Sanctions et amendes du règlement sur l’IA expliquées (2026)

L’essentiel

• Le règlement sur l’IA établit trois plafonds d’amende à l’article 99 : jusqu’à 35 000 000 EUR ou 7 % du chiffre d’affaires annuel mondial total de l’exercice précédent pour les pratiques interdites (paragraphe 3) ; jusqu’à 15 000 000 EUR ou 3 % pour les manquements énumérés au paragraphe 4 ; jusqu’à 7 500 000 EUR ou 1 % pour la fourniture d’informations inexactes, incomplètes ou trompeuses (paragraphe 5).
• Pour les entreprises, l’amende retenue est le montant le plus élevé entre le plafond en euros et le pourcentage de chiffre d’affaires. Pour les PME, y compris les jeunes pousses, c’est le chiffre le plus faible qui est retenu (article 99, paragraphe 6).
• Le contrôle de l’application se partage entre les autorités nationales de surveillance du marché (la plupart des violations du règlement sur l’IA) et la Commission européenne / le bureau de l’IA (obligations des modèles d’IA à usage général, article 101).
• Les pratiques interdites sont opposables depuis le 2 février 2025. Les obligations à haut risque deviennent opposables le 2 décembre 2027, reportées du 2 août 2026 par le Digital Omnibus (règlement (UE) 2026/1744, en vigueur depuis le 27 juillet 2026). L’article 50 n’a pas été reporté : il s’applique toujours le 2 août 2026.
• Le contrôle de l’application est déclenché par des réclamations, des signalements d’incidents graves, une surveillance proactive, des régulateurs sectoriels et la protection des auteurs de signalement au titre de l’article 87.
• Les amendes du palier le plus élevé dépassent les plafonds du RGPD (7 % contre 4 % du chiffre d’affaires annuel mondial), ce qui fait du règlement sur l’IA la régulation numérique de l’Union la plus lourde en sanctions.
• La réduction pratique du risque commence par la classification, la documentation, la vérification de la chaîne d’approvisionnement et les processus de signalement d’incidents.

Le règlement sur l’IA porte les amendes réglementaires les plus élevées jamais imposées aux systèmes d’IA, au-delà même du RGPD. Si votre organisation fournit ou déploie de l’IA sur le marché de l’Union, comprendre la structure des sanctions n’est pas facultatif. C’est le filet financier qui donne à chaque autre obligation du règlement une portée réelle.

Ce guide détaille les trois plafonds de l’article 99, qui les applique, ce qui déclenche le contrôle, comment les amendes se calculent selon la taille de l’entreprise, comment le règlement sur l’IA se compare au RGPD, et les étapes concrètes pour réduire votre exposition avant l’échéance à haut risque du 2 décembre 2027.

Les trois plafonds d’amende au titre de l’article 99

Le règlement sur l’IA établit une structure échelonnée à l’article 99. Pour chaque palier, l’amende applicable aux entreprises est le montant le plus élevé entre le plafond en euros et le pourcentage de chiffre d’affaires. (Pour les PME et les jeunes pousses, ce calcul est inversé, voir la section d’ajustement ci-dessous.)

Les montants et les bases ci-dessous sont ceux du texte français officiel de l’article 99, tel que publié par la Commission. Ce sont des plafonds. Les autorités fixent le montant dans chaque cas d’espèce au regard de l’article 99, paragraphe 7.

Palier 1 : pratiques interdites, jusqu’à 35 000 000 EUR ou 7 % du chiffre d’affaires annuel mondial total

C’est le palier le plus lourd. L’article 99, paragraphe 3, dispose :

Le non-respect de l’interdiction des pratiques en matière d’IA visées à l’article 5 fait l’objet d’amendes administratives pouvant aller jusqu’à 35 000 000 EUR ou, si l’auteur de l’infraction est une entreprise, jusqu’à 7 % de son chiffre d’affaires annuel mondial total réalisé au cours de l’exercice précédent, le montant le plus élevé étant retenu.

