KI-MIG : La Bundesnetzagentur devient autorité de supervision de l'IA en Allemagne

Depuis le 29 juillet 2026, l'Allemagne dispose d'une autorité de supervision de l'IA désignée. La loi sur la supervision du marché et la promotion de l'innovation en IA (KI-MIG) fait de la Bundesnetzagentur l'autorité centrale de surveillance du marché pour l'intelligence artificielle. Pour les directeurs généraux des petites et moyennes entreprises, cela ne change pas les obligations qui s'appliquent, mais qui les impose, où aboutissent les réclamations et auprès de qui vous pouvez vous adresser pour toute question.

Qu'est-ce exactement qui est en vigueur depuis le 29 juillet 2026 ?

Le KI-MIG est un droit adopté et promulgué, non plus un projet. Il a été signé le 22 juillet 2026, promulgué au Bundesgesetzblatt 2026 I Nr. 223 et est entré en vigueur le 29 juillet 2026. Le Bundestag a adopté la loi le 11 juin 2026 dans la version modifiée par la commission numérique, le Bundesrat a approuvé le 10 juillet 2026.

Sur le plan du contenu, la loi ne régit pas ce que l'IA peut faire. C'est énoncé dans le Règlement IA européen. Le KI-MIG régit le niveau d'exécution allemand : les compétences, les pouvoirs, les voies de réclamation, les infractions nationales en matière d'amendes et la promotion de l'innovation. Si vous voulez savoir quelles obligations s'appliquent à vous à partir du 2 août 2026, l'article sur les délais du EU AI Act pour les PME est le bon point de départ. Ce texte répond à la question suivante : Qui frappe à la porte ?

Pourquoi la Bundesnetzagentur est-elle compétente et quand elle ne l'est pas ?

La Bundesnetzagentur est, conformément à l'article § 2 Absatz 1 KI-MIG, l'autorité compétente de surveillance du marché pour le Règlement IA, sauf disposition contraire de la loi. Il s'agit d'une compétence de dernier ressort, non d'une compétence exclusive. Là où une surveillance sectorielle existe déjà, elle reste compétente : la BaFin pour le secteur financier, les autorités régionales de médias pour les services médias, les autorités chargées des produits médicaux et des machines pour leurs domaines de produits harmonisés respectifs.

Pour une petite et moyenne entreprise typique sans secteur réglementé, cela signifie concrètement : votre point de contact et l'autorité de surveillance est la Bundesnetzagentur. La loi crée plusieurs services pour cela, que vous devriez connaître :

Chambre de surveillance du marché de l'IA (§ 4) : un organe de trois membres indépendant placé sous la présidence du président de la Bundesnetzagentur, responsable de la surveillance de certains systèmes à haut risque, avec un rapport annuel au Bundestag.
Centre de coordination et de compétences (§ 5) : centralise l'expertise en IA et soutient les autres autorités dans les classifications difficiles.
Point de contact unique (§ 6) : le point d'entrée unifié pour les entreprises et les autorités.
Point de réclamation central (§ 8) : c'est ici que se déposent les réclamations des citoyens et des entreprises concernant les systèmes d'IA. C'est le moyen par lequel un contrôle chez vous peut réellement être déclenché.

Quelles sont réellement les amendes selon le KI-MIG ?

Ici, il faut lire attentivement, car les chiffres en circulation confondent deux lois différentes. Le cadre d'amende national du KI-MIG s'élève à un maximum de 50.000 euros. L'article § 15 Absatz 3 KI-MIG le formule clairement : l'infraction peut être sanctionnée par une amende pouvant aller jusqu'à cinquante mille euros. Cette norme ne connaît pas de pourcentages du chiffre d'affaires.

Les 35 millions d'euros ou 7 pour cent du chiffre d'affaires annuel mondial souvent cités proviennent en revanche de l'article 99 du Règlement IA, non du KI-MIG. Les deux niveaux coexistent. Le KI-MIG comble intentionnellement les lacunes que le règlement laisse aux États membres et cible principalement deux groupes de cas :

Coopération et information : quiconque ne transmet pas, transmet mal ou ne transmet pas à temps les informations ou la documentation demandées, ou refuse l'accès (§ 15 Absatz 1 KI-MIG).
Obligation d'explication envers les personnes concernées : quiconque, en tant qu'opérateur d'un système à haut risque, refuse à une personne concernée l'explication conformément à l'article 86 Absatz 1 du Règlement IA (§ 15 Absatz 2 KI-MIG).

L'enseignement pratique qui en découle est peu spectaculaire, mais important : le comportement le plus coûteux envers l'autorité allemande n'est pas une erreur dans le système, mais une demande sans réponse. Celui qui documente correctement et répond dans les délais a largement maîtrisé le catalogue national d'amendes.

Qu'offre la Bundesnetzagentur avant de contrôler ?

