exige un inventaire complet**, une documentation technique et une surveillance humaine effective • **Les contrôles CNIL s'intensifient**, particulièrement sur les outils RH et les systèmes de décision automatisée ### Mon entreprise doit-elle se mettre en conformité avec l'AI Act avant août 2026 ? Oui, si vous utilisez des systèmes d'IA à haut risque. Identifiez sans délai si vos systèmes d'IA relèvent de l'Annexe III de l'AI Act et engagez les travaux de documentation technique, gestion des risques et enregistrement européen pour être en conformité avant le 2 août 2026. L'obligation s'applique dès qu'un algorithme influence des décisions concernant l'emploi, le crédit, la santé ou les services essentiels. ### Quelles sont les sanctions en cas de non-conformité à l'AI Act ? Les sanctions peuvent être très lourdes, allant jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires annuel pour les infractions les plus graves. Les violations les plus graves — utilisation de systèmes interdits ou non-conformité sur les systèmes à risque élevé — peuvent entraîner des amendes allant jusqu'à 30 millions d'euros ou 6 % du chiffre d'affaires annuel. Ces montants se cumulent aux sanctions RGPD potentielles. ### Comment la CNIL contrôle-t-elle l'application de l'AI Act ? En tant qu'autorité de surveillance du marché, elle veille au respect des obligations sur les pratiques interdites : notation sociale, manipulation comportementale, exploitation des vulnérabilités, reconnaissance faciale dans l'espace public. Elle régulera ensuite les systèmes à haut risque relevant de l'annexe III et en tant qu'organisme notifié, elle délivre des certificats de conformité aux systèmes d'IA à haut risque avant leur mise sur le marché. ### Quels outils d'IA sont considérés comme à haut risque ? Les outils de recrutement automatisé, les systèmes de scoring crédit, les solutions de diagnostic médical, les algorithmes de détection de fraude et les systèmes biométriques. Pour les IA à haut risque, les obligations sont étendues : documentation technique détaillée, tests de robustesse, évaluation des biais dans les données d'entraînement, mise en place d'une surveillance humaine, et monitoring continu après déploiement. ### Les PME bénéficient-elles d'allègements pour l'AI Act ? Les PME et startups bénéficient d'une protection mathématique explicite (article 99) : le montant retenu est le moindre entre le pourcentage du CA mondial et le montant fixe en euros, alors que pour les grandes entreprises c'est le plus élevé qui s'applique. L'AI Act inclut des bacs à sable réglementaires où les petites entreprises peuvent tester leurs innovations sous supervision allégée avant la mise sur le marché.

---

**Besoin d'un accompagnement en droit des affaires ?** Je vous accompagne dans la négociation et la sécurisation de vos contrats, en France comme à l'international. [Consultation en visioconférence](/fr/qui-suis-je) · [Prendre rendez-vous](/fr/qui-suis-je)