Ces interdictions sont opposables depuis le 2 février 2025. Les pratiques visées à l’article 5 sont :

1. Techniques subliminales, manipulatrices ou trompeuses : systèmes qui recourent à des techniques au-dessous du seuil de conscience d’une personne, ou à des techniques délibérément manipulatrices ou trompeuses, pour altérer substantiellement le comportement d’une manière qui cause ou est raisonnablement susceptible de causer un préjudice important.

2. Exploitation des vulnérabilités : systèmes d’IA qui exploitent les vulnérabilités de groupes donnés en raison de l’âge, d’un handicap ou d’une situation sociale ou économique, pour altérer substantiellement leur comportement d’une manière qui cause un préjudice important.

3. Notation sociale par les autorités publiques : systèmes d’IA qui évaluent ou classent des personnes physiques d’après leur comportement social ou des caractéristiques personnelles, conduisant à un traitement préjudiciable disproportionné par rapport au contexte ou injustifié au regard du comportement.

4. Évaluation des risques d’infraction pénale fondée uniquement sur le profilage : systèmes d’IA qui évaluent le risque qu’une personne commette une infraction pénale uniquement sur la base d’un profilage ou de traits de personnalité, sans faits objectifs et vérifiables ni évaluation de l’implication individuelle dans une activité criminelle.

5. Moissonnage non ciblé d’images faciales : création ou extension de bases de données de reconnaissance faciale par moissonnage non ciblé d’images faciales provenant de l’internet ou de la vidéosurveillance.

6. Inférence des émotions sur le lieu de travail et dans l’enseignement : systèmes d’IA qui infèrent les émotions de personnes physiques sur le lieu de travail ou dans des établissements d’enseignement, sauf lorsque le système est destiné à des raisons médicales ou de sécurité.

7. Catégorisation biométrique visant des attributs sensibles : systèmes d’IA qui catégorisent des personnes physiques d’après des données biométriques pour inférer ou déduire la race, les opinions politiques, l’appartenance syndicale, les convictions religieuses ou philosophiques, la vie sexuelle ou l’orientation sexuelle. (L’étiquetage ou le filtrage licite de jeux de données biométriques dans le cadre des activités répressives est exclu.)

8. Identification biométrique à distance en temps réel dans des espaces accessibles au public à des fins répressives : interdite, avec des dérogations étroites pour des recherches ciblées de victimes d’infractions précises, la prévention de menaces imminentes précises, et l’identification de suspects d’infractions pénales graves précises.

Exemple concret, plateforme de réseaux sociaux : une entreprise de réseaux sociaux déploie un système d’IA qui analyse les schémas de comportement pour identifier des personnes psychologiquement vulnérables et leur servir un contenu ciblé conçu pour augmenter l’engagement par des mécanismes addictifs. Cela pourrait constituer une technique subliminale ou manipulative qui exploite des vulnérabilités, et déclencher le palier 1.

Exemple concret, surveillance de l’employeur : une entreprise de logistique installe des caméras assistées par l’IA dans son entrepôt, qui surveillent en continu les expressions faciales des équipes pour détecter le « désengagement » et signaler les salariés en sous-performance. L’inférence des émotions sur le lieu de travail est interdite au titre de l’article 5, paragraphe 1, point f). Le palier 1 s’applique.

Palier 2 : manquements énumérés à l’article 99, paragraphe 4, jusqu’à 15 000 000 EUR ou 3 %

L’article 99, paragraphe 4, fixe le plafond pour la non-conformité à l’une quelconque des dispositions suivantes, autres que celles de l’article 5 :

amendes administratives pouvant aller jusqu’à 15 000 000 EUR ou, si l’auteur de l’infraction est une entreprise, jusqu’à 3 % de son chiffre d’affaires annuel mondial total réalisé au cours de l’exercice précédent, le montant le plus élevé étant retenu.

