8 mois après l'entrée en vigueur complète : où en est-on ?
L'AI Act est applicable à 100% depuis août 2026 (les obligations haut risque, qui complètent les obligations précédentes). 8 mois après, les autorités françaises (CNIL, ACPR, Tracfin, DGCCRF, future Autorité IA) ont commencé leurs contrôles.
Bonne nouvelle pour les entreprises : aucune sanction financière majeure n'a encore été prononcée (les autorités privilégient la pédagogie en cette première période). Mauvaise nouvelle : les contrôles s'intensifient, et les premières sanctions financières sérieuses sont attendues T1-T2 2027.
Activité CNIL : 15+ mises en demeure, 3 publiées
La CNIL est la 1ère autorité française à avoir engagé des actions concrètes liées à l'AI Act et au RGPD. Bilan T1-Q1 2027 :
Cas 1 : Tri CV automatisé sans transparence (groupe RH 200 personnes)
Faits : un groupe RH industriel 200 personnes utilisait un outil de tri CV par IA sans informer les candidats, sans option de revue humaine, et avec des critères comportant des biais géographiques (effet discriminatoire indirect).
Décision : mise en demeure publique, obligation de mise en conformité sous 60 jours, audit annuel pendant 3 ans. Pas de sanction financière à ce stade.
Leçons : 1) Information explicite des candidats. 2) Option de revue 100% humaine sur demande. 3) Audit des biais régulier. 4) DPIA documentée.
Cas 2 : Scoring crédit IA sans supervision humaine documentée
Faits : une fintech utilisait un modèle IA pour pré-décider des crédits, sans documentation de la supervision humaine effective.
Décision : mise en demeure CNIL + ACPR coordonnée. Obligation de rétablir une supervision humaine documentée sur 100% des dossiers en cours. Audit semestriel pendant 2 ans.
Leçons : 1) Article 14 AI Act = supervision humaine effective documentée. 2) Traçabilité complète des décisions IA. 3) Coopération ACPR + CNIL sur les sujets fintech.
Cas 3 : Chatbot e-commerce non transparent (article 50)
Faits : un e-commerce français (>10M€ CA) utilisait un chatbot IA pré-commercial qui se faisait passer pour humain (signature "Marie de l'équipe support" alors qu'aucune Marie n'existait).
Décision : mise en demeure DGCCRF + CNIL. Obligation d'ajouter une mention IA explicite. Audit pendant 1 an.
Leçons : 1) AI Act art. 50 = transparence obligatoire pour les systèmes IA interagissant avec personnes. 2) Pas de "fausse personnalité humaine". 3) DGCCRF active sur les pratiques commerciales trompeuses utilisant l'IA.
ACPR : contrôles renforcés sur le secteur financier
L'ACPR a annoncé en janvier 2027 un programme de contrôles renforcés sur l'usage de l'IA chez :
- Les CGP (Conseillers en Gestion de Patrimoine).
- Les courtiers en assurance.
- Les banques pour les processus crédit et LCB-FT.
- Les assureurs pour les processus sinistres et tarification.
5+ enquêtes en cours (non publiées) sur des cabinets ayant déployé de l'IA sans documentation suffisante du devoir de conseil. Les premiers résultats sont attendus T2 2027.
DGCCRF : pratiques commerciales et IA
1 cas notable : un site e-commerce utilisait l'IA pour générer des reviews clients fictifs. La DGCCRF a sanctionné (amende 50k€ + obligation de retrait des reviews fictifs + audit annuel). C'est probablement le 1er cas français d'amende lié à l'IA générative en 2026.
L'Autorité IA française : toujours en gestation
L'Autorité française IA (qui devra être désignée selon la loi DDADUE 2026) n'est toujours pas formellement créée en mars 2027. Les arbitrages politiques continuent entre :
- Donner cette compétence à la CNIL (renforcement des moyens).
- Créer une autorité spécifique (ANSSI élargie ou structure ad-hoc).
- Hybride : CNIL pour les sujets RGPD-IA + structure dédiée pour les sujets purement IA.
Le retard français commence à inquiéter Bruxelles. Les autres pays européens (Espagne, Allemagne, Pays-Bas) ont déjà désigné leur autorité. Décision attendue T2 2027.
5 leçons à retenir pour votre PME en 2027
- Transparence (art. 50) : tout système IA interagissant avec des personnes physiques doit être identifié comme IA. Mention dans les chatbots, signatures emails générés, contenus IA, etc.
- Supervision humaine documentée : pour les systèmes haut risque (RH, scoring, décisions impactantes), supervision humaine obligatoire ET traçabilité complète.
- DPIA pour les usages sensibles : analyse d'impact protection des données obligatoire avant tout déploiement IA traitant des données personnelles régulières.
- DPA fournisseurs critiques : pas d'usage Pro/Team sans DPA vérifié, pas d'usage gratuit pour des données clients.
- Sponsor IA désigné : un responsable IA identifié au COMEX. C'est ce que les autorités veulent voir lors d'un contrôle.
Vous voulez faire un audit conformité IA de votre entreprise ? Audit gratuit 45 min.
Lire aussi : guide AI Act 2026 PME, calendrier AI Act 2026 et sanctions AI Act.