Si l’on entend par « police » l’ensemble des organismes disposant de pouvoirs de contrôle, d’enquête, d’injonction et de sanction, alors une police du RGPD et de l’AI Act existe bien en Europe. Elle n’est simplement ni unique ni centralisée.
L’Europe fixe les règles, les États organisent leur contrôle
Un règlement européen est directement applicable dans les États membres. Il crée des obligations sans devoir être transposé comme une directive. Cela ne signifie pas que la Commission européenne contrôle elle-même chaque entreprise, administration ou association.
Pour le RGPD, le système repose principalement sur les autorités nationales de protection des données. Elles coopèrent entre elles et, pour les dossiers transfrontaliers, au sein du Comité européen de la protection des données.
Pour l’AI Act, l’architecture est plus complexe. Les États membres doivent désigner une ou plusieurs autorités nationales compétentes, parmi lesquelles une autorité de surveillance du marché et une autorité notifiante. Le Bureau européen de l’IA exerce pour sa part des responsabilités particulières, notamment pour les modèles d’IA à usage général.
Le contrôle de l’intelligence artificielle peut également impliquer les autorités déjà compétentes en matière de protection des données, de consommation, de finance, de santé, de sécurité des produits, d’audiovisuel ou de lutte contre les discriminations. L’AI Act reconnaît désormais à toute personne physique ou morale qui estime que le règlement a été enfreint le droit d’introduire une plainte auprès de l’autorité de surveillance du marché concernée. Ce droit est prévu par l’article 85 du règlement. Il existe donc bien un mécanisme de contrôle. La difficulté consiste surtout à identifier l’autorité compétente et à comprendre comment la saisir.
Le RGPD : une autorité clairement identifiable dans chaque pays
Pour la protection des données, la situation est relativement lisible.
En Belgique, l’autorité générale est l’Autorité de protection des données, ou APD. Son Service d’inspection peut mener des investigations et sa Chambre contentieuse peut prononcer des mesures correctrices et des amendes administratives. Ses décisions peuvent faire l’objet d’un recours devant la Cour des marchés, une chambre spécialisée de la Cour d’appel de Bruxelles.
En France, cette fonction appartient à la Commission nationale de l’informatique et des libertés, la CNIL. Elle peut effectuer des contrôles, adresser des mises en demeure, imposer des injonctions et prononcer des sanctions.
Au Luxembourg, la Commission nationale pour la protection des données, la CNPD, exerce également des pouvoirs d’enquête, de contrôle et de correction. Elle peut notamment demander une mise en conformité, ordonner l’exercice d’un droit, limiter un traitement ou prononcer une sanction.
Ces autorités ne sont pas des tribunaux pénaux. Ce sont des autorités administratives dotées de pouvoirs contraignants, dont les décisions peuvent ensuite être contestées devant les juridictions compétentes.
L’idée selon laquelle le RGPD ne reposerait que sur la bonne volonté des organisations est donc manifestement fausse.
L’AI Act : une organisation plus fragmentée
L’organisation nationale du contrôle de l’AI Act est moins uniforme :
En France : Le gouvernement français a présenté, le 9 septembre 2025, une architecture reposant sur plusieurs autorités sectorielles.
La DGCCRF est chargée de coordonner l’action des autorités françaises de surveillance du marché et de jouer le rôle de point de contact unique prévu par l’article 70 de l’AI Act. La Direction générale des entreprises représente pour sa part la France au sein du Comité européen de l’intelligence artificielle.
La compétence dépend ensuite du secteur et de l’usage concerné.
La CNIL intervient notamment lorsque les systèmes impliquent des données personnelles, la biométrie, la reconnaissance des émotions, l’emploi ou certains usages publics. La DGCCRF intervient dans plusieurs domaines liés aux consommateurs et aux pratiques commerciales. L’Arcom peut être concernée par certains usages audiovisuels, contenus synthétiques ou obligations d’information du public.
Il n’existe donc pas une autorité française unique de l’IA. Le contrôle est réparti selon les secteurs et les risques.
Au Luxembourg : Le gouvernement luxembourgeois a annoncé en décembre 2024 la désignation de la CNPD comme autorité compétente centrale dans la mise en œuvre nationale de l’AI Act.
Le dispositif prévoit notamment que la CNPD exerce le rôle d’autorité de surveillance du marché par défaut, en complément de plusieurs autorités sectorielles compétentes dans les domaines financiers, assurantiels, audiovisuels, des communications ou des produits réglementés.
