CNIL et AI Act : le mandat sans la capacité

L'audit que l'État n'a pas commandé

L'initiative est en elle-même un signal. L'audit de la CNIL ne provient pas d'un arbitrage gouvernemental ni d'une commande parlementaire. Il découle d'une demande citoyenne déposée en 2024 sur la plateforme participative de la Cour des comptes, construite sur le logiciel libre Decidim et ouverte depuis 2022 au titre de l'article L. 111-3-1 du code des juridictions financières. L'auteur, connu sous le pseudonyme « Aeris » et fondateur de l'association PURR (Pour Un RGPD Respecté), formulait une question comparatiste brutale : pourquoi l'autorité espagnole de protection des données prononce-t-elle, avec 20 % de budget en moins, un volume de sanctions incomparablement supérieur ?

La Cour a instruit le contrôle sur la période 2017-2025. Le projet de rapport, délibéré le 26 mars 2026 par la quatrième chambre, a été examiné le 14 avril 2026 par le comité du rapport public et des programmes. Point de méthode important : le contrôle a porté sur l'efficience de la gestion, pas sur les décisions prises par la CNIL, protégées par son indépendance renforcée.

Le titre retenu par la Cour, « une montée en puissance inachevée », dit exactement ce qu'il veut dire. La CNIL n'est pas décrite comme une institution en crise. Elle est présentée comme une administration qui a absorbé le choc du RGPD sans « crise de croissance ni dérapages notables », mais dont les capacités butent désormais sur un plafond que personne n'a relevé.

376 jours : la plainte comme symptôme structurel

Les chiffres de la Cour dessinent une trajectoire cohérente. Les plaintes de particuliers sont passées de 8 360 en 2017 à 17 772 en 2024, soit une hausse de 113 %. Les contrôles ont suivi une dynamique comparable, passant de 88 à 390 sur la même période. L'institution a produit davantage avec davantage, mais pas assez pour absorber le flux.

Le stock de dossiers non traités s'est accru de 45 %. L'âge moyen des plaintes en stock est passé de 218 jours en 2018 à 376 jours en 2025. La CNIL met désormais en moyenne 309 jours à répondre à une plainte recevable, contre 256 jours en 2017. La Cour pointe une faiblesse de pilotage qui aggrave le diagnostic : l'autorité ne distingue pas les plaintes traitées par sa direction des contrôles du reste des dossiers, ne comptabilise pas ses rappels à la loi et ne dispose d'aucune doctrine formalisée de priorisation. Le recours depuis 2022 à un prestataire chargé de pré-instruire les plaintes simples selon 18 scénarios-types génère des erreurs de qualification que le rapport documente.

La comparaison européenne que le citoyen a posée

L'AEPD espagnole fonctionne avec environ 250 agents et a prononcé 35,6 millions d'euros de sanctions en 2024 pour 18 855 réclamations. Le Garante italien dispose d'un budget d'environ 41 millions d'euros pour 162 agents. Le BfDI allemand atteint 47,4 millions d'euros et 370 agents. La CNIL, avec 28 millions d'euros et 277 ETP, se situe en dessous de tous ses pairs en budget par agent. La comparaison brute est toutefois trompeuse : le système espagnol impose l'instruction de chaque réclamation, ce qui gonfle mécaniquement le volume de procédures (72 % des sanctions y visent des micro-entreprises et des indépendants), tandis que la CNIL concentre ses moyens sur des dossiers à fort impact. L'écart de méthode est réel, mais le constat de fond traverse l'Europe : une majorité d'autorités de protection des données se déclaraient dès 2022 sous-financées au regard de leurs missions.

Ce que ces chiffres révèlent, au-delà du retard, c'est un modèle de régulation qui s'est stabilisé autour de la rareté. La CNIL ne peut pas traiter toutes les plaintes ni contrôler tous les responsables de traitement. Elle le sait, la Cour le documente, et le système continue pourtant de fonctionner. Pourquoi ? Parce que le pouvoir effectif de la CNIL ne repose pas sur sa capacité d'inspection, mais sur autre chose.

