Les amendes de l'AI Act se répartissent en trois paliers : 35 M€ ou 7 % du chiffre d'affaires pour les pratiques interdites, 15 M€ ou 3 % pour la plupart des manquements, 7,5 M€ ou 1 % pour les informations trompeuses.
Les trois paliers de sanction en un tableau
L'AI Act fixe les amendes maximales à l'article 99. Le palier dépend de l'obligation méconnue, pas de l'ampleur du dommage causé.
| Palier | Amende maximale | Ce qui le déclenche |
|---|---|---|
| Pratiques interdites | 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial total, le montant le plus élevé étant retenu | Manquement aux interdictions de l'article 5 : techniques manipulatrices, exploitation de vulnérabilités, notation sociale, moissonnage non ciblé d'images faciales, inférence d'émotions au travail ou à l'école, et la plupart des identifications biométriques à distance en temps réel dans les espaces publics |
| La plupart des autres obligations | 15 millions d'euros ou 3 % | Obligations du fournisseur (art. 16), mandataires (art. 22), importateurs (art. 23), distributeurs (art. 24), déployeurs (art. 26), organismes notifiés, et obligations de transparence de l'article 50 |
| Informations inexactes | 7,5 millions d'euros ou 1 % | Fourniture d'informations inexactes, incomplètes ou trompeuses aux organismes notifiés ou aux autorités nationales compétentes en réponse à une demande |
Le pourcentage se calcule sur le chiffre d'affaires annuel mondial total de l'entreprise au cours de l'exercice précédent, non sur le chiffre d'affaires réalisé dans l'Union et non sur les revenus du produit concerné.
La règle PME fonctionne à l'envers
C'est le détail que la plupart des synthèses manquent. Pour les entreprises ordinaires, l'amende est le plus élevé des deux montants. Pour les PME et les jeunes pousses, l'article 99 retient le plus faible.
L'effet pratique est considérable :
- Un groupe réalisant 10 milliards d'euros de chiffre d'affaires et méconnaissant l'article 5 s'expose à 7 % — 700 millions d'euros, très au-dessus des 35 millions.
- Une start-up réalisant 2 millions d'euros de chiffre d'affaires et méconnaissant le même article s'expose à 7 % de 2 millions — 140 000 euros, très en dessous des 35 millions.
Le chiffre affiché de « 35 millions d'euros » est donc quasiment dépourvu de sens pour les petites structures, et très en dessous de la réalité pour les grandes. Calculez toujours les deux montants avant d'annoncer une exposition.
Qui applique quoi
Trois chaînes de contrôle distinctes fonctionnent en parallèle, et elles sont fréquemment confondues.
Article 99 — les autorités nationales de surveillance du marché. Chaque État membre désigne les autorités qui supervisent les opérateurs sur son territoire et fixe le régime de sanction, dans les limites ci-dessus. Les États membres devaient notifier leurs règles à la Commission. Les plafonds étant des maxima et non des montants fixes, l'exposition réelle varie d'un pays à l'autre — voir le suivi de la transposition nationale.
Article 100 — le Contrôleur européen de la protection des données. Les institutions, organes et organismes de l'Union entrent dans le champ de l'AI Act, mais pas dans celui du contrôle national. Le CEPD peut infliger des amendes administratives allant jusqu'à 1 500 000 euros pour les manquements aux interdictions de l'article 5 et jusqu'à 750 000 euros pour les autres manquements. L'échelle est délibérément bien inférieure à celle applicable aux opérateurs privés.
Article 101 — la Commission, via le Bureau de l'IA. Les fournisseurs de modèles d'IA à usage général répondent devant la Commission et non devant les autorités nationales. La Commission peut infliger des amendes allant jusqu'à 15 millions d'euros ou 3 % du chiffre d'affaires annuel mondial. Ce pouvoir s'est activé le 2 août 2026.
Depuis quand les sanctions s'appliquent
Le cadre de sanction n'est pas arrivé avec le reste du règlement. Il s'est déployé par étapes :
- 2 février 2025 — les interdictions de l'article 5 ont pris effet, mais la machinerie de sanction n'était pas encore applicable.
- 2 août 2025 — l'article 99 est devenu applicable, en même temps que l'architecture de gouvernance et les obligations GPAI. À partir de cette date, les autorités nationales ont pu sanctionner.
- 2 août 2026 — les pouvoirs de contrôle de la Commission sur les fournisseurs de modèles d'IA à usage général au titre de l'article 101 se sont activés.
Le Digital Omnibus de 2026 a reporté les obligations de fond applicables aux systèmes à haut risque au 2 décembre 2027 (annexe III) et au 2 août 2028 (annexe I). Il n'a reporté ni les interdictions ni le régime de sanction — une distinction qu'il vaut la peine de vérifier contre le calendrier complet et le relevé des modifications.
Ce que le régulateur pèse avant de sanctionner
L'article 99 impose aux autorités de tenir compte, entre autres facteurs :
- de la nature, de la gravité et de la durée du manquement, ainsi que du nombre de personnes affectées ;
- de la question de savoir si le même opérateur a déjà été sanctionné pour le même manquement par une autre autorité ;
- de la taille, du chiffre d'affaires annuel et de la part de marché de l'opérateur ;
- du caractère intentionnel ou négligent du manquement ;
- de toute mesure prise pour atténuer le dommage ;
- du degré de coopération avec les autorités ;
- de la manière dont l'autorité a eu connaissance du manquement, et en particulier de la question de savoir si l'opérateur l'a signalé.
Ce dernier point compte opérationnellement : l'auto-signalement est une circonstance atténuante explicite.
