Les sanctions de l'AI Act peuvent atteindre 35M€ ou 7% du CA mondial. Détail des amendes par type d'infraction et comparaison avec le RGPD.
Le Règlement européen sur l’intelligence artificielle (Règlement 2024/1689) instaure un système de sanctions parmi les plus sévères du droit numérique européen. Avec des amendes pouvant atteindre 35 millions d’euros ou 7 % du chiffre d’affaires mondial, l’AI Act envoie un signal clair : la non-conformité en matière d’IA n’est pas un risque abstrait, c’est un risque financier majeur.
Article 99 — Règlement (UE) 2024/1689
Les États membres déterminent le régime des sanctions et autres mesures d’exécution, qui peuvent également comprendre des avertissements et des mesures non pécuniaires, applicables aux violations du présent règlement par les opérateurs, et prennent toutes les mesures nécessaires pour veiller à ce qu’elles soient appliquées correctement et effectivement […].
L’Article 99 du règlement définit trois paliers de sanctions, selon la gravité de l’infraction.
Le niveau de sanction le plus élevé s’applique aux violations de l’Article 5 (pratiques interdites) :
L’amende peut atteindre 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial de l’entreprise, le montant le plus élevé étant retenu.
Pour une entreprise réalisant 500 millions d’euros de chiffre d’affaires, cela représente potentiellement 35 millions d’euros d’amende. Pour un groupe mondial à 10 milliards d’euros de CA, l’amende théorique grimpe à 700 millions d’euros.
Le deuxième palier sanctionne les violations des obligations liées aux systèmes d’IA à haut risque et aux modèles d’IA à usage général :
Ce dernier point est crucial : le défaut de formation des collaborateurs à l’IA relève de ce palier. Une entreprise qui n’a pris aucune mesure pour garantir un niveau suffisant de maîtrise de l’IA pour son personnel s’expose à des amendes pouvant atteindre 15 millions d’euros ou 3 % du chiffre d’affaires mondial.
Le troisième palier s’applique lorsqu’une entreprise fournit des informations inexactes, incomplètes ou trompeuses aux autorités compétentes ou aux organismes notifiés :
L’amende peut atteindre 7,5 millions d’euros ou 1,5 % du chiffre d’affaires annuel mondial.
Pour mesurer la sévérité du régime de l’AI Act, la comparaison avec le RGPD est éclairante :
| Critère | RGPD | AI Act |
|---|---|---|
| Amende maximale (montant fixe) | 20 M€ | 35 M€ |
| Amende maximale (% du CA) | 4 % du CA mondial | 7 % du CA mondial |
| Nombre de paliers | 2 | 3 |
| En vigueur depuis | Mai 2018 | Progressif (2025-2027) |
| Autorité de contrôle | Autorités de protection des données | Autorités nationales + Bureau européen de l’IA |
Le législateur européen a délibérément fixé les sanctions de l’AI Act au-dessus de celles du RGPD. Le message est clair : les risques liés à l’IA mal maîtrisée sont considérés comme au moins aussi graves que ceux liés à la protection des données — et les entreprises seront sanctionnées en conséquence.
Pour rappel, les sanctions RGPD ne sont pas restées théoriques. En 2023, Meta a reçu une amende de 1,2 milliard d’euros de l’autorité irlandaise. Amazon avait écopé de 746 millions d’euros en 2021 au Luxembourg. Les autorités européennes ont prouvé qu’elles n’hésitent pas à appliquer les sanctions maximales aux grandes entreprises.
Le règlement prévoit un traitement adapté pour les petites entreprises. L’Article 99(6) précise que les amendes doivent être “effectives, proportionnées et dissuasives”. Pour les PME et les startups, les autorités doivent tenir compte de la viabilité économique de l’entreprise.
Concrètement :
Chaque État membre doit désigner une ou plusieurs autorités nationales compétentes chargées de la surveillance du marché et de l’application du règlement. En France, cette responsabilité devrait être partagée entre plusieurs acteurs :
Créé au sein de la Commission européenne, le Bureau européen de l’IA joue un rôle de coordination et dispose de compétences directes sur les modèles d’IA à usage général. Il peut :
Au-delà des amendes, le mécanisme de l’AI Act repose sur un principe fondamental : la charge de la preuve appartient à l’entreprise. Ce n’est pas à l’autorité de démontrer que vous n’êtes pas conforme — c’est à vous de démontrer que vous l’êtes.
Un score de maîtrise mesurable et traçable pour chaque collaborateur constitue un élément de preuve particulièrement solide pour l’Article 4. De même, un historique complet des formations suivies, avec dates, contenus et résultats, permet de prouver la conformité de façon objective.
En cas de contrôle, la situation la plus défavorable n’est pas d’avoir un programme de conformité imparfait — c’est de n’en avoir aucun. Les autorités tiendront compte des efforts déployés par l’entreprise. Avoir initié une démarche structurée, même incomplète, est toujours préférable à l’inaction totale.
📄Audit IA en entreprise : guide pratique étape par étape→Les sanctions s’appliquent progressivement, en cohérence avec l’entrée en vigueur des différentes obligations :
| Date | Obligations en vigueur | Sanctions applicables |
|---|---|---|
| 1er février 2025 | Pratiques interdites (Article 5) | Jusqu’à 35 M€ / 7 % |
| 2 août 2025 | Maîtrise de l’IA (Article 4) + Modèles à usage général | Jusqu’à 15 M€ / 3 % |
| 2 août 2026 | Systèmes d’IA à haut risque | Jusqu’à 15 M€ / 3 % |
| 2 août 2027 | Systèmes à haut risque intégrés dans des produits réglementés | Jusqu’à 15 M€ / 3 % |
Les deux premières échéances sont déjà passées. Les entreprises qui n’ont pas encore pris de mesures sur les pratiques interdites et la maîtrise de l’IA sont déjà dans la zone de risque.
Les sanctions financières ne sont que la partie visible. La non-conformité à l’AI Act expose à d’autres risques tout aussi importants :
Ce que ça implique pour vous
L’AI Act instaure les sanctions les plus lourdes du droit numérique européen : 35 millions d’euros ou 7 % du chiffre d’affaires mondial pour les pratiques interdites, 15 millions pour les systèmes à haut risque et le défaut de formation. La clé pour minimiser le risque : prouver la conformité par une documentation rigoureuse, des formations tracées et des évaluations mesurables. Les premières échéances sont déjà passées — chaque jour sans action augmente l’exposition.