Sanctions de l’AI Act : ce que risque vraiment une PME
Plafonds d’amende, règle plus favorable aux PME, autorités françaises pas encore désignées : ce que prévoit l’AI Act, à quelle date, et les sanctions qui s’appliquent déjà en dehors de ce règlement.
À jour au 17 septembre 2026 — AI Act & PME
Les 35 millions d’euros ou 7 % du chiffre d’affaires mondial souvent cités sont un plafond, réservé aux pratiques interdites. Pour une PME, l’AI Act retient le plus faible des deux montants, et l’amende doit rester proportionnée. En France, la loi qui doit désigner les autorités chargées de sanctionner n’était pas adoptée au 17 septembre 2026. À notre avis, pour une PME qui utilise l’IA, le risque financier le plus concret vient aujourd’hui d’autres textes : RGPD, Code du travail, Code de la consommation, responsabilité civile. Cela ne rend pas l’AI Act facultatif : plusieurs de ses obligations s’appliquent déjà.
Check-list gratuite. Faites le point en 15 minutes sur les 10 points AI Act et RGPD à vérifier dans votre PME. Ouvrir la check-list →
Ce que prévoit l’article 99
L’AI Act (règlement (UE) 2024/1689, modifié par le règlement (UE) 2026/1744) ne fixe pas tout lui-même. Son article 99, paragraphe 1, charge les États membres de déterminer le régime des sanctions applicables à « toute violation » du règlement. Ce régime peut comprendre des amendes, mais aussi « des avertissements et des mesures non monétaires ». Les sanctions doivent être « effectives, proportionnées et dissuasives », et les États tiennent compte des intérêts des PME et de leur viabilité économique.
Le règlement fixe en revanche trois plafonds d’amende :
pratiques interdites (article 5) : jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial de l’exercice précédent (paragraphe 3) ;
autres obligations listées, dont celles des déployeurs de systèmes à haut risque (article 26) et la transparence (article 50) : jusqu’à 15 millions d’euros ou 3 % (paragraphe 4) ;
informations inexactes, incomplètes ou trompeuses fournies aux autorités en réponse à une demande : jusqu’à 7,5 millions d’euros ou 1 % (paragraphe 5).
Pour les autres entreprises, le plafond est en principe le plus élevé des deux montants. Pour une PME, c’est l’inverse : chaque amende s’élève au maximum au pourcentage ou au montant prévu, « le chiffre le plus faible étant retenu » (paragraphe 6). Depuis le règlement 2026/1744, la même règle vaut pour les petites entreprises à moyenne capitalisation, mais seulement pour les paragraphes 4 et 5 (paragraphe 6 bis).
Un exemple. Une PME qui réalise 4 millions d’euros de chiffre d’affaires encourt au plus 120 000 € pour un manquement à la transparence (3 %), 280 000 € pour une pratique interdite (7 %) et 40 000 € pour une réponse trompeuse à une autorité (1 %). Ce sont des maximums : l’autorité décide d’abord s’il y a lieu d’infliger une amende, puis de son montant (paragraphe 7).
Êtes-vous une PME au sens du règlement ?
L’AI Act renvoie à la définition européenne (article 3, point 14 bis) : moins de 250 personnes, et un chiffre d’affaires annuel qui n’excède pas 50 millions d’euros ou un total de bilan qui n’excède pas 43 millions d’euros (recommandation 2003/361/CE). Les données des entreprises partenaires ou liées s’ajoutent selon des règles précises : la filiale contrôlée par un grand groupe n’est en principe pas une PME.
Le document est gratuit. Vous n’avez pas à le rédiger. Le modèle de politique d’usage de l’IA reprend les neuf clauses d’une politique d’usage, déjà rédigées. Vous saisissez votre raison sociale, vos outils autorisés et votre responsable désigné ; le document se met en forme, vous l’imprimez ou vous l’enregistrez en PDF. Sans installation, sans compte à créer.
Essayer le modèle — remplir et voir le document →
ou recevoir le modèle complet, gratuitement
Gratuit. Une adresse email suffit pour le recevoir.
