¿Qué es la regulación de la IA en Francia?
Regulación de la IA: países y regiones
La regulación de la IA en Francia consiste principalmente en la aplicación del EU AI Act dentro del territorio francés, respaldada por el GDPR, la Ley francesa de protección de datos, normas sectoriales y la supervisión activa de la CNIL. Francia no cuenta con un código nacional único e independiente sobre IA. En cambio, está construyendo un modelo de aplicación con múltiples autoridades, mientras la CNIL emite orientaciones detalladas sobre IA y protección de datos. Francia también trata la IA como una prioridad estratégica a través de su estrategia nacional de IA y su labor de gobernanza en el sector público.
Revisado por Jackie, Head of Learning & Development, Levellers - Última revisión: 8 de junio de 2026
Qué significa esto
Francia regula la IA mediante un conjunto de normas, no a través de un único estatuto francés sobre IA. El marco jurídico central es el EU AI Act, que se aplica directamente en Francia, junto con el GDPR y la histórica ley francesa de protección de datos. Según el caso de uso, también pueden ser relevantes las normas de consumo, medios de comunicación, salud, finanzas, empleo, derecho público y ciberseguridad.
Esto significa que la pregunta en Francia no suele ser "¿Existe una ley de IA?", sino "¿Qué normas se aplican a este uso de la IA, quién es responsable y qué autoridad puede intervenir?". La CNIL ocupa un lugar central porque muchos sistemas de IA dependen de datos personales, pero no es el único organismo relevante.
Francia también combina la regulación con el desarrollo industrial y de capacidades estatales. Su estrategia nacional de IA impulsa la infraestructura de cómputo, el talento, la adopción y la IA "de confianza", mientras el Estado ha creado mecanismos compartidos de gobernanza de la IA para las administraciones públicas, en lugar de tratar la IA únicamente como un asunto de cumplimiento normativo.
Por qué es importante
Si desarrolla, adquiere, despliega o gestiona IA en Francia, ya no basta con una política genérica sobre IA. Es necesario saber si su sistema está prohibido, es de alto riesgo, está sujeto a obligaciones de transparencia o se rige principalmente por la protección de datos y el derecho sectorial. También conviene saber si actúa como proveedor, desplegador, importador, distribuidor, empleador, autoridad pública, comprador o encargado del tratamiento, ya que cada función genera obligaciones distintas.
Esto es especialmente relevante para las organizaciones que utilizan IA en contratación de personal, educación, salud, finanzas, interacciones con consumidores, servicios públicos, biometría, entornos próximos a la aplicación de la ley o contextos políticos y cívicos. Estos usos atraen un escrutinio más intenso porque pueden afectar a la seguridad, el acceso a servicios, el trabajo, la dignidad, la privacidad y otros derechos fundamentales.
También importa porque Francia no está adoptando una postura de esperar y ver. La CNIL ya ha desarrollado orientaciones prácticas, experiencia interna especializada y una postura de supervisión en torno al tratamiento de datos relacionado con la IA. Al mismo tiempo, el Estado francés está invirtiendo fuertemente en la adopción de la IA. En Francia, por tanto, crecimiento y supervisión avanzan a la par.
Cómo funciona
El conjunto normativo
Francia no dispone de un código autónomo sobre IA que sustituya al derecho europeo. La arquitectura principal es el EU AI Act. Este regula los sistemas de IA y determinados modelos de IA de uso general mediante un modelo basado en riesgos, con normas especiales para las prácticas prohibidas, los sistemas de alto riesgo, los sistemas con riesgo de transparencia y la IA de uso general. En Francia, esas normas conviven con el GDPR y la Ley francesa de protección de datos de 1978, que siguen rigiendo los datos personales utilizados para desarrollar o desplegar IA.
Esta distinción es importante. El AI Act no sustituye a la legislación sobre protección de datos. Si su sistema de IA trata datos personales, el derecho francés y europeo de protección de datos sigue siendo aplicable. Si su uso se encuadra en un sector regulado como la salud, las finanzas o la administración pública, las normas sectoriales específicas también continúan vigentes. En la práctica, el cumplimiento normativo en materia de IA en Francia es, por tanto, acumulativo, no sustitutivo.