Ce choix présente une certaine continuité avec le RGPD : de nombreux systèmes d’intelligence artificielle utilisent des données personnelles et soulèvent des questions de transparence, de sécurité ou de droits individuels. La CNPD luxembourgeoise a par ailleurs déjà engagé des actions de formation et de sensibilisation destinées à aider les entreprises et les professionnels à comprendre l’articulation entre le RGPD et l’AI Act.
En Belgique : La Belgique présente une organisation moins lisible, mais elle existe.
Le SPF Économie assure la coordination générale de la mise en œuvre de l’AI Act. Il publie des guides et des informations destinés aux entreprises et rappelle l’existence des autorités nationales de surveillance du marché.
Le contrôle concret peut cependant impliquer plusieurs organismes selon le secteur : l’APD pour les données personnelles, le SPF Économie et l’Inspection économique pour certaines pratiques commerciales ou certains produits, les régulateurs audiovisuels, les autorités financières, les autorités de sécurité des produits ou les organismes chargés de lutter contre les discriminations.
Une compétence sectorielle existante ne doit toutefois pas être confondue avec une désignation formelle comme autorité de surveillance du marché au titre de l’AI Act. En août 2026, la cartographie publique belge reste moins facile à comprendre que les dispositifs français ou luxembourgeois. Cette difficulté n’efface pas les obligations. Elle complique surtout l’orientation des citoyens et des petites organisations.
Une police existe, mais elle ne peut pas tout contrôler
Les autorités disposent de pouvoirs importants, mais elles ne disposent pas de ressources illimitées.
En 2025, l’APD belge a reçu 1 394 plaintes, contre 837 en 2024, soit une augmentation de 67 %. Elle a également traité 263 médiations, 1 216 dossiers de violation de données et 117 dossiers d’inspection.
La CNIL française a reçu 20 150 plaintes en 2025, soit 10 % de plus qu’en 2024. Elle a prononcé 83 sanctions au cours de l’année.
Au Luxembourg, la CNPD a enregistré 846 nouvelles réclamations en 2025, en progression de 40 % par rapport à 2024. Elle a traité un total de 1 909 dossiers de réclamation, mené 59 dossiers d’enquête et adressé, dans 226 dossiers nationaux clôturés, des mesures correctrices ou des demandes de mise en conformité.
Ces chiffres démontrent deux réalités :
La première est que les autorités travaillent effectivement. Elles instruisent des plaintes, contrôlent des organisations, ordonnent des mises en conformité et prononcent des sanctions.
La seconde est qu’elles doivent sélectionner les dossiers et définir des priorités. Elles ne peuvent pas examiner spontanément chaque site web, chaque fichier de clients, chaque dispositif de vidéosurveillance et chaque usage de l’intelligence artificielle.
L’arrivée de l’AI Act renforce encore cette difficulté. Les contrôles peuvent exiger des compétences en droit, en informatique, en statistiques, en cybersécurité, en analyse de données et en audit algorithmique.
La formation continue des agents, le recrutement de profils hybrides et la coopération entre autorités deviennent donc indispensables. Le manque d’expertise ne concerne d’ailleurs pas uniquement les régulateurs. En juin 2026, le SPF Économie (belgique) indiquait que le manque d’expertise interne constituait le premier obstacle à l’adoption de l’IA cité par les entreprises belges, devant les incertitudes juridiques et les préoccupations relatives aux données personnelles.
Pourquoi le sentiment d’impunité des associations, tpe et pme ?
Les décisions les plus médiatisées concernent souvent les grandes plateformes, les opérateurs de télécommunications, les acteurs du commerce électronique ou les grandes bases de données.
Ce phénomène s’explique facilement :
Une multinationale traite les données de millions de personnes. Une pratique problématique peut produire des conséquences dans plusieurs pays et justifier une enquête longue, coûteuse et coordonnée au niveau européen.
Les amendes calculées sur le chiffre d’affaires mondial atteignent également des montants qui attirent l’attention des médias.
Cela crée un biais de perception :
Le public voit les amendes de plusieurs dizaines ou centaines de millions d’euros, mais beaucoup moins les décisions visant une PME, un commerce, un professionnel de santé, un centre de formation ou une association.
La liste des sanctions françaises de 2025 comprend pourtant une entreprise de rénovation énergétique sanctionnée de 15 000 euros, un centre de formation à distance sanctionné de 10 000 euros et une société de transport routier sanctionnée de 8 000 euros.
