Le nouveau paysage législatif : loi SREN et AI Act, une double strate de régulation

Les dirigeants que j'accompagne posent souvent la même question : « Faut-il choisir entre la loi française et le règlement européen ? » La réponse est non. Ces deux textes opèrent à des niveaux différents et se renforcent mutuellement.

L'AI Act, le Règlement (UE) 2024/1689, est le premier cadre juridique complet sur l'IA au monde. Il classe les systèmes par niveau de risque et fixe des obligations d'usage harmonisées dans les vingt-sept États membres. La loi SREN, elle, adapte le droit français à deux règlements européens — le DSA (Digital Services Act, règlement sur les services numériques) et le DMA (Digital Markets Act, règlement sur les marchés numériques) — tout en instaurant des mesures nationales propres, comme l'a rappelé le communiqué de promulgation du ministère de l'Économie.

Le principe directeur, énoncé par la secrétaire d'État chargée du Numérique, est limpide : « ce qui est illégal hors ligne doit aussi être illégal en ligne ». Pour une PME qui déploie un chatbot, un outil de génération d'images ou un assistant documentaire, cela signifie que deux corpus de règles s'appliquent simultanément. L'AI Act détermine ce que le système d'IA a le droit de faire ; la loi SREN encadre l'environnement numérique dans lequel il opère — hébergement, usages illicites, protection des personnes.

Je résume à mes clients : l'AI Act est le code de la route de l'IA, la loi SREN est le code pénal et le code de l'urbanisme du numérique français. Ignorer l'un des deux, c'est s'exposer à un angle mort réglementaire.

La loi SREN : un bouclier national contre les dérives de l'IA

La loi SREN comporte plusieurs mesures qui touchent directement les usages de l'IA générative, même si elle ne les nomme pas comme telles.

Les hypertrucages passibles de sanctions pénales

Le point le plus sensible pour les entreprises concerne les « hypertrucages », terme officiel pour les deepfakes. La loi rend l'utilisation d'hypertrucages visant à attenter à la dignité des personnes — en particulier des femmes, via des contenus notamment à caractère sexuel générés par IA — passible de 75 000 euros d'amende et trois ans d'emprisonnement. Toute organisation qui met à disposition des collaborateurs des outils de génération d'images ou de voix doit intégrer ce risque dans sa charte d'usage. J'ai vu des directions négliger ce point, le jugeant réservé à la malveillance individuelle : c'est une erreur, car la responsabilité de l'employeur peut être engagée.

Le filtre de cybersécurité

La loi instaure un filtre de cybersécurité à destination du grand public, destiné à protéger les citoyens contre les tentatives d'accès frauduleux à leurs coordonnées personnelles ou bancaires. À l'heure où l'IA générative industrialise le phishing et l'usurpation d'identité, cette mesure change le décor : les fraudes assistées par IA sont visées frontalement. Les entreprises ont tout intérêt à sensibiliser leurs équipes, car les campagnes d'hameçonnage générées par des modèles de langage sont désormais quasi indétectables à l'œil nu.

Bannissement et protection des personnes

La loi prévoit aussi une peine de bannissement des réseaux sociaux de six mois — un an en cas de récidive — en cas de condamnation pour haine en ligne ou cyberharcèlement. Pour les entreprises, cela signifie qu'un usage détourné de l'IA à des fins de dénigrement expose à des sanctions civiles et pénales, au-delà des seules obligations de l'AI Act.

L'AI Act européen : une approche par les risques pour une IA digne de confiance

L'AI Act structure ses obligations autour de quatre niveaux de risque, comme le détaille la Commission européenne. Je ne re-détaille pas ici chaque obligation article par article — pour une lecture complète des devoirs par catégorie, le guide de conformité AI Act pour les PME françaises fait référence.

En synthèse, l'AI Act interdit neuf pratiques inacceptables (manipulation nuisible, notation sociale, moissonnage non ciblé d'images faciales, reconnaissance des émotions au travail et à l'école, catégorisation biométrique de caractéristiques protégées, etc.). Les huit premières interdictions s'appliquent depuis février 2025. Il impose ensuite des obligations renforcées aux systèmes à haut risque — évaluation des risques, qualité des jeux de données, traçabilité, documentation, supervision humaine, robustesse et cybersécurité — et des règles de transparence spécifiques aux modèles d'IA à usage général (GPAI, General-Purpose AI).

L'objectif affiché du règlement est de « favoriser une IA digne de confiance en Europe ». C'est exactement le terrain sur lequel la loi SREN vient prêter main-forte : là où l'AI Act pose les principes, la France ajoute des moyens opérationnels et des sanctions nationales.

