Amendes et sanctions du règlement IA de l'UE : que risquent réellement les PME de l'UE ?

Les chiffres mis en avant font peur : jusqu'à 35 millions d'euros, ou 7 % du chiffre d'affaires mondial. Mais ce sont des plafonds réservés aux pires infractions commises par les plus grandes entreprises. Si vous dirigez une PME, le règlement IA de l'UE contient une règle qui inverse le calcul en votre faveur. Voici en quoi consistent réellement les sanctions, et ce qu'elles signifient pour une petite entreprise.

Vous découvrez le règlement ? Commencez par notre guide complet sur l'AI Act.

Les trois niveaux de sanction

Le règlement IA de l'UE (règlement (UE) 2024/1689) fixe trois plafonds pour les amendes administratives, selon la nature du manquement :

• Jusqu'à EUR 35M ou 7 % du chiffre d'affaires annuel mondial pour le recours à l'une des pratiques d'IA interdites prohibées au titre de l'article 5 (article 99, paragraphe 3).
• Jusqu'à EUR 15M ou 3 % pour le manquement à la plupart des autres obligations : les devoirs des fournisseurs et des déployeurs de systèmes à haut risque, les règles de transparence ou les exigences relatives aux organismes notifiés (article 99, paragraphe 4). Depuis le règlement (UE) 2026/1744, ce plafond couvre aussi expressément les devoirs de la chaîne de valeur de l'article 25 — la coopération du fournisseur initial avec les nouveaux fournisseurs et les accords écrits fondés sur l'état de la technique avec les fournisseurs de composants (article 99, paragraphe 4, point d bis).
• Jusqu'à EUR 7.5M ou 1 % pour la fourniture d'informations inexactes, incomplètes ou trompeuses aux autorités ou aux organismes notifiés (article 99, paragraphe 5).

Pour une entreprise qui n'est pas une PME, chaque amende correspond au montant le plus élevé des deux : le montant fixe en euros ou le pourcentage du chiffre d'affaires annuel mondial total de l'exercice précédent, calculé au niveau du groupe, sur le chiffre d'affaires et non sur le bénéfice.

La règle PME que la plupart des titres oublient

L'article 99, paragraphe 6, inverse cette règle pour les entreprises de plus petite taille. Pour les PME et les start-ups, chaque amende est plafonnée au plus faible du pourcentage ou du montant fixe, et non au plus élevé. Ce simple mot change tout pour une petite entreprise.

Prenons le niveau le plus élevé. Un grand groupe s'expose au plus élevé des deux : EUR 35M ou 7 % du chiffre d'affaires. Une PME réalisant, par exemple, EUR 2M de chiffre d'affaires annuel s'expose au plus faible des deux : 7 % de EUR 2M représente 140 000 EUR, bien en dessous de EUR 35M, de sorte que 140 000 EUR constitue le plafond. C'est le pourcentage, et non le montant fixe vertigineux, qui borne l'exposition d'une PME.

Le règlement (UE) 2026/1744 a étendu cette logique aux petites entreprises à moyenne capitalisation : en vertu du nouvel article 99, paragraphe 6 bis, les amendes des paliers EUR 15M/3 % et EUR 7.5M/1 % (paragraphes 4 et 5) sont elles aussi plafonnées au plus faible du pourcentage ou du montant fixe. Différence notable avec la règle PME : cette extension ne couvre pas le palier des pratiques interdites.

Le même règlement a également réécrit l'article 99, paragraphe 1 : les régimes nationaux de sanctions peuvent inclure des avertissements et des mesures non pécuniaires, et pas seulement des amendes administratives, et les autorités doivent tenir compte des intérêts et de la viabilité économique des PME, des jeunes pousses et des petites entreprises à moyenne capitalisation lorsqu'elles infligent des sanctions.

Modèles d'IA à usage général : sanctionnés par la Commission

Il existe un régime distinct pour les fournisseurs de modèles d'IA à usage général (GPAI). En vertu de l'article 101, c'est la Commission européenne, et non une autorité nationale, qui peut infliger à un fournisseur de GPAI une amende pouvant atteindre EUR 15M ou 3 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu, en cas de manquement intentionnel ou par négligence. Ces amendes peuvent faire l'objet d'un recours devant la Cour de justice de l'UE.

