IA Act : quelles sanctions en cas de non-conformité

Votre startup déploie un outil d'intelligence artificielle pour qualifier ses prospects ou trier des candidatures. Un investisseur, lors de sa due diligence, vous interroge sur votre conformité au règlement européen sur l'IA. La question des sanctions devient alors très concrète. Comprendre les montants en jeu et le calendrier qui les rend exigibles vous permet d'arbitrer vos priorités sereinement.

L'essentiel en 30 secondes. L'IA Act fixe trois plafonds d'amendes, le plus lourd atteignant 35 M€ ou 7 % du chiffre d'affaires mondial. Les PME et start-up bénéficient d'une règle protectrice : c'est le montant le plus faible qui s'applique. Ces sanctions sont déjà en vigueur depuis le 2 août 2025, mais leur portée dépend du calendrier d'application de chaque obligation.

Trois niveaux de sanctions selon la gravité du manquement

Le règlement (UE) 2024/1689 organise les amendes administratives autour de la gravité du manquement. L'article 99 distingue précisément trois plafonds, chacun correspondant à une catégorie d'obligations.

Le premier plafond vise les pratiques interdites énumérées à l'article 5, comme la notation sociale ou la reconnaissance des émotions sur le lieu de travail. Ces violations exposent à une amende pouvant atteindre 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial total, le montant le plus élevé étant retenu. C'est le sommet de l'échelle répressive.

Le deuxième plafond couvre la plupart des autres manquements aux obligations du règlement. Il s'agit notamment des règles applicables aux systèmes à haut risque ou des obligations de transparence. L'amende peut alors monter jusqu'à 15 millions d'euros ou 3 % du chiffre d'affaires annuel mondial.

Le troisième plafond sanctionne la fourniture d'informations inexactes, incomplètes ou trompeuses aux autorités compétentes. Cette catégorie expose à une amende plafonnée à 7,5 millions d'euros ou 1 % du chiffre d'affaires. Communiquer des éléments erronés à un régulateur reste donc un risque autonome.

La règle du plafond le plus faible protège les PME

Le législateur européen a prévu un mécanisme spécifique pour les petites et moyennes entreprises ainsi que pour les jeunes pousses. Là où les grands groupes encourent le montant le plus élevé entre la somme fixe et le pourcentage, l'inverse s'applique aux structures plus modestes.

Concrètement, pour une PME ou une start-up, l'amende retenue correspond au montant le plus faible entre le plafond exprimé en euros et le pourcentage du chiffre d'affaires. Cette nuance change tout pour une entreprise au chiffre d'affaires limité. Une jeune société réalisant deux millions d'euros de revenus ne risque pas une amende de 35 millions, mais bien le pourcentage applicable, nettement inférieur.

Cette protection ne supprime pas le risque, elle le proportionne. Elle reconnaît qu'une sanction calibrée pour un acteur mondial écraserait une structure émergente. Pour vous, cela signifie qu'une démarche de conformité reste accessible et que l'investissement consenti demeure cohérent avec votre taille.

Qui prononce les sanctions

L'architecture de surveillance repose sur deux niveaux. Les autorités nationales de surveillance du marché constituent le premier échelon. Chaque État membre désigne les autorités chargées de contrôler l'application du règlement sur son territoire et de prononcer les amendes administratives.

Le second échelon concerne les modèles d'IA à usage général, désignés sous l'acronyme GPAI. Pour ces modèles fondationnels, la compétence revient au Bureau européen de l'IA, rattaché à la Commission. Cette répartition évite les divergences d'interprétation pour des modèles diffusés à l'échelle de l'Union.

Pour une PME qui déploie des outils d'IA sans développer ses propres modèles fondationnels, l'interlocuteur naturel reste l'autorité nationale. Identifier le bon régulateur fait partie de la cartographie initiale de votre exposition.

Des sanctions exigibles, mais selon un calendrier précis

Les dispositions relatives à la gouvernance et aux sanctions s'appliquent depuis le 2 août 2025. Le pouvoir de sanction existe donc déjà. Sa portée concrète dépend toutefois de l'entrée en application de chaque obligation, car on ne peut sanctionner le non-respect d'une règle qui ne s'impose pas encore.

Les pratiques interdites de l'article 5 sont prohibées depuis le 2 février 2025. Une entreprise qui exploiterait aujourd'hui un système de reconnaissance des émotions au travail s'expose déjà au plafond le plus lourd. À l'inverse, les obligations relatives aux systèmes à haut risque de l'Annexe III, comme le tri de candidatures, ont été reportées au 2 décembre 2027 par l'accord politique dit « Digital Omnibus » du 7 mai 2026. Les systèmes intégrés à des produits déjà réglementés relèvent quant à eux du 2 août 2028.

Ce décalage offre une fenêtre stratégique. Vous disposez de temps pour structurer votre conformité sur les usages à haut risque, à condition de ne pas confondre ce report avec une absence d'obligation. Les pratiques interdites et la littératie en IA, elles, n'attendent pas.

Transformer le risque en argument commercial

Anticiper ces sanctions ne relève pas seulement de la prudence juridique. Une documentation solide sur vos systèmes d'IA rassure les grands comptes lors de leurs appels d'offres et fluidifie les due diligences d'investisseurs. La conformité devient un signal de maturité qui accélère la signature de contrats structurants.

Vous souhaitez évaluer votre exposition aux sanctions de l'IA Act et sécuriser vos déploiements ? Contactez le cabinet pour un diagnostic adapté à votre activité.

Sources

• Règlement (UE) 2024/1689 du Parlement européen et du Conseil (IA Act)
• [Commission européenne : cadre réglementaire sur l'intelligence artificielle](https://digital-strategy.ec.europa.eu/fr/policies/regulatory-framewor