La proposition de loi n° 3149 ferait de l'autorisation de mise sur le marché un passage obligé pour les modèles d'IA à usage général et certains systèmes à haut risque. Déposée le 15 septembre 2026 à l'Assemblée nationale, à l'initiative de René Pilato, elle confierait ce contrôle à une nouvelle Autorité nationale de l'intelligence artificielle (ANIA), dotée d'un pouvoir de sanction pouvant atteindre 7 % du chiffre d'affaires mondial.
Le texte toucherait aussi les usages quotidiens des entreprises : décisions concernant les salariés, effacement des données d'interaction, signalement des incidents et information des utilisateurs. Ces dispositions restent des propositions. Au 25 septembre 2026, le dossier législatif ne mentionne que le dépôt et le renvoi à la commission des affaires économiques.
Une autorisation pour les modèles généralistes et les systèmes de l'annexe III
L'article 15 viserait les systèmes et modèles mis à la disposition du public, gratuitement ou contre paiement, dans le cadre d'une activité commerciale. Deux catégories seraient concernées : les modèles à usage général, qu'ils présentent ou non un risque systémique, et les systèmes à haut risque énumérés à l'annexe III du règlement européen sur l'IA. Les systèmes développés ou utilisés à titre personnel, hors activité commerciale, seraient exclus.
Le texte écarterait expressément, pour cette autorisation, l'exception de l'article 6, paragraphe 3, de l'AI Act. Celle-ci permet, sous conditions, de ne pas classer à haut risque certains systèmes relevant de l'annexe III lorsqu'ils ne présentent pas de risque important pour la santé, la sécurité ou les droits fondamentaux, notamment parce qu'ils accomplissent une tâche procédurale étroite ou préparatoire. La proposition imposerait donc une démarche nationale même à des systèmes bénéficiant de cette exception européenne.
Une nouvelle autorisation serait nécessaire après toute modification substantielle susceptible d'affecter la conformité d'un système autorisé ou de modifier son profil de risque. Les modalités de la procédure seraient fixées par décret en Conseil d'État. L'ANIA compterait dix-huit membres, dont deux députés, deux sénateurs et le président de la CNIL ou son représentant.
Un plafond de 7 % pour les manquements au texte français
L'article 22 permettrait au président de l'ANIA de rappeler un fournisseur ou un déployeur à ses obligations, ou de le mettre en demeure de régulariser sa situation. Le délai pourrait être ramené à vingt-quatre heures en cas d'urgence. Si le manquement persistait, une formation restreinte pourrait, après une procédure contradictoire, imposer une mise en conformité assortie d'une astreinte allant jusqu'à 100 000 euros par jour, suspendre l'exploitation du système ou retirer son autorisation.
L'amende administrative serait plafonnée à 7 % du chiffre d'affaires annuel mondial total de l'exercice précédent. Son montant devrait tenir compte de la gravité et de la durée du manquement, de son caractère délibéré, des mesures correctrices ainsi que de la taille et de la part de marché de l'entreprise. Le texte exclurait une seconde sanction administrative pécuniaire pour les mêmes faits.
Ce taux rappelle le plafond le plus élevé de l'article 99 de l'AI Act, réservé aux pratiques interdites : 35 millions d'euros ou 7 % du chiffre d'affaires mondial, le montant le plus élevé étant retenu pour les entreprises, sous réserve du régime des PME. D'autres obligations relèvent d'un plafond de 15 millions d'euros ou 3 %. L'article 101 prévoit également 15 millions d'euros ou 3 % pour les sanctions que la Commission peut infliger aux fournisseurs de modèles à usage général.
La proposition française retiendrait un seul plafond proportionnel pour les manquements à ses propres obligations. Elle ne reprendrait ni les différentes catégories d'amendes européennes ni leur double calcul en euros et en pourcentage. La comparaison dépend donc de l'obligation enfreinte et de la catégorie d'entreprise. Les PME bénéficient notamment, à l'article 99, du montant le plus faible entre les deux plafonds.