El calendario es escalonado
Conforme al AI Act en vigor, el calendario jurídico es gradual. Las prohibiciones y la obligación de alfabetización en IA comenzaron a aplicarse el 2 de febrero de 2025. Las normas de gobernanza y las obligaciones para los modelos de IA de uso general entraron en vigor el 2 de agosto de 2025. El marco general está previsto para aplicarse a partir del 2 de agosto de 2026 según el texto vigente de la norma, aunque esta fecha podría aplazarse para algunos usos de alto riesgo en virtud del paquete de simplificación de la UE (Digital Omnibus), acordado políticamente en 2026 pero aún no finalizado en la legislación de modificación.
La incertidumbre a corto plazo se sitúa a nivel de la UE, no es exclusivamente francesa. En junio de 2026, las instituciones de la UE habían alcanzado un acuerdo político sobre un paquete de simplificación que retrasaría algunas fechas de aplicación para sistemas de alto riesgo, especialmente para determinados sistemas del Anexo III y para la IA integrada en productos regulados. Esa orientación fue acordada políticamente, pero las organizaciones deben seguir el texto definitivo de la modificación en lugar de asumir que cada fecha revisada está plenamente consolidada. En otras palabras, la estructura es estable, pero partes del calendario pueden aún cambiar.
Las instituciones relevantes
A nivel de la UE, la Oficina de IA desempeña un papel central, especialmente en lo relativo a los modelos de IA de uso general, y el Consejo de IA coordina a las autoridades nacionales. La función de Francia consiste en hacer que ese marco europeo funcione a nivel interno mediante autoridades competentes, mecanismos de cooperación y poderes de supervisión.
En Francia, la CNIL es el regulador de IA más visible porque IA y datos personales están con frecuencia entrelazados. Sigue siendo la autoridad de protección de datos. También se ha descrito a sí misma como designada en 2025 como autoridad de protección de derechos fundamentales en el marco del AI Act, y en 2026 declaró públicamente que se estaba preparando para ser designada asimismo como autoridad de vigilancia del mercado. Su informe anual de 2025 describe cuatro funciones distintas y complementarias en materia de IA: continuar la supervisión de la protección de datos, verificar la ausencia de usos prohibidos en los ámbitos de su competencia, actuar como autoridad de alerta en materia de derechos fundamentales y supervisar una parte importante de los sistemas de alto riesgo si los acuerdos nacionales confirman ese papel.
El enfoque francés más amplio no es un modelo de regulador único. Apunta hacia un sistema distribuido en el que los reguladores de consumo, medios de comunicación y sectoriales también son relevantes, especialmente cuando la IA se superpone con la seguridad de productos, los servicios financieros, los dispositivos sanitarios, la protección del consumidor o la administración pública. Para los operadores, la conclusión práctica es sencilla: no hay que asumir que "el regulador de IA" en Francia es una sola institución.
Lo que hace la CNIL en la práctica
La CNIL ha convertido la IA en uno de los pilares de su plan estratégico 2025-2028. Ha creado experiencia interna especializada en IA, ha enmarcado la IA como una prioridad regulatoria a largo plazo y la ha vinculado a una mayor cooperación con otros reguladores. Esto importa porque la supervisión de la IA en Francia se está construyendo a través de la doctrina, la práctica y la interregulación, no solo mediante legislación de alto perfil.
Sus orientaciones son inusualmente operativas. La CNIL ha publicado un amplio conjunto de fichas prácticas sobre IA que abarcan el régimen jurídico del desarrollo de IA, la limitación de la finalidad, la calificación de los actores, la base jurídica, las evaluaciones de impacto sobre la protección de datos, la privacidad desde el diseño, la gestión de datos de entrenamiento, los intereses legítimos, el web scraping, la transparencia, los derechos de las personas, la anotación de datos, el desarrollo seguro y el estatus de los modelos de IA en virtud del GDPR. La dirección es clara: documente su razonamiento, minimice los datos personales, justifique su base jurídica, pruebe la seguridad y sea capaz de explicar si su modelo o sistema sigue dentro del derecho de protección de datos.