Les bases officielles sont :

• a) les obligations incombant aux fournisseurs en vertu de l’article 16 (qui emportent, notamment, les exigences des articles 8 à 15, le système de gestion de la qualité, l’évaluation de la conformité, le marquage CE, l’enregistrement et la surveillance après mise sur le marché) ;
• b) les obligations incombant aux mandataires en vertu de l’article 22 ;
• c) les obligations incombant aux importateurs en vertu de l’article 23 ;
• d) les obligations incombant aux distributeurs en vertu de l’article 24 ;
• e) les obligations incombant aux déployeurs en vertu de l’article 26 (contrôle humain, conservation des journaux, information des personnes concernées ; voir fournisseur ou déployeur) ;
• f) les exigences et obligations applicables aux organismes notifiés en application de l’article 31, de l’article 33, paragraphes 1, 3 et 4, ou de l’article 34 ;
• g) les obligations de transparence pour les fournisseurs et les déployeurs conformément à l’article 50.

C’est le palier auquel la plupart des organisations doivent se préparer. Les dates d’application sont échelonnées : les obligations de transparence (article 50) à compter du 2 août 2026 (non reportées par l’Omnibus) ; les obligations à haut risque des fournisseurs et des déployeurs à compter du 2 décembre 2027 (reportées du 2 août 2026 par le Digital Omnibus, règlement (UE) 2026/1744).

L’analyse d’impact sur les droits fondamentaux de l’article 27 n’est pas énumérée à l’article 99, paragraphe 4. Elle peut faire l’objet de sanctions au titre du régime général de l’article 99, paragraphe 1 (les États membres déterminent le régime des sanctions applicables aux violations du règlement), mais lui attribuer d’office le plafond de 15 000 000 EUR / 3 % reviendrait à inventer une base que le paragraphe 4 ne contient pas.

Les manquements des fournisseurs de modèles GPAI relèvent d’un régime distinct : l’article 101, appliqué par la Commission, avec un plafond de 15 000 000 EUR ou 3 % du chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu.

Exemple concret, fournisseur d’IA de recrutement : une entreprise développe un outil de présélection de CV assisté par l’IA (haut risque au titre de l’annexe III, domaine 4) et le met sur le marché sans évaluation de la conformité, sans documentation technique et sans système de gestion des risques. L’entreprise s’expose jusqu’à 15 000 000 EUR ou 3 % du chiffre d’affaires annuel mondial total, au titre de l’article 99, paragraphe 4, point a), via l’article 16.

Exemple concret, banque déployeur : une banque européenne déploie un système d’évaluation de la solvabilité de tiers sans désigner de personnes chargées du contrôle humain, sans conserver les journaux du système, et sans informer les demandeurs de crédit qu’un système d’IA intervient dans la décision. La banque s’expose au palier 2 pour violation des obligations du déployeur au titre de l’article 26, même si elle n’a pas construit le système.

Exemple concret, agent conversationnel sans information : une entreprise de service client déploie un agent conversationnel d’IA qui traite des réclamations de consommateurs sans indiquer aux personnes qu’elles interagissent avec un système d’IA. Cela viole les obligations de transparence de l’article 50, palier 2 (article 99, paragraphe 4, point g)).

Palier 3 : informations inexactes, incomplètes ou trompeuses, jusqu’à 7 500 000 EUR ou 1 %

L’article 99, paragraphe 5, dispose :

La fourniture d’informations inexactes, incomplètes ou trompeuses aux organismes notifiés ou aux autorités nationales compétentes en réponse à une demande fait l’objet d’une amende administrative pouvant aller jusqu’à 7 500 000 EUR ou, si l’auteur de l’infraction est une entreprise, jusqu’à 1 % de son chiffre d’affaires annuel mondial total réalisé au cours de l’exercice précédent, le montant le plus élevé étant retenu.

La base officielle est donc la fourniture d’informations en réponse à une demande d’un organisme notifié ou d’une autorité nationale compétente. Dans la pratique, cela recouvre notamment :

• des réponses fausses ou incomplètes aux demandes d’information des autorités de surveillance du marché ;
• une documentation trompeuse dans les procédures d’évaluation de la conformité, lorsqu’elle est fournie en réponse à une demande ;
• des déclarations fausses ou des omissions dans les échanges avec les autorités.

Ce palier peut paraître moins sévère, mais il a un effet cumulatif : les organisations qui trompent les régulateurs perdent la bienveillance qui pourrait autrement atténuer les sanctions pour des violations sous-jacentes des paliers 1 ou 2.