Le KI-MIG est explicitement aussi un instrument de promotion, c'est ce qui figure déjà dans le nom. L'article § 12 oblige la Bundesnetzagentur à prendre des mesures favorables à l'innovation : informations générales et orientations d'aide, conseil aux autorités publiques pour la classification des systèmes d'IA, formations, partage des connaissances et participation à la normalisation technique. L'article § 13 crée les conditions préalables aux laboratoires de réalité de l'IA, l'article § 14 régit les tests de systèmes à haut risque dans des conditions réelles.

Concrètement disponible aujourd'hui est le Service Desk IA de la Bundesnetzagentur, qui soutient les entreprises, les autorités et les organisations dans la mise en œuvre du Règlement IA, y compris une boussole de conformité de l'IA pour une première classification. Pour une petite entreprise de 30 personnes qui veut savoir si son chatbot de prise de rendez-vous entre dans une classe de risque, c'est l'information la moins chère disponible.

Que devriez-vous faire maintenant concrètement ?

L'étape logique suivante n'est pas un examen juridique, mais un inventaire. Dans nos projets, chaque classification commence par la même liste simple : quels systèmes d'IA fonctionnent dans l'exploitation, qui les a achetés ou construits, qui est responsable sur le plan technique, et où s'applique une obligation de transparence. Pour les projets vocaux et chat, nous intégrons l'identification directement dans la salutation, plutôt que de la mettre en place ultérieurement. C'est un effort de configuration de quelques minutes et évite complètement la discussion avec une autorité de surveillance.

Créer une liste système : chaque système d'IA avec le fournisseur, l'objectif, la personne responsable et la date d'introduction. Sans cette liste, vous ne pouvez pas répondre à une demande de renseignements dans les délais requis, et c'est précisément l'infraction nationale en matière d'amendes.
Clarifier le rôle : êtes-vous opérateur ou fournisseur ? La plupart des PME sont des opérateurs, et la liste des obligations est alors beaucoup plus courte.
Vérifier l'identification : les chatbots et les assistants téléphoniques doivent être identifiables, les détails dans l'article sur l'article 50 et l'obligation d'identification.
Documenter la compétence : ce que l'article 4 exige après le Digital Omnibus est expliqué dans l'article sur la formation en compétences IA.
Désigner un interlocuteur : une personne à qui une demande de la Bundesnetzagentur est communiquée en interne.

Si vous ne voulez pas faire cet inventaire seul, nous vous aiderons dans le cadre de notre conseil en IA. Cet article classe la situation juridique et n'est pas un conseil juridique. Que lors une obligation s'applique dans votre cas particulier et comment la respecter est, en cas de doute, examiné par un avocat.

Questions fréquemment posées sur le KI-MIG

Le KI-MIG est-il adopté ou encore un projet ?

Il est adopté et en vigueur. La loi sur la supervision du marché et la promotion de l'innovation en IA a été signée le 22 juillet 2026, promulguée au Bundesgesetzblatt 2026 I Nr. 223 et s'applique depuis le 29 juillet 2026. L'avant-projet gouvernemental de février 2026 est ainsi dépassé.

La Bundesnetzagentur est-elle compétente pour chaque système d'IA ?

Non. L'article § 2 Absatz 1 KI-MIG lui assigne la compétence, sauf disposition contraire. Dans les secteurs réglementés, les autorités sectorielles restent compétentes, par exemple la BaFin pour le secteur financier et les autorités régionales de médias pour les services médias. Pour le secteur des PME non réglementé, la Bundesnetzagentur est l'adresse appropriée.

Risqué-je maintenant une amende de 35 millions d'euros ?

Cette somme provient de l'article 99 du Règlement IA et concerne les pratiques interdites. Le cadre d'amende national du KI-MIG s'élève selon l'article § 15 Absatz 3 à un maximum de 50.000 euros et s'attache avant tout aux renseignements refusés et aux explications manquantes. Pour les petites et moyennes entreprises, l'article 99 Absatz 6 plafonne en outre les amendes européennes au montant le plus bas des deux valeurs.

Où se dépose une réclamation concernant un système d'IA de mon entreprise ?

Au point de réclamation central conformément à l'article § 8 KI-MIG, installé à la Bundesnetzagentur. Les réclamations entrent dans la planification de la surveillance et peuvent déclencher un contrôle. C'est le moyen le plus réaliste par lequel une petite ou moyenne entreprise entre dans un procédé.

Le renseignement auprès de la Bundesnetzagentur a-t-il un coût ?

Le Service Desk IA est une offre d'information peu exigeante de l'autorité à destination des entreprises, des autorités et des organisations. Il ne remplace pas un examen juridique d'un cas particulier, mais clarifie les questions de classification avant que vous ne commanditiez un conseil externe.

KI-MIG : Pourquoi la Bundesnetzagentur est désormais l'autorité de supervision de l'IA en Allemagne