L’AI Act et le paradoxe français des 17 guichets

Le vrai signal est le passage à un « choc systémique »

Le fait politique le plus intéressant dans cet avis n’est pas d’abord la liste de ses 26 recommandations. Il réside dans la qualification du problème. Le texte a été présenté au Sénat le 26 mars 2026 par le sénateur Damien Michallet, aux côtés d’Henri d’Agrain et de Maxence Demerlé, en présence de la ministre Anne Le Hénanff. La scène compte autant que le texte. Elle met dans le même espace un sénateur, une représentante du patronat, un dirigeant du numérique d’entreprise et une ministre. Une telle configuration ne produit pas un diagnostic militant. Elle produit un diagnostic dont la fonction est de rendre gouvernable un risque perçu comme transversal. 

L’avis décrit trois tensions, financière, énergétique et sociale, puis trois trajectoires à l’horizon 2031. La première repose sur un compromis entre frugalité, modèles spécialisés et augmentation humaine. La deuxième décrit une « stagnation numérique » où les gains seraient absorbés par les licences et la puissance de calcul. La troisième anticipe un décrochage, avec substitution brutale de l’emploi cognitif intermédiaire, fracture du marché du travail et « rupture du pacte social ». Le point crucial est que la CSNP ne parle pas ici d’un simple problème d’optimisation des processus. Elle fait de l’IA une question macroéconomique et organisationnelle, et non un sujet seulement technique. 

Cette requalification n’est pas anodine pour les cadres SI publics. Lorsqu’un avis parlementaire fait entrer l’IA dans le registre du choc, il déplace aussi l’échelle pertinente d’action. La question cesse d’être seulement « quel outil déployer ? » pour devenir « quelle architecture de décision, de responsabilité, de formation et de contrôle permet d’absorber le choc sans détruire les mécanismes ordinaires d’apprentissage et de coordination ? ». C’est précisément sur ce terrain que le débat français devient intéressant, parce qu’il révèle un décalage entre l’ambition de pilotage et la forme concrète de la régulation. 

Les 17 guichets relèvent d’un empilement régulatoire

Le cœur critique de l’avis se trouve dans sa recommandation de simplification. La CSNP n’écrit pas que la régulation doit disparaître. Elle écrit que sa mise en œuvre française risque d’être illisible. En s’appuyant sur le schéma publié par la Direction générale des entreprises et la DGCCRF en septembre 2025, le texte estime que 17 autorités administratives et organismes publics pourraient être mobilisés pour la surveillance de marché, et souligne qu’aucune étude d’impact n’a été réalisée sur la lisibilité de ce dispositif pour les entreprises. La nuance est importante. Le chiffre de 17 ne décrit pas un droit pleinement stabilisé. Il décrit la conséquence probable d’un schéma déjà publié, mais encore adossé, au printemps 2026, à un projet de loi adopté par le Sénat et déposé à l’Assemblée nationale. 

Le gouvernement défend, lui, une logique d’efficience sectorielle. La page officielle de la DGE explique que le contrôle sera assuré par « plusieurs autorités », que la DGCCRF coordonnera l’ensemble et jouera le rôle de point de contact unique au titre de l’article 70, tandis que des autorités existantes seront mobilisées selon leur champ, de la CNIL aux hauts fonctionnaires de défense, en passant par les juridictions suprêmes ou l’Arcom pour certains cas. La doctrine officielle n’est donc pas incohérente. Elle privilégie l’adossement de l’IA à des expertises déjà constituées. 

Le problème est ailleurs. Ce schéma relève d’un empilement. Il ajoute des couches de compétence à des organismes existants sans redessiner réellement le système d’ensemble. C’est précisément ce que Wolfgang Streeck et Kathleen Thelen ont décrit dans Beyond Continuity, puis ce que Martino Maggetti a transposé au champ de l’État régulateur : des ajouts apparemment marginaux finissent par modifier la logique du cadre institutionnel sans qu’aucune refonte explicite n’ait eu lieu. L’AI Act n’invente donc pas seulement de nouvelles obligations. Il révèle une manière française de changer ses institutions, par sédimentation plus que par architecture. 

Encadré conceptuel

Chez Streeck et Thelen, l’institutional layering désigne un changement graduel obtenu par ajout d’éléments nouveaux à des arrangements anciens. Dans sa lecture du « regulatory state », Martino Maggetti précise qu’il s’agit d’une re-régulation incrémentale et d’un développement organisationnel qui finissent par altérer la logique du cadre régulatoire. Autrement dit, le système paraît stable parce qu’aucune grande réforme ne le remplace, alors même que son fonctionnement réel change profondément. 

