Le règlement (UE) 2024/1689, dit AI Act, consacre son chapitre XII aux sanctions. Il fixe des plafonds d’amendes administratives et laisse à chaque État membre le soin d’organiser le reste : quelle autorité contrôle, quelles mesures non financières (avertissements, injonctions) elle peut prendre, et selon quelle procédure. Les montants ci-dessous sont ceux du texte publié sur EUR-Lex, tel que modifié par le règlement (UE) 2026/1744 dit « omnibus numérique », entré en vigueur le 27 juillet 2026. Ce sont des maximums : une autorité peut aussi décider de ne pas infliger d’amende.
Les trois niveaux d’amende de l’article 99
| Manquement | Plafond général | Exemples concrets |
|---|---|---|
| Recours à une pratique d’IA interdite (article 5) | 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial de l’exercice précédent, le plus élevé des deux | Déduire les émotions des salariés sur le lieu de travail, notation sociale, manipulation exploitant les vulnérabilités |
| Non-respect des obligations des opérateurs (fournisseurs, mandataires, importateurs, distributeurs, déployeurs) et des obligations de transparence (article 50) | 15 millions d’euros ou 3 %, le plus élevé des deux | Agent conversationnel qui ne dit pas qu’il est une IA, hypertrucage diffusé sans être signalé, système à haut risque utilisé sans la supervision humaine prévue |
| Informations inexactes, incomplètes ou trompeuses fournies aux organismes notifiés ou aux autorités qui les demandent | 7,5 millions d’euros ou 1 %, le plus élevé des deux | Réponse approximative à une demande de l’autorité sur les outils utilisés |
Deux régimes à part complètent l’article 99. L’article 100 vise les institutions et organes de l’Union, sanctionnés par le Contrôleur européen de la protection des données (jusqu’à 1,5 million d’euros pour une pratique interdite). L’article 101 vise les fournisseurs de modèles d’IA à usage général, ceux qui conçoivent les grands modèles de langage : c’est la Commission européenne qui peut leur infliger jusqu’à 3 % du chiffre d’affaires annuel mondial ou 15 millions d’euros. Une PME qui utilise ChatGPT, Claude ou Gemini n’est pas concernée par cet article : il pèse sur l’éditeur du modèle.
À noter : l’obligation de maîtrise de l’IA de l’article 4, souvent présentée comme la première obligation des entreprises, ne figure pas dans la liste de l’article 99, paragraphe 4. Elle relève du régime général que chaque État membre doit fixer. Ce n’est pas une raison pour l’ignorer : c’est l’une des premières choses qu’une autorité regardera. Notre guide sur l’article 4.
Le plafond réduit pour les PME
Pour les grandes entreprises, le plafond retenu est le plus élevé des deux montants. Pour les PME, y compris les jeunes pousses, c’est l’inverse : chaque amende est plafonnée au plus faible des deux, pourcentage ou montant fixe (article 99, paragraphe 6). Est une PME, au sens du règlement, l’entreprise qui répond à la définition de la recommandation européenne 2003/361/CE.
Concrètement, pour une PME qui a réalisé 5 millions d’euros de chiffre d’affaires mondial sur l’exercice précédent, le calcul donne :
- Pratique interdite : 7 % de 5 millions, soit un plafond de 350 000 €, puisque ce montant est plus faible que 35 millions.
- Manquement aux obligations d’opérateur ou de transparence : 3 %, soit un plafond de 150 000 €.
- Informations inexactes : 1 %, soit un plafond de 50 000 €.
L’omnibus de juillet 2026 a ajouté une catégorie intermédiaire, les petites entreprises à moyenne capitalisation, ces entreprises qui ont dépassé les seuils de la PME. Pour elles aussi, le plafond est désormais le plus faible des deux montants, mais seulement pour les amendes des paragraphes 4 et 5 : une pratique interdite reste sanctionnée au plus élevé des deux. L’omnibus a également demandé aux États de tenir compte des intérêts et de la viabilité économique de ces entreprises lorsqu’ils sanctionnent.
Qui peut être sanctionné
Le règlement sanctionne des opérateurs, c’est-à-dire des rôles, pas des tailles d’entreprise. Une même PME peut en tenir plusieurs :
- Déployeur : vous utilisez un système d’IA dans votre activité (un assistant, un outil de recrutement, un agent de support). C’est le cas de la plupart des PME. Vos obligations : ne pas recourir aux pratiques interdites, respecter la transparence qui vous incombe, et, pour un système à haut risque, les obligations de l’article 26 (utilisation conforme à la notice, supervision humaine par des personnes compétentes, surveillance du fonctionnement).
- Fournisseur : vous développez un système d’IA, ou le faites développer, et le mettez sur le marché ou en service sous votre nom. Une PME qui construit son propre agent conversationnel sur une API et l’ouvre à ses clients doit vérifier si elle est dans ce cas, car l’obligation d’informer qu’on parle à une IA pèse d’abord sur le fournisseur.
- Importateur ou distributeur : vous revendez ou intégrez un système d’IA d’un tiers, notamment hors de l’Union.
Depuis l’omnibus, les obligations de l’article 25, paragraphes 2 et 4 (le partage d’informations entre un fournisseur et celui qui reprend ou modifie substantiellement un système à haut risque) sont aussi passibles du deuxième niveau d’amende.