El programa de trabajo de la CNIL para 2026 muestra que estas orientaciones siguen ampliándose. Anunció trabajos adicionales sobre IA en el empleo y la salud, las responsabilidades de los actores a lo largo de la cadena de valor de la IA, herramientas para los DPO y la aclaración de las consecuencias cuando los modelos de IA no son genuinamente anónimos. Esta es una señal importante para las organizaciones en Francia: la base de cumplimiento no es estática, y la práctica regulada se está completando de forma constante.
Cómo recaen las obligaciones sobre las organizaciones
Para la mayoría de las organizaciones, la primera tarea es la clasificación. ¿Qué sistema o modelo se está utilizando? ¿Está prohibido, es de alto riesgo, está sujeto a obligaciones de transparencia o es principalmente de bajo riesgo? ¿Es usted el proveedor, el desplegador o simplemente un usuario dentro del flujo de trabajo de otra organización? En Francia, estas preguntas sobre el papel son relevantes tanto en virtud del AI Act como del GDPR.
Si el sistema utiliza datos personales, la gobernanza del GDPR sigue siendo esencial. Eso implica una base jurídica, transparencia hacia las personas, minimización de datos, seguridad, gestión de derechos y una visión documentada de si se requiere una EIPD. La posición de la CNIL es que este análisis también debe cubrir cuestiones específicas de la IA, como la memorización, la regurgitación, la reidentificación, las prácticas de anotación, el riesgo de ataques y el estatus de un modelo que puede ser o no anónimo.
Si el sistema es de alto riesgo, el AI Act añade otra capa. Los proveedores se enfrentan a requisitos en materia de gestión de riesgos, documentación técnica, registro, gobernanza de datos, supervisión humana, robustez y obligaciones posteriores a la comercialización. Determinados desplegadores, especialmente los organismos públicos y los organismos encargados de tareas de servicio público, también pueden tener que realizar una evaluación de impacto sobre los derechos fundamentales. En la práctica francesa, esa evaluación se trata mejor como parte de un expediente de evidencias más amplio, junto con cualquier EIPD y trabajo de cumplimiento sectorial, en lugar de como un documento independiente elaborado al final del proceso.
El lugar de la estrategia nacional y la gobernanza estatal
La regulación de la IA en Francia no se limita a la restricción. La estrategia nacional de IA de Francia es también un programa industrial y administrativo. La estrategia comenzó en 2018 y entró en una tercera fase en 2025. El gobierno presenta cuatro prioridades para esa fase: reforzar la infraestructura de cómputo y los eslabones críticos de la cadena de valor, formar y atraer talento, acelerar el uso de la IA y construir una IA "de confianza". La estrategia está vinculada a la financiación France 2030 y está pilotada por el coordinador nacional de IA.
Para el sector público, esta estrategia se está haciendo operativa a través de estructuras estatales compartidas. El programa "IA dans l'Etat", gestionado por DINUM, presenta un enfoque común para las administraciones: coordinar la estrategia estatal de IA, construir y operar una infraestructura compartida de IA generativa, y apoyar a los ministerios y operadores en casos de uso concretos. Esto es relevante porque muestra cómo Francia está intentando gobernar el despliegue de IA estatal a través de infraestructura común, apoyo centralizado y trabajo de conformidad, no solo mediante decisiones de contratación individuales de cada administración.
Ejemplos
Un organismo de servicio público quiere desplegar IA para mejorar un servicio orientado a la ciudadanía. En el entorno de pruebas de IA de la CNIL para servicios públicos, proyectos de France Travail, Nantes Metropole y RATP dieron lugar a trabajos sobre conjuntos de datos de entrenamiento, intervención humana significativa, minimización de datos para IA generativa y nuevas formas de captación de vídeo. La lección práctica es que un caso de uso de interés público no evita el trabajo regulatorio. La gobernanza debe integrarse en el diseño, las pruebas y el despliegue desde el principio.
Un ministerio quiere proporcionar al personal un asistente de IA generativa aprobado por el Estado, en lugar de permitir que cada equipo utilice herramientas de consumo de forma informal. El Asistente IA de DINUM se presenta como un entorno conversacional seguro para los funcionarios públicos, y a partir de octubre de 2025 un experimento cerrado de ocho meses involucró a 10.000 agentes de ocho ministerios. Este es un ejemplo concreto francés de gobernanza de IA en el sector público mediante infraestructura compartida, apoyo centralizado y gestión controlada de datos.
