Surveillance, incidents graves et sanctions de l'AI Act

Les obligations de suivi se partagent entre le fournisseur et le déployeur :

• Le déployeur surveille le fonctionnement du système d'après la notice et informe le fournisseur (article 26, paragraphe 5). S'il a des raisons de penser que l'usage conforme à la notice présente un risque pour la santé, la sécurité ou les droits fondamentaux, il prévient sans délai le fournisseur ou le distributeur et l'autorité de surveillance du marché, et suspend l'utilisation. En cas d'incident grave, il informe immédiatement le fournisseur, puis l'importateur ou le distributeur et les autorités.
• Le déployeur conserve les journaux générés automatiquement qu'il contrôle pendant une durée adaptée à la destination du système, d'au moins six mois, sauf disposition contraire du droit, notamment de la protection des données (article 26, paragraphe 6).
• Le fournisseur collecte et analyse les données sur les performances de son système tout au long de sa vie, selon un plan de surveillance après commercialisation intégré à la documentation technique (article 72), et prend les mesures correctives nécessaires (article 20).

Signaler un incident grave (article 73)

Un incident grave est un incident ou un dysfonctionnement qui entraîne, directement ou indirectement, le décès ou une atteinte grave à la santé d'une personne, une perturbation grave et irréversible d'une infrastructure critique, une violation des obligations du droit de l'Union qui protègent les droits fondamentaux, ou un dommage grave aux biens ou à l'environnement (article 3, point 49). Le fournisseur le signale à l'autorité de surveillance du marché de l'État où il s'est produit :

Au niveau européen

Le Bureau de l'IA, service de la Commission européenne, supervise les modèles d'IA à usage général et peut infliger des amendes à leurs fournisseurs, jusqu'à 15 millions d'euros ou 3 % du chiffre d'affaires annuel mondial (article 101). L'omnibus a précisé ses compétences sur les systèmes fondés sur ces modèles et lui a donné des pouvoirs d'enquête. Le Comité européen de l'intelligence artificielle réunit les États membres pour une application cohérente, appuyé par un groupe scientifique d'experts indépendants et un forum consultatif.

En France : un schéma décentralisé, en attente de la loi

Les États membres devaient désigner leurs autorités au plus tard le 2 août 2025. Le 9 septembre 2025, la Direction générale des Entreprises a présenté le schéma retenu par le gouvernement, « sous réserve de l'acceptation par le Parlement » :

• la DGCCRF coordonne les autorités de surveillance du marché et sert de point de contact unique ; la DGE assure la coordination stratégique et représente la France au Comité européen de l'IA ;
• la CNIL est chargée de plusieurs pratiques interdites (notation sociale avec la DGCCRF, police prédictive, moissonnage d'images faciales, déduction des émotions au travail et à l'école, catégorisation biométrique, identification biométrique en temps réel) et des systèmes à haut risque de la biométrie, de l'emploi et de la gestion des travailleurs, de la répression, des migrations et, avec la DGCCRF, de l'éducation ;
• la DGCCRF et l'Arcom se partagent les pratiques manipulatrices et la transparence des contenus générés ; l'ACPR contrôle l'évaluation de la solvabilité et la tarification de l'assurance vie et santé chez les acteurs qu'elle supervise ; le Conseil d'État, la Cour de cassation et la Cour des comptes, les systèmes utilisés par l'autorité judiciaire ;
• les autorités sectorielles existantes, comme l'ANSM pour les dispositifs médicaux, gardent l'IA intégrée aux produits qu'elles contrôlent ;
• l'ANSSI et le PEReN mettent en commun leur expertise technique en IA et en cybersécurité.

Ce schéma a été introduit par amendements du gouvernement dans le projet de loi portant diverses dispositions d'adaptation au droit de l'Union européenne, adopté par le Sénat le 18 février 2026. Au 29 octobre 2026, le dossier législatif de l'Assemblée nationale indique que le texte est toujours examiné en commission en première lecture : il n'est ni adopté définitivement ni promulgué. En attendant, la CNIL reste pleinement compétente au titre du RGPD dès qu'un système d'IA traite des données personnelles.

L'article 99 laisse aux États membres le soin de fixer les sanctions et mesures d'exécution, dans la limite de plafonds communs. Pour une entreprise, c'est le montant le plus élevé entre la somme fixe et le pourcentage du chiffre d'affaires annuel mondial de l'exercice précédent qui s'applique :

• Pour les PME, y compris les jeunes pousses, chaque amende est plafonnée au plus faible des deux montants.
• L'omnibus étend ce traitement aux petites entreprises à moyenne capitalisation (moins de 750 salariés et un chiffre d'affaires d'au plus 150 millions d'euros ou un total de bilan d'au plus 129 millions d'euros, hors PME), mais seulement pour les deux derniers niveaux : pour une pratique interdite, c'est le montant le plus élevé qui reste applicable.
• L'autorité tient compte, notamment, de la nature, de la gravité et de la durée du manquement, des personnes touchées, de la coopération, des mesures prises pour limiter le préjudice et des sanctions déjà prononcées pour les mêmes faits.

• Toute personne physique ou morale qui a des raisons de penser que le règlement a été enfreint peut déposer une réclamation auprès de l'autorité de surveillance du marché (article 85), sans préjudice des autres recours.
• Une personne visée par une décision prise sur la base d'un système de l'annexe III, qui produit des effets juridiques ou l'affecte de manière significative et qu'elle estime défavorable, peut obtenir du déployeur des explications claires et pertinentes sur le rôle du système et les principaux éléments de la décision (article 86).

Les définitions des termes de ce guide sont réunies dans le glossaire de l'AI Act.