Comprendre le cadre du recours AI Act : enjeux et périmètre

L'AI Act est avant tout une réglementation produit : comme l'explique le coordonnateur national pour l'IA sur info.gouv.fr, elle vise à réguler les produits d'intelligence artificielle commercialisés sur le marché européen, les systèmes autorisés obtenant le fameux « marquage CE ». Cette logique produit change tout pour la question du recours : contester une décision AI Act, c'est contester une mesure de police administrative prise sur un marché, pas une simple amende fiscale.

Le calendrier d'application, amendé par l'accord « omnibus numérique » du 7 mai 2026, structure la fenêtre de risque. Les interdictions de l'article 5 et l'obligation de maîtrise de l'IA (article 4) s'appliquent depuis le 2 février 2025. Les règles de transparence, les sanctions (article 99) et la désignation des autorités nationales compétentes s'appliquent au 2 août 2026. Les systèmes à haut risque de l'annexe III — RH, scoring crédit, biométrie, éducation, justice — sont attendus au 2 décembre 2027, ceux de l'annexe I au 2 août 2028.

Pour les entreprises, l'enjeu du recours est un enjeu de continuité d'activité. Un retrait de conformité ou une interdiction d'usage peut geler une chaîne de production ou un service client entier. Le recours administratif n'est donc pas un luxe procédural : c'est le mécanisme qui permet de maintenir une activité pendant que le litige se résout, ou d'obtenir la révision d'une mesure prise sur une base technique erronée. Pour cadrer votre exposition en amont, notre hub AI Act recense les obligations par niveau de risque.

Qui peut exercer un recours AI Act ? Identification des acteurs concernés

Le champ des personnes concernées est large. Comme le rappelle le guide de G_NIUS (agence du numérique en santé), l'AI Act concerne toute organisation qui fournit, importe, distribue ou déploie des systèmes d'IA : entreprises, associations et autorités publiques. Toute entité faisant l'objet d'une mesure administrative — mise en demeure, sanction, retrait — dispose d'un intérêt à agir et peut donc contester la décision.

La distinction cardinale est celle entre fournisseur et déployeur.

  • Le fournisseur développe ou fait commercialiser le système d'IA sous son nom. Il répond de la conformité technique : documentation, système de management de la qualité, marquage CE. Son recours portera sur des questions d'ingénierie et de conformité normative.
  • Le déployeur est l'utilisateur professionnel qui intègre le système dans ses opérations. Un cabinet d'expertise-comptable de 15 salariés utilisant un outil de scoring, une PME industrielle de 80 personnes exploitant une IA de contrôle qualité : leur responsabilité porte sur l'usage, la supervision humaine et le respect de la notice du fournisseur. Leur recours mobilisera des preuves d'un usage conforme.

Cette distinction n'est pas théorique. Lors d'un contrôle, l'administration peut se tromper de responsable : reprocher à un déployeur un défaut de conception qui incombe au fournisseur, ou l'inverse. Identifier précisément sa qualité juridique est la première brique d'un recours. Pour situer votre rôle selon votre secteur, consultez notre hub métiers, qui décline les obligations par profession.

Panorama des autorités de contrôle en France : face à qui porter recours ?

En France, le contrôle de l'AI Act n'est pas confié à un régulateur unique mais réparti entre autorités sectoriellement compétentes. La Direction générale des entreprises (DGE) détaille ce schéma de gouvernance. Savoir qui a émis la décision détermine à qui adresser le recours.