Exemple concret : un fournisseur enregistre un système d’IA dans la base de données de l’UE en le décrivant comme un « outil d’analyse client » alors qu’il sert en réalité à l’évaluation de la solvabilité. Si cette description inexacte est fournie en réponse à une demande d’une autorité, le palier 3 s’applique ; le manquement sous-jacent aux obligations à haut risque ajoute une exposition au palier 2.

Mécanisme d’ajustement pour les PME et les jeunes pousses

L’article 99, paragraphe 6, dispose :

Dans le cas des PME, y compris les jeunes pousses, chaque amende visée au présent article s’élève au maximum aux pourcentages ou montants visés aux paragraphes 3, 4 et 5, le chiffre le plus faible étant retenu.

C’est l’inverse du calcul standard applicable aux autres entreprises.

Comment cela fonctionne en pratique

Pour une jeune pousse avec 2 millions d’euros de chiffre d’affaires annuel, l’amende maximale du palier 1 est de 140 000 EUR, et non de 35 millions. L’ajustement PME vise à ce que les sanctions restent significatives sans être existentiellement destructrices pour les plus petites entreprises.

Qualité de PME : la recommandation 2003/361/CE de la Commission (moins de 250 salariés, chiffre d’affaires annuel n’excédant pas 50 millions d’euros, ou total du bilan annuel n’excédant pas 43 millions d’euros) est la définition usuelle des PME dans le droit de l’Union. L’article 99 lui-même n’en donne pas une autre. Le règlement dit « PME, y compris les jeunes pousses » sans définir séparément la jeune pousse.

Mise en garde : l’ajustement PME s’applique au plafond de l’amende, pas à la probabilité d’un contrôle. Les autorités nationales peuvent enquêter sur une jeune pousse non conforme aussi bien que sur une multinationale, surtout si le système d’IA de la jeune pousse cause un préjudice réel.

Qui applique le règlement sur l’IA ?

La responsabilité du contrôle se divise entre organes nationaux et organes de l’Union, chacun avec des compétences distinctes.

Contrôle national

Chaque État membre doit désigner au moins une autorité de surveillance du marché chargée de recevoir les réclamations, de conduire enquêtes et inspections, d’ordonner des mesures correctives et d’imposer des amendes. Dans beaucoup d’États membres, l’autorité de protection des données (qui applique déjà le RGPD) est appelée à jouer ce rôle. Certains pays mettent en place des autorités dédiées à l’IA. Les États membres doivent aussi désigner des autorités notifiantes pour superviser les organismes notifiés qui mènent les évaluations de la conformité par un tiers.

Contrôle au niveau de l’Union

• La Commission européenne : supervise et applique exclusivement les règles relatives aux modèles d’IA à usage général (GPAI). La Commission peut enquêter directement sur les fournisseurs GPAI, demander des informations, conduire des évaluations et infliger des amendes au titre de l’article 101.
• Le bureau de l’IA : coordonne le contrôle entre les États membres, fournit l’expertise technique et appuie la Commission sur l’exécution GPAI.
• Le groupe scientifique d’experts indépendants : conseille le bureau de l’IA sur l’évaluation des modèles GPAI et l’évaluation du risque systémique.

Pouvoirs d’exécution

Les autorités de surveillance du marché peuvent : demander la documentation, des données et l’accès au code source ; obtenir l’accès aux systèmes d’IA par des API et des environnements d’essai ; conduire des inspections sur site inopinées ; réaliser ou commander des essais et des audits ; exiger des mesures correctives dans des délais précisés ; ordonner le retrait du marché ou le rappel de systèmes non conformes ; restreindre ou interdire l’usage de systèmes présentant des risques graves ; imposer des amendes administratives ; et publier les décisions d’exécution, y compris l’identité de l’auteur de l’infraction.

