Réguler l'IA : l'arbitrage espagnol des grandeurs

L'Espagne a préféré construire une agence là où d'autres ont recyclé l'existant

Le fait empirique est daté et documenté. Le Real Decreto 729/2023, du 22 août 2023, publié au Boletín Oficial del Estado le 2 septembre 2023 et entré en vigueur le lendemain, approuve le statut de l'Agencia Española de Supervisión de Inteligencia Artificial (AESIA). L'Espagne devient ainsi le premier État de l'Union européenne à se doter d'une agence étatique spécifiquement consacrée à la supervision de l'IA, plus d'un an avant l'adoption formelle du règlement européen. L'agence dispose de la personnalité juridique publique, d'un patrimoine propre, de fonctions d'inspection, de certification et de sanction, et son siège institutionnel est fixé à A Coruña, dans l'édifice La Terraza cédé par la municipalité.

Le calendrier opérationnel suit celui du règlement (UE) 2024/1689. Les pratiques interdites par l'article 5 du règlement sont applicables depuis le 2 février 2025. Le régime de sanctions, lui, peut être activé depuis le 2 août 2025. Deux directeurs se sont succédé : Ignasi Belda, chargé de la mise en route à partir de juin 2024, puis Alberto Gago Fernández, nommé le 19 décembre 2025 par le Conseil directeur de l'agence sur proposition de la secrétaire d'État à la Digitalisation et à l'Intelligence artificielle, María González Veracruz.

Le 12 juin 2026, le Congrès des députés publie au Boletín Oficial de las Cortes Generales (Serie A, núm. 97-1) le Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial, adopté en Conseil des ministres le 26 mai 2026. Le texte n'invente pas un droit espagnol parallèle : il rend le règlement européen opérationnel en désignant les autorités nationales, en fixant le régime de sanction interne, en réglant la gouvernance des bacs à sable réglementaires et en imposant des obligations propres au secteur public. Étant une loi organique, son adoption exige la majorité absolue du Congrès. La Mesa du Congrès a ouvert le 8 juin 2026 un délai d'amendements clos le 30 juin 2026.

Ce choix institutionnel n'est pas anodin. Il faut le nommer pour ce qu'il est : un arbitrage entre plusieurs manières de justifier une action publique légitime.

Une agence dédiée engage une grandeur, une autorité de protection en engage une autre

Le fait décrit, il devient possible de convoquer le mécanisme théorique.

Dans De la justification. Les économies de la grandeur (Gallimard, 1991), les sociologues Luc Boltanski et Laurent Thévenot montrent que les acteurs, pour régler leurs désaccords sans recourir à la violence, s'appuient sur des « ordres de grandeur » incommensurables, ce qu'ils appellent des « cités » : inspirée, domestique, de l'opinion, civique, marchande et industrielle. Chaque cité repose sur un principe supérieur commun distinct. La cité civique fait primer l'intérêt général, les droits et la représentation collective. La cité industrielle valorise l'efficacité, la performance, la mesure et le contrôle technique.

Opérationnaliser ce cadre sur le cas espagnol éclaire ce que l'actualité brute masque. Créer une agence dédiée, dotée d'un corps d'inspection propre et d'un pouvoir de sanction gradué, relève d'une justification par la grandeur industrielle : la régulation de l'IA y est traitée comme un problème d'ingénierie institutionnelle, exigeant des compétences techniques spécialisées, des procédures d'inspection, des certifications et une capacité opérationnelle mesurable. Le discours officiel espagnol assume cette grandeur en présentant l'agence comme un « laboratoire de gouvernance numérique » destiné à devenir une référence internationale.

Mais l'agence ne peut se justifier de la seule grandeur industrielle. Le texte de loi organique répète que l'objet est la protection des droits fondamentaux, la supervision humaine, la transparence algorithmique et la protection des mineurs, autant de registres relevant de la grandeur civique. Le choix espagnol constitue donc un compromis entre deux grandeurs : l'efficacité opérationnelle de l'inspecteur et la redevabilité démocratique du garant des droits. La France, en confiant la surveillance de marché à la CNIL, autorité de protection des données historiquement adossée à la grandeur civique, a fait pencher son propre compromis du côté de la protection des droits, en économisant la construction d'un appareil industriel dédié.