Plafonds et dates
Une obligation peut s’appliquer avant que les sanctions soient opérationnelles, et inversement. Le chapitre XII, consacré aux sanctions, s’applique depuis le 2 août 2025 (article 113, troisième alinéa, point b). Les pouvoirs de surveillance du marché (chapitre IX) s’appliquent depuis le 2 août 2026, date d’application générale du règlement. Ce sont les dates du droit européen : en France, les amendes supposent encore la loi qui désigne les autorités (voir plus bas).
| Manquement | Plafond (cas général) | Plafond pour une PME | Applicable depuis / à partir de |
|---|---|---|---|
| Pratique interdite (article 5), par exemple déduire les émotions des salariés sur le lieu de travail | 35 M€ ou 7 % du CA mondial, le plus élevé | 35 M€ ou 7 %, le plus faible | Interdiction depuis le 2 février 2025 ; chapitre des sanctions depuis le 2 août 2025. Nouvelles interdictions visant la génération de contenus intimes ou sexuellement explicites non consentis et de contenus pédocriminels : 2 décembre 2026 |
| Transparence (article 50) : chatbot (obligation du fournisseur), hypertrucages, certains textes publiés | 15 M€ ou 3 %, le plus élevé | 15 M€ ou 3 %, le plus faible | 2 août 2026 ; marquage des contenus générés (paragraphe 2) : 2 décembre 2026 pour les systèmes déjà sur le marché (article 111, paragraphe 4) |
| Obligations des déployeurs de systèmes à haut risque (article 26), par exemple le tri de candidatures | 15 M€ ou 3 %, le plus élevé | 15 M€ ou 3 %, le plus faible | 2 décembre 2027 (annexe III) ; 2 août 2028 (annexe I). Systèmes déjà sur le marché avant ces dates : seulement en cas de modification importante de leur conception (article 111, paragraphe 2) |
| Information inexacte, incomplète ou trompeuse donnée à une autorité | 7,5 M€ ou 1 %, le plus élevé | 7,5 M€ ou 1 %, le plus faible | Chapitre des sanctions depuis le 2 août 2025 |
| Maîtrise de l’IA (article 4) | Aucun plafond propre : régime fixé par le droit national (article 99, paragraphe 1) | Idem | Obligation depuis le 2 février 2025, reformulée le 27 juillet 2026 (« favoriser » la maîtrise de l’IA) ; contrôle par les autorités nationales à partir d’août 2026, selon la Commission, mais aucune autorité n’est désignée pour cet article dans le projet de loi français |
| Pour mémoire : fournisseurs de modèles d’IA à usage général (article 101) | 15 M€ ou 3 %, infligés par la Commission | Pas de règle PME | 2 août 2026 |
Sur l’article 4, la foire aux questions de la Commission (mise à jour le 27 juillet 2026, non contraignante) renvoie aux lois nationales et estime qu’une sanction pourrait être plus probable s’il est prouvé qu’un incident est dû à un manque de formation et d’encadrement du personnel.
En France : qui sanctionnera, et quand ?
Les autorités et leurs pouvoirs sont prévus par le projet de loi portant diverses dispositions d’adaptation au droit de l’Union européenne. Adopté par le Sénat le 18 février 2026, en procédure accélérée, il a été transmis à l’Assemblée nationale le 20 février 2026 (texte n° 2518). Au 17 septembre 2026, date de notre vérification, le dossier de l’Assemblée mentionne la saisine de ses commissions, mais ni rapport ni vote. Le texte n’est pas adopté, et il peut encore changer.
