L'article 99 prévoit trois plafonds d'amendes pour les catégories de manquements qu'il énumère. Pour une entreprise, le pourcentage porte sur le chiffre d'affaires annuel mondial total de l'exercice précédent. Le plafond le plus élevé est retenu, sauf le régime des PME, y compris les jeunes pousses, prévu au paragraphe 6, et celui des petites entreprises à moyenne capitalisation prévu au paragraphe 6a pour les seuls manquements des paragraphes 4 et 5. Les fournisseurs de modèles GPAI relèvent aussi du régime distinct de l'article 101.
Le chapitre XII sur les sanctions s'applique depuis le 2 août 2025, sauf l'article 101 relatif aux fournisseurs de modèles GPAI, applicable depuis le 2 août 2026. L'exposition dépend aussi de la date d'application de l'obligation concernée.
Quels sont les trois paliers ?
| Palier | Manquement visé | Plafond |
|---|---|---|
| 1 | Pratiques interdites de l'article 5 | 35 M€ ou 7 % du CA mondial |
| 2 | Manquements énumérés à l'article 99(4) : notamment obligations des articles 16, 22 à 26 dans les limites citées, organismes notifiés et transparence de l'article 50 | 15 M€ ou 3 % du CA mondial |
| 3 | Informations incorrectes, incomplètes ou trompeuses fournies en réponse à une demande d'un organisme notifié ou d'une autorité nationale compétente — article 99(5) | 7,5 M€ ou 1 % du CA mondial |
Le troisième palier vise la fourniture d'informations incorrectes, incomplètes ou trompeuses en réponse à une demande d'un organisme notifié ou d'une autorité nationale compétente. L'article 99(5) définit ce manquement distinct ; il ne crée pas une amende générale pour toute communication imprécise.
Pour déterminer votre exposition, examinez les manquements du palier 2 et vérifiez séparément l'absence de pratiques prohibées. Si un usage touche à la reconnaissance des émotions au travail, contrôlez sa qualification et les conditions applicables.
Schéma : montants maximums par palier. Pour les PME et jeunes pousses, c'est le plafond le plus bas qui s'applique.
Le régime des PME change-t-il quelque chose ?
Pour les PME, y compris les jeunes pousses, l'article 99(6) retient le plus bas des deux plafonds des paragraphes 3, 4 et 5. L'article 99(6a) étend le plafond le plus bas aux petites entreprises à moyenne capitalisation pour les seuls paragraphes 4 et 5, pas pour les pratiques interdites du paragraphe 3. Ces règles ne doivent pas être étendues automatiquement au régime distinct des fournisseurs de modèles GPAI : l'article 101(1) prévoit des amendes de la Commission allant jusqu'à 3 % du chiffre d'affaires annuel mondial total de l'exercice précédent ou 15 millions d'euros, le montant le plus élevé étant retenu.
Concrètement, pour un manquement de palier 2 : une entreprise de 800 millions d'euros de chiffre d'affaires risque jusqu'à 24 millions (3 %), tandis qu'une PME de 5 millions risque au maximum 150 000 euros (3 % de son chiffre d'affaires), et non 15 millions.
Pour une structure de cette taille, évaluez l'effet d'une exposition de 150 000 euros ; vérifiez aussi les mesures autres que l'amende susceptibles de concerner votre usage.
Qui prononce les sanctions, et sur quels critères ?
Pour votre usage en France, identifiez l'autorité compétente. Le montant tient compte de plusieurs facteurs : la nature et la gravité du manquement, sa durée, le nombre de personnes affectées, le caractère intentionnel ou négligent, les mesures prises pour atténuer le préjudice, la coopération avec l'autorité, et les manquements antérieurs.
Deux critères méritent d'être préparés dans votre dossier. Les mesures prises : documentez vos systèmes, les écarts identifiés et les remédiations engagées. La coopération : préparez un registre, une classification justifiée et des journaux exploitables pour répondre aux demandes de l'autorité.
Préparez ces pièces pour pouvoir exposer votre démarche lors d'un contrôle, sans présumer de l'appréciation de l'autorité.
Quels autres coûts examiner ?
Évaluez les coûts possibles au-delà de l'amende, sans présumer de leur fréquence ni de leur montant. Trois situations peuvent être examinées.