Les petites structures ne sont donc pas épargnées. Leurs décisions sont simplement moins spectaculaires et moins médiatisées.
Une ASBL belge sanctionnée de 2 000 euros
La décision belge n° 13/2019 du 17 décembre 2019 en fournit un exemple particulièrement parlant.
Une patiente utilisait les services d’une ASBL proposant des soins infirmiers. Après avoir reçu un courrier dans un contexte électoral, elle a demandé à connaître les données détenues à son sujet et a ensuite sollicité leur effacement. L’ASBL n’a pas répondu dans le délai prévu par le RGPD. La personne concernée a alors introduit une plainte auprès de l’Autorité belge de protection des données.
La Chambre contentieuse a retenu des manquements aux obligations de transparence et au droit d’accès. Elle a ordonné à l’ASBL de répondre aux demandes d’accès et d’effacement dans les vingt jours ouvrables.
Elle lui a également infligé une amende administrative de 2 000 euros, jugée effective, proportionnée et dissuasive. La décision pouvait faire l’objet d’un recours devant la Cour des marchés.
L’identité de l’association n’a pas été publiée. Elle est désignée dans la décision comme « l’ASBL Y ».
Cette affaire ne concerne ni une multinationale ni une technologie complexe.
La petite taille ou le statut associatif ne créent donc aucune immunité.
Le véritable enjeu : faire respecter les règles
Le débat autour du RGPD et de l’AI Act est trop souvent ramené à la question du préjudice individuel.
Une personne a-t-elle subi un dommage financier, professionnel ou moral suffisamment grave pour justifier une plainte ? Cette approche est trop restrictive !
Le problème principal est avant tout le non-respect des règles.
Une organisation qui collecte des données sans base juridique, ignore les droits des personnes, utilise des traceurs illicites ou déploie un système d’IA sans respecter ses obligations ne devrait pas pouvoir considérer son comportement comme acceptable tant qu’aucun dommage spectaculaire n’a été démontré.
Le RGPD et l’AI Act ne sont pas seulement des mécanismes de réparation après un préjudice. Ils imposent aussi des obligations préventives : transparence, documentation, sécurité, gestion des risques, supervision humaine et respect des droits.
Attendre qu’un dommage grave survienne reviendrait à accepter que les règles puissent être ignorées jusqu’au premier scandale.
Respecter les règles représente un investissement
Une entreprise responsable consacre du temps et des moyens à sa conformité.
Elle doit notamment : former ses équipes ; documenter ses traitements et ses usages de l’intelligence artificielle ; choisir ses fournisseurs avec prudence ; sécuriser ses données ; informer ses clients, salariés et utilisateurs ; répondre aux demandes d’exercice des droits ; évaluer les risques …
Ces efforts ont un coût. Ils peuvent ralentir un projet, conduire à renoncer à un outil peu transparent ou imposer le choix d’un fournisseur plus coûteux.
Ces décisions ne sont pas des signes de faiblesse. Elles constituent le comportement normal d’une organisation responsable.
Le non-respect des règles peut fausser la concurrence
Une entreprise qui ignore les règles peut réduire artificiellement ses coûts. Elle peut acheter des fichiers sans en vérifier l’origine, multiplier les traceurs, automatiser des décisions sans contrôle, utiliser des contenus synthétiques sans transparence ou déployer un outil d’IA sans analyse juridique ni technique.
Elle peut ainsi collecter davantage de données, agir plus rapidement et dépenser moins que ses concurrents respectueux du droit. Cet avantage ne repose pas sur une meilleure innovation. Il repose sur le transfert des risques vers les citoyens, les salariés, les clients et l’ensemble du marché.
Lorsque ces pratiques restent sans conséquence, le message envoyé aux entreprises responsables est désastreux :
Pourquoi investir dans la conformité si ceux qui ne respectent pas les règles bénéficient d’un avantage et ne sont jamais inquiétés ?
Une réglementation crédible doit pouvoir répondre à cette question. Elle doit protéger les citoyens, mais aussi garantir que le respect des règles ne devienne pas un désavantage concurrentiel.
Les plaintes rendent les règlements effectifs
Les autorités ne peuvent pas découvrir spontanément toutes les pratiques mises en œuvre dans les entreprises, les administrations et les associations.