Ce qui déclenche le contrôle de l’application

Les mesures d’exécution sont typiquement initiées par cinq canaux :

1. Réclamations de personnes concernées, d’organisations de consommateurs, de syndicats ou de groupes de libertés civiles, attendues comme le moteur premier du contrôle précoce, sur le modèle du RGPD.
2. Signalements d’incidents graves par les fournisseurs ou les déployeurs (en règle générale dans les 15 jours au titre de l’article 73, paragraphe 2 ; deux jours en cas d’infraction de grande ampleur ou d’incident visé à l’article 3, point 49, b) ; dix jours en cas de décès). Chaque signalement déclenche une revue de conformité. L’omission de signaler est elle-même une violation, via les obligations du fournisseur (article 16) et donc le palier 2.
3. Surveillance proactive du marché par les autorités nationales, revue systématique des systèmes d’IA sur le marché, audits sectoriels ciblés, et suivi de la complétude de la base de données de l’UE.
4. Régulateurs sectoriels (finance, santé, transport) qui signalent la non-conformité aux autorités de surveillance du marché de l’IA. Les systèmes qui échouent à la fois au règlement sur l’IA et à la régulation sectorielle attirent l’attention de plusieurs organes d’exécution.
5. Signalements d’auteurs de signalement protégés au titre de l’article 87. Les salariés et les contractants qui signalent des violations sont protégés contre les représailles, ce qui crée un canal d’exécution que les organisations ne peuvent pas contrôler en interne.

Calendrier d’application

Signaux d’application précoce

Le contrôle de l’application n’attend pas l’échéance d’août 2026 pour tout. Les pratiques interdites sont opposables depuis février 2025. L’anglais source affirme qu’au début de 2026 la Commission a lancé les premières enquêtes formelles sur d’éventuelles pratiques d’IA interdites ; cette affirmation n’a pas été recoupée ici contre une source primaire. Plusieurs autorités nationales de protection des données ont indiqué qu’elles commenceraient à appliquer le règlement sur l’IA aux côtés de leurs activités RGPD, et le bureau de l’IA a publié des orientations interprétatives initiales sur les pratiques interdites.

Amendes du règlement sur l’IA comparées au RGPD

Pour les organisations déjà familières de l’application du RGPD, la comparaison est instructive :

Le règlement sur l’IA dépasse le RGPD en sévérité maximale. Pour les violations les plus graves (pratiques interdites), le plafond de 7 % / 35 millions d’euros est 75 % plus élevé que le palier supérieur du RGPD (4 % / 20 millions d’euros). Pour les manquements aux systèmes à haut risque (le palier qui touche le plus d’organisations), le plafond de 3 % / 15 millions d’euros est modérément inférieur au palier supérieur du RGPD, mais comparable à son second palier.

Enseignement clé de l’application du RGPD : les plus lourdes amendes RGPD ont été infligées pour une non-conformité systémique, pas pour des erreurs isolées. Les organisations sans documentation, qui ignoraient les droits des personnes concernées ou n’avaient pas mis en place des mesures de sécurité de base, ont reçu les sanctions les plus dures. Le même schéma est attendu au titre du règlement sur l’IA : l’échec systématique à mettre en œuvre la documentation technique, la gestion des risques ou l’évaluation de la conformité attirera les amendes les plus lourdes, tandis que les organisations qui ont fait des efforts de bonne foi, avec quelques écarts, feront plutôt l’objet d’injonctions correctives que du plafond maximal. Pour une comparaison complète, voir notre guide règlement sur l’IA et RGPD.

Exemples concrets de calcul d’amende

Les exemples ci-dessous appliquent la formule officielle de l’article 99 (le plus élevé, ou le plus faible pour les PME) aux chiffres d’affaires indiqués. Ce sont des plafonds, pas des prédictions du montant qu’une autorité infligerait.

Exemple 1 : grand fournisseur multinational

Profil : entreprise technologique mondiale, 10 milliards d’euros de chiffre d’affaires annuel, fournit une plateforme d’embauche par IA classée à haut risque au titre de l’annexe III.

Violation : évaluation de la conformité non achevée, pas de documentation technique selon l’annexe IV, pas de système de gestion des risques. Découvert à la suite d’une réclamation d’un candidat écarté par le système d’IA.

Palier : palier 2 (obligations des fournisseurs, article 99, paragraphe 4, point a)).