Dans la version adoptée par le Sénat, les contrôles qui concernent le plus une PME se répartiraient ainsi :
la CNIL : pratiques interdites des points c à h de l’article 5, dont la reconnaissance des émotions au travail ; systèmes à haut risque de l’annexe III liés notamment à l’emploi (point 4) ; transparence de la reconnaissance des émotions (article 50, paragraphe 3). Elle pourrait prononcer des amendes dans les plafonds de l’article 99 et des injonctions sous astreinte jusqu’à 100 000 € par jour, selon l’article 24 duodecies ;
l’Arcom : manipulation et exploitation des vulnérabilités (article 5, points a et b), transparence des chatbots, marquage des contenus et hypertrucages (article 50, paragraphes 1, 2 et 4), selon l’article 24 terdecies ;
la DGCCRF : habilitée notamment pour les points a à c de l’article 5 et pour les paragraphes 1, 2 et 4 (premier alinéa) de l’article 50, avec le pouvoir de prononcer les amendes de l’article 99, selon l’article 24 quinquies ;
des autorités sectorielles pour la santé, la finance, les transports ou les infrastructures critiques.
Deux points restent incertains. Nous n’avons trouvé dans ce texte aucune disposition qui confie expressément le contrôle de l’article 4 à une autorité. Et tant que la loi n’est pas promulguée, les autorités françaises ne disposent pas, à notre lecture, de la base légale nécessaire pour prononcer les amendes de l’AI Act. Cela ne suspend pas les obligations elles-mêmes : le règlement est directement applicable (article 113).
La CNIL prépare déjà ce rôle. Ses contrôles 2026 sur le recrutement, qui visent « prioritairement les grandes entreprises et les cabinets de recrutement », préfigurent selon elle ses futures attributions d’autorité de surveillance du marché dans le champ du travail.
Ce qui peut vraiment coûter cher aujourd’hui
À notre avis, pour une PME, une sanction en 2026 a plus de chances de reposer sur les textes ci-dessous que sur l’AI Act. Ils sont souvent mis en œuvre après une plainte d’un salarié, d’un candidat ou d’un client.
| Fondement | Situation liée à l’IA | Ce qui est encouru | Qui agit |
|---|---|---|---|
| RGPD | Données de clients ou de salariés confiées à un outil sans garanties ; décision entièrement automatisée ; logiciel de surveillance | Jusqu’à 10 M€ ou 2 % du CA mondial (sécurité, sous-traitant, analyse d’impact : article 83, paragraphe 4), ou 20 M€ ou 4 % (principes, base légale, droits des personnes dont l’article 22, transferts : paragraphe 5), le plus élevé, sans règle plus favorable aux PME. Si la CNIL choisit la procédure simplifiée : 20 000 € au plus, 100 000 € si le CA mondial dépasse 50 M€. Réparation du dommage (article 82) | CNIL, après plainte ou contrôle ; personnes concernées devant le juge |
| Code du travail | Outil qui permet de contrôler l’activité, installé sans consultation du CSE (au moins 50 salariés, L. 2312-38) ou sans information préalable des salariés (L. 1222-4) | Délit d’entrave au fonctionnement du CSE : 7 500 € d’amende, 37 500 € pour une société (L. 2317-1 ; Code pénal, article 131-38). Preuve fragilisée devant les prud’hommes | CSE, syndicats, inspection du travail, juge |
| Code de la consommation | Chatbot ou contenu généré qui trompe un consommateur sur un prix, une garantie ou un produit | Pratique commerciale trompeuse : deux ans d’emprisonnement et 300 000 € d’amende, portés à cinq ans et 750 000 € si elle est commise en ligne (L. 132-2) ; pour une société, amende maximale multipliée par cinq (Code pénal, article 131-38). L’amende peut aussi être portée, en proportion des avantages tirés du délit, à 10 % du CA annuel moyen (L. 132-2) | DGCCRF, juge pénal |
| Responsabilité civile | Réponse erronée d’un chatbot, contenu généré inexact remis à un client | Réparation du préjudice, sans plafond fixé à l’avance | Client ou partenaire, devant le juge |
| AI Act | Pratique interdite, obligation de transparence non respectée | Plafonds de l’article 99, le plus faible pour une PME | Autorités que doit désigner la loi en cours d’examen |
Sur la preuve. Aucune information concernant personnellement un salarié ne peut être collectée par un dispositif qui n’a pas été porté préalablement à sa connaissance (L. 1222-4). Depuis l’arrêt de l’assemblée plénière de la Cour de cassation du 22 décembre 2023 (n° 20-20.648), une preuve illicite ou déloyale n’est pas nécessairement écartée : le juge vérifie qu’elle est indispensable et que l’atteinte est strictement proportionnée. Une telle preuve reste donc exposée à être écartée.