Réduire l'exposition en pratique
L'exposition aux sanctions est d'abord une fonction de la justesse de la classification. La plupart des organisations ne risquent pas le palier à 7 % — les interdictions de l'article 5 sont étroites et visent largement des pratiques qu'aucune entreprise conforme n'envisage. L'exposition réaliste se situe au palier à 3 %, et elle découle de trois questions :
- Exploitons-nous un système à haut risque sans le savoir ? Les cas d'usage de l'annexe III en recrutement, scoring de crédit, éducation et services essentiels attrapent beaucoup de systèmes qui n'ont jamais été décrits en interne comme de l'« IA ». Partez de la classification haut risque plutôt que de l'étiquette du fournisseur.
- Sommes-nous fournisseur ou déployeur ? Les jeux d'obligations diffèrent nettement, et modifier un système ou le mettre sur le marché sous son propre nom transforme un déployeur en fournisseur. Voir fournisseurs et déployeurs.
- Pouvons-nous prouver notre conformité ? Le palier à 7,5 millions d'euros sanctionne les mauvaises réponses au régulateur, indépendamment du manquement sous-jacent. La documentation technique, les journaux et la piste de conformité sont ce qui transforme une position défendable en position démontrable.
Déroulez la checklist de conformité pour situer votre position, et utilisez l'estimateur de sanction pour modéliser l'exposition au regard de votre propre chiffre d'affaires.
Contenu éditorial, ne constitue pas un conseil juridique.
Calendrier officiel de conformité AI Act
Mis à jour le · Sources : Règlement (UE) 2024/1689 et Digital Omnibus AI 2026.
| Obligation | S'applique à | Date initiale | Nouvelle date | Statut | Compte à rebours | Base légale |
|---|---|---|---|---|---|---|
| Pratiques interdites (Art. 5) | Tous les fournisseurs et déployeurs | active | — | AI Act Art. 5 | ||
| Règles GPAI (chapitre 5) | Fournisseurs de modèles GPAI | active | — | AI Act Art. 51-56 | ||
| Pouvoirs de sanction de la Commission sur les modèles GPAI | Fournisseurs de modèles GPAI | active | — | AI Act Art. 88-94, 101 | ||
| Obligations de transparence (Art. 50) | Fournisseurs et déployeurs de chatbots, IA générative, reconnaissance des émotions | active | — | AI Act Art. 50 | ||
| Nouvelle interdiction Art. 5 (pédopornographie / contenus intimes non consentis) | Fournisseurs et déployeurs de systèmes d'IA générative | active | — | Omnibus AI 2026 Art. 5 | ||
| Marquage contenu IA (transparence) | Fournisseurs de systèmes d'IA générative sur le marché avant le 2 août 2026 | active | — | AI Act Art. 50(2) — transitoire | ||
| Bacs à sable réglementaires | Autorités nationales compétentes | deferred | — | Omnibus AI 2026 Art. 57 | ||
| IA à haut risque — Annexe III (autonomes) | Fournisseurs de systèmes autonomes Annexe III | deferred | — | Omnibus AI 2026 Art. 6(2) | ||
| IA à haut risque — Annexe I (embarquée) | Systèmes IA embarqués dans produits réglementés Annexe I | deferred | — | Omnibus AI 2026 Art. 6(1) |
⬇ Télécharger JSON · CC BY 4.0
Convergence AI Act – DORA – NIS2
Votre organisation est-elle soumise à la fois à l'AI Act et à DORA ? Les deux règlements se croisent sur la résilience opérationnelle des systèmes d'IA financiers. Notre site jumeau regulation-dora.eu couvre DORA en profondeur — et détaille ce que l'AI Act ajoute par-dessus un programme DORA existant.
L'AI Act pour les institutions financières ↗ Explorer regulation-dora.eu ↗Questions fréquentes
Le maximum est de 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial total, le montant le plus élevé étant retenu. Ce palier supérieur ne vise que les manquements aux pratiques interdites de l'article 5. La plupart des autres infractions relèvent du palier de 15 millions d'euros ou 3 %.
Oui, et le mécanisme est inhabituel. Pour les PME et les jeunes pousses, le plafond est celui des deux montants qui est le PLUS FAIBLE, et non le plus élevé. Une start-up réalisant 2 millions d'euros de chiffre d'affaires et exposée au palier supérieur est donc plafonnée à 7 % de 2 millions d'euros, pas à 35 millions.
Le cadre de sanction de l'article 99 est devenu applicable le 2 août 2025, en même temps que l'architecture de gouvernance et les obligations GPAI. Le pouvoir distinct de la Commission de sanctionner les fournisseurs de modèles d'IA à usage général au titre de l'article 101 s'est activé le 2 août 2026.
Les autorités nationales de surveillance du marché désignées par chaque État membre appliquent l'article 99 aux opérateurs privés. Le Contrôleur européen de la protection des données applique l'article 100 aux institutions de l'Union. La Commission, via le Bureau de l'IA, applique l'article 101 aux fournisseurs de modèles d'IA à usage général.
Non. Le règlement (UE) 2026/1744 a reporté les obligations de fond applicables aux systèmes à haut risque — annexe III au 2 décembre 2027, annexe I au 2 août 2028. Il n'a reporté ni les interdictions de l'article 5, ni le régime de sanction lui-même, ni les obligations de transparence de l'article 50.
Restez informé des évolutions AI Act
Recevez les alertes compliance quand les délais ou obligations changent.
Pas de spam. Désabonnement en un clic.
Passez à la pratique avec l'Academy AI Act
Cours gratuit, examen corrigé sur serveur, certificat vérifiable — et les templates de travail.