Les amendes sont des plafonds, pas des tarifs

Chaque chiffre ci-dessus est un maximum : la loi indique « jusqu'à ». Il n'existe pas d'amende fixe ni minimale. Lorsqu'une autorité fixe un montant réel, l'article 99, paragraphe 7, lui impose de prendre en compte plusieurs facteurs, notamment :

• la nature, la gravité et la durée du manquement ainsi que ses conséquences ;
• la taille, le chiffre d'affaires et la part de marché de l'opérateur ;
• le caractère intentionnel ou négligent du manquement ;
• le degré de coopération de l'opérateur et les mesures techniques et organisationnelles qu'il avait mises en place ;
• le fait que l'opérateur ait signalé lui-même le problème et agi pour limiter le préjudice.

Autrement dit, un effort de conformité documenté et de bonne foi réduit directement l'amende qu'une autorité est susceptible d'infliger.

Qui prononce l'amende

L'application de la réglementation est répartie entre trois acteurs : les autorités nationales de surveillance du marché infligent aux entreprises les amendes prévues à l'article 99 ; la Commission européenne, par l'intermédiaire du Bureau de l'IA, sanctionne les fournisseurs de modèles GPAI au titre de l'article 101 ; et le Contrôleur européen de la protection des données sanctionne les institutions de l'UE au titre de l'article 100 (plafonné à EUR 1.5M ou 750 000 EUR).

Quand les amendes commencent-elles à s'appliquer ?

Certaines s'appliquent déjà. Les interdictions de l'article 5 sont applicables depuis le 2 février 2025. Les obligations relatives aux GPAI s'appliquent à compter du 2 août 2025, le pouvoir de sanction de la Commission entrant en vigueur le 2 août 2026. Les obligations relatives aux systèmes à haut risque, principale source d'exposition pour la plupart des PME, ont été reportées par le Digital Omnibus au 2 décembre 2027 pour les systèmes relevant de l'annexe III (règlement (UE) 2026/1744, en vigueur depuis le 27 juillet 2026). Consultez notre guide des échéances pour le calendrier complet.

Vérifiez le texte par vous-même

Les amendes sont la partie de ce règlement que l'on cite de mémoire, et la mémoire retient d'ordinaire le chiffre mis en avant plutôt que la règle qui les concerne réellement. L'article 99 tient en deux pages. Si l'un des chiffres de cette page pèse sur votre décision, allez le lire :

• Article 99 — les sanctions, dans le texte consolidé tel que modifié au 27 juillet 2026
• Règlement (UE) 2026/1744 — le Digital Omnibus sur l'IA, qui a ajouté l'article 99, paragraphe 6 bis

Deux choses à vérifier dans le texte plutôt que dans un résumé. D'abord, si vous êtes une PME ou une petite entreprise à moyenne capitalisation au sens de la recommandation 2003/361/CE — le plafonnement au plus faible des deux montants couvre les trois niveaux pour l'une et deux niveaux seulement pour l'autre, et un financement en capital-risque peut faire de vous une entreprise liée sans que vous vous en aperceviez. Ensuite, que ce sont des plafonds : l'article 99, paragraphe 7, impose aux autorités de peser la nature du manquement, sa durée, le fait que vous ayez signalé le problème vous-même et la taille de l'opérateur. Personne ne se voit infliger le chiffre mis en avant pour un premier défaut de documentation.

Comment réduire votre exposition

Le moyen le moins coûteux de réduire le risque de sanction est de pouvoir démontrer une traçabilité de la conformité : la classification, un dossier technique, le contrôle humain et la surveillance, car ce sont précisément les facteurs atténuants que récompense l'article 99, paragraphe 7. Vous ne savez pas lesquels de vos systèmes entrent seulement dans le champ d'application ? Commencez par le EU AI Act Snapshot gratuit, deux minutes, sans inscription, puis parcourez notre check-list de conformité en 9 étapes. Les offres démarrent à EUR 0.