Domaine d'usage Autorité compétente Base (AI Act)
Point de contact unique / coordination DGCCRF art. 70.2
Notation sociale, biométrie, émotions, police prédictive CNIL art. 5
Techniques manipulatrices, hypertrucages, contenus de synthèse DGCCRF, Arcom art. 50
Scoring crédit, solvabilité, assurance ACPR ann. III(5)
Infrastructures critiques HFDS des ministères concernés ann. III(2)
IA dans l'administration de la justice Conseil d'État, Cour de cassation, Cour des comptes ann. III(8a)

La DGCCRF joue un rôle pivot : elle assure la coordination opérationnelle et sert de point de contact unique au titre de l'article 70.2 du règlement. Mais elle n'est pas le destinataire automatique de tout recours. Le principe est simple : le recours gracieux s'adresse à l'autorité qui a effectivement pris la décision contestée. Si la CNIL a émis une mise en demeure sur un système de catégorisation biométrique, c'est la CNIL qu'il faut saisir en premier lieu, pas la DGCCRF.

Cette architecture multi-autorités crée un risque de confusion, mais aussi une opportunité : une décision peut être contestée pour incompétence si l'autorité émettrice sortait de son périmètre. Pour un panorama plus large des sanctions et de leur logique, notre glossaire IA définit les notions clés mobilisées ici.

Les déclencheurs du recours : sanctions, mises en demeure et retraits de conformité

Un recours se déclenche toujours à partir d'une décision faisant grief. Les motifs les plus fréquents relèvent de trois familles.

Les sanctions pécuniaires. L'AI Act prévoit des amendes graduées : de 1 % à 7 % du chiffre d'affaires annuel mondial, ou de 7,5 à 35 millions d'euros selon les seuils, comme le confirment plusieurs sources gouvernementales. Le taille de l'amende varie selon la nature du manquement — usage interdit de l'article 5, défaillance sur un système à haut risque, ou manquement de transparence — et la catégorie de l'entreprise. Une PME et un grand groupe ne sont pas exposés au même quantum, ce qui ouvre un angle de recours fondé sur la proportionnalité.

Les mesures correctives et retraits. Le refus d'octroi ou le retrait du marquage CE, le constat de non-conformité d'un système à haut risque, l'ordre de retrait du marché ou de rappel : ces mesures peuvent être plus dommageables qu'une amende, car elles suspendent l'activité.

Les interdictions d'usage. L'utilisation constatée d'une pratique interdite — notation sociale, manipulation subliminale, catégorisation biométrique sensible — entraîne une interdiction immédiate. Ici, le recours porte souvent sur la qualification : le système reproché relève-t-il réellement d'une pratique de l'article 5, ou d'un usage limité mal interprété par l'administration ? L'échelle des sanctions et leur application aux PME sont détaillées dans le guide dédié aux amendes AI Act pour les PME.

La procédure de recours administratif gracieux et hiérarchique

Avant tout contentieux, le droit administratif français ouvre deux voies amiables qu'il serait imprudent de négliger.

Le recours gracieux consiste à saisir l'autorité qui a pris la décision, en lui demandant de la retirer ou de la réformer. C'est la voie la plus efficace lorsque la décision repose sur une erreur d'interprétation technique — un cas fréquent quand l'administration évalue un système d'IA dont elle ne maîtrise pas toujours l'architecture. Le recours hiérarchique consiste, lui, à saisir l'autorité supérieure à celle qui a décidé, lorsque cette hiérarchie existe.

Ces recours doivent en principe être formés dans le délai de deux mois suivant la notification de la décision. Un point capital : un recours gracieux ou hiérarchique exercé dans ce délai proroge le délai de recours contentieux devant le tribunal administratif. Autrement dit, tenter la voie amiable ne fait pas perdre le droit d'aller ensuite devant le juge.

Les arguments les plus porteurs dans un recours gracieux sont au nombre de trois :

  1. La disproportionnalité de la sanction au regard de la gravité réelle du manquement et de la taille de l'entreprise, un principe général du droit que l'administration doit respecter.
  2. L'erreur d'interprétation technique : démontrer que l'autorité a mal qualifié le fonctionnement du système, par exemple en le classant à haut risque alors qu'il relève d'un risque limité.
  3. Les mesures d'atténuation déjà en place : prouver que des correctifs, une supervision humaine renforcée ou une mise à jour de la documentation ont été déployés depuis le contrôle.