Depuis quand les sanctions s’appliquent
Le chapitre XII sur les sanctions s’applique depuis le 2 août 2025, à l’exception de l’article 101, applicable avec le reste du règlement le 2 août 2026 (article 113). Mais une amende ne peut porter que sur une obligation déjà applicable :
- Depuis le 2 février 2025 : les pratiques interdites de l’article 5.
- Depuis le 2 août 2026 : l’application générale, dont les obligations de transparence de l’article 50. Ce qu’elles imposent pour un chatbot et des contenus générés.
- 2 décembre 2027 et 2 août 2028 : les systèmes à haut risque (annexe III, puis annexe I), après le report décidé par l’omnibus.
Le détail de chaque échéance est dans notre calendrier de l’AI Act.
Qui sanctionnera en France
L’article 99 laisse aux États membres le soin de fixer le régime des sanctions et de désigner les autorités compétentes. Pour la France, voici ce qu’indiquent les sources officielles au 30 octobre 2026 :
- Le schéma du Gouvernement, publié le 9 septembre 2025 par la Direction générale des entreprises : la DGCCRF coordonne les autorités de surveillance du marché et sert de point de contact unique, la DGE assure la coordination stratégique et représente la France au Comité européen de l’IA, la CNIL contrôle la plupart des pratiques interdites et la majorité des systèmes à haut risque de l’annexe III (biométrie, emploi, éducation…), l’Arcom intervient sur certaines pratiques interdites et la transparence des contenus, l’ACPR sur les usages financiers et d’assurance. La page précise que ce schéma sera mis en œuvre « sous réserve qu’il soit accepté par le Parlement ».
- Le projet de loi d’adaptation au droit de l’Union européenne (n° 118, déposé au Sénat le 10 novembre 2025) porte ce volet. Le Sénat l’a adopté en première lecture le 18 février 2026, avec des amendements du Gouvernement confiant notamment à la CNIL des missions de surveillance du marché et de sanction. Le texte a été transmis à l’Assemblée nationale le 20 février 2026. Le dossier législatif du Sénat, consulté le 30 octobre 2026, ne mentionne ni adoption définitive ni promulgation.
Autrement dit, la répartition des rôles est connue dans ses grandes lignes, mais la loi qui l’arrête n’est pas encore publiée. Cela ne suspend pas les obligations du règlement, qui s’applique directement dans chaque État membre. Et quel que soit le schéma final, la CNIL reste compétente pour le RGPD, dont les amendes (jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires mondial) s’appliquent déjà à tout usage de l’IA qui traite des données personnelles. Nos repères IA et RGPD.
Comment le montant est fixé
L’article 99, paragraphe 7, liste les éléments que l’autorité prend en compte pour décider s’il y a lieu d’infliger une amende, puis pour en fixer le montant. Plusieurs dépendent directement de ce que l’entreprise a mis en place avant le contrôle :
- la nature, la gravité et la durée du manquement, le nombre de personnes touchées et le dommage subi ;
- la taille, le chiffre d’affaires et la part de marché de l’opérateur ;
- le degré de responsabilité, compte tenu des mesures techniques et organisationnelles mises en œuvre ;
- le degré de coopération avec l’autorité et la manière dont elle a eu connaissance du manquement, notamment si l’entreprise l’a elle-même notifié ;
- le caractère délibéré ou la négligence, et les mesures prises pour atténuer le préjudice ;
- les amendes déjà infligées pour les mêmes faits par d’autres autorités.
Le règlement exige des sanctions « effectives, proportionnées et dissuasives ». Il prévoit aussi des garanties de procédure et un recours juridictionnel effectif contre chaque décision.
Ce qu’une PME doit faire dès maintenant
Pour une entreprise qui utilise des outils d’IA du marché, la protection la plus efficace est un dossier court et à jour, qui montre les mesures prises. Dans l’ordre :
- Inventorier les usages réels, service par service, y compris les comptes personnels utilisés sans cadre (le shadow IA), et noter pour chacun votre rôle : déployeur ou fournisseur.
- Écarter toute pratique interdite : aucune déduction des émotions des salariés, aucune notation sociale, aucun outil qui manipule ou exploite une vulnérabilité.
- Vérifier la transparence : un agent qui répond à vos clients doit se présenter comme une IA, sauf si c’est évident ; un contenu de type hypertrucage que vous diffusez doit être signalé.
- Repérer les usages à haut risque avant le 2 décembre 2027, en priorité le tri de candidats et l’évaluation des salariés, et interroger dès maintenant les éditeurs de ces logiciels.
- Former et garder la trace : une charte d’usage, une sensibilisation des équipes datée, un responsable désigné pour répondre à une demande de l’autorité. Notre formation Littératie IA & AI Act couvre ces points en une journée, sur les outils de l’entreprise.
Le point de départ pour une petite structure est résumé dans notre guide de l’AI Act pour les TPE et PME.
Ce guide est un repère de vulgarisation au 30 octobre 2026, pas un avis juridique. Les versions qui font foi sont celles publiées sur EUR-Lex et, pour la France, la loi qui sera publiée au Journal officiel.