IA ACT

Sanctions de l'AI Act : montants, qui est exposé, comment s'y préparer

Les sanctions de l'AI Act sont calées sur le chiffre d'affaires mondial. Mais le coût le plus fréquent de la non-conformité n'est pas l'amende.

Research Lab NoolyaPublié le 24 août 20268 min

L'AI Act prévoit trois paliers d'amendes administratives, calculés sur le chiffre d'affaires annuel mondial et non sur le chiffre d'affaires local. Le montant le plus élevé entre le plafond fixe et le pourcentage est retenu — sauf pour les PME et jeunes pousses, pour lesquelles c'est le montant le plus bas qui s'applique.

Les pouvoirs de sanction sont effectifs depuis le 2 août 2026.

Quels sont les trois paliers ?

Palier	Manquement visé	Plafond
1	Pratiques interdites de l'article 5	35 M€ ou 7 % du CA mondial
2	Obligations des opérateurs : systèmes à haut risque, modèles à usage général, transparence	15 M€ ou 3 % du CA mondial
3	Informations incorrectes, incomplètes ou trompeuses fournies aux autorités	7,5 M€ ou 1 % du CA mondial

Le troisième palier est le plus révélateur de l'esprit du texte : mal répondre à une autorité est sanctionné en soi, indépendamment de la conformité du système. Une entreprise conforme mais incapable de le démontrer, ou qui produit une documentation approximative, s'expose de son propre chef.

Pour la grande majorité des entreprises, c'est le palier 2 qui compte. Le palier 1 ne concerne que les pratiques prohibées, que peu d'organisations déploient sciemment — la reconnaissance des émotions au travail étant l'exception à surveiller.

Le régime des PME change-t-il quelque chose ?

Oui, et de façon significative. L'article 99 prévoit que pour les PME, y compris les jeunes pousses, c'est le plus bas des deux plafonds qui s'applique, là où les grandes entreprises se voient appliquer le plus élevé.

Concrètement, pour un manquement de palier 2 : une entreprise de 800 millions d'euros de chiffre d'affaires risque jusqu'à 24 millions (3 %), tandis qu'une PME de 5 millions risque au maximum 150 000 euros (3 % de son chiffre d'affaires), et non 15 millions.

Ce mécanisme rend la sanction proportionnée, mais il ne la rend pas anodine : 150 000 euros restent une somme considérable pour une structure de cette taille, et les autorités disposent d'autres leviers que l'amende — mise en demeure, restriction, retrait du marché.

Qui prononce les sanctions, et sur quels critères ?

En France, les autorités nationales de surveillance du marché sont compétentes. Le montant tient compte de plusieurs facteurs : la nature et la gravité du manquement, sa durée, le nombre de personnes affectées, le caractère intentionnel ou négligent, les mesures prises pour atténuer le préjudice, la coopération avec l'autorité, et les manquements antérieurs.

Deux de ces critères sont directement sous votre contrôle et pèsent lourd. Les mesures prises : une organisation qui a documenté ses systèmes, identifié un écart et engagé une remédiation se présente très différemment de celle qui découvre le sujet lors du contrôle. La coopération : produire rapidement un registre, une classification justifiée et des journaux exploitables change la nature de l'échange.

C'est pourquoi la documentation n'est pas seulement une obligation : c'est le principal facteur atténuant à votre disposition.

Le coût réel de la non-conformité n'est pas l'amende

Pour la plupart des entreprises, l'amende est le risque le moins probable et le moins coûteux. Trois autres coûts se matérialisent bien plus souvent.

L'appel d'offres perdu. Les questionnaires de sécurité des grands comptes intègrent désormais des questions IA : quels systèmes, quelle classification, quelle supervision, quelle localisation des données. Une réponse vide élimine, sans procédure ni recours.

Le déploiement suspendu. Un projet arrivé en production dont le juridique découvre tardivement qu'il touche à l'évaluation des collaborateurs. Le coût est celui du projet déjà engagé, plus le délai.

Le fournisseur à remplacer en urgence. Un prestataire incapable de produire la documentation exigible devient un point de blocage, et le changer sous contrainte de délai coûte toujours plus cher que de l'avoir évalué en amont.

Ces trois coûts se réalisent aujourd'hui, pas en décembre 2027. Ils ne dépendent d'aucune échéance réglementaire, seulement de la maturité de vos clients et de vos partenaires.

Que faire concrètement pour réduire l'exposition ?

Cinq actions, par ordre de rendement décroissant.

Inventorier. Sans registre, aucune des quatre suivantes n'est possible, et l'absence d'inventaire est en soi un facteur aggravant.
Vérifier l'absence de pratique interdite. C'est le seul palier à 7 %, et le contrôle prend une journée : passer en revue les outils touchant à la biométrie, à l'analyse d'émotions et à la catégorisation de personnes.
Couvrir les deux obligations déjà dues : littératie des utilisateurs et transparence. Elles sont visibles de l'extérieur, donc faciles à contrôler.
Documenter la classification de chaque système, avec le raisonnement. C'est ce qui transforme une négligence en diligence.
Ouvrir un circuit d'incident. Savoir qui prévenir et sous quel délai évite que le premier incident devienne le premier manquement.

Questions fréquentes

Les sanctions s'appliquent-elles déjà ? Les pouvoirs de sanction sont effectifs depuis le 2 août 2026. Ce qui a été reporté par le règlement omnibus de juillet 2026, ce sont les obligations de fond des systèmes à haut risque de l'annexe III, désormais applicables au 2 décembre 2027. Les interdictions, les obligations des modèles à usage général, la transparence et la littératie sont, elles, déjà exigibles.

Une entreprise hors Union européenne est-elle exposée ? Oui, dès lors que les résultats de son système sont utilisés dans l'Union. Le critère est l'usage sur le territoire, pas le lieu d'établissement. Un fournisseur hors UE doit d'ailleurs désigner un mandataire dans l'Union.

Le fournisseur et le déployeur peuvent-ils être sanctionnés pour le même fait ? Ils répondent d'obligations distinctes. Un fournisseur qui livre un système non conforme et un déployeur qui l'utilise hors de sa destination prévue commettent deux manquements différents, chacun sanctionnable. Le contrat peut organiser la répartition des responsabilités entre eux, mais il n'est pas opposable à l'autorité.

Une assurance couvre-t-elle ce risque ? Les amendes administratives sont généralement inassurables en droit français. Certaines polices de responsabilité civile professionnelle couvrent les frais de défense et les conséquences civiles d'un dommage causé par un système, mais pas la sanction elle-même. C'est un point à vérifier explicitement avec son courtier plutôt qu'à supposer.

Conclusion

Les montants font les titres, mais ils ne devraient pas piloter votre décision. Ce qui pilote, c'est que la documentation exigée par le règlement est aussi ce que vos clients commencent à demander, et ce qui vous protège en cas de contrôle.

Autrement dit : le travail à faire pour éviter la sanction est le même que celui qui gagne des appels d'offres. C'est rarement le cas en matière de conformité, et cela mérite d'être dit.

Pour situer ce sujet dans une démarche complète, Noolya détaille l'audit de conformité IA et l'AI Act.