Sanctions de l’AI Act : trois plafonds, et une question française sans réponse

Le chiffre de 35 millions d’euros circule comme s’il valait pour tout manquement. Il ne vaut que pour un article, et le régime français qui devrait le rendre applicable n’existe pas encore.

Quels sont les montants des amendes de l’IA Act ?

Trois plafonds, et non un seul. 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial pour les pratiques interdites de l’article 5. 15 millions ou 3 % pour les manquements listés au paragraphe 4, dont la transparence de l’article 50. 7,5 millions ou 1 % pour une information inexacte donnée en réponse à une demande. Le chiffre de 15 millions, souvent présenté comme le maximum, est le deuxième des trois.

Trois niveaux. Tous formulés « X EUR ou Y % du chiffre d’affaires annuel mondial total réalisé au cours de l’exercice précédent, le montant le plus élevé étant retenu ».

Le niveau 3 ne vise pas toute information inexacte. Le texte est précis :

La fourniture d’informations inexactes, incomplètes ou trompeuses aux organismes notifiés ou aux autorités nationales compétentes en réponse à une demande fait l’objet d’une amende administrative pouvant aller jusqu’à 7 500 000 EUR ou, si l’auteur de l’infraction est une entreprise, jusqu’à 1 % de son chiffre d’affaires annuel mondial total réalisé au cours de l’exercice précédent, le montant le plus élevé étant retenu.

Omettre la restriction « en réponse à une demande » élargit le manquement à toute inexactitude documentaire, ce que le texte ne dit pas.

Qu’est-ce que le plafond de 15 millions couvre exactement ?

C’est le niveau le plus large, et le plus mal connu. Le paragraphe 4 énumère limitativement :

• les obligations des fournisseurs, article 16 ;
• les obligations des mandataires, article 22 ;
• les obligations des importateurs, article 23 ;
• les obligations des distributeurs, article 24 ;
• les obligations des fournisseurs et opérateurs au titre de l’article 25, paragraphes 2 et 4, point ajouté par l’omnibus ;
• les obligations des déployeurs, article 26 ;
• les exigences et obligations applicables aux organismes notifiés, en application de l’article 31, de l’article 33, paragraphes 1, 3 et 4, ou de l’article 34 ;
• les obligations de transparence des fournisseurs et déployeurs, article 50.

Deux enseignements. L’article 50 est bien au niveau 2 : manquer à l’obligation d’informer qu’on parle à une IA ou de marquer un contenu de synthèse expose à 15 millions d’euros ou 3 %. Et le point ajouté par l’omnibus sanctionne le devoir de coopération et l’accord écrit de l’article 25 : ne pas transmettre la documentation technique au fournisseur qui vous a succédé relève du même plafond qu’un manquement de fond.

Les PME paient-elles moins ?

Oui, et par un mécanisme différent de ce qu’on croit. Ce n’est pas une réduction d’amende : pour une PME, l’article 99, paragraphe 6 retient « le chiffre le plus faible » des deux branches, là où une entreprise ordinaire se voit appliquer le plus élevé. Le mode de calcul est inversé, pas allégé.

Pour une entreprise ordinaire, le plafond est le montant fixe ou le pourcentage, le plus élevé des deux. Pour une petite ou moyenne entreprise (PME), l’article 99, paragraphe 6 retient au contraire « le chiffre le plus faible ». Ce n’est pas une réduction d’amende, c’est un mode de calcul inversé.

L’omnibus a ajouté un paragraphe 6 bis pour les petites entreprises à moyenne capitalisation :

Dans le cas des petites entreprises à moyenne capitalisation, chaque amende visée aux paragraphes 4 et 5 s’élève au maximum aux pourcentages ou montants qui y sont visés, le chiffre le plus faible étant retenu.

Comment le montant de l’amende est-il fixé ?

L’article 99, paragraphe 7 énumère dix éléments, mais la formule qui les introduit compte autant qu’eux : « toutes les caractéristiques propres à chaque cas sont prises en considération et, le cas échéant, il est tenu compte des éléments suivants ». La liste oriente, elle ne lie pas.

Les dix éléments : la nature, la gravité et la durée de la violation et de ses conséquences ; l’existence d’amendes déjà infligées au même opérateur par d’autres autorités de surveillance du marché pour la même violation ; l’existence d’amendes déjà infligées au même opérateur par d’autres autorités pour des violations d’autres textes résultant de la même activité ; la taille, le chiffre d’affaires et la part de marché ; toute autre circonstance aggravante ou atténuante, dont le texte donne pour exemple les avantages financiers obtenus ou les pertes évitées ; le degré de coopération ; le degré de responsabilité au regard des mesures techniques et organisationnelles mises en œuvre ; la manière dont l’autorité a eu connaissance de la violation, et notamment l’auto-notification ; le caractère délibéré ou négligent ; les mesures d’atténuation du préjudice.

Le cinquième est une catégorie ouverte, pas un critère financier. Le lire comme visant seulement les gains retirés de l’infraction, c’est refermer le plus large des dix.

