Sanctions AI Act : ce que risque votre entreprise

Quelles sont les sanctions prévues par l'AI Act ?

L'AI Act prévoit des amendes administratives à trois niveaux, selon la gravité. Le plafond le plus haut atteint 35 millions d'euros ou 7 % du chiffre d'affaires mondial annuel, le montant le plus élevé des deux étant retenu. Ces sanctions frappent d'abord les pratiques les plus dangereuses, pas les usages courants.

Le règlement européen sur l'IA ne se contente pas de fixer des règles : il donne du mordant à ces règles avec un régime d'amendes calqué sur celui du RGPD. La logique est simple, plus l'infraction touche des droits sensibles, plus la note grimpe.

Attention au chiffre de 35 millions qui fait les gros titres. Il vise le cas le plus grave, celui des pratiques d'IA tout simplement interdites. La majorité des entreprises françaises ne s'en approchera jamais.

Ce qui compte pour vous, c'est de savoir dans quelle case votre usage tombe. Un e-mail rédigé avec un assistant IA n'expose à rien. Un système de tri de candidats mal documenté, c'est une autre histoire.

Combien coûte concrètement une amende AI Act ?

Trois barèmes coexistent. Les pratiques interdites peuvent coûter jusqu'à 35 M€ ou 7 % du chiffre d'affaires. Le non-respect des autres obligations plafonne à 15 M€ ou 3 %. Fournir des informations fausses ou trompeuses aux autorités monte jusqu'à 7,5 M€ ou 1 %. Pour chaque cas, c'est le montant le plus élevé qui s'applique.

Voici les trois étages du barème, du plus lourd au plus léger :

• Pratiques interdites (article 5) : jusqu'à 35 M€ ou 7 % du chiffre d'affaires mondial. Notation sociale, manipulation, reconnaissance des émotions au travail.
• Autres manquements aux obligations : jusqu'à 15 M€ ou 3 %. Obligations des fournisseurs et déployeurs de systèmes à haut risque, défaut de transparence, gouvernance absente.
• Informations inexactes ou trompeuses fournies aux autorités : jusqu'à 7,5 M€ ou 1 %.
• Cas des PME et start-up : les plafonds retenus sont les mêmes en valeur, mais l'amende correspond au montant le plus bas des deux (montant fixe ou pourcentage), une protection expresse pour les petites structures.

Qui va contrôler l'application de l'AI Act ?

Chaque État membre désigne une ou plusieurs autorités nationales de surveillance chargées de contrôler et de sanctionner. En France, plusieurs régulateurs existants sont mobilisés, coordonnés au niveau européen par le Bureau de l'IA. Ce sont eux qui instruisent les plaintes, mènent les enquêtes et prononcent les amendes.

L'AI Act ne crée pas une police de l'IA venue de nulle part. Il s'appuie sur des autorités qui existent déjà et sait faire du contrôle : protection des données, concurrence, secteurs régulés.

Au niveau européen, le Bureau de l'IA (AI Office) assure la cohérence entre pays et supervise directement les modèles d'IA à usage général, comme les grands modèles de langage.

En pratique, un contrôle démarre rarement par une descente surprise. Le plus souvent, tout part d'une plainte : un candidat écarté par un algorithme, un client mal informé, un salarié qui alerte.

Une PME risque-t-elle vraiment une amende ?

Le risque financier direct est faible pour une PME qui utilise l'IA de façon banale. Le régulateur cible en priorité les pratiques interdites et les systèmes à haut risque. Mais le risque n'est pas nul : un usage mal encadré, un défaut de transparence ou une plainte peuvent déclencher un contrôle et une mise en demeure.

Soyons honnêtes : aucune autorité n'a pour projet de ruiner la boulangerie qui utilise ChatGPT pour ses posts Instagram. Les sanctions maximales sont taillées pour les acteurs qui menacent réellement des droits fondamentaux.

Cela dit, le danger pour une PME est plus subtil. Un logiciel de recrutement mal choisi, un chatbot qui ne dit pas qu'il est une IA, l'absence totale de règles internes : autant de portes d'entrée à un litige.

Le vrai coût, pour une petite structure, est rarement l'amende maximale. C'est le temps perdu, les frais juridiques, et l'atteinte à la réputation quand une affaire sort. Mieux vaut prévenir.

À partir de quand les sanctions s'appliquent-elles ?

Le calendrier est progressif. Les interdictions et l'obligation d'AI literacy s'appliquent depuis février 2025. Les règles sur les modèles à usage général sont entrées en vigueur en août 2025. Le gros des obligations sur les systèmes à haut risque monte en charge jusqu'en 2026 et 2027. Les sanctions suivent chaque échéance.

L'AI Act n'est pas tombé d'un bloc. Le texte prévoit un déploiement par vagues, pour laisser aux entreprises le temps de s'adapter. Chaque vague active de nouvelles obligations, donc de nouvelles sanctions possibles.

Le point souvent ignoré : la première marche est déjà passée. Depuis février 2025, l'obligation de former ses équipes à l'IA (l'AI literacy) est en vigueur. Ce n'est pas une échéance lointaine.

Pour le détail des dates et des jalons à cocher, notre calendrier de l'AI Act reprend tout, échéance par échéance. C'est l'outil le plus simple pour savoir où vous en êtes.

