Qui contrôle l'application de l'AI Act en France, en Belgique, au Luxembourg et dans l'UE ?

L’AI Act expliquéDernière mise à jour 11 octobre 20265 min de lecture

En bref

Dans aucun des trois pays, nous n'avons pu confirmer une loi adoptée qui désigne l'autorité chargée de l'AI Act (octobre 2026). En France, un projet de loi confie l'essentiel du contrôle à la CNIL, avec la DGCCRF comme coordinatrice et point de contact ; son adoption définitive n'est pas confirmée. En Belgique, il n'y a ni loi ni projet de loi : le gouvernement prévoit de confier ce rôle à l'IBPT. Au Luxembourg, le projet de loi n° 8476 désigne la CNPD ; il est encore examiné par la Chambre des députés. Pour le RGPD, rien ne change : la CNIL (France), l'APD (Belgique) et la CNPD (Luxembourg) contrôlent déjà tout usage de l'IA sur des données personnelles. Au niveau de l'UE, le Bureau de l'IA de la Commission européenne contrôle les modèles d'IA à usage général et – depuis l'omnibus numérique – certains systèmes d'IA construits sur ces modèles.

France

Statut : projet de loi. Le projet de loi portant diverses dispositions d'adaptation au droit de l'Union européenne (DDADUE) a été adopté par le Sénat le 18 février 2026 ; en juillet 2026, il était en commission à l'Assemblée nationale. Son adoption définitive n'a pas pu être confirmée, et la répartition des rôles a changé en cours de route.

Autorité	Rôle
CNIL	RGPD. Selon le projet : autorité principale de l'AI Act pour les pratiques interdites et la plupart des domaines de l'annexe III, dont l'emploi et la biométrie
DGCCRF	Selon le projet : coordination des autorités sectorielles, produits de consommation et formation professionnelle. Point de contact selon la liste de la Commission (en attente)

Belgique

Statut : incertain. Il n'y a ni loi ni projet de loi, et la date limite du 2 août 2025 est dépassée. L'accord de gouvernement 2025–2029 prévoit de confier à l'IBPT le rôle d'autorité centrale de surveillance du marché et de coordination ; rien n'est encore voté.

Autorité	Rôle
Autorité de protection des données (APD)	RGPD
IBPT	Pressenti comme autorité centrale de l'AI Act (pas encore adopté par une loi)

Luxembourg

Statut : projet de loi. Le projet de loi n° 8476 a été déposé le 23 décembre 2024 et est examiné en commission à la Chambre des députés. Le Conseil d'État a rendu son avis le 10 juillet 2026.

Autorité	Rôle
Commission nationale pour la protection des données (CNPD)	RGPD. Selon le projet : autorité générale de surveillance du marché pour l'IA, coordination et point de contact
CSSF, CAA, ILNAS, ILR, ALMPS	Selon le projet : missions dans certains secteurs

Au niveau de l'UE et dans les autres pays

Le Bureau de l'IA de la Commission européenne contrôle les modèles d'IA à usage général comme GPT, Claude ou Gemini et – depuis l'omnibus numérique – certains systèmes d'IA construits sur ces modèles. Chaque pays de l'UE a ses propres autorités, et beaucoup sont encore en train de les désigner. Si vous travaillez dans plusieurs pays, c'est l'autorité du pays où l'IA est utilisée qui est compétente.

Que regarde l'autorité ?

En pratique, une autorité demandera : à quoi utilisez-vous l'IA ? Vos salariés ont-ils la maîtrise de l'IA nécessaire ? Utilisez-vous quelque chose d'interdit ? Des humains contrôlent-ils les usages à haut risque ? Pouvez-vous le prouver ? C'est exactement ce que rassemble un rapport GoalCube.

Comment faire

Tenez à jour votre registre des usages de l'IA.La première chose qu'une autorité voudra voir, c'est à quoi vous utilisez l'IA.
Soyez capable de prouver la maîtrise de l'IA.Qui a suivi quelle initiation, et quand.
Soyez capable de prouver les décisions humaines.En cas de haut risque : qui a décidé, quand et pourquoi.
Rassemblez tout dans un seul rapport.GoalCube produit un rapport pour l'autorité et l'auditeur avec le registre, la charte IA, la formation, les décisions et le journal.

Ce que dit la loi

Article 74 du RIA – surveillance du marché: Les autorités de surveillance du marché contrôlent les systèmes d'IA. En France, en Belgique et au Luxembourg, aucune loi adoptée qui les désigne n'a pu être confirmée (octobre 2026).
Article 70 du RIA – autorités nationales compétentes: Chaque pays désigne des autorités de surveillance du marché et un point de contact unique.
Articles 75 et 88 et suivants du RIA – Bureau de l'IA: Contrôle des modèles d'IA à usage général ; étendu par l'omnibus numérique.

Questions et réponses

Qui contacter ?

Pour les données personnelles : la CNIL en France, l'APD en Belgique, la CNPD au Luxembourg. Pour l'AI Act lui-même, aucune autorité n'est encore formellement désignée dans ces trois pays. Selon les projets, ce sera la DGCCRF (point de contact) et la CNIL en France, la CNPD au Luxembourg et probablement l'IBPT en Belgique.

Les autorités de protection des données contrôlent-elles aussi l'IA ?

Le volet RGPD de tout usage de l'IA : oui, partout. Pour l'AI Act lui-même, cela dépend du pays. En France, le projet de loi fait de la CNIL l'autorité principale, notamment pour les pratiques interdites, l'emploi et la biométrie. Au Luxembourg, le projet de loi fait de la CNPD l'autorité générale. En Belgique, l'APD n'est pas citée comme autorité de l'AI Act ; c'est l'IBPT qui est pressenti.

Pouvons-nous obtenir de l'aide ?

Oui. Les autorités doivent accompagner en particulier les petites entreprises. La CNIL publie déjà des recommandations sur l'IA et le RGPD, et la Commission européenne a publié des lignes directrices, notamment sur les pratiques interdites.

Sources

Rédigé par La rédaction GoalCube. Dernière mise à jour 11 octobre 2026. GoalCube vous aide à respecter l’AI Act et le RGPD. Ce n’est pas un conseil juridique.

Soyez parmi les premiers.

Le lancement est prévu en novembre 2026. Inscrivez-vous : nous vous contacterons dès que vous pourrez commencer.