Article 99 — Sanctions (Règlement IA de l'UE)

Article 99 du Règlement (UE) 2024/1689 — Sanctions. Texte officiel, interprétation pratique, obligations clés et implications en matière de conformité.

Résumé du texte officiel

L'Article 99 du Règlement (UE) 2024/1689 établit le cadre des sanctions administratives pour les infractions au Règlement IA de l'UE. Il prévoit une structure d'amendes à trois niveaux, calibrée en fonction de la gravité de l'infraction.

Les infractions les plus graves — violations des pratiques d'IA interdites énumérées à l'Article 5 — sont passibles d'amendes pouvant atteindre 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial total, le montant le plus élevé étant retenu. Les violations d'autres obligations imposées aux fournisseurs, déployeurs, importateurs et distributeurs — notamment celles relatives aux systèmes d'IA à haut risque, aux obligations de transparence et aux modèles GPAI — sont passibles d'amendes pouvant atteindre 15 millions d'euros ou 3 % du chiffre d'affaires mondial annuel. La fourniture d'informations incorrectes, incomplètes ou trompeuses aux organismes notifiés ou aux autorités nationales compétentes est sanctionnée d'amendes pouvant atteindre 7,5 millions d'euros ou 1 % du chiffre d'affaires mondial annuel.

Pour les fournisseurs de modèles GPAI, l'Article 99(3) renvoie aux seuils d'amendes applicables aux obligations du Chapitre V (Articles 53–56), y compris les obligations relatives au risque systémique pour les fournisseurs de modèles GPAI présentant un risque systémique. Lorsque la partie en infraction est une PME ou une startup, le plafond en pourcentage du chiffre d'affaires s'applique lorsqu'il produit un montant absolu inférieur au plafond en montant fixe. Les autorités nationales compétentes sont responsables de l'imposition et de l'exécution des amendes dans leur juridiction, tandis que le Bureau de l'IA détient la compétence d'exécution sur les fournisseurs de modèles GPAI au niveau de l'Union.

Ce que cela signifie en pratique

L'Article 99 constitue l'épine dorsale de l'exécution du Règlement IA de l'UE. Sa structure à plusieurs niveaux détermine directement la façon dont les organisations doivent hiérarchiser leurs programmes de conformité.

Pour les fournisseurs de systèmes d'IA à haut risque, le niveau 3 %/15 millions d'euros s'applique aux manquements tels que l'inadéquation des évaluations de conformité, l'absence de documentation technique, les systèmes de management de la qualité non conformes, ou le défaut d'enregistrement des systèmes dans la base de données de l'UE au titre de l'Article 71. Un fabricant de dispositifs médicaux déployant un outil de diagnostic assisté par IA sans avoir effectué l'évaluation de conformité requise en vertu de l'Annexe VI, par exemple, s'expose à ce niveau de sanction.

Pour tout opérateur déployant des applications d'IA interdites — telles que l'identification biométrique en temps réel dans des espaces publics en dehors des exceptions limitées, la notation sociale par les autorités publiques, ou les techniques de manipulation subliminale — le niveau 7 %/35 millions d'euros s'applique. Ce sont les interdictions absolues du Règlement, et le niveau de sanction indique qu'aucune justification commerciale ne peut compenser une violation.

Pour les développeurs et déployeurs de modèles GPAI, les amendes relevant du niveau 3 % s'attachent aux manquements concernant la documentation technique, la transparence en matière de droits d'auteur, et — pour les modèles à risque systémique — les obligations de signalement des incidents et de test en conditions adversariales.

Pour tous les opérateurs, la désinformation des régulateurs lors des enquêtes de surveillance du marché déclenche le niveau 1 %. Cela est opérationnellement significatif : cela signifie que la gestion interne des documents, les pistes d'audit et les protocoles de coopération avec les autorités doivent être solides avant que les régulateurs ne se manifestent.

Les facteurs de proportionnalité — notamment la durée de l'infraction, le degré de coopération et les violations antérieures — guident les autorités dans la fixation de l'amende effective dans le cadre du plafond applicable.