Un proveedor de modelos entrena con datos personales y asume que el modelo queda fuera del GDPR una vez finalizado el entrenamiento. La CNIL rechaza ese atajo. Sus orientaciones indican que los proveedores deben analizar y documentar si un modelo o sistema envuelto es verdaderamente anónimo, incluido el riesgo de reidentificación o extracción y, en muchos casos, evidencias procedentes de pruebas de ataque. En Francia, esa documentación forma parte del expediente de cumplimiento, no es una nota técnica opcional.
Malentendidos frecuentes
"Francia tiene su propio AI Act." No exactamente. El marco vinculante principal es el EU AI Act, aplicado en Francia junto con el GDPR, la Ley francesa de protección de datos y el derecho sectorial.
"La CNIL es el único regulador de IA en Francia." No. La CNIL es central, pero Francia avanza hacia un modelo de supervisión distribuido en el que otras autoridades públicas y reguladores sectoriales también son relevantes.
"El AI Act sustituye a las obligaciones del GDPR." No. Si un sistema de IA trata datos personales, las normas francesas y europeas de protección de datos siguen siendo aplicables. El AI Act añade una capa separada en lugar de desplazar la legislación sobre privacidad.
"La IA generativa está en gran medida fuera de las normas hasta que llegue el AI Act completo." Ya no es así. Las normas de gobernanza del AI Act y las obligaciones para los modelos de IA de uso general ya comenzaron a aplicarse en 2025, y la CNIL ha estado emitiendo orientaciones y supervisión en paralelo.
"Si mi proveedor dice que el modelo es anónimo, el asunto está cerrado." No en Francia. La CNIL espera un análisis documentado de si el modelo o sistema puede seguir revelando datos personales, y la respuesta puede variar según el contexto real de despliegue.
Riesgos y límites
El límite principal es que "la regulación de la IA en Francia" es más amplia que el AI Act, pero más estrecha que "todo lo digital". El AI Act regula los sistemas de IA y determinados modelos. El GDPR regula los datos personales. El derecho sectorial regula ámbitos específicos. Las normas de consumo, laborales, de derecho público, medios de comunicación y ciberseguridad también pueden ser relevantes. Por tanto, ninguna lista de verificación única captura el panorama completo.
El segundo límite es el temporal. La arquitectura es estable, pero partes del calendario de aplicación siguen siendo una cuestión abierta porque el paquete de simplificación de la UE alcanzó un acuerdo político en 2026 y puede modificar algunas fechas para sistemas de alto riesgo. Las organizaciones deben, por tanto, distinguir entre lo que ya está en vigor, lo que está previsto en el AI Act en vigor y lo que puede cambiar una vez que se finalice la legislación de modificación.
El tercer límite es institucional. El mapa de supervisión en Francia avanza hacia un sistema con múltiples autoridades, y parte del trabajo de asignación nacional ha sido descrito por la propia CNIL como aún en preparación o pendiente de confirmación. Por ello, es más prudente pensar en términos de supervisión por capas que asumir la existencia de un regulador nacional único y completamente definido.
Por último, no conviene tratar las orientaciones de la CNIL como si respondieran a todas las preguntas de gobernanza de la IA. Gran parte de su trabajo se refiere a la IA que utiliza datos personales. Un sistema que no trate datos personales puede quedar fuera del GDPR y, sin embargo, seguir estando regulado por el AI Act, la legislación sobre seguridad de productos, normas sectoriales u obligaciones de derecho público. Del mismo modo, un sistema de bajo riesgo en virtud del AI Act puede generar problemas en virtud del derecho laboral, del consumidor o administrativo si se utiliza de forma inadecuada.
Qué hacer a continuación
Comience con un inventario, no con un eslogan. Enumere todos los casos de uso de IA en Francia por función, responsable de negocio, datos utilizados, proveedor, sector, geografía e impacto en las decisiones. A continuación, clasifique cada uso conforme a la lógica de riesgos del AI Act e identifique si la organización actúa como proveedor, desplegador o ambos.