Dimension Loi SREN AI Act (Règlement (UE) 2024/1689)
Portée Nationale (France) Européenne (27 États)
Objet Espace numérique : cloud, DSA/DMA, mineurs, deepfakes Systèmes d'IA par niveau de risque
Deepfakes Sanction pénale (75 000 € / 3 ans) Obligation de marquage/transparence (art. 50)
Hébergement SecNumCloud imposé (art. 31, projets État) Exigences de cybersécurité pour le haut risque
Régulateur pivot ARCOM, CNIL, DGCCRF, DGE Autorités nationales + AI Office

Synergies réglementaires : quand la loi SREN vient renforcer l'AI Act

Le croisement entre les deux textes n'est pas théorique. La loi SREN comble des vides et fournit l'ossature opérationnelle qui manque à un règlement européen forcément généraliste.

Premier apport : la protection des mineurs. La loi SREN impose des systèmes de vérification d'âge sur les sites pornographiques et le retrait des contenus pédopornographiques signalés sous 24 heures, sous peine d'un an de prison et 250 000 euros d'amende. Ces obligations rejoignent la neuvième interdiction ajoutée à l'AI Act par l'omnibus numérique — les systèmes générant des contenus sexuels non consentis ou des contenus d'abus sexuels sur mineurs (CSAM) — applicable en décembre 2026.

Deuxième apport : la coordination. La loi SREN instaure un réseau national de coordination de la régulation des services numériques, piloté par la Direction générale des entreprises (DGE) et réunissant notamment la DGCCRF, comme le précise le communiqué de la DGE. Cette architecture évite que chaque autorité travaille en silo — un enjeu majeur quand l'IA relève à la fois de l'AI Act, du RGPD, du DSA et du droit de la consommation.

Troisième apport : la « réserve citoyenne du numérique », créée pour mobiliser des volontaires dans la prévention des menaces en ligne et la sensibilisation aux usages responsables. C'est un signal culturel : la régulation ne repose pas seulement sur les autorités, mais aussi sur une acculturation collective — écho direct à l'obligation de maîtrise de l'IA (« AI literacy », article 4 de l'AI Act), applicable depuis février 2025.

La CNIL, pivot central de la conformité IA et données personnelles

La loi SREN élargit les compétences de la Commission nationale de l'informatique et des libertés (CNIL). Au titre du DSA, l'ARCOM (Autorité de régulation de la communication audiovisuelle et numérique) est coordinateur des services numériques, mais elle est appuyée par la CNIL, compétente pour les articles relatifs aux données personnelles. La CNIL voit aussi son rôle croître sous l'effet du Data Governance Act sur l'altruisme des données.

Concrètement, tout projet d'IA générative manipulant des données personnelles doit s'inscrire dans le cadre du RGPD. La CNIL a publié une série de recommandations sur l'IA qui articulent innovation et respect de la vie privée : base légale, minimisation des données, information des personnes, analyse d'impact relative à la protection des données (AIPD) lorsque le traitement présente un risque élevé.

Dans mes missions, l'AIPD est l'outil qui fait converger les trois régimes. Elle documente les finalités, les risques et les mesures — ce que réclame le RGPD, ce que valorise l'AI Act pour le haut risque, et ce qu'exige implicitement la logique de confiance de la loi SREN. J'invite les DPO à ne pas la traiter comme une formalité mais comme le « visa éthique » du projet : c'est la pièce que réclameront demain les donneurs d'ordre publics dans leurs appels d'offres.

Souveraineté technologique : cloud, SecNumCloud et indépendance vis-à-vis des géants

C'est le volet économique de la loi SREN, et celui qui touche le cœur de métier d'IAPRO. Le texte vise à accélérer la transition « cloud » de l'économie française et à réduire la dépendance aux fournisseurs d'informatique en cloud, en interdisant les pratiques d'enfermement applicatif (« vendor lock-in ») des grands acteurs et en réduisant les distorsions de concurrence.

Pour un projet d'IA sensible, la question de l'hébergement n'est pas secondaire — elle est structurante. La loi SREN, à son article 31, impose le recours à des services qualifiés SecNumCloud pour certains projets de l'État. SecNumCloud est le référentiel de l'ANSSI (Agence nationale de la sécurité des systèmes d'information) qui garantit qu'une infrastructure échappe aux législations extraterritoriales non européennes, comme le détaille le portail cyber.gouv.fr de l'ANSSI.

Pour une PME, viser SecNumCloud n'est pas toujours obligatoire, mais la logique reste la même : héberger ses modèles et ses données stratégiques sur des infrastructures qui ne les exposent pas à un transfert hors Union européenne. C'est précisément la promesse de l'IA on-premise et souveraine que j'installe : les modèles ouverts — Mistral, Llama 3, Qwen — servis via Ollama et OpenWebUI, tournent chez le client, sans que la moindre donnée ne quitte son périmètre. La souveraineté cesse d'être un slogan pour devenir une propriété technique vérifiable.

