Au 2 août 2025, seuls 8 États membres sur 27 avaient désigné leurs autorités nationales pour l’AI Act. Ce retard n’allège pas vos obligations : le règlement s’applique directement aux entreprises, indépendamment de la préparation institutionnelle nationale.
En bref
- La désignation des autorités nationales compétentes, exigée pour le 2 août 2025 par l'Article 70, n'a pas été respectée par la majorité des États membres.
- À ce jour, seuls 8 États membres sur 27 ont officiellement nommé leur point de contact unique auprès de la Commission européenne, révélant un retard institutionnel important.
- Les obligations des entreprises restent inchangées : le règlement AI Act s’applique directement, quel que soit le niveau de préparation des autorités nationales.
- L’absence d’autorités désignées entraîne une application inégale et une incertitude sur la répartition des contrôles et des responsabilités selon les États.
- La France (DGCCRF), l’Espagne (AESIA) et l’Allemagne (Bundesnetzagentur) figurent parmi les rares pays à avoir mis en place leurs dispositifs.
- Ce retard institutionnel renforce la pertinence du Digital Omnibus, qui propose un report des obligations, pointant la difficulté d’appliquer le règlement sans autorités opérationnelles.
Le 2 août 2025 marquait la date limite imposée à chaque État membre de l’Union européenne pour nommer ses autorités nationales compétentes chargées d’appliquer le règlement AI Act. Cette désignation devait inclure un point de contact unique, une autorité de surveillance du marché et une autorité notifiante, avec une communication officielle à la Commission européenne. Pourtant, à cette échéance, seuls 8 États membres sur 27 avaient rempli cette obligation, révélant un décalage significatif entre le texte réglementaire et la réalité institutionnelle européenne.
Article 70 : Les exigences pour les États membres
L’**Article 70 du Règlement (UE) 2024/1689** précise que chaque État membre devait, avant le 2 août 2025 :
- Nommer au moins une **autorité de surveillance du marché** pour contrôler la conformité des systèmes d’IA sur son territoire ;
- Désigner une **autorité notifiante** chargée d’accréditer les organismes de certification pour les systèmes à haut risque ;
- Communiquer à la Commission européenne l’identité de son **point de contact unique** (PCU) ;
- Publier les coordonnées de ces autorités de manière accessible en ligne.
Ces entités sont essentielles pour assurer l’application concrète du règlement AI Act : elles conduiront les contrôles, imposeront des mesures correctives, infligeront des sanctions et collaboreront avec le Bureau de l’IA (AI Office) au niveau européen. Sans elles, le dispositif réglementaire reste sans relais national effectif.
États membres : où en est la désignation des autorités ?
Parmi les rares États membres ayant respecté l’échéance, plusieurs modèles se distinguent :
France
La France a mis en place une coordination multi-autorités. La **DGCCRF** (Direction générale de la concurrence, de la consommation et de la répression des fraudes) agit comme point de contact unique. D’autres régulateurs interviennent selon le domaine : la **CNIL** pour la protection des données, l’**ANSSI** pour la cybersécurité, l’**ARCOM** pour les contenus numériques, la **HAS** pour la santé. La **DGE** représente la France au sein du Comité européen de l’IA.
Allemagne
En Allemagne, la **Bundesnetzagentur** (Agence fédérale des réseaux) est responsable de la surveillance du marché, tandis que la **Deutsche Akkreditierungsstelle** est l’autorité notifiante. L’adoption du projet de loi **KI-MIG** en février 2026 marque une étape clé dans la transposition nationale.
Espagne
L’Espagne a choisi de créer l’**AESIA** (Agence espagnole de supervision de l’IA), qui coopère avec l’AEPD (protection des données), la Banque d’Espagne et la CNMV.
Irlande
L’Irlande a opté pour une approche décentralisée, désignant quinze autorités coordonnées par le **National AI Office** depuis septembre 2025.
Malgré ces avancées, la majorité des États membres n’a pas encore de dispositif opérationnel, générant une incertitude institutionnelle à moins de cinq mois de l’échéance fixée.
Les causes du retard et l’enjeu du Digital Omnibus
Plusieurs facteurs expliquent ce retard généralisé :
- **Absence de normes harmonisées** : Sans standards techniques finalisés par le CEN-CENELEC, les autorités nationales ne disposent pas de référentiels clairs pour évaluer la conformité des systèmes à haut risque.
- **Manque de ressources spécialisées** : Les compétences requises (IA, cybersécurité, protection des données, droit) sont rares et difficiles à mobiliser rapidement dans le secteur public.
- **Complexité organisationnelle** : Les États à structure fédérale ou très décentralisée peinent à déterminer s’ils doivent adapter une autorité existante ou en créer une nouvelle.