Les citoyens sont souvent les premiers à constater :
une demande d’accès ignorée ;
une collecte de données injustifiée ;
une inscription non sollicitée à une liste commerciale ;
une caméra installée sans information ;
une décision automatisée incompréhensible ;
une publicité utilisant un contenu synthétique de manière trompeuse ;
un système susceptible de produire une discrimination ;
l’absence d’information sur l’usage d’une intelligence artificielle.
Exercer ses droits, demander des explications et déposer une plainte documentée ne constitue donc pas un geste accessoire. C’est l’un des mécanismes prévus pour rendre la réglementation effective.
Une plainte peut révéler que le problème ne touche pas une seule personne, mais l’ensemble des clients, salariés, patients, membres ou utilisateurs d’une organisation.
Le citoyen n’est pas uniquement le bénéficiaire passif des règlements. Il est aussi l’un des principaux acteurs de leur application.
Les entreprises respectueuses peuvent également agir
Les entreprises qui assument le coût de la conformité ne doivent pas considérer qu’elles sont condamnées à supporter seules cet effort.
Lorsqu’un concurrent obtient un avantage en ignorant manifestement les règles, plusieurs mécanismes peuvent être envisagés :
un signalement à l’autorité compétente ;
la saisine d’une autorité de protection des consommateurs ;
l’information de l’autorité de protection des données ;
une plainte fondée sur l’AI Act ;
l’intervention d’une fédération professionnelle ;
une action fondée sur la concurrence déloyale lorsque ses conditions sont réunies ;
l’information des personnes directement concernées.
Les voies juridiques diffèrent selon la réglementation et le pays. En matière de RGPD, le droit formel de plainte appartient principalement à la personne concernée qui estime que le traitement de ses données enfreint le règlement. Une entreprise concurrente ne peut donc pas toujours introduire cette plainte à sa place. Elle peut néanmoins transmettre un signalement, saisir une autre autorité compétente ou soutenir les personnes directement affectées.
Pour l’AI Act, l’article 85 ouvre explicitement le droit de plainte à toute personne physique ou morale ayant des raisons de considérer que le règlement a été enfreint. Une entreprise, une association ou une organisation professionnelle peut donc saisir l’autorité de surveillance du marché.
Ces démarches doivent évidemment reposer sur des faits vérifiables, être formulées de bonne foi et ne pas devenir des instruments de harcèlement commercial.
Comment porter plainte ?
La première étape consiste généralement à identifier précisément le problème et l’organisation concernée.
Il faut ensuite conserver les éléments utiles :
les courriels échangés ;
les dates ;
les captures d’écran ;
les adresses exactes des pages ;
les contrats ou politiques de confidentialité ;
les réponses reçues ;
les documents produits par le système d’IA ;
une description factuelle des conséquences observées.
En matière de RGPD, il est généralement recommandé de commencer par exercer son droit auprès de l’organisation ou de son délégué à la protection des données. L’organisation dispose en principe d’un mois pour répondre. Une prolongation est possible dans certaines situations, mais elle doit être annoncée et justifiée.
En l’absence de réponse satisfaisante, la personne peut saisir :
l’APD en Belgique ;
la CNIL en France ;
la CNPD au Luxembourg.
Pour une pratique commerciale, un signalement peut également être adressé au SPF Économie en Belgique ou à la DGCCRF en France, notamment par les dispositifs de signalement mis à la disposition des consommateurs. Pour l’AI Act, la personne physique ou morale doit saisir l’autorité de surveillance du marché compétente. La démarche est encore plus difficile à comprendre, particulièrement en Belgique, en raison de la répartition sectorielle des compétences.
Une plainte n’entraîne pas automatiquement une amende. L’autorité peut :
demander des explications ;
organiser une médiation ;
ouvrir une enquête ;
imposer une mise en conformité ;
ordonner l’exercice d’un droit ;
limiter ou interdire une pratique ;
prononcer une réprimande ;
infliger une amende ;
transmettre le dossier à une autre autorité ou à la justice.
L’objectif n’est donc pas nécessairement de punir. Il est d’abord de faire respecter les règles.
Le rôle des associations de consommateurs
Les associations de consommateurs, les organisations de défense des droits numériques, les syndicats et les fédérations professionnelles ont également un rôle important.
Ils peuvent :
informer les citoyens ;
les aider à exercer leurs droits ;
centraliser les témoignages ;
documenter des pratiques systémiques ;
accompagner certaines plaintes ;
effectuer des tests ;
transmettre des signalements ;
interpeller les autorités et les pouvoirs publics.