Méthodologie pratique pour construire un dossier de recours solide

Un recours crédible se construit comme un audit inversé : on démontre la conformité que l'administration conteste. Voici la marche à suivre que j'applique avec nos clients.

  1. Analyser la notification. Identifier précisément le fondement juridique invoqué (quel article, quelle annexe), l'autorité émettrice et le délai de recours. Une décision insuffisamment motivée est déjà un motif d'annulation.
  2. Réaliser un audit technique interne. Reconstituer l'état de conformité du système au moment du contrôle : classification de risque, présence du marquage CE, système de management de la qualité, gestion des risques, gouvernance des données, traçabilité, supervision humaine.
  3. Collecter les preuves. Rassembler la documentation technique, les logs d'activité, les rapports d'évaluation de la robustesse et de l'exactitude, les journaux de supervision humaine. Ces éléments matérialisent une conformité qui, sans preuve, reste une affirmation.
  4. Rédiger le mémoire. S'appuyer sur le texte du Règlement (UE) 2024/1689, sur les lignes directrices de la Commission et sur le principe de proportionnalité. Chaque grief de l'administration doit recevoir une réponse factuelle et documentée.

Cette démarche a un coût, mais il se chiffre au regard de l'amende évitée. Pour objectiver ce calcul, notre calculateur de ROI IA permet de comparer le coût d'une mise en conformité anticipée à celui d'un contentieux. La logique de fond est toujours la même : un euro investi en documentation vaut mieux qu'un pourcentage de chiffre d'affaires perdu en sanction.

Spécificités du recours pour les systèmes d'IA à haut risque

Les recours portant sur des systèmes à haut risque — annexes I et III — sont les plus techniques et les plus exposés. Les domaines concernés (santé, éducation, infrastructures critiques, RH, scoring crédit) supposent des exigences renforcées : gestion rigoureuse des risques, gouvernance des données, contrôle humain, robustesse, exactitude et cybersécurité, comme le rappelle la fiche service-public.gouv.fr sur l'AI Act.

Dans un recours haut risque, l'entreprise doit prouver des qualités mesurables. La robustesse se démontre par des tests de résistance et des scénarios adversariaux documentés. L'exactitude s'appuie sur des métriques de performance versionnées. La cybersécurité se justifie par des audits de sécurité et une gestion des vulnérabilités traçable. Face à une mise en demeure, ces éléments ne se réunissent pas dans l'urgence : ils doivent préexister au contrôle.

Le rôle des organismes notifiés est central dans ces litiges. Pour l'annexe I, l'évaluation de conformité passe par ces organismes, et un désaccord sur leur appréciation peut lui-même faire l'objet d'un recours. La cartographie précise des obligations applicables aux systèmes à haut risque et de la FRIA (analyse d'impact sur les droits fondamentaux) est détaillée dans notre dossier AI Act, complément indispensable avant tout recours dans ces domaines.

Le rôle des « regulatory sandboxes » et du PEReN dans la prévention

Le meilleur recours reste celui qu'on n'a pas à exercer. L'AI Act et le dispositif français prévoient des outils préventifs qui permettent de sécuriser la conformité avant la mise sur le marché.

Les bacs à sable réglementaires (regulatory sandboxes), applicables au 2 août 2026 au titre de l'article 57, offrent un environnement contrôlé pour développer, entraîner, tester et valider des systèmes d'IA innovants sous la supervision de l'autorité. Participer à un bac à sable, c'est obtenir un regard régulateur en amont, ce qui réduit drastiquement le risque de contentieux ultérieur.

Les TEF (Testing and Experimentation Facilities), financés par l'UE à hauteur de plus de 300 millions d'euros et réunissant des consortiums de 40 à 60 acteurs de l'IA de confiance, servent à évaluer les systèmes en phase de mise au point. Enfin, la mutualisation des compétences techniques entre le PEReN (Pôle d'expertise de la régulation numérique) et l'Anssi (Agence nationale de la sécurité des systèmes d'information) appuie les autorités dans leurs contrôles — mais cette expertise irrigue aussi les échanges avec les entreprises de bonne foi.