Trois de ces critères récompensent le comportement de l’organisation après coup : la coopération, l’auto-notification et les mesures d’atténuation. C’est l’argument le plus concret en faveur d’une procédure interne de signalement.

Qui peut infliger une amende, et qui en France ?

Les États membres déterminent le régime, article 99, paragraphe 1. Le paragraphe 2 leur impose d’en informer la Commission « sans retard et au plus tard à la date d’entrée en application ». Selon le système juridique national, les amendes peuvent être infligées par les juridictions ou par d’autres organismes, paragraphe 9. Et chaque État fixe dans quelle mesure ses propres autorités et organismes publics peuvent être sanctionnés, paragraphe 8.

En France, aucune autorité nationale. Au 24 août 2026, date de notre dernière vérification, aucun texte français d’application du règlement n’a été identifié comme en vigueur : ni loi, ni ordonnance, ni décret. Aucune autorité française n’est donc habilitée par un texte en vigueur à infliger une amende au titre du règlement (UE) 2024/1689. Il faut distinguer cinq états, et ne jamais les confondre : voté au Sénat en première lecture, ce qui est acquis depuis le 18 février 2026 ; adopté définitivement par les deux chambres, ce qui ne l’est pas ; promulgué, ce qui ne l’est pas ; publié au Journal officiel, ce qui ne l’est pas ; en vigueur, ce qui ne l’est pas non plus.

Le Sénat a adopté le 17 février 2026 onze amendements du Gouvernement portant désignation d’autorités sectorielles. Le régime de sanctions détaillé qui les accompagnerait n’est pas établi et nous ne le publions pas.

Les institutions de l’Union sont-elles sanctionnables ?

Régime distinct, et beaucoup moins connu. C’est le Contrôleur européen de la protection des données, et non le Comité, qui peut sanctionner les institutions, organes et organismes de l’Union.

Deux plafonds seulement, sans pourcentage : 1 500 000 EUR pour le non-respect de l’article 5, 750 000 EUR pour les autres manquements. Sept critères de modulation, dont un qui n’a pas d’équivalent ailleurs dans le règlement : le budget annuel de l’institution concernée. Et une garantie explicite : « Les amendes ne compromettent pas le bon fonctionnement de l’institution, organe ou organisme de l’Union faisant l’objet d’une amende. »

Que risque un fournisseur de modèle d’IA à usage général ?

C’est la Commission qui sanctionne, jusqu’à 3 % du chiffre d’affaires mondial ou 15 000 000 EUR, le plus élevé des deux, lorsqu’elle constate que le fournisseur a agi « de manière délibérée ou par négligence ».

Quatre griefs, dont trois sont des manquements de coopération, et c’est le point le plus utile de l’article. Le premier est l’infraction de fond : avoir « enfreint les dispositions pertinentes du présent règlement ». Les trois autres portent sur la relation avec la Commission : ne pas avoir donné suite à une demande de documents ou d’informations au titre de l’article 91, ou avoir fourni des informations inexactes, incomplètes ou trompeuses ; ne pas s’être conformé à une mesure demandée au titre de l’article 93 ; ne pas avoir donné accès au modèle en vue de son évaluation au titre de l’article 92. Refuser l’accès expose au même plafond que l’infraction de fond elle-même.

L’adhésion à un code de bonne pratique a un effet juridique concret. Le texte précise que la Commission « tient également compte des engagements pris […] dans les codes de bonne pratique pertinents conformément à l’article 56 ». Un instrument volontaire, donc, mais qui pèse sur le montant.

Et contester peut coûter plus cher. Le paragraphe 5 donne à la Cour de justice une compétence de pleine juridiction : « Elle peut supprimer, réduire ou majorer l’amende infligée. »

Une date à ne pas manquer. L’article 101 est le seul du chapitre XII qui ne s’applique pas depuis le 2 août 2025 : le point b) du troisième alinéa de l’article 113 l’exclut expressément, et il relève donc de la date générale du 2 août 2026.

Le régime propre au Bureau de l’IA

L’omnibus a créé les articles 75 bis à 75 quinquies, applicables depuis le 2 août 2026 : le 27 juillet 2026 est la date d’entrée en vigueur de l’omnibus, pas celle de l’application de l’article 75. Ils ne valent que pour les systèmes relevant de la compétence exclusive du Bureau de l’IA, et ce périmètre est plus étroit que sa formule courte ne le laisse croire.

Les deux cas qui entrent dans le périmètre

Le premier, les systèmes fondés sur un modèle d’IA à usage général développé par le même fournisseur ou par un fournisseur de la même entreprise. Le second, les systèmes qui constituent une très grande plateforme en ligne ou un très grand moteur de recherche au sens du règlement (UE) 2022/2065, ou qui y sont intégrés.