Le non-dit porte sur les usages, pas sur les modèles GPAI

Un angle mort traverse déjà le débat français. Il consiste à parler de « l’AI Act » comme d’un bloc homogène, alors que sa gouvernance est distribuée de manière très différente selon les objets. Les obligations applicables aux modèles d’IA à usage général, les GPAI, sont accompagnées par un code de pratique publié par la Commission le 10 juillet 2025, et les pouvoirs d’exécution de la Commission sur ce chapitre entrent en application le 2 août 2026. Autrement dit, le point le plus européen du règlement est aussi celui qui est le moins dépendant de la fragmentation nationale. 

La dispersion française pèsera surtout là où le règlement rencontre des contextes d’usage sectoriels, recrutement, travail, éducation, biométrie, processus démocratiques, infrastructures critiques, contrôle des frontières, ou obligations de transparence selon les cas. C’est précisément ce que montre la page de la DGE, qui distribue les rôles par annexe, par domaine et parfois par co-régulation entre plusieurs autorités. C’est aussi ce que confirme la CNIL elle-même, lorsqu’elle annonce que ses contrôles 2026 sur le recrutement « préfigureront » ses futures attributions de surveillance de marché dans le champ du travail, et lorsqu’elle inscrit dans son programme 2026 des travaux spécifiques sur l’IA au travail, en santé et sur la chaîne de valeur des systèmes d’IA. 

Le non-dit est donc très concret. La fragmentation n’est pas d’abord un problème pour les grands fournisseurs de modèles GPAI, déjà tirés vers une relation avec la Commission et le Bureau européen de l’IA. Elle est un problème pour les déployeurs, les intégrateurs, les acheteurs, les employeurs, les administrations et leurs prestataires, c’est-à-dire pour tous les acteurs qui doivent traduire une règle européenne dans des pratiques situées. Cette distinction est essentielle pour le secteur public. Elle indique que le goulot d’étranglement le plus probable se déplace vers les usages métier, là où les DSI publiques arbitrent entre droit sectoriel, données personnelles, commande, documentation et responsabilité organisationnelle. 

La tension avec la doctrine de la CNIL devient alors plus lisible. Dès 2024, les autorités européennes de protection des données soutenaient l’idée que les régulateurs de la donnée puissent être autorités de surveillance pour de nombreux systèmes à haut risque et deviennent des points de contact uniques. Depuis, la CNIL a renforcé sa stratégie IA, l’a placée au cœur de son plan 2025-2028, a annoncé son programme 2026 lié au RIA, et a nommé Rémi Stefanini à la tête d’une direction des technologies, de l’innovation et de l’IA. La doctrine française finalement publiée attribue pourtant le point de contact unique à la DGCCRF, tout en donnant à la CNIL un rôle massif mais sectorialisé. Il ne s’agit pas d’une rivalité bureaucratique. Il s’agit de deux conceptions du point d’entrée de la régulation. 

Encadré chiffre

Le chiffre des « 17 autorités » doit être lu avec précision. Dans l’avis de la CSNP, il correspond à la projection issue du schéma publié le 9 septembre 2025 par la DGE et la DGCCRF. Au 27 avril 2026, ce schéma n’est pas encore le reflet d’un droit définitivement stabilisé, puisqu’il dépend d’un véhicule législatif adopté par le Sénat puis déposé à l’Assemblée nationale le 20 février 2026. La critique de la fragmentation vise donc une architecture en voie d’institutionnalisation, et non un état déjà figé. 

L’adoption bute déjà sur la gouvernance ordinaire du travail

Si cette fragmentation inquiète, c’est parce qu’elle survient dans un contexte où l’adoption réelle de l’IA est déjà beaucoup moins linéaire que ne le suggèrent les discours de démonstration technologique. Selon Bpifrance, 58 % des dirigeants de PME et ETI considèrent à horizon de trois à cinq ans que l’IA devient un enjeu de survie, mais seulement 43 % disent avoir déjà défini une stratégie IA. L’usage quotidien ne concerne qu’un tiers des entreprises interrogées, et dans 73 % des cas l’impulsion vient du dirigeant. Bpifrance ajoute que 43 % des PME et ETI n’analysent pas leurs données. Le problème n’est donc pas l’absence de conscience stratégique. C’est le déficit d’atterrissage organisationnel. 

