Les sanctions de l'AI Act sont conçues pour être dissuasives. Jusqu'à 35 millions d'euros ou 7% du chiffre d'affaires mondial — des montants qui rappellent ceux du RGPD. Mais comment fonctionnent ces sanctions concrètement ? Qui peut être sanctionné, par qui, selon quelle procédure ?
Le tableau des sanctions AI Act
Les sanctions AI Act sont à trois niveaux : 35M€ ou 7% du CA mondial pour les pratiques interdites, 15M€ ou 3% pour les autres obligations, 7,5M€ ou 1% pour les fausses déclarations. Pour les PME, c'est le montant le plus bas (et non le plus élevé) qui est retenu entre le plafond fixe et le pourcentage du CA.
L'article 99 de l'AI Act établit trois niveaux de sanctions.
| Violation | Amende maximale | Applicable à |
|---|---|---|
| Pratiques interdites (art. 5) | 35M€ ou 7% CA mondial annuel (le plus élevé) | Fournisseurs, déployeurs |
| Autres obligations AI Act (risque élevé, GPAI, etc.) | 15M€ ou 3% CA mondial annuel | Fournisseurs, déployeurs |
| Informations inexactes aux autorités | 7,5M€ ou 1% CA mondial annuel | Tous acteurs |
| PME/startups (mécanisme spécifique) | Le plus bas des deux montants (fixe ou % du CA), au lieu du plus élevé | PME et jeunes pousses uniquement |
Le calcul de l'amende : comment ça marche
Contrairement à ce qu'on pourrait croire, l'amende ne s'applique pas automatiquement au taux maximal. L'article 99 précise que les autorités nationales doivent tenir compte de nombreux facteurs pour calibrer la sanction.
Facteurs aggravants : - Nature grave, durée et fréquence de la violation - Dommages causés à des tiers - Refus de coopérer avec les autorités - Violations précédentes - Avantages financiers tirés de la violation
Facteurs atténuants : - Actions de remédiation prises spontanément - Coopération avec les autorités - Degré de responsabilité (ex : déployeur dupé par un fournisseur non conforme) - Impact économique de l'amende sur l'organisation
Pour les PME et startups : le règlement prévoit expressément une approche proportionnée. La définition européenne de la PME s'applique : moins de 250 personnes et soit un CA < 50M€, soit un bilan < 43M€.
Le montant de l'amende est toujours le plus élevé entre le montant fixe et le pourcentage du CA. Pour une grande entreprise tech avec un CA mondial de 100 milliards, le 7% représente 7 milliards d'euros — un montant infiniment supérieur au plafond fixe de 35 millions.
Qui peut sanctionner : la gouvernance des sanctions
La compétence pour prononcer des sanctions est partagée selon le type de violation.
Les autorités nationales de surveillance (NCA) : pour les violations de la plupart des obligations AI Act, les autorités nationales sont compétentes. En France, la DGCCRF est désignée point de contact unique et coordonne la surveillance du marché ; la CNIL est compétente notamment pour la biométrie, l'emploi, l'éducation et certaines pratiques interdites, l'ACPR pour les systèmes financiers à haut risque, et d'autres autorités sectorielles selon le domaine concerné.
Le Bureau européen de l'IA : mène les enquêtes et évaluations concernant les fournisseurs de modèles GPAI, pour le compte de la Commission.
La Commission européenne : dispose d'un pouvoir de sanction direct sur les fournisseurs de modèles d'IA à usage général (article 101) — jusqu'à 15M€ ou 3% du CA mondial annuel, le montant le plus élevé étant retenu — sans passer par les autorités nationales.
Le mécanisme de coopération : si une violation a des effets dans plusieurs États membres, le mécanisme de cohérence (similaire au RGPD) permet une coordination entre autorités nationales.
La procédure de contrôle et d'enquête
Avant d'arriver aux sanctions, les autorités passent par un processus d'enquête.