Ce contexte renforce la logique du **Digital Omnibus** : comment garantir l’application du règlement si les autorités nationales ne sont pas prêtes ? Cette situation a notamment motivé la proposition de report des obligations concernant les systèmes à haut risque à décembre 2027.
> Ce retard n’est pas un signe de faiblesse, mais une reconnaissance de la complexité du règlement AI Act. Mieux vaut disposer d’un cadre opérationnel solide que de précipiter une application partielle ou inefficace.
Conséquences pratiques pour les entreprises
De nombreuses entreprises s’interrogent : l’absence d’autorités nationales opérationnelles peut-elle justifier de différer la mise en conformité ?
La réponse est clairement négative, pour trois raisons principales :
1. Le règlement AI Act s’applique immédiatement et directement
Contrairement aux directives qui nécessitent une transposition, le règlement AI Act est d’application directe dans tous les États membres. L’absence de désignation d’une autorité nationale n’a aucune incidence sur l’entrée en vigueur de vos obligations légales.
2. Le Bureau de l’IA prend le relais en cas de carence nationale
Le **Bureau de l’IA (AI Office)**, renforcé par le Digital Omnibus, dispose de prérogatives directes pour les modèles GPAI et les systèmes intégrés dans les grandes plateformes. Il peut mener des contrôles et prendre des mesures, même en l’absence d’autorités nationales désignées.
3. Vos obligations contractuelles et commerciales sont déjà effectives
Au-delà du cadre réglementaire, vos clients (notamment grands groupes et acteurs publics) exigent la conformité AI Act dans les appels d’offres et contrats. La non-conformité expose à des risques commerciaux immédiats, indépendamment du calendrier institutionnel.
Actions recommandées dans ce contexte transitoire
Le retard institutionnel ne doit pas modifier votre stratégie de conformité, mais il offre une opportunité de mieux anticiper :
1. **Identifiez l’autorité compétente pour votre secteur** : Si votre État a nommé ses autorités, déterminez celle qui sera en charge de vos systèmes (en France : CNIL, HAS, ARCOM, DGCCRF selon le domaine).
2. **Constituez une documentation de bonne foi** : En cas de contrôle initial, pouvoir présenter un inventaire de vos systèmes d’IA, une analyse des risques et un plan de conformité daté constitue une protection.
3. **Poursuivez la mise en conformité sans attendre** : La classification de vos systèmes (Annexe III), la documentation des mesures de supervision humaine et la mise à jour de vos mentions légales (Article 50) sont indépendantes de la désignation des autorités.
4. **Restez informé des évolutions nationales** : Les désignations sont publiées au fur et à mesure. Consultez régulièrement l’échéancier AI Act compaia pour suivre l’actualité des autorités nationales.
Pour structurer votre démarche, le diagnostic gratuit compaia permet de classifier vos systèmes, d’identifier vos obligations et de démarrer votre documentation, sans attendre la désignation officielle de votre autorité nationale.
FAQ
Si mon État membre n'a pas encore désigné ses autorités, puis-je être sanctionné ?
En théorie, oui : le règlement AI Act s’applique directement dans chaque État membre. Toutefois, les premiers contrôles seront surtout réalisés là où les autorités sont en place. Mais l’absence de contrôle immédiat ne constitue pas une exemption légale : une non-conformité reste sanctionnable.
Qui contrôle les modèles GPAI si les autorités nationales ne sont pas prêtes ?
Le Bureau de l’IA (AI Office) au niveau européen supervise les modèles GPAI, en vertu des Articles 51 à 56. Depuis août 2025, il peut enquêter et sanctionner directement, indépendamment de la préparation des autorités nationales.
Quelle est l'autorité compétente pour une entreprise française ?
En France, la DGCCRF est désignée comme point de contact unique. Selon le secteur, la CNIL (données personnelles), la HAS (santé), l’ARCOM (contenus numériques) ou l’ACPR (finance) peuvent être compétentes. L’ANSSI et le PEReN soutiennent les aspects techniques.
Le retard des États membres justifie-t-il de repousser ma conformité opérationnelle ?
Non. Le règlement AI Act s’impose directement. Le retard des autorités nationales peut temporairement limiter les contrôles, mais il ne réduit ni votre exposition légale ni vos obligations contractuelles. Anticiper reste la meilleure stratégie.
Le Digital Omnibus suspend-il aussi les obligations des entreprises en attendant les autorités ?
Non. Le Digital Omnibus propose de repousser les échéances d’application, mais pas d’attendre la mise en place des autorités nationales. Si le report est adopté, il s’appliquera à tous, quel que soit l’état d’avancement institutionnel. Consultez l’échéancier complet du règlement AI Act pour suivre l’évolution du calendrier réglementaire.