L'intérêt de la lecture n'est pas décoratif. Elle permet de comprendre pourquoi les deux pays peuvent revendiquer chacun la légitimité de leur choix sans jamais se rencontrer : ils ne mobilisent pas le même principe supérieur commun. L'Espagne parle efficacité et contrôle, la France parle articulation avec les droits existants. Aucun des deux récits ne se laisse réfuter par l'autre, parce qu'ils appartiennent à des cités différentes.

L'architecture espagnole n'est pas monolithique, et ce détail change tout

La thèse d'une « agence unique et toute-puissante » ne résiste pas à la lecture du projet de loi. Le modèle espagnol est en réalité distribué. L'AESIA est l'autorité principale de surveillance de marché, le point de contact unique auprès de la Commission et l'opérateur du bac à sable réglementaire national obligatoire. Mais la Dirección General de Inteligencia Artificial devient autorité notifiante, l'Agencia Española de Protección de Datos conserve la biométrie et la gestion des frontières, le Consejo General del Poder Judicial couvre la justice, la Junta Electoral Central les processus démocratiques, le Banco de España la solvabilité, la Dirección General de Seguros les assurances et la CNMV les marchés de capitaux.

Autrement dit, l'Espagne n'a pas remplacé la fragmentation sectorielle par une agence unique : elle a ajouté une agence dédiée au sommet d'une architecture qui reste distribuée. La différence avec la France est donc moins celle du nombre d'autorités que celle de la présence, ou de l'absence, d'un centre de gravité spécialisé. Là où Madrid a un pivot nommé, doté d'inspecteurs et d'un siège, Paris a un chef de file de fait, la CNIL, entouré d'un maillage d'autorités sectorielles préexistantes.

Cette architecture distribuée introduit un premier angle mort. Pour l'entreprise ou l'administration espagnole qui déploie de l'IA à haut risque, la présence de l'AESIA ne dispense pas de savoir quelle autorité est compétente selon le secteur, la finalité et les données traitées. Le projet crée d'ailleurs un guichet unique de signalement au sein de l'AESIA, aveu implicite que la carte des compétences n'est pas lisible d'emblée pour le justiciable.

Le précédent de l'AEPD révèle ce que l'Espagne espère répliquer, et ce qui n'est pas garanti

Pour mesurer le pari espagnol, un parallèle historique s'impose, et un seul mérite d'être développé : celui de l'Agencia Española de Protección de Datos (AEPD).

L'AEPD a été créée par la Ley Orgánica 5/1992 (LORTAD), son premier directeur ayant été nommé le 22 octobre 1993, ce qui plaça l'Espagne six ans avant la directive européenne de 1995 sur la protection des données. Trois décennies plus tard, l'AEPD est devenue l'une des autorités de protection des données les plus actives de l'Union : selon sa Memoria de actuación 2025 présentée le 6 mai 2026, elle a exercé en 2025 comme autorité chef de file dans 47 procédures transfrontalières (contre 22 en 2024, soit une hausse de 114 %) et coopéré sur 419 autres. La même année, elle a reçu 30 931 réclamations (en hausse de 64 %), prononcé 326 procédures de sanction et infligé un montant de 48 108 765 euros (en hausse de 35 % sur 2024), avec une amende record de plus de 10 millions d'euros à AENA SME SA pour l'usage de la biométrie aéroportuaire.

Le parallèle est structurellement pertinent parce qu'il montre le modèle que l'AESIA aspire à répliquer : une autorité espagnole autonome, techniquement outillée, précoce et sanctionnatrice, qui transforme une avance institutionnelle en influence réglementaire européenne. Le ministère et l'agence ne s'en cachent pas, décrivant l'AESIA comme l'équivalent pour l'IA de ce que l'AEPD est pour les données.