Des délais courts pour les incidents et l'effacement des données
L'article 23 obligerait les fournisseurs et déployeurs à notifier à l'ANIA les dysfonctionnements ou comportements imprévus susceptibles de porter atteinte à la sécurité ou à la santé des personnes, ainsi que les résultats ou comportements contraires aux obligations légales. Le signalement devrait intervenir sans délai, au plus tard quarante-huit heures après la connaissance de l'événement.
Le dispositif encouragerait le retour d'expérience en protégeant l'auteur du signalement. Celui-ci ne pourrait être utilisé pour établir sa responsabilité ou fonder une sanction, sauf manquement délibéré, négligence grave ou volonté de dissimulation. Cette protection porte sur l'utilisation du signalement ; elle ne constitue pas une immunité générale pour les faits rapportés.
L'article 13 instaurerait un délai maximal de sept jours calendaires pour effacer les données personnelles acquises pendant le fonctionnement d'un système, sous réserve des obligations légales de conservation. Les données déjà incorporées à un modèle lors de son entraînement seraient exclues lorsque leur effacement est techniquement impossible. Le fournisseur ou le déployeur devrait néanmoins cesser de les réutiliser pour l'entraînement et prendre des mesures raisonnables pour empêcher leur restitution.
Les articles 12 et 14 prévoiraient aussi un marquage des contenus synthétiques lisible par machine et des rappels périodiques de la nature artificielle de l'interaction lorsque le réalisme du système peut créer une confusion. L'article 4 interdirait les systèmes ayant notamment pour objectif de simuler une relation affective, de se substituer aux relations sociales ou d'entretenir une dépendance affective.
Des décisions RH soumises à un examen humain documenté
L'article 11 encadrerait directement les usages professionnels. L'employeur pourrait utiliser une IA pour préparer ses décisions ou en faciliter l'exécution matérielle, mais resterait responsable de ses obligations et des décisions prises. Il ne pourrait lui déléguer les pouvoirs que lui confèrent le code du travail, les accords collectifs, le contrat ou le règlement intérieur.
Une décision produisant des effets juridiques sur un salarié ou un candidat, ou l'affectant de manière significative, ne pourrait reposer sur les seules sorties d'un système d'IA. Le texte cite notamment le recrutement, la rémunération, l'évaluation professionnelle et la rupture du contrat. Une personne physique disposant des compétences et des moyens nécessaires devrait examiner la situation individuelle, et l'employeur conserver la trace de cet examen, y compris si le système est utilisé par un prestataire.
La personne concernée devrait être informée avant la décision du recours à l'IA et des principaux paramètres retenus. Une décision prise en violation de ces règles serait nulle ; en cas de litige, l'employeur devrait démontrer qu'il a respecté l'exigence d'examen humain. Le dispositif imposerait ainsi de documenter la façon dont une recommandation algorithmique intervient dans une décision RH.
Une articulation avec l'AI Act encore à préciser
La création de l'ANIA s'ajouterait à une organisation française de la surveillance encore en cours de formalisation. La liste publiée par la Commission européenne, mise à jour le 7 septembre et consultée le 25 septembre, désigne la DGCCRF comme point de contact français, avec un astérisque indiquant que la décision nationale de désignation attend son adoption définitive.
Un autre texte prévoit déjà d'attribuer à la CNIL une partie des compétences de surveillance. Il s'agit du projet de loi d'adaptation au droit de l'Union européenne, adopté par le Sénat le 18 février 2026, puis transmis à l'Assemblée le 20 février. Au 25 septembre, son dossier législatif n'affiche pas de vote de l'Assemblée.
L'article 17 de la proposition n° 3149 prévoit une coopération de l'ANIA avec le Bureau européen de l'IA et les autorités nationales compétentes. Cette coordination administrative laisserait toutefois à préciser l'articulation d'une autorisation française avec les règles européennes harmonisées de mise sur le marché. Le texte renvoie les modalités de cette autorisation à un décret, sans fixer lui-même de délai d'instruction.