AI Act : les sanctions pour les entreprises, ce que vous risquez vraiment
Que risque vraiment une entreprise qui ne respecte pas l'AI Act ? Les amendes vont jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial pour les usages d'IA interdits, 15 millions d'euros ou 3 % pour les autres manquements, et 7,5 millions d'euros ou 1 % pour de fausses informations aux autorités. Ce régime de sanctions du règlement (UE) 2024/1689 devient applicable le 2 août 2026. Voici les trois niveaux, qui les prononce, et pourquoi les montants affichés ne racontent qu'une partie de l'histoire.
En bref
- L'AI Act prévoit trois niveaux d'amende : 35 M€ ou 7 % du chiffre d'affaires mondial, 15 M€ ou 3 %, et 7,5 M€ ou 1 %, selon la gravité du manquement.
- Pour une entreprise, c'est le montant le plus élevé des deux qui s'applique. Pour une PME ou une jeune pousse, c'est au contraire le plus faible.
- L'obligation de formation de l'article 4 n'a pas d'amende dédiée : le risque est un manquement constaté et des mesures correctives, pas une amende directe.
- Le régime devient applicable le 2 août 2026. Le contrôle relève des autorités nationales de surveillance du marché, pas de la CNIL.
Source : Journal officiel de l'Union européenneLes trois niveaux de sanction
L'article 99 du règlement organise les amendes en trois tranches, de la plus lourde à la plus légère. La logique est simple : plus le manquement met en danger les droits des personnes, plus la sanction est élevée.
1. Pratiques interdites : 35 M€ ou 7 %.C'est la tranche maximale. Elle vise les usages d'IA proscrits par l'article 5 : notation sociale, manipulation, exploitation des vulnérabilités, certaines identifications biométriques. L'amende peut atteindre 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu.
2. Autres obligations : 15 M€ ou 3 %.C'est la tranche qui concerne le plus d'entreprises. Elle couvre les manquements aux obligations des fournisseurs et des déployeurs, y compris l'obligation de transparence de l'article 50 (signaler un chatbot, un deepfake, un contenu généré). Le plafond est de 15 millions d'euros ou 3 % du chiffre d'affaires mondial.
3. Fausses informations : 7,5 M€ ou 1 %.Fournir des informations incorrectes, incomplètes ou trompeuses aux autorités ou aux organismes notifiés expose à une amende pouvant atteindre 7,5 millions d'euros ou 1 % du chiffre d'affaires mondial.
Le piège du « montant le plus élevé »
Pour une grande entreprise, chaque plafond retient le montant le plus élevé entre la somme fixe et le pourcentage. Pour une PME ou une jeune pousse, le règlement inverse la règle : c'est le montant le plus faible qui s'applique. Une TPE ne risque donc pas mécaniquement 35 millions d'euros. C'est une protection réelle, mais pas un blanc-seing : l'amende reste dissuasive à l'échelle d'une petite structure, et elle s'ajoute au coût de la mise en conformité forcée.
Le cas de l'article 4 sur la formation
C'est une nuance importante et souvent mal comprise. L'obligation de littératie IA de l'article 4, celle qui impose de former les personnes qui utilisent l'IA, ne figure pas dans la liste des manquements assortis d'une amende à l'article 99. Il n'existe donc pas d'amende directe « pour défaut de formation ». Cela ne veut pas dire qu'on peut l'ignorer. Une autorité de surveillance peut constater le manquement et ordonner des mesures correctives. Surtout, une équipe non formée multiplie les risques de tomber, elle, sous une tranche sanctionnée : un chatbot non signalé, un contenu généré non marqué, un usage à haut risque mal encadré. La formation n'est pas ce qui déclenche l'amende, c'est ce qui l'évite.
Qui contrôle, et depuis quand
Le régime de sanctions devient applicable le 2 août 2026. À partir de cette date, les autorités nationales de surveillance du marché, désignées par chaque État membre, peuvent contrôler et sanctionner. La CNIL n'est pas cette autorité pour l'AI Act : elle reste compétente sur le RGPD, donc sur les données personnelles, ce qui est un sujet distinct. Le règlement encadre aussi la fixation des amendes : les autorités doivent tenir compte de la gravité du manquement, de sa durée, de la taille de l'entreprise et de sa part de marché. Une sanction n'est pas automatique ni forfaitaire, elle est proportionnée.
Questions fréquentes
Quelle est l'amende maximale prévue par l'AI Act ?
L'amende la plus lourde vise les pratiques d'IA interdites par l'article 5 : jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. Les manquements aux autres obligations, comme la transparence de l'article 50, plafonnent à 15 millions d'euros ou 3 %. Fournir de fausses informations aux autorités expose à 7,5 millions d'euros ou 1 %.
Les sanctions de l'AI Act s'appliquent-elles aux PME ?
Oui, mais avec un plafond réduit. Pour les PME et les jeunes pousses, chaque amende est plafonnée au montant le plus faible entre la somme fixe et le pourcentage du chiffre d'affaires, alors que c'est le plus élevé qui s'applique aux grandes entreprises. Le règlement impose aussi de tenir compte de la taille et des intérêts de l'entreprise pour fixer la sanction.
Risque-t-on une amende si on n'a pas formé ses équipes à l'IA ?
L'obligation de littératie IA de l'article 4 n'a pas d'amende dédiée dans le règlement, contrairement aux pratiques interdites ou à la transparence. En cas de manquement, l'autorité nationale de surveillance du marché peut ordonner des mesures correctives à partir du 2 août 2026. Le vrai risque est indirect : sans équipes formées, les autres manquements sanctionnables deviennent bien plus probables.
Par où commencer
La meilleure protection contre les sanctions n'est pas de les connaître par coeur, c'est d'avoir pris des mesures et de pouvoir le prouver. Nos formations en ligne sur troie.app couvrent les usages de l'IA en entreprise avec un QCM par module et une attestation de formation vérifiable, qui documente les mesures prises au titre de l'article 4. Notre page sur l'AI Act résume les échéances, notre article sur les mesures concrètes de l'article 4 détaille quoi faire, et celui sur les contenus à signaler couvre la tranche des 15 M€. Premier pas simple : un audit gratuit de 30 minutes pour situer vos obligations réelles et votre exposition.
Sources : règlement (UE) 2024/1689 (AI Act), article 99 (sanctions) et article 101 (amendes pour les fournisseurs de modèles à usage général), EUR-Lex ; calendrier d'application publié par la Commission européenne (digital-strategy.ec.europa.eu). Faits vérifiés le 24 juillet 2026. Cette page est une synthèse pédagogique, pas un conseil juridique.