Sanctions de l'AI Act : les vrais montants, et qui est visé

Le chiffre tourne depuis des mois dans les webinaires, les posts LinkedIn et les mails d'organismes de formation : 35 millions d'euros, ou 7 % du chiffre d'affaires mondial. Il est exact. Il ne dit simplement pas ce qu'on lui fait dire la plupart du temps, et la nuance change beaucoup de choses pour une entreprise de trente personnes.

Les trois paliers d'amende du règlement

Le règlement (UE) 2024/1689 ne prévoit pas une amende unique assortie d'un plafond unique. Il en prévoit plusieurs, et chacune est rattachée à une liste d'obligations nommément désignées. L'essentiel tient dans un seul article, l'article 99, auquel s'ajoute un régime distinct à l'article 101 pour les modèles d'IA à usage général, celui-là réservé à la Commission européenne.

Trois choses se lisent dans ce tableau, et aucune n'apparaît dans les résumés qui circulent. La première : les montants en euros ne sont pas des amendes, ce sont des plafonds, et le montant retenu est le plus élevé des deux termes, l'euro ou le pourcentage. La deuxième : les listes sont limitatives. Un article du règlement qui ne figure dans aucune de ces listes n'a pas de plafond européen attaché. La troisième tient dans la dernière colonne, celle que la plupart des tableaux publiés omettent.

D'où vient le mythe des 35 millions

La confusion n'a rien d'absurde, et il n'y a aucune raison de se moquer de ceux qui l'ont relayée. Quand un texte prévoit plusieurs plafonds, c'est le plus élevé qui sert de titre, dans les communiqués comme dans les synthèses de presse. Le lecteur pressé retient l'ordre de grandeur. La condition qui l'accompagne, elle, tient en une ligne et se perd en chemin : ce plafond sanctionne « le non-respect de l'interdiction des pratiques en matière d'IA visées à l'article 5 ».

L'article 5 est la liste des usages que le règlement interdit purement et simplement. Ce n'est pas la même famille de manquement qu'un registre mal tenu ou qu'une équipe qui n'a jamais été formée à l'outil qu'elle utilise tous les jours. Une entreprise qui se demande si elle est concernée par l'AI Act se pose d'abord une tout autre question : est-elle fournisseur ou déployeur, et pour quels systèmes ?

Cette liste, d'ailleurs, n'est pas figée. Le texte du train de mesures omnibus numérique sur l'IA, signé à Strasbourg le 8 juillet 2026 et en attente de publication au Journal officiel, y ajouterait deux nouvelles pratiques interdites, qui deviendraient applicables au 2 décembre 2026 : les contenus intimes non consentis générés ou manipulés par IA, et les matériels relevant de la directive 2011/93/UE. Rien qui concerne la formation des équipes, là non plus.

Pour une PME, le calcul s'inverse

C'est le paragraphe le moins cité de l'article 99, et c'est celui qui change le plus l'exposition réelle d'une petite structure.

Dans le cas des PME, y compris les jeunes pousses, chaque amende visée au présent article s'élève au maximum aux pourcentages ou montants visés aux paragraphes 3, 4 et 5, le chiffre le plus faible étant retenu.

La formule est identique à celle des paragraphes précédents, à un mot près, et ce mot renverse le résultat. Pour une PME, le plafond n'est plus « 35 millions d'euros ou 7 %, le plus élevé », mais « 35 millions d'euros ou 7 %, le plus faible ». Prenons une entreprise de 3 millions d'euros de chiffre d'affaires qui aurait déployé une pratique interdite par l'article 5. Son plafond théorique n'est pas de 35 millions d'euros. Il est de 210 000 euros.

L'ordre de grandeur n'a plus rien à voir. Reprendre le chiffre de 35 millions devant un dirigeant de TPE, ce n'est donc pas exagérer un peu, c'est décrire un régime qui n'est pas le sien.

Le défaut de formation n'a pas de plafond européen, et pourtant

C'est le point où presque tout se joue, et où l'on se trompe dans un sens comme dans l'autre.

L'article 4, celui qui porte l'obligation de maîtrise de l'IA, ne figure dans aucune des listes de l'article 99 qui fixent les plafonds d'amende. Le palier de 35 millions d'euros ou 7 % du chiffre d'affaires mondial vise exclusivement les pratiques interdites de l'article 5. Le palier de 15 millions d'euros ou 3 % vise une liste limitative d'obligations dans laquelle l'article 4 ne figure pas. Il n'existe donc pas de plafond d'amende européen attaché au défaut de maîtrise de l'IA.

Cela ne signifie pas qu'un manquement à l'article 4 est sans conséquence. L'article 99, paragraphe 1, impose aux États membres de déterminer un régime de sanctions applicable aux violations du règlement, sans exclure l'article 4. La Commission européenne écrit d'ailleurs, dans ses questions-réponses sur la maîtrise de l'IA, que « National market surveillance authorities could impose penalties and other enforcement measures to sanction infringements of Article 4 », et que ces autorités « will start supervising and enforcing the rules as of 2 August 2026 ».

Autrement dit : l'absence de plafond chiffré à Bruxelles ne vaut pas absence de sanction à Paris, Madrid ou Berlin. Le montant, lui, dépendra du régime national. Pour la portée exacte de cette obligation et son articulation avec la taille de l'entreprise, la page de référence est notre dossier sur l'AI Act et l'obligation de former.