486 millions d'amendes : l'exemplarité comme modèle

Le bilan répressif 2025 donne la clé. La CNIL a prononcé 486,8 millions d'euros d'amendes, soit 8,8 fois le montant de 2024 (55,2 millions d'euros). Le chiffre est impressionnant. Il est aussi profondément trompeur. Deux décisions, rendues le même jour, le 3 septembre 2025, concentrent 98 % du montant total : 325 millions d'euros contre Google et 150 millions d'euros contre Shein, dans le cadre du plan d'action cookies. Hors ces deux sanctions, le montant retombe à 11,8 millions d'euros répartis sur 81 décisions. Parmi celles-ci, 67 relèvent de la procédure simplifiée plafonnée à 20 000 euros.

Le politiste Daniel Carpenter a donné un nom à ce mécanisme dans son étude de la Food and Drug Administration américaine. La réputation régulatoire désigne le processus par lequel une autorité de contrôle qui ne peut pas inspecter l'ensemble de son périmètre produit de la conformité par la crédibilité de sa menace. L'enjeu n'est pas de contrôler tout le monde. Il est d'être perçu comme capable d'agir sévèrement sur n'importe qui, n'importe quand.

La réputation régulatoire selon Carpenter

Dans Reputation and Power: Organizational Image and Pharmaceutical Regulation at the FDA (Princeton University Press, 2010), Daniel Carpenter soutient que le pouvoir effectif d'un régulateur dérive moins de son autorité formelle que de son image organisationnelle auprès des entités régulées. Quand une agence ne peut pas tout contrôler, sa capacité à produire de la conformité repose sur la conviction partagée qu'elle interviendra avec sévérité lorsqu'elle le décidera. Ce que Carpenter nomme la « réputation de dureté » se construit par l'accumulation de décisions exemplaires, rares mais visibles. Le modèle explique pourquoi un régulateur rationnel concentre ses ressources sur quelques affaires à fort retentissement plutôt que de les disperser sur un flux de petits dossiers.

La CNIL fonctionne exactement selon cette logique. Google et Shein ne sont pas deux anomalies dans un bilan normal. Elles sont le bilan. Les 649 millions d'euros d'amendes cumulées entre 2017 et 2024, dont 621 millions effectivement recouvrés (96 %), construisent une réputation de sévérité qui dispense, en pratique, d'un contrôle exhaustif.

Le problème est que cette réputation repose sur un équilibre fragile. Le rapport de la Cour des comptes, en documentant l'écart entre les plaintes traitées et les plaintes reçues, entre les contrôles diligentés et le périmètre théorique de surveillance, rend visible ce que le modèle présupposait invisible. Un audit qui dévoile les limites d'un régulateur peut, paradoxalement, affaiblir le levier réputationnel sur lequel ce régulateur s'appuie.

Six agents face à l'annexe III

La tension devient structurelle lorsqu'on ajoute au diagnostic la nouvelle mission. Le règlement européen sur l'intelligence artificielle confie à la CNIL la surveillance de marché pour les systèmes à haut risque de l'annexe III, dans des domaines aussi sensibles que la biométrie, l'emploi, la gestion de la main-d'œuvre, les usages répressifs et le contrôle des frontières. L'autorité partagera la compétence sur l'éducation (avec la DGCCRF) et les processus démocratiques (avec l'Arcom). Sa formation restreinte pourra prononcer des amendes allant jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial.

Le schéma français est d'une complexité sans équivalent en Europe. L'avis de la Commission supérieure du numérique et des postes d'avril 2026 estimait que jusqu'à 17 autorités et organismes publics pourraient être mobilisés, la DGCCRF servant de point de contact unique et l'ANSSI d'appui technique. Le Conseil d'État avait préconisé une voie plus lisible, une « transformation profonde de la CNIL en autorité de contrôle nationale responsable de la régulation des systèmes d'IA ». L'option a été écartée, jugée trop coûteuse.

Or les moyens dédiés sont dérisoires. Le service de l'intelligence artificielle (SIA), créé dès 2023 par anticipation, rassemble six personnes. La CNIL avait demandé dix ETP supplémentaires pour absorber les nouvelles compétences. Le plafond d'emploi est consommé à 97 %. Le rapport annuel 2025 de l'autorité, publié le 19 mai 2026, indique n'avoir obtenu « aucune création de postes » en 2026, « malgré ses besoins induits par un accroissement de sa charge sur les missions historiques et l'ajout de nouvelles compétences liées à plusieurs règlements européens, notamment en matière d'IA ».