Le travail conduit par Inria et Datacraft sur le Shadow AI documente très bien ce décalage. Leur enquête auprès de 14 organisations pionnières montre que les bricolages individuels font entrer l’IA dans les métiers avant même qu’une stratégie soit posée. Le rapport rappelle aussi qu’alors que de nombreux projets « par le haut » peinent à s’industrialiser, les usages informels se développent parce qu’ils répondent à des besoins réels. Sa recommandation en trois temps, piloter, partager, sécuriser, dit quelque chose de très simple. L’adoption ne bloque pas d’abord sur la technique. Elle bloque sur la capacité à rendre visibles, discutables et légitimes des pratiques déjà là. 

La donnée la plus éclairante est peut-être celle de Slack. Dans une enquête menée auprès de plus de 17 000 travailleurs de bureau, près de la moitié, 48 %, déclarent être mal à l’aise à l’idée d’avouer à leur manager l’usage de l’IA pour des tâches courantes. Les raisons les plus citées sont le sentiment de tricher, la peur d’être vu comme moins compétent et la crainte d’être perçu comme paresseux. Le problème de gouvernance de l’IA n’est donc pas seulement juridique. Il est aussi moral et interactionnel. Une organisation peut avoir un outil, et manquer pourtant de normes partageables sur son usage. 

Cette séquence empirique éclaire la critique de la CSNP. Lorsque les usages émergent par l’essai, le contournement et parfois la dissimulation, un dispositif public de conformité trop segmenté accroît les coûts d’interprétation au moment précis où les organisations ont besoin de clarification. Ce que la CSNP appelle « simplifier » ne relève donc pas d’une rhétorique anti-régulatoire standard. Il s’agit d’une condition d’institutionnalisation des usages. À défaut, une partie croissante de l’intégration de l’IA se fera soit dans le brouillard, soit par capitulation devant des solutions « clé en main » offrant une conformité perçue, même lorsqu’elles renforcent la dépendance technologique. 

Le précédent cyber montre qu’un front office commun change tout

Le parallèle historique le plus utile n’est ni le RGPD ni les premiers débats français sur la souveraineté cloud. Il se trouve du côté de la cybersécurité, parce qu’il articule précisément un écosystème d’acteurs nombreux, une menace diffuse et la nécessité d’un guichet visible. Avec le GIP ACYMA et Cybermalveillance.gouv.fr, la France n’a pas supprimé la pluralité des intervenants. Elle a créé un front office identifiable pour les victimes, les collectivités et les entreprises, tout en laissant subsister un back office distribué, où l’ANSSI, les forces de sécurité et d’autres acteurs conservent leurs rôles propres. 

L’enseignement ne tient pas à l’analogie juridique stricte. L’IA n’est pas la cyber, et la surveillance de marché n’est pas l’assistance aux victimes. L’enseignement tient à la forme d’organisation. Dans la cyber, la coordination publique a compris qu’un système complexe n’est supportable qu’à condition de ne pas exposer sa complexité en première ligne. Or le schéma français de mise en œuvre de l’AI Act fait presque exactement l’inverse. Il mutualise une partie de l’expertise technique via le PEReN et l’ANSSI, mais il laisse subsister, pour l’usager professionnel, la pluralité des interprètes et des portes d’entrée. 

Encadré historique

Le parallèle cyber n’a rien d’abstrait. Le rapport d’activité 2024 de Cybermalveillance.gouv.fr fait état d’un budget de 2 721 455 euros, de 5,4 millions de visiteurs, de 420 000 demandes d’assistance en ligne et d’un taux de satisfaction de 87,4 %. Autrement dit, avec des moyens relativement contenus, le dispositif a rendu visible une entrée unique dans un paysage institutionnel pourtant dispersé. La comparaison ne dit pas qu’il faudrait calquer ce modèle sur l’IA. Elle dit qu’en matière de confiance, la lisibilité du premier contact est déjà une politique publique. 

D’autres précédents existent, du guichet unique européen en protection des données à certaines coordinations inter-régulateurs plus discrètes. Aucun n’offre cependant une analogie aussi structurante que la cyber. Parce que la question décisive n’est pas le nombre réel d’acteurs en arrière-plan. Elle est le nombre d’incertitudes exposées à l’acteur de terrain au moment où il cherche à agir.

