Sanctions de l'AI Act : ce qu'une PME risque vraiment, et comment s'en protéger

Amendes de l'AI Act : les trois plafonds, la règle plus douce pour les PME, qui contrôle en France et ce qui protège vraiment votre entreprise.

En bref. L'AI Act prévoit trois plafonds d'amende : 35 millions d'euros ou 7 % du chiffre d'affaires mondial pour les pratiques interdites, 15 millions ou 3 % pour la plupart des autres obligations, 7,5 millions ou 1 % pour des informations inexactes données aux autorités. Mais pour une PME, c'est le montant le plus faible des deux qui sert de plafond, et ces chiffres sont des maximums, pas des tarifs. Pour une entreprise qui utilise ChatGPT, Copilot ou un chatbot sur son site, le vrai risque tient à quelques obligations précises, et la meilleure protection est une démarche documentée.

Voici ce que dit le texte, ce qui change pour une PME, qui contrôle en France et ce que vous pouvez faire dès maintenant.

Quels sont les montants des amendes de l'AI Act ?

L'article 99 du règlement (UE) 2024/1689 fixe trois paliers. Pour chacun, il donne un montant fixe et un pourcentage du chiffre d'affaires annuel mondial de l'exercice précédent.

Manquement	Plafond général	Plafond pour une PME
Pratiques interdites (article 5)	35 M€ ou 7 % du CA, le plus élevé	Le plus faible des deux
Obligations des opérateurs, dont les déployeurs (article 26) et la transparence (article 50)	15 M€ ou 3 % du CA, le plus élevé	Le plus faible des deux
Informations inexactes, incomplètes ou trompeuses fournies aux autorités	7,5 M€ ou 1 % du CA, le plus élevé	Le plus faible des deux

Ces montants sont des plafonds. Le règlement laisse aux États membres le soin de fixer leur propre régime de sanctions, qui peut aussi comprendre des avertissements et des mesures non financières (article 99, paragraphe 1). Il exige que ces sanctions soient « effectives, proportionnées et dissuasives » et qu'elles tiennent compte des intérêts des PME et de leur viabilité économique.

Pourquoi les PME sont-elles mieux traitées ?

C'est la règle la plus utile du texte pour vous, et elle est rarement mise en avant. L'article 99, paragraphe 6, prévoit que pour les PME, y compris les jeunes pousses, chaque amende est plafonnée au pourcentage ou au montant prévu, « le chiffre le plus faible étant retenu ». Pour une grande entreprise, c'est l'inverse : le plus élevé.

Un exemple chiffré. Prenons une PME qui réalise 8 millions d'euros de chiffre d'affaires :

pour une pratique interdite, le plafond est de 7 % de 8 M€, soit 560 000 €, et non 35 millions ;
pour un manquement à l'article 50 ou à l'article 26, il est de 3 % de 8 M€, soit 240 000 €, et non 15 millions.

Ce sont toujours des maximums : le montant réel dépend des circonstances, comme on le verra plus bas.

Au sens européen, une PME emploie moins de 250 personnes et réalise un chiffre d'affaires d'au plus 50 M€ ou un total de bilan d'au plus 43 M€ (recommandation 2003/361/CE).

Ce qu'a ajouté l'omnibus de juillet 2026. Le règlement (UE) 2026/1744 étend cette règle aux petites entreprises à moyenne capitalisation : moins de 750 personnes, et au plus 150 M€ de chiffre d'affaires ou 129 M€ de bilan, sans être une PME. Pour elles aussi, le plafond le plus faible s'applique, mais seulement pour les deux derniers paliers (obligations des opérateurs et informations inexactes), pas pour les pratiques interdites (nouvel article 99, paragraphe 6 bis).

Quelles obligations d'une PME peuvent être sanctionnées ?

Tout dépend de votre rôle. L'AI Act distingue le fournisseur, qui conçoit un système d'IA et le met sur le marché sous son nom, et le déployeur, qui l'utilise dans son activité. La plupart des PME sont déployeurs. Si vous hésitez, notre article l'AI Act : qui est concerné ? propose un test en quatre questions.

