Trois plafonds, trois situations très différentes
L'article 99 du règlement fixe trois niveaux de sanction administrative. Les confondre conduit à surestimer massivement son exposition.
| Manquement | Plafond | Concerne une PME ? |
|---|---|---|
| Pratiques interdites (article 5) : manipulation, notation sociale, exploitation de vulnérabilités | 35 M€ ou 7 % du CA mondial | Très rarement |
| Manquement aux autres obligations, dont la transparence de l'article 50 | 15 M€ ou 3 % du CA mondial | Oui, c'est le cas central |
| Informations inexactes ou trompeuses fournies aux autorités | 7,5 M€ ou 1 % du CA mondial | Oui, en cas de contrôle |
Une PME qui utilise un chatbot sans le signaler relève du deuxième niveau, pas du premier. La notation sociale et la manipulation comportementale ne sont pas des pratiques d'entreprise ordinaires.
La protection explicite des PME, et son sens
L'article 99(6) prévoit que pour les PME, y compris les jeunes pousses, chacune des amendes est plafonnée au pourcentage ou au montant le plus faible des deux.
La formulation compte. Pour une grande entreprise, l'autorité retient le montant le plus élevé. Pour une PME, elle retient le plus faible. Comme 3 % d'un chiffre d'affaires de PME est très inférieur à 15 millions d'euros, c'est toujours le pourcentage qui s'applique.
Le calcul, sur des cas réels
Chiffre d'affaires de 300 000 euros : exposition maximale de 9 000 euros.
Chiffre d'affaires de 800 000 euros : exposition maximale de 24 000 euros.
Chiffre d'affaires de 2 500 000 euros : exposition maximale de 75 000 euros.
Il s'agit de plafonds théoriques, pas de montants automatiques. L'article 99(7) impose de tenir compte de la gravité, de la durée, de la taille de l'entreprise et du caractère intentionnel du manquement.
Le cas de l'article 4, qui surprend beaucoup de monde
L'article 4 impose de veiller, dans la mesure du possible, à un niveau suffisant de maîtrise de l'IA au personnel qui utilise ces systèmes. Il est en vigueur depuis le 2 février 2025.
Or il ne figure pas dans la liste des articles sanctionnés par l'article 99(4). Il n'existe pas d'amende directe pour un manquement à l'article 4. C'est une nuance que beaucoup d'articles commerciaux passent sous silence, et nous préférons la dire.
Cela ne le rend pas inoffensif pour autant. Trois conséquences réelles subsistent. L'autorité de contrôle peut le vérifier lors d'un contrôle déclenché pour un autre motif, et l'absence de formation aggrave l'appréciation de l'ensemble. Un salarié non formé qui cause un dommage avec un outil d'IA engage la responsabilité civile de l'employeur. Et les donneurs d'ordre commencent à demander l'attestation en appel d'offres.
Qui contrôle, et depuis quand
Le 2 août 2026 marque l'entrée en vigueur du régime de sanctions. En France, la désignation de l'autorité nationale de surveillance n'est pas encore votée : la CNIL est pressentie sur son périmètre habituel, celui qui applique le RGPD depuis 2018, mais c'est l'ARCOM qui est fléchée pour les contenus générés.
Un point de calendrier souvent oublié : le Digital Omnibus, voté par le Parlement le 16 juin 2026 et par le Conseil le 29 juin 2026, a reporté l'application des règles sur les systèmes à haut risque de l'annexe III au 2 décembre 2027, et celles de l'annexe I au 2 août 2028. La transparence et la formation, elles, n'ont pas bougé.
Le vrai coût, ce n'est pas l'amende
Pour une PME de 800 000 euros de chiffre d'affaires, 24 000 euros représentent un plafond théorique, rarement atteint. Le coût plus probable est ailleurs : le temps passé à répondre à un contrôle, un dossier d'appel d'offres écarté faute de pouvoir prouver la conformité, un client B2B qui exige des garanties contractuelles que vous ne pouvez pas donner.
La mise en conformité documentaire se chiffre en centaines d'euros. C'est le rapport qu'il faut regarder.
Questions fréquentes
Une PME risque-t-elle vraiment 35 millions d'euros d'amende ?
Non. Le plafond de 35 millions d'euros vise les pratiques interdites de l'article 5, comme la notation sociale ou la manipulation comportementale. Un manquement à la transparence relève du plafond de 15 millions d'euros ou 3 % du chiffre d'affaires, et pour une PME l'article 99(6) retient le plus faible des deux.
Y a-t-il une amende pour ne pas avoir formé ses salariés ?
Non, pas d'amende directe. L'article 4 ne figure pas dans la liste de l'article 99(4). Mais l'obligation existe depuis février 2025, elle peut être vérifiée lors d'un contrôle et elle engage la responsabilité civile de l'employeur en cas de dommage.
Qui contrôle l'application de l'AI Act en France ?
Les autorités nationales de surveillance désignées par chaque État membre. En France, la désignation n'est pas encore votée : la CNIL est pressentie sur son périmètre habituel, l'ARCOM pour les contenus générés.
Où en est votre entreprise ?
25 questions, cinq minutes, et vous obtenez votre score, vos trois priorités et votre exposition chiffrée. Gratuit, sans engagement et sans carte bancaire.
Faire mon diagnostic gratuit