Sanctions de l'AI Act : montants, acteurs concernés et calendrier

01Trois niveaux, et non un seul

L'article 99 gradue les sanctions selon l'obligation enfreinte, et non seulement selon l'ampleur du préjudice. Le plafond le plus élevé concerne les pratiques que le règlement interdit : celles qu'aucune procédure, documentation ou surveillance ne peut rendre admissibles.

« Ou » signifie ici le montant le plus élevé : pour une entreprise au chiffre d'affaires important, le pourcentage dépasse largement le montant fixe. Les titres citent donc les 35 millions d'euros alors que l'amende peut être bien supérieure.

02Pour les PME, le calcul est inversé

Pour les petites et moyennes entreprises, y compris les jeunes pousses, c'est le montant le plus faible entre le montant fixe et le pourcentage qui s'applique. Cette inversion du calcul change sensiblement l'exposition d'une entreprise au chiffre d'affaires modeste.

Ce n'est cependant pas une exemption : le plafond reste élevé en valeur absolue et la proportionnalité s'apprécie au cas par cas — gravité, durée, infractions antérieures, coopération et mesures prises. Une petite entreprise utilisant un système interdit n'est pas protégée par sa taille.

03Qui impose les sanctions

Il n'existe pas une autorité unique. L'autorité compétente dépend de l'acteur sanctionné, du type de règle enfreinte et, depuis le Digital Omnibus, du type de système concerné.

• Les États membres établissent le régime national de sanctions et désignent les autorités compétentes. Les sanctions doivent être effectives, proportionnées et dissuasives ; les règles sont notifiées à la Commission.
• La Commission européenne, par l'intermédiaire du Bureau de l'IA, peut sanctionner directement les fournisseurs de modèles d'IA à usage général, jusqu'à 15 millions d'euros ou 3 %.
• Le Contrôleur européen de la protection des données sanctionne les institutions, organes et organismes de l'Union selon des plafonds propres, moins élevés.
• Le Bureau de l'IA dispose d'une compétence exclusive pour certains systèmes, et pas uniquement pour les modèles. Le Digital Omnibus, règlement (UE) 2026/1744, a réécrit l'article 75, paragraphe 1 : la surveillance et le contrôle relèvent du seul Bureau pour les systèmes fondés sur un modèle d'IA à usage général lorsque le modèle et le système proviennent du même fournisseur ou de la même entreprise, ainsi que pour les systèmes constituant une très grande plateforme en ligne ou un très grand moteur de recherche désignés au titre du DSA, ou intégrés à ceux-ci. Restent exclus, et du ressort des autorités nationales : les produits de l'annexe I, les systèmes relevant des infrastructures critiques visés au point 2 de l'annexe III, les systèmes des services répressifs, des autorités de gestion des frontières et des établissements financiers dans les limites de l'article 74, paragraphe 6, ainsi que l'administration de la justice.

Pourquoi cette quatrième catégorie change la réponse pratique. Une entreprise européenne développant une application sur son propre modèle relève, dans ce périmètre, de la Commission et non de son autorité nationale. Le Bureau de l'IA ne se limite pas à coordonner : il surveille. Les articles 75 bis à 75 quinquies lui attribuent les pouvoirs d'une autorité de surveillance du marché, notamment les inspections sur place, l'accès aux locaux, l'examen et la copie de données, les demandes d'explications et l'apposition de scellés sur des documents. Il peut aussi rendre contraignants les engagements d'un opérateur, imposer des astreintes, recouvrer les coûts de surveillance auprès d'un opérateur non conforme et publier ses décisions en nommant les parties. Une autorité nationale soupçonnant une infraction dans ce périmètre saisit le Bureau, qui doit indiquer dans les quatre mois s'il examinera l'affaire.

Les dispositifs nationaux — autorité compétente et articulation avec la protection des données et la surveillance sectorielle — restent en cours de stabilisation dans plusieurs États membres. Les sources officielles en bas de page permettent de les vérifier.