Quelles pratiques peuvent déclencher les amendes les plus lourdes ?

Les amendes maximales visent les pratiques d'IA interdites par l'article 5 : notation sociale des individus, manipulation par des techniques subliminales, exploitation de vulnérabilités, reconnaissance des émotions sur le lieu de travail ou à l'école, et certaines formes de surveillance biométrique. Ces usages sont purement et simplement bannis.

Le sommet du barème, ces fameux 35 millions, est réservé à une liste courte de pratiques jugées inacceptables. L'idée n'est pas de les encadrer, mais de les interdire.

La bonne nouvelle : la plupart de ces interdictions ne concernent en rien une entreprise classique. Personne ne fait de la notation sociale de citoyens par mégarde.

• Systèmes de notation sociale évaluant ou classant les personnes.
• IA manipulant le comportement par des techniques subliminales ou trompeuses.
• Exploitation de la vulnérabilité liée à l'âge, au handicap ou à la situation sociale.
• Reconnaissance des émotions au travail et dans les établissements scolaires (sauf raisons médicales ou de sécurité).
• Extraction non ciblée d'images faciales pour constituer des bases de reconnaissance.

En quoi l'obligation d'AI literacy protège-t-elle des sanctions ?

Former ses équipes à l'IA est une obligation légale depuis février 2025 (article 4). Une entreprise qui ne le fait pas est en infraction, même sans incident. À l'inverse, une équipe formée commet moins d'erreurs, documente mieux ses usages et sait éviter les pratiques à risque. La formation est à la fois une obligation et une assurance.

On l'oublie souvent : la toute première obligation de l'AI Act n'est pas technique, elle est humaine. L'article 4 impose de garantir un niveau suffisant de maîtrise de l'IA chez les personnes qui l'utilisent.

Concrètement, cela veut dire que vos collaborateurs doivent comprendre ce qu'ils manipulent : les limites d'un outil, les données à ne jamais y saisir, les cas où l'IA se trompe avec aplomb.

Une équipe formée est votre meilleur pare-feu. Elle ne colle pas de données clients confidentielles dans un chatbot public, elle signale qu'un contenu est généré, elle sait quand demander une validation humaine. C'est exactement ce que couvre notre programme de formation IA obligatoire.

Comment se met-on en conformité pour éviter les sanctions ?

La conformité tient en quelques étapes accessibles : cartographier ses usages de l'IA, les classer par niveau de risque, former ses équipes, rédiger une charte interne et documenter ses pratiques. Aucune de ces actions ne demande un budget démesuré. La plupart se règlent en quelques semaines avec un bon accompagnement.

La conformité fait peur parce qu'on l'imagine lourde. En réalité, pour une PME, elle se ramène à quelques gestes de bon sens, structurés dans le bon ordre :

• Recenser où et comment l'IA est utilisée dans l'entreprise (outils, services, données concernées).
• Classer chaque usage par niveau de risque pour identifier ceux qui exigent une vigilance particulière.
• Former les équipes pour cocher l'obligation d'AI literacy et réduire les erreurs.
• Rédiger une charte IA interne posant les règles du jeu (outils autorisés, données interdites, validation humaine).
• Garder une trace écrite de ces décisions : en cas de contrôle, la documentation fait la différence.

Le régulateur applique-t-il vraiment les amendes maximales ?

Rarement d'emblée. L'AI Act impose un principe de proportionnalité : les autorités tiennent compte de la gravité, de la durée, de la taille de l'entreprise et de sa bonne foi. Les plafonds affichés sont des maximums théoriques. La première réponse est le plus souvent une mise en demeure de corriger le tir.

Le chiffre de 7 % du chiffre d'affaires impressionne, mais il fonctionne comme un plafond, pas comme un tarif. Le RGPD nous l'a montré : les amendes record visent une poignée d'acteurs, pas le tissu des PME.

Le texte oblige les autorités à moduler la sanction. Une entreprise qui coopère, qui a mis en place des règles et qui corrige vite ne sera pas traitée comme un récidiviste de mauvaise foi.

Autrement dit, ce qui vous protège n'est pas l'absence de risque, c'est la preuve que vous avez agi. Une charte, une formation, un peu de documentation : voilà ce qui transforme un contrôle en simple formalité.

Combien coûte la mise en conformité par rapport au risque ?

Beaucoup moins que le risque encouru. Former une équipe et poser un cadre de conformité IA représente un investissement de quelques centaines à quelques milliers d'euros, souvent finançable jusqu'à 100 % par les OPCO ou le FNE-Formation. À comparer aux frais d'un litige, d'un contrôle ou d'une amende.

La conformité n'est pas une dépense à fonds perdu. Une journée de formation, c'est aussi des équipes qui gagnent du temps, évitent les fuites de données et utilisent mieux les outils. Le retour est immédiat.

Côté financement, la bonne nouvelle tombe : la formation IA de vos salariés est éligible aux dispositifs classiques. Selon votre OPCO et votre effectif, le reste à charge est souvent nul.

Le calcul est vite fait. Quelques centaines d'euros, largement finançables, contre le risque d'un litige, d'une réputation abîmée ou d'une sanction. Notre équipe monte le dossier de financement pour vous.