Sur le chatbot. En principe, l’entreprise répond des informations données sur son site, y compris par un chatbot. Nous avons présenté l’affaire canadienne Moffatt c. Air Canada (2024) dans notre article sur les obligations d’un chatbot.
Trois repères pour situer les ordres de grandeur
Une petite entreprise, 40 000 €. Le 19 décembre 2024, la CNIL a sanctionné une société immobilière qui comptait les temps « d’inactivité » de ses salariés, capturait leurs écrans et les filmait en continu. Le montant tient compte de sa petite taille et de sa situation financière ; elle n’a pas été nommée, vu sa taille réduite et le retrait immédiat du logiciel.
Le volume. En 2025, la CNIL a prononcé 83 sanctions, dont 67 en procédure simplifiée. Seize organismes ont été sanctionnés pour la vidéosurveillance de leurs salariés, quatorze pour ne pas avoir répondu à ses demandes.
Les décisions automatisées. Le 24 août 2026, la CNIL a annoncé l’amende de 824 990 000 € infligée à Uber par l’autorité néerlandaise, en coopération avec elle, pour des désactivations de comptes de chauffeurs sans intervention humaine. Uber conteste la décision. Le montant vise un groupe mondial ; la règle, l’article 22 du RGPD, vaut pour toute entreprise.
Ce qui pèse dans le montant
L’article 99, paragraphe 7, liste les éléments pris en compte « le cas échéant ». Certains aggravent, d’autres atténuent :
la gravité : nature, durée, nombre de personnes touchées, dommage subi (point a) ;
l’intention : violation délibérée ou par négligence (point i) ;
la taille : chiffre d’affaires et part de marché (point d) ;
les mesures prises : mesures techniques et organisationnelles mises en œuvre (point g), mesures pour atténuer le préjudice (point j) ;
l’attitude envers l’autorité : coopération (point f), manière dont la violation a été connue, notamment si l’entreprise l’a elle-même notifiée (point h) ;
le cumul : amendes déjà infligées pour les mêmes faits, y compris au titre d’autres textes comme le RGPD (points b et c).
Le RGPD retient des critères proches (article 83, paragraphe 2).
Idées reçues
« Une PME risque 35 millions d’euros. » C’est le plafond des pratiques interdites ; pour une PME, le plus faible des deux montants s’applique, soit 7 % du chiffre d’affaires, sauf au-delà de 500 millions d’euros de chiffre d’affaires, cas quasi théorique pour une PME.
« Utiliser ChatGPT expose à 7 % du chiffre d’affaires. » Ce plafond ne vise que les pratiques interdites de l’article 5, comme la reconnaissance des émotions au travail. Rédiger un courrier n’en relève pas.
« Tant que la France n’a pas désigné ses autorités, on ne risque rien. » Il est vrai qu’aucune amende de l’AI Act ne peut, à notre lecture, être prononcée en France pour l’instant. Mais les articles 4, 5 et 50 s’appliquent déjà, et une partie des mêmes faits peut être sanctionnée aujourd’hui au titre du RGPD, du Code du travail ou du Code de la consommation.
« Ne pas former ses salariés coûte jusqu’à 15 millions d’euros. » L’article 4 ne figure pas dans la liste de l’article 99, paragraphe 4 : sa sanction dépend du droit national, pas encore fixé en France.
« L’AI Act permet à un client de réclamer des dommages-intérêts. » Selon la Commission, le règlement lui-même ne crée ni infraction pénale ni droit à réparation. Un client peut en revanche agir sur le fondement du droit de la responsabilité ou de l’article 82 du RGPD.
Ce qui réduit le risque
Aucune de ces mesures ne garantit l’absence de sanction. Elles répondent aux éléments qu’une autorité examine pour décider s’il faut sanctionner, et à quelle hauteur.
