Kio estas AI-regulado en Francio?
AI-regulado: landoj kaj regionoj
AI-regulado en Francio estas ĉefe la EU AI Act aplikata ene de Francio, subtenata de la GDPR, la franca Leĝo pri Protekto de Datumoj, sektora regularo kaj aktiva kontrolado de la CNIL. Francio ne havas unu memstaran nacian AI-kodon. Anstataŭe, ĝi konstruas plurinstancan plenumadmodelon, dum la CNIL eldiras detalajn gvidliniojn pri AI kaj datumprotekto. Francio ankaŭ traktas AI kiel strategian prioritaton per sia nacia AI-strategio kaj publika sektora AI-regada laboro.
Reviziita de Jackie, Estro de Lernado kaj Disvolviĝo, Levellers - Laste reviziita la 8-an de junio 2026
Kion tio signifas
Francio reguligas AI per tavolaro da reguloj anstataŭ per unu franca AI-statuto. La ĉefa jura kadro estas la EU AI Act, kiu aplikiĝas rekte en Francio, flanke de la GDPR kaj la longedaŭra franca datumprotekta leĝo. Depende de la uzkazo, ankaŭ povas gravas konsumantaj, amaskomunikilaj, sanaj, financaj, dungadaj, publikjuraj kaj cibersekurecaj reguloj.
Tio signifas, ke la franca demando kutime ne estas "Ĉu ekzistas AI-leĝo?" sed "Kiuj reguloj aplikiĝas al ĉi tiu AI-uzo, kiu respondas, kaj kiu instanco povas interveni?" La CNIL estas centra, ĉar multaj AI-sistemoj dependas de personaj datumoj, sed ĝi ne estas la sola grava organo.
Francio ankaŭ kombinas reguladon kun industria kaj ŝtata kapacitokonstruado. Ĝia nacia AI-strategio antaŭenigas komputikan infrastrukturon, talentojn, adopton kaj "fidindan" AI, dum la ŝtato konstruis komunajn AI-regadajn mekanismojn por publikaj administracioj anstataŭ trakti AI nur kiel konformectematon.
Kial tio gravas
Se vi konstruas, aĉetas, deplojadas aŭ regas AI en Francio, vi nun bezonas pli ol ĝeneralan AI-politikon. Vi devas scii, ĉu via sistemo estas malpermesita, altriska, submetita al travideblecaj devoj, aŭ ĉefe regata per datumprotekto kaj sektora leĝo. Vi ankaŭ devas scii, ĉu vi agas kiel provizanto, deplojanto, importisto, distribuisto, dunganto, publika aŭtoritato, aĉetanto aŭ pretigo-instanco, ĉar tiuj roloj ekigas malsamajn devojn.
Tio gravas precipe por organizoj uzantaj AI en dungado, edukado, sano, financo, konsumantaj interagoj, publikaj servoj, biometrio, leĝplenumad-proksimaj kuntekstoj aŭ politikaj kaj civikaj kuntekstoj. Tiaj uzoj allogas pli proksiman ekzamenon, ĉar ili povas influi sekurecon, aliron al servoj, laboron, dignon, privatecon kaj aliajn fundamentajn rajtojn.
Tio ankaŭ gravas, ĉar Francio ne atendas kaj observas. La CNIL jam konstruis praktikajn gvidliniojn, dediĉitan internan fareksperton kaj plenumadan sintenon pri AI-rilata datumtraktado. Samtempe, la franca ŝtato investas intense en AI-adopton. Do en Francio, kresko kaj kontrolado avancas kune.
Kiel ĝi funkcias
La jura tavolaro
Francio ne havas memstaran AI-kodon, kiu anstataŭas eŭropan leĝon. La ĉefa arkitekturo estas la EU AI Act. Ĝi reguligas AI-sistemojn kaj certajn ĝeneralcelajn AI-modelojn per riskobaza modelo, kun specialaj reguloj por malpermesitaj praktikoj, altriskoj sistemoj, travideblec-riskaj sistemoj kaj ĝeneralcela AI. En Francio, tiuj reguloj kunestas kun la GDPR kaj la franca Leĝo pri Protekto de Datumoj de 1978, kiuj daŭre regas personajn datumojn uzatajn por disvolvi aŭ deploji AI.
Tiu distingo gravas. La AI Act ne anstataŭas datumprotektan leĝon. Se via AI-sistemo traktas personajn datumojn, franca kaj EU-datumprotekta leĝo ankoraŭ aplikiĝas. Se via uzo situas en regulata sektoro kiel sano, financo aŭ publika administracio, sektoraj reguloj ankaŭ daŭre aplikiĝas. Praktike, AI-konformeco en Francio estas do kumulativa, ne anstataŭiga.