Leur rôle devient particulièrement important dans les dossiers d’intelligence artificielle, qui peuvent exiger des compétences juridiques et techniques difficiles à mobiliser pour une personne seule. Ces organisations doivent elles aussi renforcer leurs connaissances en matière de protection des données, d’audit algorithmique, de cybersécurité, de discrimination et de fonctionnement des modèles d’IA. Sans citoyens informés, associations compétentes, syndicats et organisations professionnelles capables de documenter les faits, une partie importante des violations restera invisible.
Un message aux autorités : accompagner la bonne foi, sanctionner l’impunité
Les autorités de contrôle ne doivent pas être perçues uniquement comme des organismes de sanction. Elles ont aussi un rôle essentiel d’information, de prévention et d’accompagnement. Pour de nombreuses PME, associations et administrations, le non-respect des règles peut provenir d’un manque de formation, d’une mauvaise compréhension des obligations, d’une documentation insuffisante ou d’une confiance excessive dans un fournisseur qui présente son outil comme automatiquement conforme. Les autorités doivent aider ces organisations à progresser.
Cela suppose :
des recommandations compréhensibles ;
des modèles de documents et de procédures ;
des formations pratiques ;
des outils d’autoévaluation ;
des points de contact accessibles ;
une cartographie claire des organismes compétents ;
des réponses adaptées aux réalités des petites structures.
Une entreprise qui identifie une erreur, coopère et corrige rapidement ses pratiques ne doit pas être traitée comme un acteur qui connaît ses obligations, refuse de répondre et organise son activité autour de leur contournement. Mais l’accompagnement ne peut pas remplacer indéfiniment le contrôle. Lorsqu’une organisation ignore volontairement les règles, répète les mêmes violations, refuse de coopérer ou transforme le non-respect en avantage concurrentiel, une sanction devient nécessaire. Sans conséquence réelle, les recommandations perdent leur crédibilité. Les entreprises responsables finissent alors par se demander pourquoi elles investissent dans la formation, la sécurité et la conformité alors que d’autres réduisent leurs coûts en ignorant les mêmes obligations. La mission des autorités doit suivre une logique simple : Expliquer les règles. Aider à les appliquer. Contrôler leur respect. Sanctionner ceux qui choisissent de les ignorer.
Oui, une police existe
L’Europe n’a pas créé une institution unique appelée « police du RGPD et de l’intelligence artificielle ».
Elle a créé un réseau d’autorités dotées de pouvoirs réels. Ces autorités peuvent enquêter, demander des documents, contrôler des organisations, ordonner une mise en conformité, limiter ou interdire certaines pratiques et prononcer des sanctions. Elles ne sont ni omniprésentes ni toujours suffisamment dotées. Elles doivent sélectionner leurs dossiers et concentrent logiquement une partie de leurs ressources sur les pratiques affectant un grand nombre de personnes.
Cette réalité explique pourquoi les grandes entreprises occupent l’essentiel de l’espace médiatique. Elle ne crée aucune immunité pour les PME, les indépendants ou les associations. Une petite structure peut être contrôlée à la suite d’une plainte, d’un incident, d’une fuite de données, d’un conflit avec un salarié, d’une campagne contestée ou d’un signalement effectué par un client ou un concurrent.
Le cas de l’ASBL belge sanctionnée de 2 000 euros le démontre : une seule personne, une demande ignorée et une plainte documentée peuvent suffire à déclencher une procédure contraignante.
Le rôle de cette police ne consiste pas seulement à réparer des préjudices individuels ou à sanctionner quelques multinationales. Elle doit aussi garantir que le respect des règles ne devienne pas un désavantage pour les entreprises responsables.
Les citoyens, les associations et les acteurs économiques ont dès lors un rôle essentiel : documenter les violations et utiliser les voies de plainte prévues par le droit.
Les autorités, de leur côté, doivent accompagner ceux qui cherchent sincèrement à se mettre en conformité et sanctionner ceux qui transforment le non-respect des règles en modèle économique. Sans contrôle, sans plainte et sans conséquence, la conformité finit par être perçue comme une naïveté.
Avec des autorités actives, des citoyens informés et des mécanismes de signalement accessibles, elle redevient ce qu’elle doit être : une condition normale d’une concurrence loyale et d’une économie numérique digne de confiance.
