Une autorité de surveillance du marché est l'organisme national chargé de vérifier, après la mise en marché, qu'un produit respecte la réglementation qui lui est applicable, et de sanctionner les manquements. Dans le règlement européen sur l'intelligence artificielle (AI Act, règlement UE 2024/1689), ce rôle revient aux États membres. Depuis le 2 août 2026, ces autorités disposent de leurs pleins pouvoirs d'enquête et de sanction. Encore faut-il qu'elles existent.
Le dimanche 2 août 2026 marquait une étape structurante du calendrier européen : entrée en application des obligations de transparence de l'article 50, pleins pouvoirs de sanction du Bureau européen de l'IA sur les modèles à usage général, et bascule vers un régime d'exécution nationale. Deux jours plus tard, le constat qui mérite l'attention des organisations québécoises n'est pas ce que le texte exige, mais l'écart entre ce qu'il exige et l'appareil administratif censé le faire respecter.
Que devient exécutable le 2 août 2026 ?
Le règlement prévoit une entrée en application par vagues, fixée à son article 113. Trois blocs deviennent opérationnels à cette date :
- Les obligations de transparence de l'article 50 : signaler qu'un utilisateur dialogue avec une machine, marquer les contenus générés par IA, divulguer les hypertrucages et les textes d'intérêt public produits par IA.
- Les pouvoirs de sanction sur les modèles à usage général : le Bureau européen de l'IA peut désormais réclamer la documentation technique d'un modèle, ordonner des mesures correctrices et imposer des amendes, alors que l'approche restait collaborative jusque-là.
- Le régime national d'exécution : les autorités désignées par chaque État membre acquièrent leurs pouvoirs complets d'enquête, de retrait du marché et d'amende sur l'ensemble des obligations déjà applicables.
Les montants sont ceux de l'article 99 : jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial pour les pratiques interdites, 15 millions d'euros ou 3 % pour les manquements des fournisseurs et déployeurs, 7,5 millions d'euros ou 1 % pour la transmission d'informations inexactes aux autorités.
Pourquoi l'exécution dépend d'abord des États membres
L'AI Act est un règlement d'application directe, mais il ne crée pas un régulateur unique. Sauf pour les modèles à usage général, confiés au Bureau européen de l'IA, la mise en application repose sur deux types d'organismes nationaux prévus à l'article 70 : une autorité notifiante, qui encadre l'évaluation de conformité en amont, et une autorité de surveillance du marché, qui contrôle en aval et sanctionne.
Chaque État membre devait les désigner, et communiquer un point de contact unique, au plus tard le 2 août 2025. Selon une analyse du Service de recherche du Parlement européen publiée le 18 mars 2026, seulement 8 des 27 États membres avaient alors officiellement désigné ce point de contact unique. En France, le dispositif de désignation publié par le gouvernement en septembre 2025 n'avait toujours pas été adopté par le Parlement au début de 2026.
Le résultat est un régime à deux vitesses : des obligations uniformes sur le papier, une probabilité de contrôle très variable selon le pays où l'organisation opère. Pour une entreprise québécoise qui vend un produit d'IA en Europe, cela ne change rien à l'obligation, mais beaucoup à la gestion du risque : l'exposition juridique reste entière, alors que le calendrier réel des contrôles demeure imprévisible.
Ce que le Québec peut en retenir
Le Québec se trouve dans la position inverse de plusieurs États membres. Il n'a pas de loi spécifique à l'IA, mais il dispose d'un régulateur constitué, la Commission d'accès à l'information (CAI), doté de pouvoirs d'enquête et d'un régime de sanctions administratives pécuniaires pouvant atteindre 25 millions de dollars ou 4 % du chiffre d'affaires mondial en vertu de la Loi 25. Les décisions automatisées fondées sur des renseignements personnels y sont déjà encadrées, avec obligation d'information et droit de faire valoir des observations.
L'épisode européen illustre un principe que les travaux sur la gouvernance publique répètent depuis des années : la capacité d'exécution, ce sont des effectifs, une expertise technique et un mandat clair, pas seulement un texte de loi. À l'échelle canadienne, où un nouveau projet de loi sur l'IA est attendu après l'abandon de la Loi sur l'intelligence artificielle et les données (LIAD), la question de savoir quel organisme appliquera le futur cadre, avec quelles ressources, mériterait autant d'attention que la définition des systèmes à risque élevé.
Questions fréquentes
Le report des obligations sur les systèmes à haut risque change-t-il l'échéance du 2 août 2026 ? Non. L'accord conclu en 2026 reporte au 2 décembre 2027 les obligations visant les systèmes à haut risque de l'annexe III, et à août 2028 celles de l'annexe I. Les obligations de transparence et le régime d'exécution des modèles à usage général restent applicables depuis le 2 août 2026.
Une entreprise québécoise sans établissement en Europe est-elle visée ? Oui, si son système d'IA est mis sur le marché de l'Union européenne ou si les résultats produits par ce système y sont utilisés. La portée extraterritoriale du règlement est définie à son article 2 et ne dépend pas du lieu d'établissement du fournisseur.
L'absence d'autorité désignée protège-t-elle temporairement une organisation ? Non. Les obligations sont applicables indépendamment de l'état d'avancement administratif d'un État membre. Un manquement commis pendant cette période peut être constaté et sanctionné une fois l'autorité opérationnelle, dans les limites des règles de prescription nationales.
Le Québec prévoit-il une autorité dédiée à l'IA ? Aucune autorité distincte n'a été annoncée à ce jour. L'encadrement passe par la CAI pour les renseignements personnels et par la directive gouvernementale applicable aux organismes publics, sous la responsabilité du ministère de la Cybersécurité et du Numérique.
Sources
- Règlement (UE) 2024/1689 du 13 juin 2024 établissant des règles harmonisées concernant l'intelligence artificielle, EUR-Lex : https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=OJ:L_202401689
- Service de recherche du Parlement européen, « Enforcement of the AI Act », 18 mars 2026 : https://epthinktank.eu/2026/03/18/enforcement-of-the-ai-act/
- Commission européenne, lignes directrices à l'intention des fournisseurs de modèles d'IA à usage général : https://digital-strategy.ec.europa.eu/en/news/commission-publishes-guidelines-providers-general-purpose-ai-models
- Commission d'accès à l'information du Québec, principaux changements apportés par la Loi 25 : https://www.cai.gouv.qc.ca/protection-renseignements-personnels/sujets-et-domaines-dinteret/principaux-changements-loi-25
- MIAI, « EU AI Act Implementation: France Still Without Designated National Competent Authorities » : https://ai-regulation.com/eu-ai-act-implementation-france-still-without-designated-national-competent-authorities/