**Le sursis du **Digital Omnibus

L'accord provisoire conclu dans la nuit du 6 au 7 mai 2026 entre le Conseil de l'Union européenne et le Parlement européen reporte l'application du régime « haut risque » de l'annexe III du 2 août 2026 au 2 décembre 2027, et celle de l'annexe I au 2 août 2028. La justification officielle est l'indisponibilité des normes harmonisées CEN-CENELEC à l'échéance initiale. L'accord doit être formellement adopté avant le 2 août 2026 pour produire ses effets. Ce report offre à la CNIL un répit de seize mois supplémentaires, mais ne règle rien sur le fond : il repousse l'échéance sans modifier les moyens.

Ce que le discours institutionnel ne formule pas, c'est la nature du saut exigé. La surveillance de marché au titre de l'AI Act n'est pas une extension du contrôle RGPD. C'est un métier distinct. Le RGPD régule des traitements de données (finalité, base légale, durée de conservation). L'AI Act régule des produits (conformité technique, gestion des risques, documentation, performance). Le premier suppose des compétences juridiques. Le second exige des compétences d'ingénierie, de test et d'audit technique des systèmes. Passer de l'un à l'autre avec six agents n'est pas un problème de montée en charge. C'est un changement de métier régulatoire, et c'est l'angle mort que le rapport de la Cour effleure sans le nommer.

Le précédent ARCEP : le mandat élastique

L'histoire administrative française offre un précédent direct. L'Autorité de régulation des communications électroniques, des postes et de la distribution de la presse a été créée en 1997 sous le nom d'ART pour accompagner l'ouverture à la concurrence des télécommunications. En près de trente ans, son mandat s'est élargi aux services postaux (2005), à la neutralité du net (2015), à la régulation environnementale des réseaux (2021), puis au cloud et aux terminaux via la loi SREN (2024). Chaque ajout a suivi le même schéma : le législateur confie la mission, le budget suit avec retard ou ne suit pas.

La différence structurelle avec la CNIL est d'échelle. L'ARCEP régule un marché concentré, dominé par une poignée d'opérateurs identifiés. La CNIL régule potentiellement chaque organisme traitant des données personnelles sur le territoire, soit plusieurs millions d'entités. L'ajout de l'AI Act multiplie ce périmètre par une dimension technologique que ni les plaintes ni les notifications de violations ne suffisent à cartographier. Un opérateur télécom sait qu'il est régulé. Un employeur qui déploie un outil de tri de CV par IA ne sait pas nécessairement qu'il relève de l'annexe III.

L'Arcom, dont les Carnets du SI public ont analysé l'expansion sans dotation dans un précédent article, confirme le schéma par un troisième cas contemporain. L'État français fabrique des régulateurs du numérique dont les mandats croissent par couches successives, sans qu'aucun arbitrage budgétaire ne vienne jamais dire explicitement : cette mission supplémentaire vaut tant d'agents et tant d'euros. Le résultat est un écosystème régulatoire qui fonctionne, structurellement, en deçà de ses compétences formelles.

Ce que décembre 2027 dira du régulateur français

La présidente Marie-Laure Denis a indiqué bénéficier depuis mi-février 2026 d'un accompagnement de la DITP pour dégager des gains de productivité. La réponse est rationnelle. Elle dit aussi, en creux, qu'une AAI indépendante à 28 millions d'euros de budget cherche des marges d'efficience plutôt que des renforts. Ce déplacement, de la demande de moyens vers l'optimisation interne, est la signature d'un régulateur qui a intériorisé la contrainte budgétaire comme un paramètre fixe.

Le modèle de la réputation régulatoire, tel que Carpenter l'a formalisé, peut fonctionner tant que le périmètre de l'incertitude reste gérable : les régulés ne savent pas quand le régulateur agira, mais ils savent qu'il peut agir. L'AI Act modifie cette équation. Les systèmes à haut risque de l'annexe III touchent des domaines (biométrie, emploi, migration, justice) où la conformité ne peut pas être produite par la seule dissuasion. Elle exige une capacité de vérification technique que six agents ne fourniront pas, même appuyés par un PEReN dont les moyens sont eux-mêmes contraints.

L'hypothèse vérifiable que cette lecture formule est la suivante : si le service IA de la CNIL n'a pas au moins triplé ses effectifs (passant de six à un minimum de dix-huit agents) au 2 décembre 2027, date d'entrée en application du régime « haut risque » de l'AI Act, la France disposera d'un régulateur de l'intelligence artificielle de plein titre juridique et de capacité marginale. L'indicateur observable est le rapport annuel d'activité de la CNIL pour l'exercice 2027, qui détaillera la composition du SIA. Un indicateur secondaire sera le nombre de contrôles de conformité AI Act effectivement réalisés au cours du premier semestre 2028.