Ces dispositifs relèvent d'une logique d'anticipation. Pour financer une démarche de conformité amont, plusieurs aides publiques existent : notre hub des aides et notre simulateur d'aides permettent d'identifier les dispositifs Bpifrance, France Num ou OPCO mobilisables pour financer un audit préventif plutôt que de subir une sanction.

Coordination européenne et litiges transfrontaliers

L'AI Act est un règlement européen : ses mécanismes de contrôle dépassent les frontières nationales. Au niveau de la Commission, l'AI Office (Bureau européen de l'IA) supervise l'application du règlement dans les États membres et surveille les modèles d'IA à usage général, opérationnel depuis le 2 août 2025.

Pour une entreprise déployant un système d'IA dans plusieurs États membres, la question de l'autorité compétente devient stratégique. Les autorités nationales de surveillance du marché coordonnent leurs décisions au sein d'un sous-groupe du Comité européen de l'IA, où la DGCCRF représente les autorités françaises et où la DGE porte la voix de la France en tant qu'autorité réglementaire. Un système jugé non conforme dans un pays peut voir cette appréciation se diffuser via ce mécanisme de coordination.

Cette dimension transfrontalière ouvre deux enseignements pour le recours. D'une part, il faut identifier l'autorité chef de file avant de contester, pour éviter de saisir la mauvaise juridiction. D'autre part, une décision favorable obtenue dans un État membre constitue un argument mobilisable ailleurs. Anticiper cette coordination européenne fait partie de toute stratégie de conformité sérieuse pour un acteur présent sur plusieurs marchés.

Synthèse stratégique : anticiper pour ne pas subir le recours

Le recours administratif est un droit précieux, mais c'est une position défensive : on y est acculé par une décision déjà prise. La véritable maîtrise du risque se joue en amont. Trois principes structurent notre méthode IAPRO.

La veille active. Le calendrier de l'AI Act est mouvant — l'omnibus de mai 2026 en a déjà décalé plusieurs échéances. Suivre l'évolution du texte et des lignes directrices évite de se retrouver en infraction sur une obligation nouvellement applicable.

La documentation dès la conception. Le principe d'« AI by design » — construire la conformité dans l'architecture même du système — transforme la charge probatoire. Une entreprise qui documente en continu sa gestion des risques, sa gouvernance des données et sa supervision humaine dispose, le jour d'un contrôle, d'un dossier de recours déjà constitué.

L'appui des dispositifs officiels. Bacs à sable, TEF, échanges avec les autorités : ces canaux permettent de valider une approche avant qu'elle ne soit sanctionnée. La conformité n'est pas un coût subi, c'est un investissement de compétitivité : un système d'IA marqué CE et documenté se déploie sereinement sur tout le marché européen. Le recours, dans ce cadre, devient l'exception et non la règle.

FAQ — Recours administratif AI Act

Quels sont les délais maximums pour introduire un recours administratif suite à une sanction AI Act ?

En droit administratif français, le délai de droit commun pour un recours gracieux, hiérarchique ou contentieux est de deux mois à compter de la notification de la décision. Exercer un recours gracieux dans ce délai proroge le délai de recours contentieux. Vérifiez toujours la notification elle-même, qui doit mentionner les voies et délais de recours applicables.

Peut-on contester une amende de 7 % du chiffre d'affaires mondial devant le tribunal administratif ?

Oui. Une sanction pécuniaire prise par une autorité administrative est une décision faisant grief, susceptible de recours contentieux devant le juge administratif après, le cas échéant, un recours gracieux. L'argument central est souvent la disproportionnalité : une amende de 7 % suppose un manquement grave, et le juge contrôle l'adéquation entre la faute et la sanction infligée.

Quelle est la différence entre un recours gracieux et un recours contentieux dans le cadre de l'IA ?

