Sanctions de l'AI Act : montants, autorités et régime applicable aux PME

Le régime de sanctions du règlement européen sur l'IA s'inspire de celui du RGPD, avec des plafonds supérieurs pour les manquements les plus graves. Il est applicable depuis le 2 août 2025.

Comprendre la hiérarchie des sanctions aide à prioriser les efforts de conformité : tous les manquements ne se valent pas.

Trois paliers de sanctions

L'article 99 organise les amendes administratives en trois niveaux.

Palier 1 : jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires

Ce plafond, le plus élevé du règlement, sanctionne le non-respect des pratiques interdites de l'article 5. C'est le montant le plus élevé des deux qui est retenu pour les entreprises.

Ce niveau traduit la gravité attachée à ces usages : ils ne sont pas simplement mal encadrés, ils sont prohibés.

Palier 2 : jusqu'à 15 millions d'euros ou 3 % du chiffre d'affaires

Ce palier couvre le non-respect des autres obligations substantielles du règlement, et notamment les obligations des fournisseurs de systèmes à haut risque, celles des déployeurs, les obligations des importateurs et distributeurs, les exigences applicables aux organismes notifiés, et les obligations de transparence de l'article 50.

C'est le palier qui concerne la plupart des manquements susceptibles d'être reprochés à une entreprise ordinaire.

Palier 3 : jusqu'à 7,5 millions d'euros ou 1 % du chiffre d'affaires

Ce niveau sanctionne la fourniture d'informations inexactes, incomplètes ou trompeuses aux organismes notifiés ou aux autorités nationales compétentes en réponse à une demande.

Autrement dit : mal répondre à un contrôle est sanctionné en tant que tel.

Le régime spécifique aux PME

Le règlement prévoit un aménagement notable. Pour les PME, y compris les jeunes pousses, chaque amende est plafonnée au pourcentage ou au montant le plus faible des deux options, et non au plus élevé.

L'inversion change la portée du risque. Pour une PME réalisant 4 millions d'euros de chiffre d'affaires, une infraction du palier 1 est plafonnée à 7 % de ce chiffre, soit 280 000 euros, et non à 35 millions.

Le montant reste dissuasif, mais il est proportionné.

Les critères de modulation

Le règlement impose aux autorités de tenir compte, pour fixer le montant, d'une série de circonstances : la nature, la gravité et la durée du manquement, le nombre de personnes affectées et le niveau de dommage subi, le caractère intentionnel ou négligent, les mesures prises pour atténuer le dommage, le degré de coopération avec l'autorité, la taille et le chiffre d'affaires de l'opérateur, et l'existence d'éventuelles sanctions antérieures pour les mêmes faits.

Deux de ces critères sont directement actionnables par une entreprise. Les mesures d'atténuation et la coopération pèsent dans l'appréciation. Une organisation capable de démontrer une démarche structurée, même incomplète, se place dans une position très différente de celle qui n'a rien entrepris.

C'est l'argument le plus solide en faveur d'une documentation rigoureuse : elle ne garantit pas l'absence de manquement, mais elle module fortement ses conséquences.

Le cas particulier des modèles à usage général

L'article 101 prévoit un régime distinct pour les fournisseurs de modèles à usage général, avec des amendes pouvant atteindre 3 % du chiffre d'affaires mondial ou 15 millions d'euros. La compétence revient directement à la Commission européenne, via le Bureau de l'IA, et non aux autorités nationales.

Cette disposition concerne les éditeurs de modèles, non leurs utilisateurs.

Qui contrôle

L'architecture de surveillance combine les niveaux national et européen.

Chaque État membre désigne une ou plusieurs autorités nationales compétentes : une autorité notifiante et une autorité de surveillance du marché. Celles-ci disposent de pouvoirs d'enquête, peuvent exiger la communication de documents et ordonner le retrait de systèmes non conformes.

Au niveau européen, le Bureau de l'IA institué au sein de la Commission supervise les modèles à usage général et contribue à l'application harmonisée du règlement. Le Comité européen de l'intelligence artificielle réunit les représentants des États membres et assure la coordination.

En France, le dispositif s'articule avec les autorités sectorielles existantes. La CNIL conserve sa compétence sur les traitements de données personnelles, qui se superpose fréquemment aux questions d'IA.

Les sanctions ne sont pas le seul risque

Se concentrer sur les amendes donne une vision incomplète de l'exposition.

Le retrait du marché. Les autorités de surveillance peuvent exiger la mise en conformité, le retrait ou le rappel d'un système non conforme. Pour une entreprise dont le produit intègre de l'IA, l'impact opérationnel dépasse largement l'amende.

Le risque contractuel. Les donneurs d'ordre introduisent progressivement des clauses de conformité AI Act dans leurs appels d'offres. L'incapacité à documenter sa conformité devient un motif d'exclusion commerciale, bien avant tout contrôle administratif.

Le risque civil. Un manquement peut fonder une action en responsabilité d'une personne qui estime avoir subi un préjudice.

Le risque réputationnel, enfin, particulièrement sensible sur les usages touchant aux ressources humaines ou aux données clients.

Ce qui protège réellement

L'analyse des critères de modulation conduit à une conclusion opérationnelle : ce qui protège n'est pas la perfection, mais la démonstrabilité de la démarche.

Quatre éléments constituent le socle défendable : un inventaire tenu à jour des systèmes d'IA, une classification documentée de leurs risques, des traces de formation des équipes, et un responsable identifié.

Ces quatre éléments sont à la portée de toute organisation, indépendamment de sa taille. Ils constituent la différence entre une entreprise qui a engagé une démarche et une entreprise qui a ignoré le sujet.

Mesurer votre exposition

Notre diagnostic de maturité IA identifie les points de conformité ouverts dans votre organisation et vous indique lesquels relèvent d'obligations déjà applicables.

Pour un accompagnement : victor@antartica-ai.com

---

*Sources : règlement (UE) 2024/1689, articles 99 et 101 pour les sanctions, articles 70 et suivants pour les autorités nationales, articles 64 à 69 pour le Bureau de l'IA et le Comité. Article 113 pour les dates d'application.*

FAQ

Quels sont les montants maximaux des sanctions ?

Jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial pour les pratiques interdites, jusqu'à 15 millions ou 3 % pour la plupart des autres manquements, et jusqu'à 7,5 millions ou 1 % pour la fourniture d'informations inexactes aux autorités.

Les PME bénéficient-elles d'un traitement différent ?

Oui. Pour les PME, y compris les startups, c'est le plus faible des deux montants qui constitue le plafond, alors que c'est le plus élevé qui s'applique aux autres entreprises.

Depuis quand les sanctions sont-elles applicables ?

Les dispositions relatives aux sanctions s'appliquent depuis le 2 août 2025, en même temps que le volet gouvernance du règlement.

Qui contrôle l'application du règlement en France ?

Le règlement confie la surveillance du marché à des autorités nationales désignées par chaque État membre, coordonnées au niveau européen par le Bureau de l'IA. La répartition précise des compétences entre autorités françaises se met en place progressivement.

Pour aller plus loin

Évaluez votre conformité avec le test de maturité IA d'Antartica AI : 23 questions dont un volet dédié au règlement européen sur l'IA. Pour former vos équipes au titre de l'article 4, découvrez notre offre de formation IA certifiée Qualiopi, ou cadrez votre situation avec un audit IA. Pour en discuter, écrivez à victor@antartica-ai.com.

*Cet article présente une lecture du règlement (UE) 2024/1689 à des fins d'information et ne constitue pas un conseil juridique.*