Calcul : le plus élevé de 15 millions d’euros ou 3 % de 10 Md€ = 300 millions d’euros. Amende maximale : 300 millions d’euros.

Exemple 2 : banque européenne de taille intermédiaire (déployeur)

Profil : banque européenne, 200 millions d’euros de chiffre d’affaires annuel, déploie un système d’évaluation de la solvabilité de tiers.

Violation : pas de contrôle humain désigné, pas d’information des demandeurs de crédit que l’IA intervient, pas de conservation des journaux. (Une FRIA manquante, si l’article 27 s’applique, relèverait du régime général de l’article 99, paragraphe 1, et non du paragraphe 4.)

Palier : palier 2 (obligations du déployeur, article 99, paragraphe 4, point e)).

Calcul : le plus élevé de 15 millions d’euros ou 3 % de 200 M€ = 6 millions d’euros. Amende maximale : 15 millions d’euros.

Exemple 3 : jeune pousse déployant une pratique interdite

Profil : jeune pousse d’IA, 3 millions d’euros de chiffre d’affaires annuel, 20 salariés, a développé un système d’IA qui analyse des données de réseaux sociaux pour profiler la personnalité de candidats pour des employeurs.

Violation : éventuelle catégorisation biométrique visant à inférer des attributs sensibles (si le système déduit des caractéristiques comme les opinions politiques ou les convictions religieuses à partir de données comportementales), interdite au titre de l’article 5.

Palier : palier 1 (pratiques interdites), avec l’ajustement PME.

Calcul : le plus faible de 35 millions d’euros ou 7 % de 3 M€ = 210 000 EUR. Amende maximale : 210 000 EUR, plus cessation obligatoire de la pratique interdite.

Exemple 4 : PME fournisseur d’IA avec des manquements documentaires

Profil : entreprise européenne d’IA, 15 millions d’euros de chiffre d’affaires annuel, 80 salariés, fournit un système de surveillance d’examens par IA (haut risque au titre de l’annexe III, domaine 3).

Violation : documentation technique inadéquate, pas de système de surveillance après mise sur le marché, évaluation de gestion des risques périmée.

Palier : palier 2, avec l’ajustement PME.

Calcul : le plus faible de 15 millions d’euros ou 3 % de 15 M€ = 450 000 EUR. Amende maximale : 450 000 EUR.

Comment réduire votre risque d’exécution

1. Classez chaque système d’IA de votre organisation

Vous ne pouvez pas gérer un risque que vous n’avez pas identifié. Construisez votre inventaire des systèmes d’IA et lancez la classification gratuite des risques au titre du règlement sur l’IA pour chaque système. La classification détermine quel palier d’amende s’applique.

2. Priorisez la revue des pratiques interdites

Les amendes du palier 1 sont déjà opposables. Conduisez une revue immédiate de tous les systèmes d’IA pour d’éventuelles pratiques interdites : notation sociale, techniques manipulatrices, inférence des émotions sur le lieu de travail, catégorisation biométrique visant des attributs sensibles, et moissonnage non ciblé d’images faciales. Si un système est proche de la ligne, obtenez un avis juridique avant que les régulateurs ne parviennent à leur propre conclusion.

3. Documentez de façon exhaustive

L’échec d’exécution le plus fréquent dans les régulations de l’Union est l’absence de documentation, pas une non-conformité malveillante. Commencez dès maintenant votre documentation technique et vos dossiers de gestion des risques. La documentation est une preuve de bonne foi, et la bonne foi est un facteur atténuant dans la détermination de la sanction (article 99, paragraphe 7).

4. Vérifiez votre chaîne d’approvisionnement

Si vous déployez des systèmes d’IA construits par des tiers, demandez la preuve de leur conformité : déclaration UE de conformité, marquage CE, notice d’utilisation, preuve de l’évaluation de la conformité. Le règlement sur l’IA fait de la vérification par le déployeur une obligation juridique explicite : l’incapacité à vérifier est un manquement de conformité, pas seulement un désagrément d’achat. Voir l’analyse complète de la chaîne d’approvisionnement dans notre guide fournisseur ou déployeur.