Obligations clés

• Éviter les pratiques interdites (Article 5) : Tout déploiement ou mise sur le marché de systèmes d'IA impliqués dans des pratiques énumérées à l'Article 5 — notamment l'identification biométrique à distance en temps réel dans des espaces accessibles au public (en dehors des exceptions listées), la notation sociale, la manipulation subliminale et l'exploitation de vulnérabilités — expose l'opérateur au niveau de sanction le plus élevé.
• Remplir les obligations des fournisseurs pour les systèmes d'IA à haut risque : Les fournisseurs doivent maintenir des évaluations de conformité, une documentation technique, des systèmes de management de la qualité et une surveillance après mise sur le marché. Tout manquement dans ces domaines est soumis à l'amende du niveau intermédiaire.
• Se conformer aux obligations relatives aux modèles GPAI (Chapitre V) : Les fournisseurs de modèles d'IA à usage général doivent satisfaire aux obligations de transparence, de documentation et de politique en matière de droits d'auteur ; les fournisseurs de modèles GPAI présentant un risque systémique font face à des exigences supplémentaires concernant le signalement des incidents, les évaluations des modèles et les mesures de cybersécurité.
• Fournir des informations exactes aux autorités : Tous les opérateurs doivent coopérer avec les autorités nationales de surveillance du marché et le Bureau de l'IA, et ne doivent pas fournir d'informations incorrectes ou trompeuses lors des enquêtes ou des procédures de conformité.
• Assurer une conformité proportionnée pour les PME : Bien que les PME bénéficient d'une prise en compte de la proportionnalité dans la fixation des amendes, elles ne sont pas exemptes des obligations de fond — elles doivent toujours se conformer aux exigences applicables et sont soumises à l'exécution.
• Maintenir des pistes d'audit internes : Étant donné que les amendes peuvent être modulées par le degré de coopération et les actions correctives prises, les organisations doivent conserver des preuves des étapes de conformité, des procédures de réponse aux incidents et de l'engagement de bonne foi avec les régulateurs.

Relation avec d'autres articles

L'Article 99 ne peut pas être lu de manière isolée — il est l'expression coercitive des obligations définies tout au long du Règlement.

Les liens les plus directs sont avec l'Article 5 (pratiques interdites, déclenchant le niveau de sanction le plus élevé) et les Articles 8–15 (exigences pour les systèmes d'IA à haut risque, principale source de violations du niveau intermédiaire). Les Articles 53–56 (obligations GPAI) alimentent la structure des sanctions pour les fournisseurs de modèles de fondation. L'Article 71 (base de données de l'UE pour les systèmes d'IA à haut risque) est une obligation d'enregistrement dont la violation est couverte par le niveau intermédiaire.

L'Article 100 est la disposition parallèle pour les institutions et organes de l'Union, appliquant un régime de sanctions parallèle administré par le Contrôleur européen de la protection des données plutôt que par les autorités nationales.

L'Article 98 (sanctions pour non-conformité des organismes notifiés) et l'Article 101 (délégation de pouvoir concernant les amendes pour les fournisseurs GPAI) se trouvent immédiatement adjacents dans le chapitre sur les sanctions et doivent être lus conjointement avec l'Article 99 pour avoir une vision complète de l'architecture coercitive du Règlement. Les Articles 74–79 (surveillance du marché et exécution) définissent le cadre procédural dans lequel les amendes de l'Article 99 sont imposées.

Calendrier de conformité

Le Règlement IA de l'UE est entré en vigueur le 2 août 2024 (vingt jours après sa publication au Journal officiel). L'Article 99 lui-même est devenu applicable le 2 août 2025, à la suite de la période transitionnelle de douze mois prévue à l'Article 113(2).

Le calendrier d'application progressive est un contexte essentiel pour comprendre quand l'exposition aux sanctions s'attache aux différentes obligations :

• 2 février 2025 — Les dispositions relatives aux interdictions (Article 5) sont devenues applicables, ce qui signifie que les violations des pratiques d'IA interdites sont soumises au niveau d'amende 7 %/35 millions d'euros depuis cette date.
• 2 août 2025 — Date d'applicabilité générale pour la plupart du Règlement, y compris l'Article 99 lui-même, les obligations relatives aux modèles GPAI (Chapitre V) et le cadre de gouvernance. Les niveaux d'amende 3 %/15 millions d'euros et 1 %/7,5 millions d'euros sont devenus opérationnels à compter de cette date.
• 2 août 2028 — Les systèmes d'IA à haut risque couverts par l'Annexe I (législation d'harmonisation de l'Union existante) doivent se conformer à l'ensemble des exigences pour les systèmes à haut risque, rendant les obligations des fournisseurs au titre des Articles 8–15 exécutoires avec une exposition aux amendes.
• 2 décembre 2027 — Les systèmes d'IA à haut risque listés à l'Annexe III qui étaient déjà sur le marché avant le 2 août 2024 doivent se conformer, achevant la mise en conformité progressive des déploiements à haut risque existants.

Les organisations doivent cartographier leur portefeuille d'IA par rapport à ces dates afin de déterminer leur exposition actuelle et future aux sanctions au titre de l'Article 99.