Quatre exceptions retirent des systèmes du premier cas, et du premier seulement : ceux liés à des produits couverts par l’annexe I, ceux du point 2 de l’annexe III sur les infrastructures critiques, ceux fournis par les autorités répressives, les autorités de gestion des frontières et les établissements financiers, dans la mesure où ces systèmes relèvent de l’article 74, paragraphe 6, et ceux du point 8 de l’annexe III relatifs à l’administration de la justice. Et la compétence ne vise que les fournisseurs : elle ne s’étend aux déployeurs que lorsqu’ils sont aussi fournisseurs, ou de la même entreprise que le fournisseur.

Les astreintes, et le chiffre de 5 %

Il n’y a pas de plafond d’amende propre au Bureau de l’IA : le texte renvoie au barème de l’article 99, appliqué mutatis mutandis.

Les astreintes, en revanche, ont leur propre plafond, et c’est là qu’apparaît le chiffre de 5 % :

Ces astreintes sont effectives et proportionnées et, le cas échéant, elles n’excèdent pas 5 % du revenu journalier moyen ou du chiffre d’affaires annuel mondial au cours de l’exercice précédent par jour, à compter de la date précisée dans la décision concernée.

La base est une alternative, pas un produit : le revenu journalier moyen ou le chiffre d’affaires annuel mondial de l’exercice précédent, le tout par jour. Écrire « 5 % du chiffre d’affaires journalier moyen » invente une troisième base, absente du texte et environ trois cent soixante-cinq fois plus faible que la seconde branche.

La prescription et la publication

Deux délais de prescription de cinq ans, et non un : cinq ans pour poursuivre, à compter du jour de l’infraction ou, en cas d’infraction continue ou répétée, du jour où elle prend fin ; cinq ans pour exécuter, à compter du jour où la décision est devenue définitive.

Les décisions sont publiées avec le nom des parties et l’essentiel de la décision, sanctions comprises.

Existe-t-il un moyen d’échapper à l’amende ?

L’article 57, paragraphe 12 est la seule disposition qui écarte l’amende administrative. Elle concerne les participants à un bac à sable réglementaire, et sa dernière phrase étend l’immunité, sous condition, aux violations d’autres dispositions du droit de l’Union ou national :

Toutefois, sous réserve du respect par les fournisseurs potentiels du plan spécifique ainsi que des modalités de leur participation et de leur disposition à suivre de bonne foi les orientations fournies par l’autorité nationale compétente, aucune amende administrative n’est infligée par les autorités en cas de violation du présent règlement.

Trois bornes. Seule l’amende administrative est écartée, seulement lorsqu’elle est infligée par les autorités, et seulement pour une violation du règlement. La responsabilité civile pour préjudice causé aux tiers est intégralement maintenue par la phrase qui précède, et les pouvoirs de suspension de l’autorité ne sont pas davantage écartés.

Trois conditions cumulatives : respect du plan spécifique, respect des modalités de participation, et disposition à suivre de bonne foi les orientations de l’autorité.

En pratique, en France, cette immunité n’est accessible à personne aujourd’hui : les bacs à sable nationaux ne sont dus qu’au 2 août 2027, et la France n’en a pas.

Cinq questions pour situer votre risque financier

Vos manquements possibles relèvent-ils de l’article 5 ou du reste ? C’est ce qui sépare 35 millions de 15 millions, et rien d’autre.

Votre organisation est-elle une PME au sens du droit de l’Union ? La réponse change le sens du plafond, pas seulement son montant.

Avez-vous un canal interne de signalement ? Trois des dix critères de modulation portent sur ce que vous faites après la violation.

Vos réponses aux demandes d’information sont-elles exactes ? Le niveau 3 ne vise que cela, mais il le vise précisément.

Qui serait compétent pour vous sanctionner ? En France, aucune autorité nationale, faute de texte en vigueur au jour de notre dernière vérification. Le Bureau de l’IA, lui, est compétent depuis le 2 août 2026, dans le périmètre étroit de l’article 75, paragraphe 1. Cette absence ne suspend aucune obligation.

Sur quoi cette page s’appuie

Les articles 57, 75 bis à 75 quinquies, 99, 100, 101 et 113 du règlement (UE) 2024/1689 dans sa version consolidée au 27 juillet 2026, telle que modifiée par le règlement (UE) 2026/1744. Les articles 99, 100 et 101 ont été extraits d’EUR-Lex le 28 août 2026 et les citations qui en sont faites sont reproduites mot à mot. Le texte qui fait foi reste celui publié au Journal officiel, la version consolidée n’ayant qu’une valeur documentaire.

Sur le volet français, l’état d’avancement du projet de loi est rapporté sans anticiper son adoption, et le régime de sanctions détaillé qu’il porterait n’est pas publié ici tant qu’il n’est pas établi.

Sources. Règlement (UE) 2024/1689, version consolidée au 27 juillet 2026 et règlement (UE) 2026/1744, consultés le 28 août 2026. Sur le volet français, compte rendu de la séance du Sénat du 17 février 2026, consulté le 24 août 2026.

Ce contenu est une ressource d’information technique et réglementaire. Il ne constitue pas un conseil juridique.