Le paradoxe français sera vérifiable avant fin 2026

Le paradoxe français des 17 guichets n’oppose donc pas simplement « plus de régulation » et « moins de régulation ». Il oppose deux façons de rendre un ordre normatif praticable. La première parie sur l’expertise sectorielle et la continuité administrative. La seconde parie sur un point d’entrée plus simple, quitte à recomposer davantage le paysage institutionnel. À court terme, rien n’indique que la France choisira franchement la seconde voie. Le schéma publié en septembre 2025 reste le cadre officiel de référence, la CNIL continue d’étoffer sa capacité sectorielle, et le véhicule législatif n’était toujours pas, fin avril 2026, devenu un droit définitivement consolidé. 

L’hypothèse la plus solide pour les mois qui viennent est la suivante. Si l’empilement perdure, la France produira davantage de doctrine que de lisibilité. Cette hypothèse ne devra pas être testée sur le seul terrain des GPAI, trop largement cadré par la Commission européenne, mais sur les usages nationaux à haut risque et sur les obligations de transparence qui rencontrent les secteurs professionnels. D’ici au 31 décembre 2026, trois indicateurs publics permettront de la vérifier. D’abord, le nombre de notes, référentiels, FAQ ou documents de mise en conformité publiés séparément par la CNIL, la DGCCRF, la DGE et d’éventuelles autres autorités sectorielles. Ensuite, l’existence ou non d’un portail réellement commun, ou au minimum d’une doctrine inter-régulateurs co-signée, au lieu d’un simple renvoi croisé entre sites. Enfin, la capacité pour un déployeur, un acheteur public ou privé et un intégrateur à identifier sans ambiguïté qui contrôle quoi, dans quel ordre et selon quel circuit d’incident ou de recours. 

Si ces trois indicateurs convergent vers une multiplication de documents autonomes sans front office commun, le titre de cet article aura cessé d’être métaphorique. Les 17 guichets ne désigneront plus une projection polémique de la CSNP. Ils désigneront une configuration institutionnelle dans laquelle la sophistication réglementaire aura été préservée, mais au prix d’un défaut de lisibilité exactement contraire à l’objectif officiel d’adoption.

Note méthodologique

Cette lecture s’appuie principalement sur l’avis n° 2026-04 de la CSNP, les pages officielles de la DGE, de la DGCCRF, de la CNIL, de l’AESIA, de la Commission européenne, ainsi que sur les travaux de Bpifrance, de Slack et d’Inria-Datacraft. Le chiffre de 17 autorités est traité comme une projection issue du schéma publié en septembre 2025, non comme un droit déjà entièrement stabilisé, puisque le véhicule législatif était encore, au 27 avril 2026, un projet de loi adopté par le Sénat et déposé à l’Assemblée nationale. Le chiffre de 420 milliards de dollars est repris comme élément du raisonnement de la CSNP. Le chiffre de 88 % souvent repris sur le déficit de compétences internes n’a pas été conservé, faute de corroboration suffisamment nette dans les pages publiques accessibles de Bpifrance. 

