Un mouvement de gouvernance est passé assez inaperçu, et il mérite l'attention des DSI comme des DPO. La question de savoir qui supervisera l'intelligence artificielle en France, dans le cadre de la transposition du règlement européen sur l'IA, vient de se rééquilibrer nettement. Au profit de la CNIL. Un rapport de force qui bascule en quelques mois Le contexte est instructif. En septembre 2025, le gouvernement présentait son schéma de gouvernance pour l'IA. La CNIL n'y jouait pas les premiers rôles, ou du moins pas seule. Bercy entendait garder la main. Puis un amendement déposé au Sénat en février 2026 a fait bouger les lignes, redonnant à l'autorité une fonction de premier plan. Rien de surprenant pour qui suit le dossier. La CNIL prépare la supervision de ce cadre depuis 2023, année de création de son service dédié à l'intelligence artificielle. Sa présidente avait laissé entendre, sans détour, que l'autorité n'entendait pas se cantonner à un rôle subalterne. Le RIA, pour elle, est synonyme de vigilance accrue sur les systèmes dits à haut risque. Les zones de vigilance et une gouvernance éclatée Ces systèmes à haut risque, ce sont la biométrie, l'emploi, l'éducation, l'immigration. Précisément les domaines où l'IA pèse sur des décisions lourdes de conséquences pour les personnes, et où la superposition entre RGPD et règlement IA est la plus dense. Un point structurel mérite attention. La France a fait le choix d'une gouvernance éclatée. La CNIL deviendra autorité de surveillance du marché au titre de l'IA Act, mais aux côtés de plusieurs autres autorités. Ce choix soulève d'emblée une question de coordination, et de guichet, pour les entreprises qui devront savoir à qui s'adresser selon le sujet. Un même système d'IA pourra relever de plusieurs regards. Ce que cela change pour les organisations L'autorité avance en logique d'accompagnement avant contrôle. Elle a publié treize fiches pratiques pour aider à comprendre les systèmes d'IA et consolider l'expertise sur la prévention des risques. Le message adressé au marché est constant : le RGPD n'empêche pas l'innovation en IA. Mais dès que des données personnelles entrent en jeu, RGPD et règlement IA s'appliquent tous les deux. Pour une direction data ou un DPO, l'implication est très concrète. Le régulateur qui viendra poser des questions sur vos systèmes d'IA se précise. Et c'est celui qui maîtrise déjà la grille de lecture RGPD. Anticiper cette lecture, cartographier ses propres systèmes au regard des catégories à haut risque, désigner un référent qui fait le pont entre DSI, DPO et juridique, vaut mieux que de découvrir les attentes de l'autorité en situation de contrôle. La gouvernance de l'IA se joue maintenant, pas quand le cadre sera figé.