Le recours gracieux est amiable : on demande à l'autorité qui a pris la décision de la revoir, sans saisir de juge. Le recours contentieux porte le litige devant le tribunal administratif. Le recours gracieux est souvent un préalable utile : il permet de corriger une erreur d'interprétation technique et proroge le délai pour saisir ensuite le juge.

L'AI Act remplace-t-il les procédures de recours liées au RGPD en cas de violation de données par une IA ?

Non. L'AI Act complète le RGPD sans le remplacer, comme le rappelle la CNIL. Une IA traitant des données personnelles reste soumise au RGPD pour ce traitement, et à l'AI Act pour sa qualité de système d'IA. Les deux régimes de recours coexistent : une même situation peut donc relever de procédures parallèles selon le fondement invoqué.

Comment prouver qu'un système d'IA à haut risque est « robuste » face à une mise en demeure de la CNIL ?

La robustesse se démontre par des preuves techniques versionnées : tests de résistance, scénarios adversariaux documentés, métriques d'exactitude, journaux de supervision humaine et rapports de cybersécurité. Ces éléments doivent préexister au contrôle et être horodatés. Face à une mise en demeure, un dossier probatoire constitué en amont vaut infiniment mieux qu'une reconstitution réalisée dans l'urgence de la réponse.

Qui est le point de contact unique pour les entreprises françaises en cas de litige sur l'AI Act ?

La DGCCRF est désignée point de contact unique au titre de l'article 70.2 du règlement, avec un rôle de coordination des autorités de surveillance du marché. Attention toutefois : le recours gracieux s'adresse à l'autorité qui a réellement pris la décision — CNIL, ACPR, Arcom ou autre — et non systématiquement à la DGCCRF, dont le rôle est la coordination.

Une entreprise peut-elle obtenir un sursis de sanction pendant l'examen d'un recours administratif ?

Un recours administratif classique n'est pas suspensif : la décision reste exécutoire pendant son examen. Pour suspendre les effets d'une mesure, il faut généralement saisir le juge administratif d'un référé-suspension, en démontrant l'urgence et un doute sérieux sur la légalité de la décision. C'est une procédure distincte du recours au fond, à engager rapidement.

Quels documents techniques sont indispensables pour justifier la conformité d'une IA générative ?

Pour une IA d'usage général, la documentation technique et un résumé détaillé des jeux de données d'entraînement — notamment pour le respect des droits d'auteur — sont attendus. S'y ajoutent, selon les cas, les mesures de transparence informant l'utilisateur qu'il interagit avec une IA, les évaluations de risques et, pour les modèles à risque systémique, les tests adversariaux et déclarations d'incidents.

Le marquage CE est-il révocable par une autorité administrative en cas de non-conformité constatée a posteriori ?

Oui. Le marquage CE atteste d'une conformité au moment de la mise sur le marché, mais une autorité de surveillance peut constater une non-conformité postérieure et ordonner des mesures correctives, un retrait du marché ou un rappel. Cette décision est elle-même contestable par voie de recours, en démontrant que la conformité était et demeure établie au regard des exigences applicables.

Comment les PME peuvent-elles accéder à une assistance juridique spécialisée pour un recours AI Act ?

Les PME peuvent mobiliser des financements publics — Bpifrance, France Num, OPCO — pour un audit de conformité préventif, souvent plus efficace qu'un recours subi. Pour l'accompagnement juridique et technique d'un litige, il faut associer un conseil maîtrisant à la fois le droit administratif et l'ingénierie des systèmes d'IA. IAPRO structure cet appui autour d'un audit documentaire préalable.

Pour aller plus loin avec IAPRO

Un recours se gagne avec un dossier constitué avant le contrôle, pas après la notification. Notre formule d'audit de conformité AI Act reconstitue l'état probatoire de vos systèmes — classification de risque, documentation technique, traçabilité — pour que vous ne soyez jamais pris au dépourvu. Échangeons sur votre exposition : contactez l'équipe IAPRO pour un premier diagnostic.

Liens utiles