Les déclencheurs d'une enquête : - Signalement par un utilisateur, une organisation, un concurrent - Incident grave signalé par le déployeur ou le fournisseur - Contrôle proactif par l'autorité nationale - Alerte lancée par un lanceur d'alerte (whistleblower) — l'AI Act crée des protections pour les alerteurs
Le déroulement de l'enquête : 1. Ouverture officielle et notification au responsable 2. Demande de documentation et d'informations 3. Éventuelles inspections sur site 4. Rapport préliminaire avec les constats 5. Droit de réponse du responsable (principe du contradictoire) 6. Décision finale (fermeture, mesures correctives, ou sanction)
Les pouvoirs des autorités : les autorités nationales peuvent accéder aux données et systèmes, interroger le personnel, ordonner des mesures correctives temporaires, et prononcer des amendes.
- Coopérer pleinement avec l'autorité dès l'ouverture de l'enquête
- Préparer la documentation technique à l'avance
- Mettre en place une procédure interne de gestion des incidents
- Former les équipes sur leurs droits et obligations en cas d'enquête
- Consulter un avocat spécialisé en droit du numérique dès notification
Les premières sanctions : à quoi s'attendre ?
À la date de rédaction de cet article, aucune sanction AI Act n'a encore été rendue publique. Le régime de sanctions applicable aux systèmes à risque élevé entrera en vigueur en même temps que les obligations correspondantes : le 2 décembre 2027 pour l'Annexe III et le 2 août 2028 pour l'Annexe I (report fixé par le règlement (UE) 2026/1744), en plus des interdictions (depuis février 2025) et des obligations GPAI (depuis août 2025).
Les premières sanctions possibles : - Violations des interdictions de l'article 5 (depuis février 2025) - Violations des obligations GPAI (depuis août 2025) - Violations des obligations relatives aux systèmes à risque élevé (à partir de décembre 2027 pour l'Annexe III, août 2028 pour l'Annexe I)
L'exemple du RGPD : les premières sanctions RGPD significatives ont mis 2-3 ans à arriver après l'entrée en vigueur. On peut s'attendre à une trajectoire similaire pour l'AI Act — les premières sanctions symboliques pourraient arriver en 2026-2027, avec une montée en puissance progressive.
La posture des autorités : les autorités nationales ont généralement annoncé une phase initiale d'accompagnement plutôt que de sanctions immédiates. La priorité est d'aider les entreprises à comprendre et respecter leurs obligations avant de sanctionner les manquements.
Les sanctions RGPD les plus élevées ont été prononcées contre Google Ireland (150M€ par la CNIL en 2022), Amazon Europe (746M€ par l'autorité luxembourgeoise de protection des données en 2021), et Meta (1,2Md€ par le DPC irlandais en 2023). L'AI Act crée des seuils potentiellement encore plus élevés pour les grandes infractions.
FAQ : sanctions AI Act
Conclusion
Les sanctions de l'AI Act sont substantielles et leur mécanisme est cohérent avec d'autres réglementations européennes. Pour les entreprises, la prévention reste infiniment moins coûteuse que la sanction. Construire sa conformité sérieusement — documentation, gouvernance, supervision humaine — est la meilleure protection contre ces risques.
Questions fréquentes
Non. Pour les PME et jeunes pousses, l'article 99§6 de l'AI Act prévoit de retenir le montant le plus bas entre le plafond fixe et le pourcentage du CA (contrairement aux grandes entreprises, pour qui c'est le montant le plus élevé qui est retenu). Pour une micro-entreprise, le 1% du CA sera presque toujours inférieur à 7,5M€. Les autorités tiennent en outre compte de la proportionnalité.
Oui. Comme toute décision administrative, les sanctions AI Act peuvent être contestées devant les juridictions administratives compétentes dans chaque État membre. En France, ce serait le Conseil d'État. L'AI Act prévoit expressément des voies de recours juridictionnelles.
Cela dépend. Le déployeur a des obligations propres (supervision humaine, information des utilisateurs, signalement d'incidents). S'il ne les respecte pas, il peut être sanctionné. S'il était de bonne foi et que la non-conformité du système vient entièrement du fournisseur sans que le déployeur ne pouvait le savoir, sa responsabilité est atténuée.
L'AI Act prévoit jusqu'à 35M€ ou 7% du CA mondial pour les pratiques interdites, 15M€ ou 3% pour les autres violations, et 7,5M€ ou 1% pour les fausses déclarations aux autorités (le montant le plus élevé étant retenu). Pour les PME et jeunes pousses, c'est le montant le plus bas qui est retenu.