04À partir de quand elles peuvent s'appliquer

Les dispositions relatives aux sanctions s'appliquent depuis le 2 août 2025 et les interdictions de l'article 5 depuis le 2 février 2025, à l'exception des deux pratiques ajoutées en 2026, interdites à compter du 2 décembre 2026. L'application générale a commencé le 2 août 2026. Une distinction est essentielle : une sanction ne peut reposer que sur une obligation déjà applicable. Les exigences concernant les systèmes à haut risque ont été reportées au 2 décembre 2027 et au 2 août 2028 par le règlement (UE) 2026/1744.

Ce même règlement a modifié l'article 99. Le régime prévoit notamment que les sanctions peuvent comprendre des avertissements et des mesures non pécuniaires, et pas seulement des amendes ; les États membres doivent tenir compte des intérêts et de la viabilité économique des PME et des petites entreprises à moyenne capitalisation ; pour ces dernières, le plafond applicable est le montant le plus faible entre le pourcentage du chiffre d'affaires et le montant fixe.

Autrement dit, le calendrier des sanctions ne coïncide pas avec celui des obligations. Une obligation qui ne s'applique pas encore ne peut fonder une amende, mais elle s'impose dès son premier jour d'application. Le calendrier d'application présente la séquence complète.

05L'amende n'est pas la seule conséquence

Se concentrer sur le montant masque les conséquences qui surviennent avant et coûtent souvent davantage.

• Le système s'arrête. Les autorités de surveillance du marché peuvent exiger des mesures correctives, restreindre sa mise à disposition, le retirer ou le rappeler.
• Le service doit être revu. Si le système déterminait des priorités, des sélections ou des accès, ces décisions doivent être réexaminées, ainsi que les procédures qui en dépendaient.
• Les autres lois restent applicables. Un même épisode peut relever de la protection des données, de la non-discrimination, du droit du travail et de la responsabilité civile, chacun avec ses propres mécanismes.
• La confiance ne se rétablit pas par un virement. Pour un organisme public ou une entreprise au contact direct des personnes, c'est généralement le préjudice le plus important.

06Ce qui réduit réellement l'exposition

Aucune de ces mesures n'est une assurance : elles comptent parce qu'elles rendent l'organisation capable de détecter, d'expliquer et de corriger. L'autorité en tient également compte dans l'appréciation de la proportionnalité.

• Connaître la catégorie de risque de chaque système utilisé et consigner cette analyse.
• Savoir si l'on est fournisseur ou déployeur, car les obligations, et donc les infractions possibles, diffèrent.
• Disposer de personnes comprenant le fonctionnement et les limites du système : c'est la maîtrise de l'IA, l'une des premières obligations devenues applicables.
• Conserver des journaux et une documentation permettant de reconstituer une décision plusieurs mois après.
• Prévoir un contrôle humain ayant un réel pouvoir d'arrêter le résultat, et pas seulement un nom dans une procédure.

La vue opérationnelle complète figure dans l'AI Act pour les entreprises et, pour les organismes publics, dans l'AI Act dans l'administration publique.

07Quand personne ne sanctionne personne

NO AI ACT inverse la question : sa ville de 2032 est un monde où l'AI Act n'est jamais entré en vigueur et où ces sanctions n'existent donc pas. « La ville des scores » met en scène la pratique qui relève aujourd'hui du plafond le plus élevé — une notation généralisée décidant de l'accès aux services — et montre ce qu'elle devient lorsque rien ne l'arrête.

08Sources officielles et transparence

• Responsabilité éditoriale : le projet NO AI ACT, Matteo Angeloni ; révision éditoriale interne, sans expertise juridique indépendante.
• Première publication : septembre 2026 · Dernière révision de la source : septembre 2026, site v4.0.0 · Traduction française : octobre 2026.
• Sources officielles : règlement (UE) 2024/1689 sur EUR-Lex, articles 99 pour les sanctions nationales, 100 pour les institutions de l'Union, 101 pour les modèles d'IA à usage général et 113 pour les dates ; cadre réglementaire européen pour l'IA ; Bureau européen de l'IA.
• Avertissement : cette page propose une lecture pédagogique simplifiée des montants et des mécanismes. Elle ne constitue pas un conseil juridique, ne calcule l'exposition de personne et ne remplace ni le règlement ni l'avis d'un professionnel.

Glossaire · Systèmes à haut risque · AI Act et RGPD