La tempoplano estas laŭfaza
Laŭ la promulgita AI Act, la jura tempoplano estas laŭfaza. La malpermesoj kaj la AI-klerigodevo komencis aplikiĝi de la 2-a de februaro 2025. La regadaj reguloj kaj la devoj por ĝeneralcelaj AI-modeloj komencis aplikiĝi de la 2-a de aŭgusto 2025. La larĝa kadro estas planita aplikiĝi de la 2-a de aŭgusto 2026 laŭ la aktuala teksto de la Leĝo, kvankam tiu dato povas esti prokrastita por kelkaj altriskiej uzoj laŭ la EU-simpligo (Digital Omnibus) pako, kiu estis politike interkonsentita en 2026 sed ankoraŭ ne finalizita en amenda leĝaro.
La proksimtempa necerteco estas je EU-nivelo anstataŭ ekskluzive franca. Antaŭ junio 2026, la EU-institucioj atingis politikan interkonsenton pri simpligo-pako, kiu prokrastus kelkajn altriskiej aplikdatojn, precipe por certaj Anekso III-sistemoj kaj por AI enkonstruita en regulatajn produktojn. Tiu direkto estis politike interkonsentita, sed organizoj tamen devus atendi la finan amendan tekston anstataŭ supozi, ke ĉiu reviziita dato estas plene fiksita. Alivorte, la strukturo estas stabila, sed partoj de la tempoplano povas ankoraŭ ŝanĝiĝi.
La gravaj institucioj
Je EU-nivelo, la AI-Oficejo havas centran rolon, precipe por ĝeneralcelaj AI-modeloj, kaj la AI-Estraro kunordigas naciajn aŭtoritatojn. La tasko de Francio estas igi tiun eŭropan kadron funkcii hejme per kompetentaj aŭtoritatoj, kunlaboraj mekanismoj kaj plenumadaj povoj.
En Francio, la CNIL estas la plej videbla AI-reguligisto, ĉar AI kaj personaj datumoj estas tiom ofte interplektitaj. Ĝi restas la datumprotekta instanco. Ĝi ankaŭ priskribis sin kiel estinte designita en 2025 kiel fundamentrajta protekta aŭtoritato laŭ la AI Act-kadro, kaj en 2026 ĝi publike deklaris, ke ĝi prepariĝas esti designita ankaŭ kiel merkata kontrola aŭtoritato. Ĝia jara raporto de 2025 priskribas kvar apartajn kaj komplementajn AI-rolojn: daŭrigi datumprotektan kontroladon, kontroli la foreston de malpermesitaj uzoj en areoj ene de ĝia kompetenteco, agi kiel alerta aŭtoritato por fundamentaj rajtoj, kaj kontroli grandan parton de altriskiej sistemoj se naciaj aranĝoj konfirmas tiun rolon.
La pli larĝa franca aliro ne estas unu-reguligista modelo. Ĝi direktiĝas al distribuita sistemo, en kiu konsumantaj, amaskomunikilaj kaj sektoraj reguligistoj ankaŭ gravas, precipe kie AI interkovras kun produkta sekureco, financaj servoj, sanaj aparatoj, konsumanta protekto aŭ publika administracio. Por operatoroj, la praktika punkto estas simpla: ne supozu, ke "la AI-reguligisto" en Francio estas nur unu instanco.
Kion la CNIL faras praktike
La CNIL faris AI unu el la pilastroj de sia strategia plano 2025-2028. Ĝi kreis dediĉitan AI-fareksperton, kadrigis AI kiel longdaŭran reguladan prioritaton kaj ligis ĝin al plifortigita kunlaboro kun aliaj reguligistoj. Tio gravas, ĉar la AI-kontrolado de Francio estas konstruata per doktrino, praktiko kaj inter-regulado, ne nur per ĉefleĝaro.
Ĝiaj gvidlinioj estas neordinare operaciaj. La CNIL publikigis grandan aron da AI-praktikaj folioj kovrantaj la juran reĝimon por AI-disvolviĝo, celolimigon, aktora kvalifiko, laŭleĝan bazon, datumprotektajn efiktaksojn, privatecon laŭ dezajno, trejnaddatuma administradon, legitimajn interesojn, retpaĝan skrapadon, travideblecon, individuajn rajtojn, datuma anotadon, sekuran disvolviĝon kaj la statuson de AI-modeloj laŭ la GDPR. La direkto estas klara: dokumentu vian rezonadon, minimumigu personajn datumojn, pravigu vian juran bazon, testu sekurecon, kaj estu kapabla klarigi, ĉu via modelo aŭ sistemo restas ene de datumprotekta leĝo.
