Combien coûte une non-conformité à l'AI Act ? Le vrai montant des sanctions

Une non-conformité à l'AI Act peut coûter jusqu'à 35 M€ ou 7 % de votre chiffre d'affaires mondial, le montant le plus élevé des deux étant retenu. Mais ce chiffre maximal ne concerne pas tout le monde, et il existe en réalité trois niveaux de sanction très différents. Dans cet article, je vous donne le vrai barème des amendes, puis la méthode en quatre étapes pour chiffrer votre exposition réelle et la réduire avant l'échéance.

Le vrai barème : trois niveaux, pas un seul

Le chiffre de « 35 millions ou 7 % » circule partout, mais il ne s'applique qu'au cas le plus grave. L'article 99 du règlement européen prévoit en fait trois plafonds, selon la nature du manquement. Voici ce qui déclenche chacun.

Dans chaque ligne, le pourcentage se calcule sur le chiffre d'affaires annuel mondialde l'exercice précédent, et pour une entreprise classique c'est le montant le plus élevé des deux qui s'applique. Voici le détail :

Le piège : croire que les PME sont protégées

Beaucoup de dirigeants pensent qu'une petite structure ne risque pas grand-chose. C'est une lecture dangereuse. Le règlement prévoit bien une règle spécifique pour les PME et les jeunes entreprises, mais elle est plus subtile qu'une exonération : pour elles, c'est le montant le plus basdes deux qui s'applique, pas le plus élevé. Le plafond reste donc réel, simplement plafonné au plus faible des deux calculs.

La méthode en 4 étapes pour chiffrer votre exposition

Un plafond légal n'est pas une facture. Votre exposition réelle dépend de vos usages, de leur classement et du travail de conformité déjà fait. Voici la démarche que je suis avec mes clients pour passer d'un chiffre abstrait à un montant qui a du sens pour eux.

Étape 1 : inventorier vos usages d'IA

On ne chiffre pas un risque qu'on ne voit pas. Listez tous vos systèmes d'IA, y compris ceux que vos équipes utilisent sans validation. Pour chacun, notez une chose simple : est-ce qu'il oriente, filtre ou note une personne ? C'est ce critère qui fait basculer un usage dans les catégories les plus sanctionnées. Si vous n'êtes pas sûr, savoir si vos usages sont à haut risque vous donne la grille de lecture.

Étape 2 : classer chaque usage dans la bonne ligne

Reprenez le barème à trois niveaux. La majorité des entreprises ne sont pas concernées par les pratiques interdites : leur exposition se joue surtout sur la ligne à 15 M€ ou 3 %, celle des obligations sur les systèmes à haut risque et de la transparence. Repérer précisément ce qui tombe où évite de surestimer comme de sous-estimer le risque.

Étape 3 : chiffrer le plafond applicable

Pour chaque usage classé, appliquez la bonne ligne et la bonne règle (le plus élevé pour une grande entreprise, le plus bas pour une PME), en prenant le chiffre d'affaires mondial du groupe. Vous obtenez un plafond théorique par usage. C'est votre exposition maximale, celle qu'il faut comparer au coût de la mise en conformité, toujours bien inférieur.

Étape 4 : réduire l'exposition

Le montant de l'amende, vous ne le choisissez pas. Le niveau de conformité, si. Documenter vos systèmes à haut risque, mettre en place une supervision humaine, signaler clairement le recours à l'IA : chaque action fait baisser à la fois la probabilité d'un manquement et la sévérité retenue par l'autorité. C'est l'objet d'un accompagnement de mise en conformité, qui transforme une exposition subie en risque maîtrisé.

Au-delà de l'amende : le coût qu'on oublie

Se focaliser sur le plafond fait passer à côté du vrai coût d'une non-conformité. Au montant de l'amende s'ajoutent l'interdiction de mise sur le marché du système fautif, l'obligation de le retirer ou de le corriger en urgence, et surtout l'atteinte à la réputation. Une IA qui discrimine à l'embauche ou se trompe sur un dossier client, et c'est la confiance de tout votre marché qui vacille, bien avant que la moindre sanction ne tombe.

Questions fréquentes

Quand ces amendes deviennent-elles applicables ?

Les sanctions sur les pratiques interdites sont déjà en vigueur. Celles qui visent les systèmes à haut risque suivent l'échéance de ces obligations, repoussée à fin 2027 par le Digital Omnibus. Pour le calendrier complet et ce qu'il faut faire d'ici là, lisez ce que l'EU AI Act exige de votre entreprise, et pourquoi un report annoncé ne doit pas vous faire baisser la garde.

Qui prononce l'amende ?

Ce sont les autorités nationales de surveillance désignées par chaque État membre. Pour les modèles d'IA à usage général, c'est la Commission européenne qui peut sanctionner, jusqu'à 15 M€ ou 3 % du chiffre d'affaires mondial.

Le montant est-il automatique ?

Non. Les plafonds sont des maximums. L'autorité tient compte de la gravité, de la durée du manquement, de votre coopération et des mesures de conformité déjà en place. Un dossier documenté et de bonne foi pèse directement sur la sanction retenue.

Une PME peut-elle vraiment être visée ?

Oui. La taille ne crée pas d'exonération : elle change seulement la règle de calcul (le montant le plus bas plutôt que le plus élevé). C'est l'usagede l'IA qui déclenche l'obligation, pas le nombre de salariés.

Cet article a une visée pédagogique et ne constitue pas un conseil juridique. Chaque situation mérite une analyse au cas par cas.