Pour une PME qui utilise l'IA, quatre situations comptent :

Les pratiques interdites (article 5), applicables depuis le 2 février 2025. Elles sont rares dans une PME, mais une vous concerne directement : l'utilisation d'un système d'IA pour déduire les émotions d'une personne sur le lieu de travail est interdite, sauf raisons médicales ou de sécurité. Un outil qui « mesure l'humeur » de vos conseillers pendant leurs appels, par exemple.
La transparence (article 50), applicable depuis le 2 août 2026. Les personnes doivent savoir qu'elles échangent avec une IA, et les hypertrucages (images, sons, vidéos réalistes générés par IA) doivent être signalés. C'est l'obligation la plus concrète pour une PME qui a un chatbot sur son site ou publie des visuels générés. Nous la détaillons dans Chatbot, textes et images IA : ce que l'AI Act vous impose.
Les obligations des déployeurs de systèmes à haut risque (article 26) : contrôle humain, conservation des journaux, information des salariés concernés… Elles ne s'appliqueront qu'au 2 décembre 2027 pour les usages de l'annexe III (recrutement, crédit, éducation…), depuis le report décidé par l'omnibus.
Le cas où vous devenez fournisseur (article 25) : si vous mettez votre nom sur un système à haut risque ou le modifiez substantiellement. L'omnibus a ajouté ces obligations à la liste du palier à 15 M€ / 3 %.

Et l'article 4, l'obligation de formation ?

L'article 4 demande aux entreprises de « prendre des mesures pour soutenir le développement » de la maîtrise de l'IA de leur personnel. Depuis l'omnibus, c'est une obligation de moyens : il n'exige aucun niveau à garantir ni aucun certificat.

Il ne figure dans aucun des trois paliers de l'article 99. Il n'existe donc pas d'amende européenne chiffrée pour défaut de formation, et toute affirmation du type « 15 millions d'euros si vous ne formez pas vos équipes » est fausse.

Deux nuances honnêtes, toutefois :

l'omnibus a réécrit l'article 99, paragraphe 1 : le régime national vise désormais « toute violation » du règlement. Un État pourrait donc prévoir une sanction, ou plus probablement un avertissement, pour un manquement à l'article 4 ;
surtout, l'absence de démarche pèse lorsqu'une autorité examine un autre manquement, comme on va le voir.

Notre article Article 4 : ce que l'obligation de formation exige vraiment détaille ce qu'elle demande.

Comment le montant d'une amende est-il fixé ?

L'article 99, paragraphe 7, liste les éléments que l'autorité prend en compte pour décider s'il faut une amende et pour en fixer le montant. Parmi eux :

la nature, la gravité et la durée du manquement, et le nombre de personnes touchées ;
la taille, le chiffre d'affaires et la part de marché de l'entreprise ;
son degré de responsabilité, « compte tenu des mesures techniques et organisationnelles » qu'elle a mises en œuvre ;
sa coopération avec les autorités et le fait qu'elle ait elle-même signalé le problème ;
le caractère délibéré ou négligent du manquement ;
les mesures prises pour atténuer le préjudice.

Autrement dit, une PME qui peut montrer son inventaire d'outils, ses règles internes, la formation de ses équipes et sa réaction rapide en cas de problème n'est pas dans la même situation qu'une entreprise qui n'a rien fait. C'est là que la documentation devient votre meilleure protection.

Qui contrôle l'AI Act en France ?

C'est le point sur lequel il faut rester prudent. Le règlement demandait aux États de désigner leurs autorités et de notifier leur régime de sanctions au plus tard le 2 août 2025. En France, cette désignation passe par un projet de loi d'adaptation au droit de l'Union européenne, adopté par le Sénat le 18 février 2026 et transmis à l'Assemblée nationale le 20 février 2026. À la date de cet article, nous n'avons pas trouvé d'adoption définitive.

Le schéma présenté par le gouvernement confie la coordination à la DGCCRF, aux côtés de la CNIL (données personnelles, pratiques interdites, une grande partie du haut risque), de l'Arcom (hypertrucages et contenus) et d'autorités sectorielles comme l'ACPR pour la banque et l'assurance. Ces autorités sont donc pressenties, pas encore toutes formellement désignées.

Cela ne veut pas dire que vos usages de l'IA échappent à tout contrôle. Le RGPD s'applique pleinement, et la CNIL sanctionne déjà, par exemple, l'envoi de données personnelles de clients dans un outil non maîtrisé. Le droit de la consommation et le droit du travail s'appliquent aussi.

Pour le reste des échéances, voyez notre calendrier de l'AI Act.

Et si c'est l'outil qui pose problème ?

Les éditeurs de grands modèles d'IA, comme ceux qui font fonctionner ChatGPT, Claude ou Mistral, ont leurs propres obligations et leurs propres amendes. Celles-ci sont prononcées par la Commission européenne, et non par les autorités nationales, jusqu'à 15 M€ ou 3 % de leur chiffre d'affaires mondial (article 101). Elles ne vous visent pas en tant qu'utilisateur.

En revanche, l'usage que vous faites de l'outil reste sous votre responsabilité : ce que vous publiez, ce que vous annoncez à vos clients, les données que vous y mettez.