La labroprogramo de la CNIL por 2026 montras, ke tiuj gvidlinioj ankoraŭ vastiĝas. Ĝi anoncis pluajn laborojn pri AI en dungado kaj sano, la respondecojn de aktoroj tra la AI-valorĉeno, ilojn por DPO-oj kaj klarigon de la konsekvencoj kiam AI-modeloj ne estas vere anonimaj. Tio estas grava signalo por organizoj en Francio: la konformeca bazlinio ne estas statika, kaj regulata praktiko estas plenata konstante.
Kiel devoj atingas organizojn
Por la plej multaj organizoj, la unua tasko estas klasifiko. Kiun sistemon aŭ modelon vi uzas? Ĉu ĝi estas malpermesita, altriska, submetita al travideblecaj devoj aŭ ĉefe malaltrisika? Ĉu vi estas la provizanto, deplojanto aŭ simple uzanto ene de la laborfluo de alia organizo? En Francio, tiuj roldemandoj gravas kaj laŭ la AI Act kaj laŭ la GDPR.
Se la sistemo uzas personajn datumojn, GDPR-regado restas esenca. Tio signifas laŭleĝan bazon, travideblecon al individuoj, datumminimumigon, sekurecon, rajtoprizorgadon kaj dokumentitan vidpunkton pri tio, ĉu DPIA estas bezonata. La pozicio de la CNIL estas, ke tiu analizo devas ankaŭ kovri AI-specifajn temojn kiel memorizado, regurgitado, re-identigo, anotadaj praktikoj, ataka risko kaj la statuso de modelo, kiu povas aŭ ne esti anonima.
Se la sistemo estas altriska, la AI Act aldonas alian tavolon. Provizantoj alfrontas postulojn pri riskadministrado, teknika dokumentado, protokolado, datuma regado, homa kontrolado, fortikeco kaj post-merkataj devoj. Certaj deplojantoj, precipe publikaj korpoj kaj korpoj konfidataj kun publikservaj taskoj, povas ankaŭ devi fari fundamentrajtan efiktakson. En franca praktiko, tiu takso plej bone estas traktata kiel parto de pli larĝa evidencpako, flanke de ajna DPIA kaj sektora konformeca laboro, anstataŭ kiel memstara dokumento preparata fine.
Kie nacia strategio kaj ŝtata regado konvenas
Franca AI-regulado ne temas nur pri restriktoj. La nacia AI-strategio de Francio estas ankaŭ industria kaj administra programo. La strategio komenciĝis en 2018 kaj eniris trian fazon en 2025. La registaro prezentas kvar prioritatojn por tiu fazo: plifortigi komputikan infrastrukturon kaj kritikajn valorĉenajn ligilojn, trejni kaj altiri talentojn, akceli AI-adopton, kaj konstrui "fidindan" AI. La strategio estas ligita al France 2030-financado kaj estas pilotata de la nacia koordinisto por AI.
Por la publika sektoro, tiu strategio fariĝas operacia per komunaj ŝtataj strukturoj. La programo "IA dans l'Etat" administrata de DINUM prezentas komunan aliron por administracioj: kunordigi ŝtatan AI-strategion, konstrui kaj operacii komunan generativan AI-tavolaron, kaj subteni ministeriojn kaj operatorojn pri konkretaj uzkazoj. Tio gravas, ĉar ĝi montras, kiel Francio provas regi ŝtatan AI-deplojaron per komuna infrastrukturo, centra subteno kaj konformeca laboro, ne nur per individuaj aĉetaj elektoj de ĉiu administracio.
Ekzemploj
Publika servkorpo volas deploji AI por plibonigi civitanorientitan servon. En la AI-testkampo de la CNIL por publikaj servoj, projektoj de France Travail, Nantes Metropole kaj RATP kondukis al laboro pri trejnaddatumoj, signifoplena homa interveno, datumminimumigo por generativa AI kaj novaj formoj de videokaptado. La praktika leciono estas, ke publika-interesa uzkazo ne evitas reguladan laboron. Regado devas esti enkonstruita en dezajnon, testadon kaj deplojaron de la komenco.
Ministerio volas doni al dungitoj ŝtat-aprobitan generativan AI-asistanton anstataŭ lasi ĉiun teamon uzi konsumantajn ilojn neformale. La Assistant IA de DINUM estas prezentata kiel sekura konversacia medio por publikaj servistoj, kaj de oktobro 2025 fermita ok-monata eksperimento implikis 10 000 agentojn tra ok ministerioj. Tio estas konkreta franca ekzemplo de publika-sektora AI-regado per komuna infrastrukturo, centra subteno kaj kontrolita datumtraktado.
