Amendes EU AI Act : jusqu'à 35 millions d'euros ou 7% du CA, qui risque quoi en 2026

Tout le monde a retenu un chiffre de l'AI Act : 35 millions d'euros. C'est le plafond le plus élevé du règlement européen sur l'intelligence artificielle, et il sert d'épouvantail dans toutes les conférences. Mais ce chiffre est mal compris. Il ne s'applique qu'à une catégorie précise de manquements, le barème comporte en réalité trois niveaux, et les PME bénéficient d'une regle de calcul plus favorable que les grands groupes. Voici comment lire le barème des sanctions (article 99), ce qu'une entreprise française risque concrètement, et comment ramener ce risque a presque rien.

Le barème des sanctions est applicable depuis le 2 août 2025. La surveillance du marche par les autorités nationales monte pleinement en puissance à partir du 2 août 2026. Autrement dit : le cadre répressif existe déjà, et la capacité de contrôle arrive cette année.

Le barème a trois niveaux de l'article 99

L'AI Act ne prévoit pas une amende unique mais une échelle proportionnée à la gravité du manquement. Trois plafonds coexistent :

Niveau 1 — les pratiques interdites (article 5). C'est le plafond maximal : jusqu'à 35 000 000 EUR ou, pour une entreprise, jusqu'à 7% du chiffre d'affaires annuel mondial de l'exercice précédent, le montant le plus élevé étant retenu. Sont vises les usages bannis par le règlement : notation sociale, manipulation comportementale, exploitation des vulnérabilités, certaines formes de surveillance biométrique. Une PME classique n'est presque jamais concernée par ce niveau, sauf usage vraiment problématique.

Niveau 2 — les autres obligations. Pour le non-respect des obligations applicables aux fournisseurs, déployeurs, importateurs ou distributeurs (notamment les regles sur les systèmes à haut risque et la transparence), le plafond est de 15 000 000 EUR ou 3% du chiffre d'affaires mondial. C'est le niveau qui concerne la majorité des entreprises qui utilisent de l'IA dans un cadre sérieux.

Niveau 3 — les informations inexactes. Fournir des renseignements incorrects, incomplets ou trompeurs à une autorité ou à un organisme notifie expose a 7 500 000 EUR ou 1% du chiffre d'affaires mondial. Mentir ou bâcler ses réponses lors d'un contrôle est donc sanctionne en tant que tel.

La regle qui change tout pour une PME : le montant le plus faible

Le détail le plus important pour une petite ou moyenne structure est souvent passe sous silence. Pour les PME et les start-up, le règlement prévoit que l'amende correspond au montant le plus faible entre le pourcentage du chiffre d'affaires et le plafond fixe en euros — alors que pour les grandes entreprises, c'est le montant le plus élevé qui s'applique.

Concrètement : une PME qui réalise 2 millions d'euros de chiffre d'affaires n'est pas exposée à une amende de 15 millions sur un manquement de niveau 2. Le pourcentage (3% de 2 M EUR = 60 000 EUR) étant inférieur au plafond fixe, c'est lui qui sert de référence maximale. Le législateur européen a voulu éviter d'anéantir une petite structure pour un manquement administratif. Cela ne veut pas dire que le risque est nul, mais qu'il est proportionné à votre taille.

Ce qu'une PME risque vraiment en 2026

Au-delà des plafonds théoriques, plusieurs facteurs déterminent l'amende réelle. L'article 99 impose aux autorités de tenir compte de la gravité du manquement, de sa durée, du caractère intentionnel ou négligent, des mesures prises pour y remédier, de la coopération avec l'autorité, et de la taille de l'entreprise. Une PME de bonne foi qui a engage une demarche de conformité et coopere sera traitée très différemment d'un acteur qui a ignore le sujet et fourni de fausses informations.

Pour la plupart des entreprises françaises, le risque concret en 2026 n'est pas l'amende a sept chiffres. Ce sont plutôt :

• une mise en demeure de se mettre en conformité dans un délai contraint, avec interdiction de continuer à exploiter le système en attendant ;
• le retrait ou le rappel d'un système d'IA juge non conforme du marche ;
• une amende proportionnée à la taille en cas de manquement caracterise, surtout s'il à cause un dommage ;
• un risque reputationnel et commercial : de plus en plus de donneurs d'ordre exigent une preuve de conformité AI Act dans leurs appels d'offres.