L'appel d'offres perdu. Si un client demande des informations sur vos systèmes d'IA, préparez les éléments sur leur classification, leur supervision et la localisation des données. Vérifiez les conséquences d'une réponse incomplète dans les règles de l'appel d'offres.
Le déploiement suspendu. Un projet arrivé en production dont le juridique découvre tardivement qu'il touche à l'évaluation des collaborateurs. Le coût est celui du projet déjà engagé, plus le délai.
Le fournisseur à remplacer en urgence. Si un prestataire ne fournit pas la documentation nécessaire, examinez l'effet sur le projet et le coût d'un éventuel remplacement. Comparez ce scénario à une évaluation du fournisseur en amont.
Examinez ces scénarios dans vos décisions actuelles, sans attendre décembre 2027. Leur pertinence dépend des exigences de vos clients et partenaires.
Que faire concrètement pour réduire l'exposition ?
Cinq actions à adapter à vos usages et à prioriser selon les risques identifiés.
- Inventorier. Constituez un registre pour préparer les examens suivants et faciliter la présentation du dossier.
- Vérifier l'absence de pratique interdite. C'est le seul palier à 7 %. Pour une première revue, vous pouvez envisager une journée, à ajuster au périmètre : outils touchant à la biométrie, à l'analyse d'émotions et à la catégorisation de personnes.
- Examiner les obligations déjà applicables à l'usage : mesures de soutien à la maîtrise de l'IA selon l'article 4 et transparence dans les seules situations de l'article 50 concernées. Documenter le rôle, les conditions et les exceptions avant de conclure.
- Documenter la classification de chaque système, avec le raisonnement. Conservez les pièces permettant d'expliquer cette classification.
- Ouvrir un circuit d'incident. Précisez qui prévenir, sous quel délai et qui décide de suspendre le système.
Questions fréquentes
Les sanctions s'appliquent-elles déjà ? Le chapitre XII, qui comprend l'article 99, s'applique depuis le 2 août 2025, sauf l'article 101 relatif aux fournisseurs de modèles GPAI, applicable depuis le 2 août 2026. L'exposition dépend ensuite du manquement et de la date d'application de l'obligation concernée. L'article 113 distingue les nouvelles interdictions prévues au 2 décembre 2026 et les dates des sections 1 à 3 du chapitre III, hors article 6(5), au 2 décembre 2027 pour l'annexe III et au 2 août 2028 pour l'annexe I. Les transitions de l'article 111, notamment pour le marquage de l'article 50(2) et les modèles GPAI antérieurs, restent à examiner.
Une entreprise hors Union européenne est-elle exposée ? Vérifiez le champ d'application territorial et le rôle de l'entreprise avant de conclure à son exposition. L'obligation de mandataire doit être examinée dans son champ : systèmes à haut risque à l'article 22, modèles GPAI à l'article 54, avec l'exception de son paragraphe 6 pour certains modèles sous licence libre et ouverte ne présentant pas de risque systémique. Le calendrier et les transitions des articles 113 et 111 restent à vérifier.
Le fournisseur et le déployeur peuvent-ils être sanctionnés pour le même fait ? Examinez séparément les obligations du fournisseur et du déployeur, les faits reprochés et les dates applicables. Faites également vérifier la portée du contrat dans la répartition des responsabilités et face à l'autorité compétente.
Une assurance couvre-t-elle ce risque ? Vérifiez explicitement avec votre courtier ce que couvre votre contrat : frais de défense, conséquences civiles d'un dommage et éventuelle exclusion des amendes administratives. Faites confirmer les garanties et exclusions applicables, sans présumer que la sanction elle-même serait couverte.
Conclusion
Pour décider des actions à engager, examinez les exigences applicables et celles de vos clients. Préparez la documentation utile pour expliquer votre démarche en cas de contrôle.
Rapprochez, lorsque c'est pertinent, le dossier de conformité et les informations demandées dans les appels d'offres ; vérifiez les attentes de chaque client.
Pour situer ce sujet dans une démarche complète, Noolya détaille l'audit de conformité IA et l'AI Act.
Pour aller plus loin
- Audit de conformité IA : le guide complet AI Act 2026
- Classification des risques AI Act : les 4 niveaux
- Obligations du déployeur d'un système d'IA
Sources principales