Modelprovizanto trejnas sur personaj datumoj kaj supozas, ke la modelo estas ekster la GDPR post kiam trejnado estas finita. La CNIL malakceptas tiun ŝparvojon. Ĝiaj gvidlinioj diras, ke provizantoj devus analizi kaj dokumenti, ĉu modelo aŭ envolvita sistemo estas vere anonima, inkluzive la riskon de re-identigo aŭ eltiro kaj, en multaj kazoj, evidencon el ataktestado. En Francio, tiu dokumentado estas parto de la konformeca dosiero, ne laŭvola teknika noto.
Oftaj miskomprenoj
"Francio havas sian propran AI Act." Ne vere. La ĉefa deviga kadro estas la EU AI Act, aplikata en Francio kune kun la GDPR, la franca Leĝo pri Protekto de Datumoj kaj sektora leĝo.
"La CNIL estas la sola AI-reguligisto en Francio." Ne. La CNIL estas centra, sed Francio direktiĝas al distribuita kontrola modelo, en kiu aliaj publikaj aŭtoritatoj kaj sektoraj reguligistoj ankaŭ gravas.
"La AI Act anstataŭas GDPR-devojn." Ne. Se AI-sistemo traktas personajn datumojn, francaj kaj EU-datumprotektaj reguloj ankoraŭ aplikiĝas. La AI Act aldonas apartan tavolon anstataŭ anstataŭigi privatecan leĝon.
"Generativa AI estas ĉefe ekster la reguloj ĝis la plena AI Act alvenas." Ne plu. La regadaj reguloj de la AI Act kaj la devoj por ĝeneralcelaj AI-modeloj jam komencis aplikiĝi en 2025, kaj la CNIL eldiras gvidliniojn kaj kontroladon paralele.
"Se mia provizanto diras, ke la modelo estas anonima, la afero estas fermita." Ne en Francio. La CNIL atendas dokumentitan analizon pri tio, ĉu la modelo aŭ sistemo ankoraŭ povas malkaŝi personajn datumojn, kaj la respondo povas diferenci depende de la reala deploja kunteksto.
Riskoj kaj limoj
La ĉefa limo estas, ke "AI-regulado en Francio" estas pli larĝa ol la AI Act sed pli mallarĝa ol "ĉio cifereca". La AI Act regas AI-sistemojn kaj certajn modelojn. La GDPR regas personajn datumojn. Sektora leĝo regas specifajn kampojn. Konsumantaj, labora, publikjuraj, amaskomunikilaj kaj cibersekurecaj reguloj ĉiuj ankoraŭ povas gravas. Do neniu ununura kontrolilo kaptas la tutan bildon.
La dua limo estas tempigo. La arkitekturo estas stabila, sed partoj de la efektiviga tempoplano restas viva temo, ĉar la EU-simpligo-pako atingis politikan interkonsenton en 2026 kaj povas ŝanĝi kelkajn altriskiej datojn. Organizoj devus do distingi inter tio, kio jam estas en forto, tio, kio estas planita laŭ la promulgita Leĝo, kaj tio, kio povas ŝanĝiĝi post kiam amenda leĝaro estas finalizita.
La tria limo estas institucia. La plenumada mapo de Francio direktiĝas al plurinstanca sistemo, kaj iuj el la naciaj alokaj laboroj estis priskribitaj de la CNIL mem kiel ankoraŭ en preparado aŭ submetitaj al konfirmo. Do estas pli sekure pensi laŭ tavolita kontrolado anstataŭ supozi plene fiksitan unu-haltan nacian reguligiston.
Fine, ne traktu CNIL-gvidliniojn kvazaŭ ili respondis ĉiun AI-regadan demandon. Granda parto de ĝia laboro temas pri AI uzanta personajn datumojn. Sistemo sen personaj datumoj povas esti ekster la GDPR sed ankoraŭ regulata laŭ la AI Act, produkta sekureca leĝo, sektoraj reguloj aŭ publikjuraj devoj. Egale, malaltrisika sistemo laŭ la AI Act ankoraŭ povas krei problemojn laŭ dungada, konsumanta aŭ administra leĝo se uzata malbone.
Kion fari poste
Komencu per inventaro, ne per slogano. Listigu ĉiun AI-uzkazon en Francio laŭ funkcio, komerca posedanto, uzataj datumoj, provizanto, sektoro, geografio kaj decida efiko. Poste klasifiku ĉiun uzon kontraŭ la riska logiko de la AI Act kaj identigu, ĉu la organizo agas kiel provizanto, deplojanto aŭ ambaŭ.