5. Formez vos équipes à la maîtrise de l’IA

La formation à la maîtrise de l’IA est déjà opposable au titre de l’article 4 (depuis le 2 février 2025). Veillez à ce que les personnes qui travaillent avec des systèmes d’IA comprennent les exigences réglementaires pertinentes pour leur rôle. Cela inclut les personnes chargées du contrôle humain, les équipes d’achat qui évaluent les fournisseurs d’IA, et les développeurs qui construisent des systèmes d’IA.

6. Établissez des processus de signalement d’incidents graves

Mettez en place des processus internes pour détecter et signaler les incidents graves dans la fenêtre de l’article 73. Cela exige : des voies d’escalade définies, des critères clairs de ce qui constitue un « incident grave », une responsabilité désignée pour les notifications réglementaires, et des modèles de signalement. L’omission de signaler est elle-même une violation du palier 2 qui s’ajoute à l’incident sous-jacent.

7. Recourez aux bacs à sable réglementaires

Les bacs à sable réglementaires établis par les autorités nationales offrent un environnement structuré pour tester des systèmes d’IA sous surveillance réglementaire. La participation démontre un engagement proactif de conformité et donne accès à un guidage réglementaire qui peut prévenir de futures violations.

8. Suivez les développements de l’exécution

Suivez les mesures d’exécution dans votre secteur et votre juridiction. L’application du RGPD a montré des schémas nets : certains secteurs (technologie, télécoms, services financiers) ont reçu une attention disproportionnée, et certains types de violations (base juridique insuffisante, transparence inadéquate) ont été appliqués en premier. Les schémas précoces d’application du règlement sur l’IA révéleront de même où les régulateurs concentrent leur attention.

Erreurs fréquentes qui augmentent l’exposition à l’exécution

Erreur 1 : supposer que l’exécution sera retardée ou indulgente

L’application du RGPD a commencé lentement puis a accéléré fortement. En 2024, les amendes RGPD cumulées dépassaient 4 milliards d’euros. L’infrastructure d’exécution du règlement sur l’IA se construit sur les fondations du RGPD : la courbe d’apprentissage des régulateurs sera plus courte cette fois.

Erreur 2 : traiter la conformité comme un projet unique

Le règlement sur l’IA exige une conformité continue : gestion des risques en cours, surveillance après mise sur le marché, signalement d’incidents et mises à jour de la documentation. Une évaluation de la conformité achevée en juillet 2026 ne garantit pas la conformité en juillet 2027 si la performance du système a changé ou si de nouveaux risques ont émergé.

Erreur 3 : ignorer les obligations du déployeur

Beaucoup d’organisations se concentrent exclusivement sur les obligations du fournisseur parce qu’elles sont plus étendues. Mais la non-conformité du déployeur, en particulier l’omission de désigner un contrôle humain, d’informer les personnes concernées, ou d’achever les FRIA lorsque l’article 27 s’applique, porte une exposition réelle. Pour l’article 26, c’est le même plafond du palier 2.

Erreur 4 : ne pas tenir compte des violations cumulatives

Le règlement sur l’IA permet des sanctions pour chaque violation. Une organisation avec plusieurs systèmes d’IA non conformes s’expose à des sanctions potentielles par système, pas à une amende unique consolidée. Une entreprise avec dix systèmes d’IA à haut risque, dont aucun n’a d’évaluation de la conformité, s’expose à dix violations potentielles.

Erreur 5 : sous-estimer le préjudice de réputation

Les amendes réglementaires sont le coût quantifiable. Le coût de réputation, contrats perdus, attrition des clients, marque endommagée, et surveillance accrue sur les produits futurs, dépasse souvent l’amende elle-même.

Questions fréquentes

Les autorités peuvent-elles amender à la fois le fournisseur et le déployeur pour le même système d’IA ?

Oui. Les obligations du fournisseur et du déployeur sont indépendantes. Si un fournisseur omet d’achever l’évaluation de la conformité et qu’un déployeur omet de vérifier que cette évaluation a été achevée, les deux peuvent être amendés pour leurs violations respectives. Le règlement sur l’IA ne crée pas de responsabilité solidaire : chaque acteur est responsable de ses propres obligations.