Mais le parallèle révèle aussi la fragilité du pari. L'AEPD a mis des années, et une pression réglementaire européenne massive avec le RGPD, pour atteindre sa capacité actuelle. L'AESIA, elle, part d'une base bien plus modeste. Là où le discours officiel évoquait une cible de 70 à 80 agents, une réponse gouvernementale au Parti populaire de septembre 2025 chiffrait l'effectif réel à 23 personnes, et le premier bilan de l'agence à l'été 2025 parlait de « près de 30 » recrutements. Le communiqué de décembre 2025 annonçant la nomination d'Alberto Gago évoquait un effectif devant atteindre 55 personnes « le trimestre prochain ». Répliquer l'AEPD suppose une montée en charge qui, à ce jour, reste largement devant l'agence.

Le budget de l'AESIA est le non-dit central des deux récits

C'est ici que se loge l'angle mort le plus révélateur, et il contredit une croyance répandue, y compris dans la présentation qui a motivé cet article.

L'AESIA ne dispose pas, à ce jour, d'un budget propre approuvé par la loi. Sa propre fiche « Información Presupuestaria », publiée sur son portail, rappelle qu'en vertu de la disposition transitoire première du Real Decreto 729/2023, tant que l'agence n'a pas de budget approuvé par la loi, ses dépenses sont imputées sur le budget du ministère de tutelle. La seule dotation identifiable reste l'enveloppe de démarrage de 5 millions d'euros inscrite dans la loi de finances 2022 (Ley 22/2021), destinée à la « mise en route » de l'agence. La situation est aggravée par la reconduction du budget général de l'État de 2023 faute de nouvelle loi de finances votée, ce qui a empêché la création d'une ligne budgétaire autonome pour l'agence.

Le récit espagnol de l'agence « la plus avancée » ne nomme pas cette dépendance budgétaire. Le récit français de « la CNIL suffit » ne nomme pas davantage sa propre pénurie. Les deux discours occultent la même variable : la capacité régulatoire réelle ne se lit pas dans l'existence d'un instrument, mais dans les moyens humains et financiers qui l'alimentent. Un corps d'inspection sans budget pérenne, un plafond de sanction de 35 millions d'euros ou 7 % du chiffre d'affaires mondial affiché mais jamais appliqué, une agence dont l'effectif réel est trois fois inférieur à la cible : autant de signes que l'appareil le plus complet sur le papier peut rester une coquille sous-dotée.

Un second non-dit affleure : le choix de A Coruña. Le siège a été attribué le 5 décembre 2022 par le Conseil des ministres, parmi trois candidatures classées « de excelencia » (Alicante, Grenade et A Coruña) au terme d'une procédure où seize villes s'étaient portées candidates. Grenade, placée en tête par la commission consultative, a contesté la décision devant le Tribunal Supremo, qui a rejeté son recours le 18 décembre 2023 en jugeant qu'il ne s'agissait pas « d'un concours où le siège est attribué à la ville obtenant la meilleure note, mais d'un acte discrétionnaire motivé du Conseil des ministres » (arrêt de la Sala Tercera de lo Contencioso-Administrativo). La localisation à A Coruña relève ainsi autant d'une logique d'aménagement du territoire et d'attraction de talents que d'une nécessité régulatoire. Un praticien attentif notera que décentraliser une agence technique dans une ville sans écosystème IA préexistant complique le recrutement des profils rares dont dépend sa crédibilité opérationnelle.

Pour l'administration française, la divergence a des conséquences très concrètes

La thèse de cette section est simple : la divergence institutionnelle n'est pas un débat académique, elle change la vie du déployeur public français d'IA à haut risque.