Cas pratique : déployer une IA générative en conformité avec le cadre français

L'exemple le plus abouti de cette convergence est « L'Assistant » de la DINUM (Direction interministérielle du numérique). Cet assistant conversationnel permet aux agents publics de dialoguer avec des modèles d'IA générative dans un environnement sécurisé. Sa fiche officielle, publiée sur ia.numerique.gouv.fr, décrit exactement les principes que je recommande.

Trois garanties structurent l'outil. D'abord, les conversations sont anonymisées et les données ne sont jamais utilisées pour alimenter autre chose que les propres conversations de l'utilisateur — un point décisif pour lever la crainte que ses échanges servent à entraîner un modèle tiers. Ensuite, l'infrastructure est hébergée sur des services SecNumCloud homologués, « conformément à l'article 31 de la loi SREN » — la fiche cite explicitement le texte. Enfin, l'application a fait l'objet d'une homologation de sécurité par la DINUM, avec une option de chat éphémère.

Ce qu'il faut retenir pour une entreprise privée : la conformité n'est pas un frein à la performance, c'est un socle de confiance. L'Assistant démontre qu'on peut offrir une interface simple, l'interrogation de documents métier et des agents paramétrables, tout en respectant l'anonymisation, l'hébergement souverain et le filtrage des données. C'est le modèle que je transpose chez mes clients : même architecture de confiance, adaptée à leur échelle.

Roadmap de mise en conformité pour les entreprises françaises

Voici la démarche structurée que j'applique en mission, en quatre étapes.

  1. Cartographier et qualifier les risques selon l'AI Act. Recensez chaque système d'IA utilisé et déterminez sa catégorie. Un système RH de tri de CV ou un scoring crédit relèvent de l'annexe III (haut risque) ; pour ces cas, le dossier consacré aux systèmes à haut risque et à la FRIA guide l'analyse.
  2. Vérifier la souveraineté du stockage. Localisez précisément où résident données et modèles. Visez un hébergement européen, idéalement qualifié SecNumCloud pour les traitements sensibles, en cohérence avec l'esprit de la loi SREN et contre l'enfermement applicatif.
  3. Conduire l'analyse d'impact CNIL (AIPD). Documentez finalités, base légale, minimisation et mesures de sécurité. C'est le pivot qui aligne RGPD, AI Act et exigences de confiance.
  4. Déployer des protocoles anti-deepfake et une charte d'usage. Encadrez la génération d'images, de voix et de vidéos, formez les équipes et intégrez le risque pénal de la loi SREN.

Côté calendrier, gardez en tête les échéances de l'AI Act post-omnibus : maîtrise de l'IA (art. 4) et interdictions (art. 5) applicables depuis février 2025 ; obligations GPAI depuis le 2 août 2025 ; transparence et sanctions au 2 août 2026 ; systèmes à haut risque de l'annexe III repoussés au 2 décembre 2027.

ROI et avantage compétitif : la confiance comme moteur d'innovation

La double conformité SREN et AI Act n'est pas un centre de coût : c'est un actif. Une entreprise qui la maîtrise réduit d'abord son exposition juridique — amendes administratives de l'AI Act, sanctions pénales de la loi SREN sur les deepfakes, contentieux RGPD. Elle protège ensuite sa marque : à l'ère où un hypertrucage peut détruire une réputation en quelques heures, disposer de protocoles éprouvés est un différenciateur.

Surtout, elle se positionne comme un partenaire fiable. Les donneurs d'ordre publics — et de plus en plus les grands comptes privés — exigent des garanties de souveraineté et de conformité dans leurs appels d'offres. Pouvoir prouver que son IA tourne sur une infrastructure souveraine, documentée et auditée, devient un argument commercial. Pour mesurer le retour sur investissement d'un tel projet, notre calculateur de ROI IA aide à chiffrer gains de productivité et coûts évités.

L'IA souveraine, conforme à la loi SREN et à l'AI Act, est le socle d'une économie numérique durable. Elle transforme une contrainte réglementaire en avantage concurrentiel — à condition d'être pensée dès la conception, pas rattrapée après coup.

FAQ — loi SREN, IA et conformité

Quelle est la différence principale entre la loi SREN et l'AI Act ?

La loi SREN est une loi française qui régit l'espace numérique national : cloud, deepfakes, protection des mineurs, coordination des régulateurs, transposition du DSA et du DMA. L'AI Act, le Règlement (UE) 2024/1689, est un règlement européen qui encadre spécifiquement les systèmes d'IA par niveau de risque. Les deux textes se complètent : la SREN encadre l'environnement, l'AI Act encadre les systèmes.