Ce dernier point est souvent le plus coûteux : perdre un contrat parce qu'on ne peut pas démontrer sa conformité fait plus mal, a l'échelle d'une PME, que le barème de l'article 99.

Qui paie l'amende : fournisseur ou déployeur ?

L'AI Act distingue les rôles, et les obligations — donc les sanctions — ne pèsent pas sur les mêmes acteurs. Le fournisseur (celui qui développe ou met sur le marche un système d'IA) porte l'essentiel des obligations techniques. Le déployeur (l'entreprise qui utilise le système pour son activité) à des obligations plus légères mais réelles : usage conforme à la notice, supervision humaine, information des personnes concernées, surveillance du fonctionnement. Une PME qui se contente d'utiliser un logiciel IA du commerce est généralement déployeur, ce qui limite son exposition — à condition de respecter ses propres obligations de déployeur. Savoir dans quelle case on se trouve est la première étape pour mesurer son risque.

Les trois réflexes qui réduisent l'exposition a presque rien

La bonne nouvelle, c'est que les sanctions visent les entreprises qui n'ont rien fait. Une demarche même modeste change radicalement le tableau :

1. Inventorier ses systèmes d'IA et leur niveau de risque. On ne peut pas être sanctionne pour un risque qu'on a identifie, documente et encadre. L'inventaire est le socle de tout, et il se fait en quelques heures avec la bonne méthode.

2. Constituer un dossier de preuve. Charte d'usage, formation des équipes (l'obligation de littératie de l'article 4), notices, traces de supervision humaine. En cas de contrôle, c'est ce dossier qui transforme une amende potentielle en simple recommandation.

3. Répondre sérieusement en cas de demande d'une autorité. Le niveau 3 du barème sanctionne les informations inexactes : ne jamais improviser ni minimiser face à un organisme de contrôle. Mieux vaut un dossier honnête et incomplet qu'une réponse trompeuse.

FAQ — amendes et sanctions de l'AI Act

Une PME peut-elle vraiment écoper de 35 millions d'euros ?

En pratique, non. Le plafond de 35 M EUR ne vise que les pratiques interdites de l'article 5, et pour une PME, c'est le montant le plus faible (pourcentage du CA ou plafond) qui s'applique, pas le plus élevé. Une petite structure est exposée à une amende proportionnée à sa taille, et seulement en cas de manquement caracterise.

Depuis quand les sanctions sont-elles applicables ?

Le chapitre sur les sanctions est applicable depuis le 2 août 2025. La capacité de contrôle des autorités nationales de surveillance du marche monte pleinement en puissance à partir du 2 août 2026.

Qui contrôle l'application de l'AI Act en France ?

La surveillance s'organise autour des autorités nationales de surveillance du marche, la CNIL ayant vocation à jouer un rôle central sur les volets lies aux données personnelles. Le dispositif de gouvernance se met en place courant 2025-2026.

Que faire en priorité si je n'ai rien fait ?

Commencer par l'inventaire de vos systèmes d'IA et leur niveau de risque, puis constituer un dossier de preuve minimal (charte, formation, notices). C'est la demarche qui réduit le plus vite votre exposition. Le diagnostic gratuit de MaConformite vous donne en quelques minutes une première cartographie de votre risque.

En resume : le barème de l'AI Act fait peur a dessein, mais il punit avant tout l'inaction et la mauvaise foi. Pour une PME française, l'amende théorique est plafonnée au montant le plus faible et proportionnée à la taille ; le vrai risque 2026 est de perdre des contrats faute de pouvoir prouver sa conformité. La parade tient en trois réflexes : inventorier, documenter, répondre sérieusement. Faites le diagnostic gratuit MaConformite pour situer votre niveau de risque, ou explorez nos pôles sectoriels pour une mise en conformité adaptée à votre activité.