AI Act 2026 : Sanctions pour les PME

L'essentiel en 30 secondes

• L'EU AI Act devient pleinement applicable aux systèmes à haut risque le 2 août 2026 (Règlement (UE) 2024/1689).
• Les amendes peuvent atteindre 35 M€ ou 7 % du chiffre d'affaires mondial pour les pratiques interdites (Article 99).
• Pour les PME et start-up, le plafond retenu est le plus bas des deux montants (Art. 99 §6) — une garantie de proportionnalité.
• Les sanctions pénales ne relèvent pas du Règlement européen, mais de chaque État membre.
• Le défaut de documentation technique, de transparence ou d'enregistrement EU est sanctionné jusqu'à 3 % du CA.

1. Contexte réglementaire de l'AI Act en 2026

Le Règlement (UE) 2024/1689 — l'EU AI Act — est entré en vigueur le 1ᵉʳ août 2024. Son application est échelonnée. À partir du 2 août 2026, la majorité des obligations relatives aux systèmes d'IA à haut risque devient opposable aux fournisseurs et déployeurs établis dans l'Union.

Les PME françaises (10 à 250 salariés) sont concernées dès lors qu'elles :

• développent un système d'IA mis sur le marché européen ;
• déploient un système d'IA en tant qu'utilisateur final professionnel ;
• distribuent ou importent un système d'IA tiers.

Les obligations varient selon le niveau de risque : pratiques interdites (Article 5), haut risque (Annexe III), risque limité (transparence), risque minimal. Le calendrier d'application varie en conséquence.

Date	Obligation activée	Plafond de sanction associé
2 février 2025	Pratiques interdites (Art. 5)	35 M€ ou 7 % du CA mondial
2 août 2025	Modèles d'IA à usage général (GPAI)	15 M€ ou 3 % du CA mondial
2 août 2026	Haut risque — Annexe III (application générale)	15 M€ ou 3 % du CA mondial
2 août 2027	Haut risque — Annexe II (produits réglementés)	15 M€ ou 3 % du CA mondial

Le régime des sanctions est fixé par l'Article 99 du Règlement. L'exécution opérationnelle relève du droit national. En France, le décret désignant l'autorité nationale compétente est en cours de stabilisation [à vérifier — voir CNIL, DGE et publications du SGAE].

2. Sanctions administratives

L'Article 99 organise trois plafonds, calculés en valeur absolue ou en pourcentage du chiffre d'affaires annuel mondial, le plus élevé des deux pour les grandes entreprises.

Le barème de l'Article 99

Violation	Plafond absolu	Pourcentage du CA mondial	Base légale
Pratiques interdites	35 M€	7 %	Art. 99 §3
Non-conformité aux obligations haut risque, GPAI, transparence	15 M€	3 %	Art. 99 §4
Information incorrecte, incomplète ou trompeuse aux autorités	7,5 M€	1,5 %	Art. 99 §5

Le régime spécifique PME et start-up

L'Article 99 §6 prévoit une règle protectrice : pour les PME, y compris les start-up, le montant retenu est le plus bas des deux plafonds. Une PME réalisant 4 M€ de chiffre d'affaires sera donc plafonnée à 7 % × 4 M€ = 280 000 € (et non 35 M€) en cas de pratique interdite.

Contrôles et délais de rectification

Les autorités nationales de surveillance peuvent demander la documentation technique, accéder aux locaux et auditer les systèmes (Article 74). L'AI Act ne fixe pas un délai universel de rectification après notification : il est défini au cas par cas par l'autorité de contrôle, en proportion de la gravité et de la complexité de la non-conformité.

Pour comprendre le calcul d'amende sur votre situation, consultez notre calculateur de sanctions AI Act.

3. Responsabilités des dirigeants

L'EU AI Act n'établit pas de sanctions pénales directes au niveau européen. L'Article 99 §1 confie aux États membres la définition des « règles concernant les sanctions et autres mesures d'exécution ». La transposition pénale française est encore en cours de précision [à vérifier — projet de loi attendu].

Ce que prévoit le droit français actuel

La responsabilité des dirigeants peut être engagée sur des fondements distincts du Règlement :

• Droit pénal commun : escroquerie, faux et usage de faux, mise en danger d'autrui — selon le contexte d'usage d'un système d'IA.
• RGPD : sanctions de la CNIL pouvant atteindre 20 M€ ou 4 % du CA mondial (Article 83 du RGPD), cumulables avec celles de l'AI Act lorsque les bases légales diffèrent.
• Code de la consommation et Code du travail : sanctions sectorielles lorsque l'IA affecte des décisions opposables au consommateur ou au salarié.