Conséquence pratique, et elle est plus terre à terre que la question du montant : ce qui se présente en cas de contrôle, ce n'est pas une absence d'amende, c'est une trace. Un plan de formation daté, des attestations nominatives, une logique de proportionnalité assumée. Nous détaillons ce que doit contenir ce document dans notre article sur l'attestation de formation comme preuve de conformité.

Qui contrôle, et depuis quand

Le régime de sanctions du règlement, c'est-à-dire son chapitre XII, est applicable depuis le 2 août 2025, à l'exception de l'article 101. Ce qui bascule le 2 août 2026, ce n'est donc pas l'existence des autorités nationales, c'est le déclenchement de leurs pouvoirs de surveillance du marché, et l'entrée en application des amendes de la Commission sur les modèles d'IA à usage général.

En France, la situation est plus indécise qu'on ne le lit. Au 24 juillet 2026, aucune loi désignant les autorités compétentes n'est promulguée. Le schéma présenté par le Gouvernement confierait la coordination à la DGCCRF, comme point de contact unique, aux côtés de la CNIL, de l'Arcom et d'une quinzaine d'autorités sectorielles. La page officielle de la Direction générale des entreprises précise que ce schéma sera mis en œuvre sous réserve qu'il soit accepté par le Parlement. Le véhicule est le projet de loi DDADUE, adopté par le Sénat le 18 février 2026 et encore en première lecture à l'Assemblée nationale à la date de rédaction de cet article. Écrire aujourd'hui qu'une autorité française « est compétente » pour l'AI Act est donc prématuré.

Ce que le Digital Omnibus changerait aux sanctions

Le train de mesures omnibus numérique sur l'IA a été adopté par le Parlement européen le 16 juin 2026, adopté par le Conseil le 29 juin 2026, et l'acte final a été signé à Strasbourg le 8 juillet 2026. Au 24 juillet 2026, il n'était pas encore publié au Journal officiel de l'Union européenne, donc pas encore en vigueur.

Sur les montants, la réponse est courte : il ne modifie pas les plafonds des paragraphes 3, 4 et 5 de l'article 99. Le tableau ci-dessus resterait donc valable après sa publication. Ce qu'il fait, c'est réécrire le paragraphe 1 et ajouter un paragraphe 6 bis qui étend le mécanisme de plafonnement au montant le plus faible aux petites entreprises à moyenne capitalisation, une catégorie distincte de la PME. Il réécrit aussi l'article 4 lui-même, dans un sens assoupli, ce qui est un tout autre sujet et que nous traitons dans notre article sur l'omnibus et l'obligation de former.

Questions fréquentes

Risque-t-on 35 millions d'euros d'amende si on ne forme pas ses salariés à l'IA ?

Non. Le plafond de 35 000 000 EUR ou 7 % du chiffre d'affaires mondial de l'article 99, paragraphe 3, vise exclusivement les pratiques interdites de l'article 5. L'article 4, qui porte l'obligation de maîtrise de l'IA, ne figure dans aucune des listes de l'article 99.

Alors il n'y a aucune sanction possible pour un défaut de formation ?

Ce serait tout aussi faux. L'article 99, paragraphe 1, impose aux États membres de prévoir un régime de sanctions applicable aux violations du règlement, sans exclure l'article 4, et la Commission européenne écrit que les autorités nationales de surveillance du marché pourront sanctionner des manquements à l'article 4 à partir du 2 août 2026.

Le plafond est-il vraiment plus bas pour une PME ?

Oui. L'article 99, paragraphe 6, prévoit que pour les PME, y compris les jeunes pousses, l'amende s'élève au maximum aux pourcentages ou montants des paragraphes 3, 4 et 5, le chiffre le plus faible étant retenu. Pour une entreprise de 3 millions d'euros de chiffre d'affaires, le plafond sur une pratique interdite est de 210 000 euros et non de 35 millions.

Quel est le montant exact du palier le plus bas ?

7 500 000 EUR ou 1 % du chiffre d'affaires annuel mondial total, le montant le plus élevé étant retenu, au titre de l'article 99, paragraphe 5. Il vise la fourniture d'informations inexactes, incomplètes ou trompeuses aux organismes notifiés ou aux autorités nationales compétentes. Le chiffre de 1,5 %, souvent repris, est inexact.

Ce qu'il faut en retenir avant d'arbitrer un budget

Un dirigeant qui décide d'un budget de formation à partir du chiffre de 35 millions décide à partir d'un chiffre qui ne le concerne pas, et il le découvrira tôt ou tard. La raison de former ses équipes est ailleurs : l'obligation existe depuis le 2 février 2025, les autorités nationales commencent à la faire appliquer le 2 août 2026, et ce qui se présente à un contrôle est une trace, pas une intention. Le reste relève du risque opérationnel, qui n'a jamais eu besoin d'un règlement pour exister.

Pour savoir si votre structure est réellement dans le champ du texte, le tri se fait d'abord sur le rôle tenu et sur les systèmes utilisés. Si vous cherchez à équiper une équipe entière, la présentation pour les entreprises détaille le fonctionnement des licences et des attestations, et le programme dirigeants donne une idée du niveau attendu côté comité de direction.

Dernière vérification des textes le 24 juillet 2026 : le règlement (UE) 2024/1689 pour les articles 5, 99 et 101, le document PE-CONS 30/1/26 REV 1 pour le texte signé du 8 juillet 2026, et les questions-réponses du Bureau de l'IA de la Commission européenne pour sa position sur l'article 4.