Poste, konstruu unu evidencan spuron, kiu servas plurajn reĝimojn samtempe. Por personaj-datumaj uzoj, dokumentu laŭleĝan bazon, travideblecon, sekurecon, rajtoprizorgadon kaj ĉu DPIA estas bezonata. Por pli altriskiej uzoj, aldonu AI Act-materialojn kiel sistemklasifikon, teknikan dokumentadon, homan kontroladon, testadon, okazaĵoprizorgadon kaj, kie relevante, fundamentrajtan efiktakson. Francio direktiĝas al evidencbaza regado, do nedokumentitaj juĝaj decidoj fariĝas pli malfacile defendeblaj.
Poste plifortiku regadon ĉirkaŭ aĉetado kaj ŝanĝo. Petu vendistojn pri rolaloko, modela deveno, dokumentado, sekurecaj asertoj, protokolada dezajno, restriktoj pri sekundara uzo de instigoj aŭ trejnaddatumoj, kaj subteno por revizioj aŭ okazaĵa respondo. Donu al DPO-oj, sekurecaj teamoj, HR, juraj, aĉetadaj kaj komercaj posedantoj komunan procezon anstataŭ apartajn reviziajn vojojn.
Fine, investi en AI-klerigado por la dungitoj, kiuj aprovas, konstruas, aĉetas kaj uzas tiujn ilojn. Praktike, multaj francaj konformecaj problemoj venos malpli el frontlinia esplorado ol el ordinaraj deplojaj eraroj: aĉeti la malĝustan ilon por la malĝusta laborfluo, uzi personajn datumojn tro senzorge, preterlasi dokumentadon, aŭ deploji sistemon en sentema kunteksto sen taŭga rajta kaj riska revizio.
Ĉu vi havas demandon aŭ sugeston, aŭ volas kompreni, kiel ni esploras kaj reviziis tiujn gvidilojn? Legu pri niaj redakciaj normoj kaj kiel kontakti nin.
Oftaj demandoj
Ĉu Francio havas nacian AI Act apartan de la EU AI Act?
Ne. Francio ĉefe aplikas la EU AI Act, poste tavoligas la GDPR, la francan Leĝon pri Protekto de Datumoj kaj sektorajn regulojn.
Ĉu la CNIL estas la ĉefa AI-reguligisto en Francio?
Ĝi estas la plej grava transversala reguligisto por multaj AI-uzoj, ĉar AI ofte implikas personajn datumojn kaj fundamentajn rajtojn. Sed ĝi ne estas la sola relevanta aŭtoritato, precipe en regulataj sektoroj.
Kiam la ĉefaj AI Act-reguloj gravas en Francio?
Kelkaj jam gravas. La malpermesoj kaj la AI-klerigodevo aplikiĝas ekde la 2-a de februaro 2025, kaj la regadaj reguloj plus la devoj por ĝeneralcela AI-modelo ekde la 2-a de aŭgusto 2025. La pli larĝa kadro estas ligita al 2026 kaj postaj datoj, kun iom da tempoplana necerteco pro la atendanta EU-simpligo-pako.
Ĉu deplojantoj en Francio iam bezonas fundamentrajtan efiktakson?
Jes. Certaj deplojantoj de altriskiej AI-sistemoj, precipe publikaj korpoj kaj korpoj konfidataj kun publikservaj taskoj, povas bezoni unu laŭ la AI Act. Praktike, ĝi devus kutime esti kunordigita kun ajna GDPR-efiktakso anstataŭ preparata izole.
Se mi aĉetas AI-ilon de vendisto, ĉu mi ankoraŭ havas francajn konformecajn devojn?
Kutime jes. Aĉetado ne forigas viajn respondecojn. Vi ankoraŭ devas kompreni vian rolon, la klasifikon de la sistemo, la datumojn, kiujn ĝi uzas, la decidan kuntekston kaj la necesajn sekurigojn en deplojaro.
Ĉu GDPR ankoraŭ gravas se la temo estas "AI-regulado"?
Absolute. En Francio, GDPR restas unu el la ĉefaj operaciaj kontrolaj tavoloj por AI, precipe kie sistemoj estas trejnitaj sur aŭ uzataj kun personaj datumoj.
Ĉu Francio nur reguligas AI, aŭ ankaŭ instigas ĝin?
Ambaŭ. La nacia AI-strategio de Francio financas esploradon, komputikan infrastrukturon, talentojn kaj adopton, dum la ŝtato ankaŭ konstruas komunan regadon kaj infrastrukturon por publika-sektora AI-uzo.