Ce que vous pouvez faire dès maintenant

Cinq étapes suffisent à réduire fortement votre exposition, sans expert ni gros budget :

Faites l'inventaire des outils d'IA utilisés dans l'entreprise, y compris ceux que vos équipes ont adoptés sans le dire. Notre méthode pour cartographier vos systèmes d'IA tient en une journée.
Vérifiez qu'aucun usage n'est interdit, en particulier toute analyse des émotions de vos salariés.
Réglez la transparence : un message clair sur votre chatbot (« vous échangez avec un assistant automatique ») et une mention sur les visuels réalistes générés par IA.
Repérez les outils potentiellement à haut risque (recrutement, évaluation des salariés, scoring de clients) et préparez-vous pour décembre 2027. Les quatre niveaux de risque vous aident à les classer.
Formez vos équipes et gardez-en la trace : attestations datées, règles internes écrites. C'est exactement ce qu'une autorité regardera au titre des « mesures techniques et organisationnelles ».

Cette démarche n'a rien d'une contrainte inutile : elle rassure aussi vos clients et vos partenaires, qui posent de plus en plus la question. Notre page Se mettre en conformité la détaille étape par étape.

Questions fréquentes

Une PME peut-elle vraiment recevoir une amende de 35 millions d'euros ?

Non. Pour une PME, le plafond est le plus faible des deux montants : 7 % de son chiffre d'affaires mondial pour une pratique interdite. Pour une PME de 8 M€ de chiffre d'affaires, le maximum est donc de 560 000 €, et le montant réel dépend des circonstances.

Ne pas former ses salariés à l'IA est-il puni d'une amende ?

L'article 4 ne figure dans aucun palier d'amende de l'article 99. Depuis l'omnibus, un État peut prévoir des sanctions pour toute violation du règlement, mais l'enjeu principal est ailleurs : une démarche de formation documentée compte en votre faveur si un autre manquement est examiné.

Qui peut contrôler mon entreprise en France ?

La DGCCRF, la CNIL et l'Arcom sont pressenties, avec des autorités sectorielles. La loi française qui doit les désigner a été adoptée par le Sénat en février 2026 ; à la date de cet article, nous n'avons pas trouvé son adoption définitive. Le RGPD, lui, est déjà contrôlé par la CNIL.

Mon chatbot vient d'un prestataire : qui risque la sanction ?

Le prestataire, en tant que fournisseur, doit concevoir l'outil pour informer les utilisateurs qu'ils parlent à une IA. Mais c'est souvent vous qui le paramétrez et le présentez sous votre marque : vérifiez le message d'accueil et gardez une trace de ce réglage.

Depuis quand les sanctions s'appliquent-elles ?

Les règles sur les sanctions (chapitre XII) s'appliquent depuis le 2 août 2025, et celles visant les éditeurs de grands modèles depuis le 2 août 2026 (article 113). Une amende suppose aussi que l'obligation en cause soit applicable : depuis février 2025 pour les interdictions, août 2026 pour la transparence, décembre 2027 pour le haut risque de l'annexe III.

Pour aller plus loin. Pour comprendre l'AI Act en une heure, sans jargon, et savoir ce qui vous concerne vraiment, suivez notre formation gratuite « L'IA Act en 60 min ». Pour mettre votre organisation en règle pas à pas (cartographie, classification, formation, documentation), la formation « Conformité AI Act — la méthode complète » (890 €, 8 heures en ligne) vous guide jusqu'au dossier prêt à présenter. Découvrez-les sur notre page Formations.

Sources

Règlement (UE) 2024/1689 (AI Act), articles 5 §1 f), 25, 26, 50, 99, 101 et 113, version française — EUR-Lex : https://eur-lex.europa.eu/legal-content/FR/TXT/HTML/?uri=OJ:L_202401689
Règlement (UE) 2026/1744 (omnibus) du 8 juillet 2026, point 38 modifiant l'article 99 (§1 remplacé, §4 point d bis, §6 bis) et nouvel article 4 — EUR-Lex : https://eur-lex.europa.eu/legal-content/FR/TXT/HTML/?uri=OJ:L_202601744
Recommandation (UE) 2025/1099 de la Commission du 21 mai 2025, définition des petites entreprises à moyenne capitalisation (annexe, point 2) — EUR-Lex : https://eur-lex.europa.eu/legal-content/FR/TXT/HTML/?uri=OJ:L_202501099
Recommandation 2003/361/CE de la Commission, définition des PME — EUR-Lex : https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=CELEX:32003H0361
Sénat, dossier législatif du projet de loi portant diverses dispositions d'adaptation au droit de l'Union européenne (adopté le 18 février 2026, transmis à l'Assemblée nationale le 20 février 2026) : https://www.senat.fr/dossier-legislatif/pjl25-118.html
Prix et intitulés des formations vérifiés sur https://ai-act.zenbot.tech/formations le 28 octobre 2026.

Article vérifié le 28 octobre 2026.