En France, aucune agence dédiée n'a été créée. La CNIL se prépare à être désignée autorité de surveillance de marché au titre du règlement IA, par un amendement au projet de loi portant diverses dispositions d'adaptation au droit de l'Union européenne déposé le 12 février 2025, modifiant la loi Informatique et Libertés de 1978. Autour d'elle, la supervision est éclatée entre la DGCCRF, l'ARCOM, l'ACPR, la HAS, l'ANSM, le Défenseur des droits et d'autres, avec la DGCCRF en coordination opérationnelle et la DGE en coordination stratégique, l'ANSSI et le PEReN en appui technique. La Commission supérieure du numérique et des postes, dans son avis n° 2024-01 du 17 janvier 2024, avait explicitement envisagé la création d'une autorité ad hoc, certains de ses membres craignant un rôle trop grand de la CNIL, avant que le Conseil d'État ne recommande de confier la mission à cette dernière pour éviter les incohérences avec le RGPD.

Or les moyens ne suivent pas. Le rapport de la Cour des comptes du 4 juin 2026, intitulé « une montée en puissance inachevée », dresse un bilan positif de l'adaptation de la CNIL au RGPD mais pointe une soutenabilité budgétaire « en question ». La CNIL emploie près de 300 agents (277 ETP en 2024, contre 195 en 2017, soit une hausse de 42 %, la masse salariale représentant 86 % des dépenses) pour un budget d'environ 28 millions d'euros, en hausse de 72 % entre 2017 et 2024, mais aucun poste net n'a été créé pour 2026. La Cour chiffre à 649 millions d'euros les sanctions prononcées par la CNIL entre 2017 et 2024, recouvrées à 96 %, un signe que la puissance de frappe répressive existe. Mais le point de bascule est ailleurs : le service dédié à l'IA ne compte que six personnes, un effectif que le rapport annuel 2025 de la CNIL reconnaît lui-même devoir « être renforcé ».

Pour une administration française déployant de l'IA à haut risque, trois conséquences pratiques en découlent. D'abord, l'interlocuteur sera une autorité transversale débordée, qui, faute de moyens, priorisera ses contrôles sur les traitements à fort impact et s'appuiera sur des sanctions exemplaires plutôt que sur une surveillance systématique. Ensuite, l'articulation entre RGPD et règlement IA sera portée par une même maison, ce qui simplifie la doctrine mais concentre le risque sur un goulet d'étranglement unique. Enfin, le calendrier joue en faveur de la préparation : le Digital Omnibus, sur lequel le Conseil et le Parlement se sont accordés le 7 mai 2026, a reporté l'application du régime haut risque des systèmes autonomes de l'annexe III au 2 décembre 2027, et de l'IA embarquée dans les produits réglementés de l'annexe I au 2 août 2028. Ce report offre une fenêtre, non une dispense.

Le déployeur public espagnol, lui, aura affaire à un pivot nommé, l'AESIA, plus un délégué à l'IA obligatoire dans chaque entité du secteur public et un inventaire des systèmes d'IA interopérable avec le registre européen des systèmes à haut risque. La loi organique impose au secteur public espagnol une transparence active (publicidad activa) que le droit français, à ce stade, n'articule pas avec la même précision.

Conclusion : une hypothèse vérifiable à dix-huit mois

L'analyse débouche sur une hypothèse testable, et non sur un résumé. Si la capacité régulatoire dépend des moyens et non de l'architecture, alors l'avance institutionnelle espagnole ne se traduira pas mécaniquement par une régulation plus effective que la française d'ici la fin 2027.

Cinq indicateurs observables par tout lecteur suivant l'actualité, sans accès interne, permettront de trancher. Premièrement, la publication effective de la loi organique espagnole au BOE, et son statut à l'échéance : le projet doit encore franchir la majorité absolue du Congrès. Deuxièmement, le nombre de sanctions effectivement prononcées par l'AESIA, qui figurera dans son premier rapport annuel : à ce jour, aucune sanction publique n'est recensée. Troisièmement, l'apparition, ou non, d'une ligne budgétaire propre à l'AESIA dans une future loi de finances espagnole, et le passage effectif de l'effectif réel au-dessus du seuil des 55 agents annoncés. Quatrièmement, la désignation formelle et définitive, par la loi française, des autorités de surveillance du règlement IA, et l'évolution de l'effectif du service IA de la CNIL au-delà de six personnes. Cinquièmement, la mise en service opérationnelle des obligations du régime haut risque à l'échéance du 2 décembre 2027.

