AI Act : contrôles et amendes depuis août 2026, le cas des PME
Depuis le 2 août 2026, le Bureau de l’IA et les autorités nationales peuvent sanctionner. Plafonds d’amende et règles plus douces pour les PME : le point.
L’essentiel
- Depuis le 2 août 2026, le Bureau de l’IA de la Commission et les autorités nationales disposent de leurs pouvoirs de contrôle.
- Les amendes peuvent atteindre 35 millions d’euros ou 7 % du chiffre d’affaires mondial pour les pratiques interdites.
- Pour une PME, chaque plafond est le plus bas des deux montants, et sa viabilité économique doit être prise en compte.
Qui contrôle quoi
Le 31 juillet 2026, la Commission a annoncé que l’application effective de l’AI Act commençait le 2 août. Depuis cette date, les contrôles portent sur les pratiques interdites, les obligations des fournisseurs de modèles d’IA à usage général, les règles de transparence et, selon le calendrier officiel, la maîtrise de l’IA. La répartition des rôles est la suivante :
- le Bureau de l’IA (AI Office) de la Commission surveille les fournisseurs de modèles d’IA à usage général, les systèmes d’un même fournisseur ou groupe que le modèle sous-jacent, et ceux intégrés aux très grandes plateformes et moteurs de recherche ;
- les autorités nationales compétentes surveillent tous les autres systèmes d’IA, ainsi que l’obligation de maîtrise de l’IA (article 4) ;
- le Contrôleur européen de la protection des données couvre les systèmes utilisés par les institutions de l’Union.
Trois plafonds d’amende
L’article 99 de l’AI Act fixe trois niveaux de sanctions maximales :
- pratiques interdites : jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial ;
- autres manquements, dont les règles de transparence et les obligations liées aux systèmes à haut risque : jusqu’à 15 millions d’euros ou 3 % ;
- informations inexactes, incomplètes ou trompeuses fournies au sujet d’un système d’IA, en réponse à une demande des autorités ou des organismes notifiés : jusqu’à 7,5 millions d’euros ou 1 %.
Des plafonds calculés selon la taille
Pour une grande entreprise, c’est le plus élevé des deux montants qui s’applique. Pour les PME, start-up comprises, c’est l’inverse : chaque amende est plafonnée au plus bas des deux. Pour une TPE, cela revient en pratique à un pourcentage de son chiffre d’affaires, très en deçà des montants en millions.
L’omnibus IA étend en partie cet avantage aux petites entreprises de taille intermédiaire : la règle du plus bas montant vaut pour elles sur les deux derniers niveaux, mais pas pour les pratiques interdites. Le texte modifié demande aussi aux États membres de tenir compte des intérêts et de la viabilité économique des PME et de ces entreprises intermédiaires. Les sanctions doivent rester effectives, proportionnées et dissuasives.
Les fournisseurs de modèles d’IA à usage général relèvent d’un régime distinct (article 101) : c’est la Commission qui peut leur infliger jusqu’à 15 millions d’euros ou 3 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu, sans règle plus favorable pour les PME.
Ces montants sont des maximums. Pour fixer une amende, l’autorité pèse notamment la nature, la gravité et la durée du manquement, le nombre de personnes touchées, la taille de l’entreprise, sa coopération et le caractère intentionnel ou non de l’infraction. Pour la maîtrise de l’IA, les sanctions relèvent du droit de chaque État.
La Commission a aussi ouvert un outil de plainte, qui permet de signaler une infraction présumée d’un fournisseur placé sous la surveillance du Bureau de l’IA, et un outil sécurisé pour les lanceurs d’alerte. Pour savoir quelle autorité interviendra en France, lisez notre point sur l’autorité de contrôle.
Pour votre entreprise
Ce que ça change pour une entreprise en Guadeloupe
Pour une TPE, une PME ou un indépendant de Guadeloupe, ces chiffres ne doivent ni affoler ni endormir. Les montants en millions concernent les grandes entreprises ; pour une petite structure, le plafond est un pourcentage de son chiffre d’affaires, apprécié au cas par cas. Les collectivités qui utilisent l’IA sont, elles aussi, des déployeurs au sens du texte.
Pour un simple utilisateur d’outils d’IA, l’essentiel du risque se concentre sur trois points :
- n’utiliser aucun outil relevant d’une pratique interdite (la nouvelle interdiction du 2 décembre 2026) ;
- respecter la transparence : chatbot annoncé comme tel, hypertrucages signalés (les règles en détail) ;
- prendre des mesures pour développer la maîtrise de l’IA de vos équipes et en garder une trace. Une charte d’usage de l’IA et le parcours Initiation à l’IA générative sont deux bons points de départ.
Sources
- The enforcement framework of the AI Act (nouvel onglet) · Commission européenne,
- Article 99: Penalties (nouvel onglet) · Commission européenne (AI Act Service Desk)
- Article 101: Fines for providers of general-purpose AI models (nouvel onglet) · Commission européenne (AI Act Service Desk)
- Commission starts enforcing AI Act rules and new transparency requirements on 2 August (nouvel onglet) · Commission européenne,
- Timeline for the implementation of the EU AI Act (nouvel onglet) · Commission européenne (AI Act Service Desk)
- AI Literacy: Questions & Answers (nouvel onglet) · Commission européenne,