Les peines privatives de liberté évoquées dans certains commentaires médiatiques ne figurent pas dans le texte du Règlement. Elles relèveraient, le cas échéant, du Code pénal français appliqué à des faits qualifiables au-delà du seul manquement à l'AI Act.

4. Sanctions financières spécifiques

Pour les pratiques interdites (Article 5)

L'Article 5 liste les pratiques interdites : notation sociale, manipulation comportementale ciblée, reconnaissance des émotions au travail ou à l'école, scraping massif de visages, identification biométrique en temps réel dans l'espace public (avec exceptions strictement encadrées).

Une PME exploitant un tel système s'expose au plafond le plus élevé : 35 M€ ou 7 % du CA mondial, plafonné au plus bas des deux pour les PME (Art. 99 §6).

Pour les obligations haut risque

Les systèmes d'IA à haut risque listés à l'Annexe III incluent : tri de CV, scoring crédit, IA éducative critique, gestion d'infrastructures essentielles, dispositifs biométriques. La non-conformité aux obligations de gestion des risques, de documentation, de traçabilité, de contrôle humain et de qualité des données expose à 15 M€ ou 3 % du CA.

Pour les informations transmises aux autorités

Une déclaration incorrecte, incomplète ou trompeuse aux organismes notifiés ou autorités nationales expose à 7,5 M€ ou 1,5 %. Ce plafond concerne notamment les PME qui sous-déclarent ou retardent leur enregistrement dans la base européenne (Article 71).

5. Sanctions pour violations des droits fondamentaux

L'AI Act consacre les droits fondamentaux comme cadre interprétatif (considérants 1 à 9, Article 1ᵉʳ). Les violations engagent plusieurs régimes parallèles.

Régime AI Act

L'Article 27 impose une évaluation d'impact sur les droits fondamentaux (FRIA) pour les déployeurs de systèmes haut risque listés à l'Annexe III, lorsque ces déployeurs sont des organismes publics ou des fournisseurs de services d'intérêt général. La FRIA est exigible avant la première mise en service.

L'absence de FRIA, lorsqu'elle est requise, expose à l'amende de 3 % du CA (Art. 99 §4). Pour le détail des obligations FRIA applicables aux PME, voir notre pillar AI Act PME France.

Articulation avec le RGPD

Les manquements touchant à la vie privée, au profilage automatisé ou à des décisions individuelles automatisées (Article 22 du RGPD) déclenchent en parallèle l'action de la CNIL. Le cumul est admis lorsque les manquements sanctionnés sont juridiquement distincts.

Discriminations algorithmiques

Le droit français (loi du 27 mai 2008, articles L. 1132-1 et suivants du Code du travail) sanctionne les discriminations, y compris celles produites par un système algorithmique. Le Défenseur des droits peut être saisi en parallèle d'une procédure AI Act.

6. Sanctions pour non-transparence

L'Article 50 impose des obligations de transparence distinctes selon les cas d'usage :

• IA générative : les contenus synthétiques (image, audio, vidéo, texte) doivent être marqués comme générés par IA, dans un format lisible par machine.
• Reconnaissance d'émotions et catégorisation biométrique : les personnes concernées doivent être informées.
• Deepfakes : étiquetage clair exigé, sauf exceptions artistiques ou journalistiques encadrées.
• Chatbots : l'utilisateur doit savoir qu'il interagit avec une IA, sauf si l'évidence est immédiate.

Un manquement aux obligations de transparence expose à l'amende de 3 % du CA (Art. 99 §4).

Documentation technique (Annexe IV)

Pour les systèmes haut risque, le fournisseur doit constituer un dossier technique conforme à l'Annexe IV : description du système, conception, données d'entraînement, métriques de performance, mesures de cybersécurité, journaux. L'absence ou l'insuffisance de ce dossier est sanctionnée au même plafond.

7. Sanctions pour non-respect des obligations de sécurité

Cybersécurité (Article 15)

Les systèmes haut risque doivent atteindre un niveau approprié de robustesse, d'exactitude et de cybersécurité. Les mesures de mitigation visent notamment :

• les attaques par empoisonnement de données (data poisoning) ;
• les attaques contradictoires (adversarial examples) ;
• la fuite de modèle (model extraction) ;
• les manipulations de prompts (prompt injection) sur les composants GPAI intégrés.

Articulation avec NIS2 et DORA

Les PME concernées par NIS2 (entités essentielles ou importantes) ou DORA (services financiers) cumulent les obligations. Une faille critique non corrigée peut déclencher des sanctions sur trois régimes simultanément : AI Act, NIS2, et le cas échéant DORA.