L'horizon est donc de dix-huit à vingt-quatre mois, borné par une échéance réelle : le 2 décembre 2027, date à laquelle le régime haut risque de l'annexe III devient applicable. À cette date, la question ne sera plus de savoir qui a bâti l'appareil le plus complet, mais qui aura pu s'en servir. Le pari espagnol de la grandeur industrielle aura réussi s'il a produit des inspections et des décisions ; il aura échoué s'il n'a produit qu'un siège, un organigramme et un plafond de sanction jamais atteint.

---

Note méthodologique

Cet article s'appuie prioritairement sur des sources primaires : le Real Decreto 729/2023 au BOE, le Proyecto de Ley Orgánica publié au BOCG le 12 juin 2026, les communiqués officiels du ministère espagnol de la Transformation numérique et de la Moncloa, la fiche budgétaire officielle de l'AESIA, le rapport de la Cour des comptes du 4 juin 2026 et les documents de la Commission et du Conseil de l'UE sur le Digital Omnibus. Une ambiguïté factuelle a été tranchée : contrairement à une présentation répandue, l'AESIA ne dispose pas d'un budget propre approuvé par la loi, sa propre fiche budgétaire confirmant l'imputation sur le budget ministériel. Les chiffres d'effectifs divergent selon les sources et les dates, entre 23 agents (réponse parlementaire de septembre 2025) et une cible de 55 puis 80 : ces écarts sont signalés dans le texte. Le concept central retenu est celui des économies de la grandeur de Boltanski et Thévenot, préféré à la sociologie des instruments d'action publique de Lascoumes et Le Galès et à la théorie de l'État régulateur de Majone, parce qu'il rend compte de l'incommensurabilité des deux récits nationaux. Le parallèle avec l'AEPD a été retenu contre celui de l'agencification européenne générale, pour sa proximité structurelle maximale.

---

Sources

Sources primaires institutionnelles espagnoles

Boletín Oficial del Estado, Real Decreto 729/2023, du 22 août 2023, approuvant le statut de l'AESIA, BOE núm. 210 du 2 septembre 2023. https://www.boe.es/buscar/act.php?id=BOE-A-2023-18911

Congreso de los Diputados, Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial, BOCG Serie A núm. 97-1, 12 juin 2026. https://www.congreso.es/public_oficiales/L15/CONG/BOCG/A/BOCG-15-A-97-1.PDF

AESIA, Información Presupuestaria (fiche budgétaire officielle). https://aesia.digital.gob.es/storage/media/ed133364-274a-4d33-8609-440b102d8762.pdf

Ministerio para la Transformación Digital y de la Función Pública, communiqué « El Gobierno aprueba el proyecto de ley que garantizará una supervisión humana y un uso confiable de la IA », 26 mai 2026. https://digital.gob.es/comunicacion/notas-prensa/mtdfp/2026/05/el-gobierno-aprueba-el-proyecto-de-ley-que-garantizara-una-super

Ministerio para la Transformación Digital y de la Función Pública, communiqué « Alberto Gago, nuevo director de la AESIA », 19 décembre 2025. https://digital.gob.es/comunicacion/notas-prensa/secretaria-digitalizacion-e-inteligencia-artificial/2025/12/alberto-gago--nuevo-director-de-la-agencia-espanola-de-supervisi

La Moncloa, référence du Conseil des ministres du 26 mai 2026. https://www.lamoncloa.gob.es/consejodeministros/resumenes/paginas/2026/260526-rueda-prensa-ministros.aspx

Ministerio para la Transformación Digital, communiqué sur l'anteproyecto et le régime de sanctions, 11 mars 2025. https://digital.gob.es/comunicacion/notas-prensa/mtdfp/2025/03/2025-03-11