Quelles sont les sanctions prévues par la loi SREN pour l'utilisation de deepfakes malveillants ?

La loi SREN rend l'utilisation d'hypertrucages (deepfakes) visant à attenter à la dignité des personnes, notamment des contenus à caractère sexuel générés par IA, passible de 75 000 euros d'amende et trois ans d'emprisonnement. Cette sanction pénale s'ajoute aux obligations de transparence et de marquage prévues par l'article 50 de l'AI Act pour les contenus générés artificiellement.

Comment la loi SREN facilite-t-elle la transition vers le Cloud souverain en France ?

La loi SREN accélère la transition cloud en interdisant les pratiques d'enfermement applicatif des géants du numérique et en réduisant les distorsions de concurrence. Elle impose aussi, à son article 31, le recours à des services qualifiés SecNumCloud pour certains projets de l'État. L'objectif est de réduire la dépendance des entreprises françaises aux fournisseurs non européens et de renforcer la souveraineté des données.

Quel est le rôle spécifique de la CNIL dans le cadre du DSA ?

Au titre du DSA, l'ARCOM est désignée coordinateur des services numériques en France. La CNIL l'appuie en étant compétente pour tous les articles relatifs aux données personnelles. La loi SREN élargit ainsi son champ d'action, en cohérence avec ses missions RGPD et son rôle croissant sur l'altruisme des données prévu par le Data Governance Act.

Quels sont les types d'IA interdits par l'AI Act dès février 2025 ?

Depuis février 2025, l'AI Act interdit huit pratiques : la manipulation et la tromperie nuisibles, l'exploitation des vulnérabilités, la notation sociale, l'évaluation du risque criminel individuel, le moissonnage non ciblé d'images faciales, la reconnaissance des émotions au travail et à l'école, la catégorisation biométrique de caractéristiques protégées et l'identification biométrique à distance en temps réel par les forces de l'ordre dans les espaces publics.

Comment garantir que ses données ne servent pas à entraîner des modèles d'IA tiers ?

La meilleure garantie est technique : héberger ses modèles et ses données sur une infrastructure souveraine, idéalement on-premise ou en cloud qualifié SecNumCloud, où aucune donnée ne quitte le périmètre. C'est le principe de « L'Assistant » de la DINUM, dont les conversations sont anonymisées et jamais réutilisées. Contractuellement, exigez une clause interdisant toute réutilisation des données pour l'entraînement.

Qu'est-ce que la « réserve citoyenne du numérique » prévue par la loi SREN ?

La réserve citoyenne du numérique est un dispositif créé par la loi SREN pour permettre à des volontaires de s'engager civiquement dans l'espace numérique, comme d'autres le font dans l'espace physique. Ces réservistes participent à la prévention des menaces en ligne et à la sensibilisation des utilisateurs aux usages numériques responsables, prolongeant l'esprit de maîtrise de l'IA promu par l'article 4 de l'AI Act.

Pourquoi le label SecNumCloud est-il important pour les projets d'IA générative ?

SecNumCloud est le référentiel de l'ANSSI qui certifie qu'une infrastructure cloud échappe aux législations extraterritoriales non européennes et respecte un haut niveau de sécurité. Pour un projet d'IA générative manipulant des données sensibles, il garantit la souveraineté et la confidentialité. La loi SREN l'impose pour certains projets de l'État, ce qui en fait la référence pour tout déploiement critique.

Comment identifier si un système d'IA est classé « haut risque » selon l'AI Act ?

Un système est à haut risque s'il figure à l'annexe III du Règlement (UE) 2024/1689 : RH et recrutement, scoring de crédit, biométrie, éducation, justice, infrastructures critiques, santé, migration. La qualification dépend de la finalité réelle et de l'impact sur les droits fondamentaux. Une analyse au cas par cas est indispensable ; ces systèmes sont soumis à des obligations strictes applicables au 2 décembre 2027.

Quelles sont les obligations de transparence pour les fournisseurs de modèles GPAI ?

Les fournisseurs de modèles d'IA à usage général (GPAI) doivent, depuis le 2 août 2025, fournir une documentation technique, respecter le droit d'auteur de l'Union et publier un résumé des contenus utilisés pour l'entraînement. Les modèles présentant un risque systémique ont des obligations renforcées. S'y ajoute, au titre de l'article 50, le marquage des contenus générés artificiellement.

Pour aller plus loin avec IAPRO

Vous déployez ou envisagez un projet d'IA générative et vous voulez sécuriser sa conformité SREN, AI Act et RGPD dès la conception ? Notre formule d'accompagnement souverain couvre l'audit des risques, l'installation on-premise de modèles ouverts et l'homologation de vos usages. Échangeons sur votre contexte : contactez l'équipe IAPRO pour un premier diagnostic sans engagement.

Liens utiles