Suivi post-commercialisation

L'Article 72 impose une surveillance des performances et une journalisation des incidents. L'Article 73 fixe l'obligation de déclaration des incidents graves à l'autorité de surveillance dans un délai serré (15 jours, voire 2 jours en cas d'atteinte étendue ou irréversible). Le non-respect expose au plafond de 3 % du CA.

8. Sanctions pour non-conformité aux obligations de conformité

La conformité initiale est attestée par la déclaration UE de conformité (Article 47) et le marquage CE (Article 48). La procédure suit l'Annexe VI ou VII, selon la catégorie de système.

Enregistrement en base EU

L'Article 71 impose l'enregistrement des systèmes haut risque (Annexe III) dans une base européenne avant mise sur le marché. Les déployeurs publics ont une obligation d'enregistrement parallèle. Le défaut expose à l'amende de 3 % du CA.

Audit et coopération

Les autorités nationales peuvent ordonner le retrait du marché, l'interdiction d'usage, ou des mesures correctives (Articles 79 à 83). La non-coopération avec les contrôles est elle-même sanctionnée : 1,5 % du CA pour information trompeuse, 3 % en cas de refus structurel.

Manquement	Article AI Act	Plafond CA mondial
Pratique interdite	Art. 5	7 %
Défaut gestion des risques	Art. 9	3 %
Défaut qualité des données	Art. 10	3 %
Défaut documentation technique	Art. 11	3 %
Défaut traçabilité / journalisation	Art. 12	3 %
Défaut transparence utilisateur	Art. 13	3 %
Défaut contrôle humain	Art. 14	3 %
Défaut cybersécurité	Art. 15	3 %
Défaut FRIA	Art. 27	3 %
Défaut enregistrement EU	Art. 71	3 %
Information trompeuse	Art. 99 §5	1,5 %

Pour préparer votre conformité opérationnelle, démarrez par le guide AI Act PME France et notre glossaire des termes clés.

FAQ

Quelles sont les sanctions maximales pour les PME sous l'AI Act ?

Le plafond le plus élevé est de 35 M€ ou 7 % du chiffre d'affaires annuel mondial pour les violations de l'Article 5 (pratiques interdites), selon l'Article 99 §3 du Règlement (UE) 2024/1689. Pour les PME, l'Article 99 §6 retient le plus bas des deux montants. Les peines d'emprisonnement ne sont pas prévues par le Règlement européen et dépendent, le cas échéant, de la transposition pénale française.

Quels sont les délais pour se conformer aux obligations de l'AI Act ?

Les délais sont calés sur le calendrier d'entrée en application, pas sur la notification d'un contrôle. Les pratiques interdites s'appliquent depuis le 2 février 2025. Les obligations haut risque s'appliquent à partir du 2 août 2026 (Annexe III) ou 2 août 2027 (Annexe II). En cas de contrôle, l'autorité fixe un délai de rectification proportionné à la gravité.

Quelles sont les obligations de transparence pour les PME utilisant l'IA ?

L'Article 50 impose : étiquetage des contenus générés par IA, information lors d'interactions avec un chatbot, marquage des deepfakes, information préalable en cas de reconnaissance d'émotions. Pour les systèmes haut risque, l'Article 13 ajoute des notices d'utilisation détaillées. Sanction maximale : 3 % du CA (Art. 99 §4).

Quelles sont les sanctions pour les violations des droits fondamentaux ?

L'AI Act sanctionne l'absence d'évaluation d'impact sur les droits fondamentaux (FRIA, Article 27) quand elle est requise, jusqu'à 3 % du CA. Les manquements peuvent déclencher en parallèle l'action de la CNIL (RGPD, jusqu'à 4 % du CA) et du Défenseur des droits. Le cumul est admis lorsque les bases juridiques sont distinctes.

Où trouver des informations officielles sur l'AI Act ?

Le texte consolidé est sur artificialintelligenceact.eu. La version officielle est sur EUR-Lex. Pour les PME françaises, consultez nos sources officielles vérifiées et le pillar AI Act PME France.

Sources officielles

• Règlement (UE) 2024/1689 — version consolidée EUR-Lex
• Texte intégral AI Act — artificialintelligenceact.eu
• AI Act Service Desk — Commission européenne
• CNIL — fiches pratiques IA
• ISO/IEC 42001:2023 — Systèmes de management de l'IA

Avertissement

Cet article fournit des informations générales sur l'EU AI Act applicables aux PME françaises. Il ne constitue pas un conseil juridique. Pour toute décision opérationnelle, faites valider votre démarche par votre DPO ou conseil juridique. regulia décline toute responsabilité quant à l'usage qui peut être fait de ces informations.