Sanctions de l'AI Act : qui contrôle et qui risque quoi

Les sanctions de l'AI Act sont encadrées par l'article 99 du règlement (UE) 2024/1689. Il prévoit trois plafonds selon la nature du manquement, appliqués par les autorités nationales de surveillance. Le règlement contient une atténuation explicite pour les PME : c'est le montant le plus faible des deux termes qui est retenu, et non le plus élevé.

Pour une PME qui utilise l'IA au quotidien, l'exposition réelle se joue ailleurs. Cet article explique où.

Sanctions de l'AI Act : trois plafonds, pas un seul

L'article 99 fixe le cadre des sanctions. Il ne prévoit pas un montant unique, mais trois niveaux qui dépendent de la gravité du manquement.

Le niveau le plus élevé concerne les pratiques interdites de l'article 5 : jusqu'à 35 M€ ou 7 % du chiffre d'affaires annuel mondial. L'article 5 vise des pratiques prohibées en tant que telles, pas des formalités manquantes. On est ici dans un registre très différent de celui d'une charte non rédigée.

Le niveau intermédiaire couvre la plupart des autres manquements aux obligations du règlement : jusqu'à 15 M€ ou 3 % du chiffre d'affaires annuel mondial.

Le troisième niveau vise les informations inexactes, incomplètes ou trompeuses fournies aux autorités : jusqu'à 7,5 M€ ou 1 %. Autrement dit, mal répondre à une demande officielle est traité comme un manquement en soi. C'est un argument de plus pour disposer de pièces écrites plutôt que de souvenirs.

Ces montants sont des plafonds. Ce sont des maximums légaux, pas des tarifs, et ils ne décrivent en rien ce qui serait appliqué à une entreprise de 30 salariés.

L'atténuation PME : le montant le plus faible, pas le plus élevé

C'est le point le plus souvent omis en ligne, et il change tout à la lecture des chiffres.

Pour une entreprise en général, le montant retenu est le plus élevé des deux termes. Entre 15 M€ et 3 % du chiffre d'affaires, l'autorité retient le plus grand des deux.

Pour les PME et les start-ups, le règlement inverse la règle : c'est le plus faible des deux termes qui s'applique. Une structure dont le chiffre d'affaires est modeste voit donc le pourcentage jouer comme limite, et non le montant absolu. Le plafond de 15 M€ n'est pas, pour elle, l'horizon du risque.

Cette inversion n'est pas une tolérance officieuse. C'est une atténuation écrite dans le règlement, en faveur des petites structures. Elle s'ajoute au traitement adapté prévu par ailleurs, décrit dans l'article sur le régime simplifié PME de l'AI Act.

Qui contrôle et qui sanctionne

Les amendes relatives aux usages ordinaires ne sont pas prononcées par la Commission européenne. Elles relèvent des autorités nationales de surveillance désignées par chaque État membre. Le règlement leur confie la surveillance du marché et le pouvoir de sanction, et leur demande de fixer des montants proportionnés.

L'organisation nationale de cette surveillance se met en place progressivement. À partir du 2 août 2026, la supervision et l'application par les autorités nationales entrent en fonction, y compris sur des obligations applicables depuis le 2 février 2025 comme la littératie IA de l'article 4.

Il faut donc distinguer deux choses. L'obligation existe depuis février 2025. L'appareil de contrôle devient opérationnel plus tard. Ce décalage n'a jamais annulé l'obligation : il déplace seulement le moment où la question peut vous être posée.

Proportionnalité : ce qui pèse vraiment dans les sanctions de l'AI Act

Le règlement demande que les sanctions soient effectives, proportionnées et dissuasives. Il fixe des plafonds, pas des barèmes : le montant réel est arrêté par l'autorité nationale, dans ce cadre. Et le règlement y ajoute l'atténuation explicite prévue en faveur des PME.