A continuación, construya un único expediente de evidencias que sirva a varios regímenes a la vez. Para los usos con datos personales, documente la base jurídica, la transparencia, la seguridad, la gestión de derechos y si se requiere una EIPD. Para los usos de mayor riesgo, añada materiales del AI Act como la clasificación del sistema, la documentación técnica, la supervisión humana, las pruebas, la gestión de incidentes y, cuando proceda, una evaluación de impacto sobre los derechos fundamentales. Francia avanza hacia una gobernanza basada en evidencias, por lo que las decisiones no documentadas son cada vez más difíciles de defender.
Después, refuerce la gobernanza en torno a la contratación y los cambios. Solicite a los proveedores la asignación de roles, la procedencia del modelo, la documentación, las declaraciones de seguridad, el diseño de registros, las restricciones sobre el uso secundario de prompts o datos de entrenamiento, y el apoyo para auditorías o respuesta a incidentes. Proporcione a los DPO, los equipos de seguridad, los recursos humanos, el área jurídica, la contratación y los responsables de negocio un proceso compartido en lugar de canales de revisión separados.
Por último, invierta en alfabetización en IA para el personal que aprueba, desarrolla, adquiere y utiliza estas herramientas. En la práctica, muchos problemas de cumplimiento en Francia provendrán menos de la investigación de vanguardia que de errores ordinarios de despliegue: adquirir la herramienta equivocada para el flujo de trabajo equivocado, utilizar datos personales con demasiada ligereza, omitir la documentación o desplegar un sistema en un contexto sensible sin una revisión adecuada de derechos y riesgos.
¿Tiene alguna pregunta o sugerencia, o desea saber cómo investigamos y revisamos estas guías? Lea sobre nuestros estándares editoriales y cómo contactarnos.
Preguntas frecuentes
¿Tiene Francia un AI Act nacional separado del EU AI Act?
No. Francia aplica principalmente el EU AI Act y lo complementa con el GDPR, la Ley francesa de protección de datos y normas sectoriales específicas.
¿Es la CNIL el principal regulador de IA en Francia?
Es el regulador transversal más importante para muchos usos de la IA, porque la IA suele implicar datos personales y derechos fundamentales. Pero no es la única autoridad relevante, especialmente en sectores regulados.
¿Cuándo son aplicables las principales normas del AI Act en Francia?
Algunas ya lo son. Las prohibiciones y la obligación de alfabetización en IA se aplican desde el 2 de febrero de 2025, y las normas de gobernanza junto con las obligaciones para los modelos de IA de uso general desde el 2 de agosto de 2025. El marco más amplio está vinculado a 2026 y fechas posteriores, con cierta incertidumbre en el calendario debido al paquete de simplificación de la UE pendiente de resolución.
¿Necesitan los desplegadores en Francia realizar una evaluación de impacto sobre los derechos fundamentales?
Sí. Determinados desplegadores de sistemas de IA de alto riesgo, especialmente los organismos públicos y los organismos encargados de tareas de servicio público, pueden necesitar realizarla en virtud del AI Act. En la práctica, conviene coordinarla con cualquier evaluación de impacto del GDPR en lugar de prepararla de forma aislada.
Si adquiero una herramienta de IA a un proveedor, ¿sigo teniendo obligaciones de cumplimiento en Francia?
Generalmente sí. La adquisición no elimina sus responsabilidades. Sigue siendo necesario comprender su papel, la clasificación del sistema, los datos que utiliza, el contexto de decisión y las salvaguardias necesarias en el despliegue.
¿Sigue siendo relevante el GDPR si el asunto es "regulación de la IA"?
Absolutamente. En Francia, el GDPR sigue siendo una de las principales capas de control operativo para la IA, especialmente cuando los sistemas se entrenan con datos personales o se utilizan junto a ellos.
¿Francia solo regula la IA o también la fomenta?
Ambas cosas. La estrategia nacional de IA de Francia financia la investigación, la infraestructura de cómputo, el talento y la adopción, mientras el Estado también está construyendo gobernanza e infraestructura compartidas para el uso de la IA en el sector público.