Ce que le rapport de la Cour des comptes documente n'est pas un simple retard d'effectifs. C'est une propriété du modèle français de régulation du numérique, dans lequel l'État assigne des compétences à ses autorités indépendantes sans jamais assumer, dans la loi de finances, le coût de ce qu'il exige. La CNIL ne manque pas de pouvoirs. Elle manque de bras pour les exercer. Et ce manque est devenu, par sédimentation, le mode normal de fonctionnement de l'État régulateur.

---

Note méthodologique.

Cet article s'appuie sur le rapport de la Cour des comptes du 4 juin 2026 tel que restitué par la presse spécialisée (L'Usine Digitale, Banque des Territoires, Next.ink) et par des analyses de cabinets (Leto, MDP Data Protection), le texte intégral (107 pages) n'ayant pu être consulté directement lors de la rédaction. Les chiffres d'effectifs présentent des écarts selon la mesure retenue : 277 ETP (plafond 2024), 295 agents en position d'activité au 31 décembre 2024, 280,7 ETPT. L'article retient le plafond d'emploi de 277 ETP, mesure la plus couramment citée dans les comptes rendus du rapport. Le service IA est crédité de six agents par la Cour et par le rapport annuel 2025 de la CNIL, bien que des offres d'emploi récentes mentionnent une équipe de sept personnes. Le concept de réputation régulatoire de Daniel Carpenter (2010) a été privilégié sur d'autres cadres envisageables (la risk-based regulation de Julia Black, les tools of government de Christopher Hood) parce qu'il éclaire le mécanisme par lequel un régulateur sous-doté maintient son efficacité, là où les autres cadres décrivent le choix de prioriser sans en expliquer la condition de possibilité. Le parallèle ARCEP a été retenu pour sa proximité structurelle (AAI du numérique à mandat extensible) plutôt que celui de l'Arcom, déjà traité dans un précédent article.

---

Sources

Sources primaires institutionnelles

Cour des comptes, « La CNIL : une montée en puissance inachevée », rapport thématique, 4 juin 2026, ccomptes.fr (à vérifier : URL directe du rapport intégral non confirmée au moment de la rédaction)

CNIL, Rapport annuel d'activité 2025, publié le 19 mai 2026, cnil.fr

CNIL, bilan répressif 2025, cnil.fr

Commission supérieure du numérique et des postes, avis sur la gouvernance de l'AI Act, mars 2026

Presse spécialisée

« "Une montée en puissance inachevée" : la Cour des comptes salue l'adaptation de la CNIL au RGPD mais épingle sa gestion des plaintes », L'Usine Digitale, 4 juin 2026. https://www.usine-digitale.fr/reglementation/gdpr-rgpd/une-montee-en-puissance-inachevee-la-cour-des-comptes-salue-ladaptation-de-la-cnil-au-rgpd-mais-epingle-sa-gestion-des-plaintes.IP5TRZSCBJEQPHVBZ2NVDCHAIY.html

« Le RGPD digéré, la CNIL face aux défis de l'IA Act », Banque des Territoires, juin 2026. https://www.banquedesterritoires.fr/le-rgpd-digere-la-cnil-face-aux-defis-de-lia-act

« CNIL et Cour des comptes 2026 : budget sous tension, contrôles plus ciblés », Leto, juin 2026. https://www.leto.legal/news/cour-des-comptes-cnil-budget-missions-2026

« Rapport Cour des comptes CNIL 2026 : points clés DPO », MDP Data Protection, juin 2026. https://mdp-data.com/rapport-cnil-2026-dpo/

Cadre théorique

Daniel Carpenter, Reputation and Power: Organizational Image and Pharmaceutical Regulation at the FDA, Princeton University Press, 2010

Parallèle historique

Loi n° 96-659 du 26 juillet 1996 de réglementation des télécommunications, créant l'ART (devenue ARCEP en 2005)

Données européennes

AEPD, Memoria de actividades 2024, aepd.es, 2025. https://www.redseguridad.com/actualidad/aepd-registra-en-su-memoria-2024-casi-19-000-reclamaciones_20250528.html (source secondaire, rapport primaire sur aepd.es)

Garante per la protezione dei dati personali, Relazione sull'attività 2024, garanteprivacy.it, 2025. https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/10150195