Pour un dirigeant, la conséquence pratique compte plus que la mécanique juridique. Ce qui pèse, le jour où la question est posée, c'est d'avoir ou non un dispositif écrit. Un recensement des usages, des règles diffusées et une trace de sensibilisation se présentent, même imparfaits. L'absence totale de document ne se rattrape pas dans l'instant.

Aucune sanction sur une obligation dont l'échéance est repoussée

Un point simple, souvent brouillé : on ne peut pas être sanctionné pour un manquement à une obligation qui n'est pas encore applicable.

Le Digital Omnibus sur l'IA, entré en vigueur le 27 juillet 2026, a repoussé au 2 décembre 2027 les obligations relatives aux systèmes à haut risque de l'Annexe III. Celles qui concernent l'Annexe I s'appliquent le 2 août 2028. Tant que ces dates ne sont pas atteintes, le régime de sanction ne porte pas sur ces obligations.

Ce qui est en revanche pleinement applicable : les pratiques interdites de l'article 5 et la littératie IA de l'article 4, depuis le 2 février 2025, puis la transparence de l'article 50 à compter du 2 août 2026. C'est de ce côté que se situe l'exposition d'une PME déployeuse, comme l'explique le panorama sur ce que le règlement IA européen impose vraiment à une PME.

Ce qui expose vraiment une PME : ne rien pouvoir montrer

Le risque le plus probable pour une PME française n'est pas une amende à sept chiffres. C'est une question à laquelle elle ne sait pas répondre.

Cette question vient rarement d'une autorité. Elle vient d'un client grand compte qui envoie un questionnaire fournisseur avec une rubrique sur l'usage de l'IA. Elle vient d'un acheteur public dans un appel d'offres, ou d'un assureur qui instruit un dossier. Elle vient d'un partenaire qui demande comment ses données sont traitées, ou d'un salarié qui signale un incident.

Dans ces situations, ce qui est demandé n'est pas un document délivré par un tiers. C'est une trace : la liste des outils utilisés, les règles écrites, la preuve que les équipes ont été sensibilisées, le nom d'un responsable, une date de dernière révision.

Une PME industrielle de 60 salariés qui perd un référencement fournisseur parce qu'elle n'a aucune pièce à joindre paie un coût immédiat, mesurable, et sans qu'aucune autorité soit intervenue. C'est ce scénario qu'il faut traiter en premier, parce que c'est celui qui se produit.

L'inverse est vrai aussi, et c'est la bonne nouvelle. Un dossier de preuve simple, tenu à jour, sert à la fois pour une question commerciale et pour une question réglementaire. Les points à vérifier pour savoir où vous en êtes sont réunis dans la checklist de conformité AI Act pour PME.

Questions fréquentes

Une PME peut-elle réellement recevoir une amende de 15 M€ ?

Ce n'est pas ainsi que le mécanisme fonctionne. Ce montant est un plafond légal, et pour une PME le règlement retient le plus faible des deux termes, donc le pourcentage du chiffre d'affaires lorsque celui-ci est modeste. S'y ajoute l'obligation faite aux autorités de fixer des montants proportionnés à la gravité du manquement et à la taille de l'entreprise.

Qui peut contrôler l'usage de l'IA dans une entreprise ?

Les autorités nationales de surveillance désignées par chaque État membre. Leur supervision et leur pouvoir d'application entrent en fonction à partir du 2 août 2026, y compris sur des obligations applicables depuis le 2 février 2025. Les modalités précises de ce contrôle relèvent de chaque État membre.

Faut-il attendre un contrôle pour se structurer ?

Le contrôle public n'est pas le déclencheur le plus fréquent. En pratique, la demande arrive d'un client, d'un appel d'offres ou d'un assureur, et elle arrive sans préavis. Constituer un dossier de preuve simple aujourd'hui prend quelques jours ; le reconstituer sous contrainte, avec une date de réponse imposée, coûte beaucoup plus.

Où en est votre entreprise ?

L'audit de maturité IA d'Harmonia évalue vos usages, votre exposition et vos priorités. Gratuit en 5 min.

Lancer l'audit de maturité IA