Sources

Sources primaires institutionnelles

• Commission supérieure du numérique et des postes, Avis n° 2026-04 du 26 mars 2026 sur l’adoption de l’intelligence artificielle par les entreprises, 26 mars 2026. URL : https://csnp.fr/wp-content/uploads/2026/03/Avis-n%C2%B02026-04-du-26-mars-2026-sur-ladoption-de-lintelligence-artificielle-par-les-entreprises.pdf
• Direction générale des entreprises, Les autorités compétentes pour la mise en œuvre du règlement européen sur l’intelligence artificielle, 9 septembre 2025. URL : https://www.entreprises.gouv.fr/priorites-et-actions/transition-numerique/soutenir-le-developpement-de-lia-au-service-de-0
• DGCCRF, IA : La DGCCRF coordonnera l’action des autorités de surveillance en France, 9 septembre 2025. URL : https://www.economie.gouv.fr/dgccrf/actualites-dgccrf/ia-la-dgccrf-coordonnera-laction-des-autorites-de-surveillance-en-france
• CNIL, Régulation de l’IA : les autorités de protection des données européennes veulent être chargées des systèmes à haut risque, 18 juillet 2024. URL : https://www.cnil.fr/fr/regulation-de-lia-les-autorites-de-protection-des-donnees-europeennes-veulent-etre-chargees
• CNIL, Les contrôles en 2026 : recrutement, répertoire électoral unique et fédérations sportives, 3 avril 2026. URL : https://www.cnil.fr/fr/controles-prioritaires-2026
• CNIL, Accompagnement des professionnels : le programme de travail de la CNIL pour 2026, 7 avril 2026. URL : https://www.cnil.fr/fr/accompagnement-des-professionnels-le-programme-de-travail-de-la-cnil-pour-2026
• CNIL, Rémi STEFANINI, nouveau directeur des technologies, de l’innovation et de l’intelligence artificielle, 25 mars 2026. URL : https://www.cnil.fr/fr/remi-stefanini-directeur-dtia
• Assemblée nationale, Projet de loi, n° 2518, portant diverses dispositions d’adaptation au droit de l’Union européenne…, déposé le 20 février 2026. URL : https://www.assemblee-nationale.fr/dyn/17/textes/l17b2518_projet-loi
• Comisión / Gobierno de España, Escrivá: "The Spanish Artificial Intelligence Oversight Agency has become an important generator of debate and thinking", 19 juin 2024. URL : https://www.lamoncloa.gob.es/lang/en/gobierno/news/paginas/2024/20240619-ai-oversight-agency.aspx
• Reino de España, Real Decreto 729/2023, de 22 de agosto, por el que se aprueba el Estatuto de la Agencia Española de Supervisión de Inteligencia Artificial, 22 août 2023. URL : https://www.boe.es/buscar/act.php?id=BOE-A-2023-18911
• Commission européenne, The General-Purpose AI Code of Practice, 10 juillet 2025. URL : https://digital-strategy.ec.europa.eu/en/policies/contents-code-gpai
• Commission européenne, Guidelines for providers of general-purpose AI models, 18 juillet 2025. URL : https://digital-strategy.ec.europa.eu/en/policies/guidelines-gpai-providers
• Commission européenne, AI Act | Regulatory framework and application timeline, page consultée en avril 2026. URL : https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai

Données empiriques et adoption

• Bpifrance Le Lab, L’IA dans les PME et ETI françaises : 6 chiffres à retenir, 17 juin 2025. URL : https://lelab.bpifrance.fr/Etudes/les-entreprises-francaises-et-l-ia-l-aube-d-une-revolution/l-ia-dans-les-pme-et-eti-francaises-6-chiffres-a-retenir
• Bpifrance Le Lab, Chefs et cheffes d’entreprise face à l’IA : quatre profils pour mieux comprendre l’adoption dans les PME et ETI, 24 juin 2025. URL : https://lelab.bpifrance.fr/4profilsdirigeantsIA
• Slack, The Fall 2024 Workforce Index Shows Executives and Employees Investing in AI, but Uncertainty Holding Back Adoption, 12 novembre 2024. URL : https://slack.com/blog/news/the-fall-2024-workforce-index-shows-executives-and-employees-investing-in-ai-but-uncertainty-holding-back-adoption
• Inria et Datacraft, rapport sur le Shadow AI, 2025, titre exact à vérifier avant publication. URL : https://datacraft.paris/wp-content/uploads/2025/10/Rapport-INRIA-_compressed.pdf

Cadres théoriques

• Wolfgang Streeck et Kathleen Thelen, Introduction: Institutional Change in Advanced Political Economies, dans Beyond Continuity: Institutional Change in Advanced Political Economies, 2005. URL : https://www.ssoar.info/ssoar/bitstream/handle/document/19498/ssoar-2005-streeck_et_al-introduction_institutional_change_in_advanced.pdf?isAllowed=y&sequence=1
• Martino Maggetti, Institutional change and the evolution of the regulatory state: evidence from the Swiss case, International Review of Administrative Sciences, 2014. URL : https://maggetti.org/wp-content/uploads/2020/06/Maggetti-Institutional-change.pdf

Parallèle historique

• Cybermalveillance.gouv.fr / GIP ACYMA, Rapport d’activité 2024, publié en mars 2025. URL : https://www.cybermalveillance.gouv.fr/medias/2025/03/250327_RA_2024_SCREEN.pdf
• Cybermalveillance.gouv.fr, Rapport d’activité 2024, page de présentation, 27 mars 2025. URL : https://www.cybermalveillance.gouv.fr/tous-nos-contenus/actualites/rapport-activite-2024

Presse spécialisée

• Next, IA : pour éviter la « rupture du pacte social », la CSNP promeut la coordination, 26 mars 2026. URL : https://next.ink/230975/ia-pour-eviter-la-rupture-du-pacte-social-la-csnp-promeut-la-coordination/