Tribunal Supremo (Sala Tercera de lo Contencioso-Administrativo), arrêt rejetant le recours de la mairie de Grenade contre le choix de A Coruña, décembre 2023 (via Poder Judicial). https://www.poderjudicial.es/cgpj/es/Poder-Judicial/Tribunal-Supremo/Noticias-Judiciales/El-Tribunal-Supremo-desestima-el-recurso-del-Ayuntamiento-de-Granada-contra-la-eleccion-de-A-Coruna-como-sede-de-la-Agencia-Espanola-de-Supervision-de-la-Inteligencia-Artificial

Sources primaires institutionnelles françaises et européennes

Cour des comptes, La Commission nationale de l'informatique et des libertés, rapport public thématique, juin 2026. https://www.ccomptes.fr/sites/default/files/2026-06/20260604-CNIL.pdf

CNIL, Entrée en vigueur du règlement européen sur l'IA : premières questions-réponses. https://www.cnil.fr/fr/entree-en-vigueur-du-reglement-europeen-sur-lia-les-premieres-questions-reponses-de-la-cnil

Direction générale des Entreprises, Les autorités compétentes pour la mise en œuvre du règlement européen sur l'IA. https://www.entreprises.gouv.fr/priorites-et-actions/transition-numerique/soutenir-le-developpement-de-lia-au-service-de-0

Commission supérieure du numérique et des postes, Avis n° 2024-01 du 17 janvier 2024. https://csnp.fr/wp-content/uploads/2024/01/AVIS-N%C2%B02024-01-du-17-JANVIER-2024-pour-mieux-encadrer-lusage-de-lintelligence-artificielle-2.pdf

Conseil de l'Union européenne, Artificial Intelligence: Council and Parliament agree to simplify and streamline rules, 7 mai 2026. https://www.consilium.europa.eu/en/press/press-releases/2026/05/07/artificial-intelligence-council-and-parliament-agree-to-simplify-and-streamline-rules/

Cadres théoriques

Luc Boltanski et Laurent Thévenot, De la justification. Les économies de la grandeur, Paris, Gallimard, 1991 (ISBN 2-07-072254-6).

Parallèles historiques

AEPD, Tendencia sancionadora en protección de datos en Europa (Memoria de actuación 2025, présentée le 6 mai 2026). https://www.aepd.es/prensa-y-comunicacion/blog/tendencia-sancionadora-en-proteccion-de-datos-en-europa

Presse spécialisée

Economist & Jurist, Ley Orgánica de IA: España aterriza el 'AI Act' con AESIA, sanciones y sandboxes, 15 juin 2026. https://www.economistjurist.es/zbloque-1/ley-organica-de-ia-espana-aterriza-el-ai-act-con-aesia-sanciones-y-sandboxes/

Usine Digitale, « Une montée en puissance inachevée » : la Cour des comptes salue l'adaptation de la CNIL au RGPD. https://www.usine-digitale.fr/reglementation/gdpr-rgpd/une-montee-en-puissance-inachevee-la-cour-des-comptes-salue-ladaptation-de-la-cnil-au-rgpd-mais-epingle-sa-gestion-des-plaintes.IP5TRZSCBJEQPHVBZ2NVDCHAIY.html

El Español / Invertia, Alberto Gago sustituye a Ignasi Belda como director de la AESIA, 19 décembre 2025. https://www.elespanol.com/invertia/disruptores/politica-digital/espana/20251219/alberto-gago-sustituye-ignasi-belda-director-aesia/1003744062778_0.html

El Ideal Gallego, El Gobierno revela al PP que Aesia solo cuenta con 23 trabajadores, 26 septembre 2025. https://www.elidealgallego.com/a-coruna/2025-09-26/el-gobierno-revela-al-pp-que-aesia-silo-cuenta-con-23-trabajadores-806115.html

Gibson Dunn, EU AI Act Omnibus Agreement, 2026. https://www.gibsondunn.com/eu-ai-act-omnibus-agreement-postponed-high-risk-deadlines-and-other-key-changes/