Les amendes du règlement sur l’IA sont-elles par violation ou par système ?

Le règlement sur l’IA permet des amendes par infraction. En pratique, les autorités nationales exerceront leur pouvoir d’appréciation, et une seule mesure d’exécution peut traiter plusieurs violations liées à un même système. Toutefois, les organisations qui exploitent plusieurs systèmes non conformes s’exposent au risque d’une exécution cumulative.

Quels facteurs atténuants réduisent les amendes ?

L’article 99, paragraphe 7, (et non le paragraphe 6, qui est l’ajustement PME) exige de prendre en considération toutes les caractéristiques propres à chaque cas et, le cas échéant : la nature, la gravité et la durée de la violation et de ses conséquences ; les amendes déjà imposées par d’autres autorités pour la même violation ou pour d’autres dispositions ; la taille, le chiffre d’affaires et la part de marché ; les circonstances aggravantes ou atténuantes, y compris les avantages financiers obtenus ; le degré de coopération ; le degré de responsabilité au regard des mesures techniques et organisationnelles ; la manière dont les autorités ont eu connaissance de la violation ; le caractère délibéré ou négligent ; et toute mesure prise pour atténuer le préjudice subi par les personnes concernées. Des efforts de conformité de bonne foi, avec des écarts documentés, seront traités plus favorablement qu’une non-conformité systémique.

Les personnes peuvent-elles assigner des entreprises pour des violations du règlement sur l’IA ?

Oui. L’article 85 prévoit que les personnes concernées ont le droit d’introduire une réclamation auprès d’une autorité de surveillance du marché. L’article 99, paragraphe 10, soumet l’exercice des pouvoirs de sanction à des recours juridictionnels effectifs. Cela crée à la fois un canal réglementaire et un canal juridictionnel, analogue à la double voie du RGPD.

Les amendes RGPD et celles du règlement sur l’IA seront-elles imposées séparément pour le même comportement ?

Potentiellement, oui. Si un système d’IA viole à la fois le RGPD (par exemple un profilage illicite) et le règlement sur l’IA (par exemple un système à haut risque non conforme), les deux jeux de sanctions peuvent s’appliquer. L’article 99, paragraphe 7, point c), demande toutefois de tenir compte des amendes déjà imposées par d’autres autorités pour des violations d’autres dispositions du droit de l’Union ou du droit national résultant de la même activité. Ce mécanisme n’a pas encore été éprouvé en pratique. Voir notre comparaison détaillée des obligations du règlement sur l’IA et du RGPD.

Existe-t-il une amnistie ou un délai de grâce pour les organisations qui divulguent volontairement une non-conformité ?

Le règlement sur l’IA ne comporte pas de programme formel d’amnistie ou de clémence. Toutefois, la coopération avec les autorités et les mesures correctives volontaires figurent explicitement parmi les facteurs de l’article 99, paragraphe 7. Les organisations qui découvrent une non-conformité et y remédient de façon proactive avant une mesure d’exécution feront en général face à des conséquences plus légères que celles découvertes par réclamation ou enquête.

Commencez par la classification, construisez à partir de là

La structure des sanctions est conçue pour dissuader, et les chiffres sont assez élevés pour retenir l’attention à toute taille d’entreprise. Mais le règlement sur l’IA offre aussi une proportionnalité pour les plus petites entreprises, des voies claires vers la conformité, et des facteurs atténuants qui récompensent les efforts de bonne foi.

Les organisations qui feront face à l’exécution la plus dure sont celles qui ont ignoré les exigences entièrement, pas celles qui ont fait de vrais efforts de conformité avec quelques écarts restants.

Commencez par la classification. Construisez votre documentation. Vérifiez votre chaîne d’approvisionnement. Utilisez le guide complet du règlement sur l’IA pour comprendre chaque obligation en détail. Et lancez l’évaluation gratuite au titre du règlement sur l’IA pour obtenir une image claire de la position de votre organisation aujourd’hui.

Legalithm est un outil d’aide à la conformité assisté par l’IA, et non un conseil juridique. Les décisions finales de conformité devraient être revues par un conseil juridique qualifié.