Recenser vos usages d’IA et leur finalité : on n’encadre pas un outil dont on ignore l’existence.
Cesser tout usage interdit, à commencer par l’analyse des émotions des salariés dans les outils de visioconférence ou de centre d’appels.
Vérifier la transparence : chatbot présenté comme une IA, hypertrucages signalés.
Informer les salariés et consulter le CSE avant de déployer un outil qui permet de contrôler l’activité, lorsque l’effectif l’impose.
Écrire des règles d’usage et former, en gardant une trace datée : qui, quand, sur quoi.
Répondre exactement aux autorités. Une réponse inexacte ou incomplète est sanctionnable en elle-même (article 99, paragraphe 5).
Corriger et consigner : en cas d’incident, les mesures prises pour limiter le préjudice comptent explicitement.
Le modèle de politique d’usage — gratuit
Les neuf clauses d’une politique d’usage de l’IA, déjà rédigées. Vous saisissez votre raison sociale, vos outils autorisés et votre responsable désigné ; le document se met en forme, vous l’imprimez ou vous l’enregistrez en PDF. Sans installation, sans compte à créer.
Gratuit. Une adresse email suffit pour le recevoir.
Le kit de conformité — 199 €
Face à une autorité, un juge ou le CSE, mieux vaut pouvoir montrer une trace datée de vos outils d’IA, des règles fixées et de l’information donnée au personnel : c’est ce que le kit vous aide à tenir.
Vous renseignez votre raison sociale et la liste de vos outils. Vous choisissez vous-même la catégorie de risque de chaque usage — interdit, haut risque, risque limité, risque minimal, ou « Je ne sais pas encore — à faire vérifier » — à l’aide d’un rappel des règles. Le kit met ensuite en forme votre politique d’usage de l’IA, dont les neuf clauses sont complétées avec les informations que vous avez saisies, votre registre des systèmes d’IA, votre journal des usages sensibles et votre note d’information au personnel.
Pas encore prêt ? Faites l’auto-diagnostic en 3 minutes ou commencez par la check-list AI Act gratuite : 10 points à vérifier en 15 minutes.
La newsletter. Un numéro tous les quinze jours : une question de conformité IA traitée avec les textes applicables et leurs dates, chaque affirmation sourcée. Gratuite, sans publicité. Lire le premier numéro — « Le premier risque de l’IA en entreprise n’est pas européen ».
À lire ensuite
Sources
Règlement (UE) 2024/1689 (AI Act), version consolidée au 27 juillet 2026 intégrant le règlement (UE) 2026/1744 : articles 3, 4, 5, 26, 50, 99, 101, 111 et 113 (consulté le 17 septembre 2026)
Commission européenne — AI Literacy, Questions & Answers (mise à jour du 27 juillet 2026, en anglais)
Sénat — dossier législatif du projet de loi portant diverses dispositions d’adaptation au droit de l’Union européenne et texte n° 63 adopté le 18 février 2026 (articles 24 quinquies, 24 duodecies et 24 terdecies)
Assemblée nationale — dossier législatif (consulté le 17 septembre 2026)
Règlement (UE) 2016/679 (RGPD) : articles 22, 82 et 83
Légifrance : loi n° 78-17 du 6 janvier 1978, article 22-1 (version en vigueur depuis le 28 mai 2026), Code de la consommation, article L. 132-2, Code pénal, article 131-38 et Cour de cassation, assemblée plénière, 22 décembre 2023, n° 20-20.648 (consultés le 17 septembre 2026)
Code du travail numérique : articles L. 1222-4, L. 2312-38 et L. 2317-1 (consultés le 17 septembre 2026)
CNIL — Sanctions et mesures correctrices : la CNIL présente le bilan 2025 (9 février 2026)
CNIL — Surveillance excessive des salariés : sanction de 40 000 euros à l’encontre d’une entreprise du secteur immobilier (4 février 2025)
CNIL — Décisions automatisées : sanction de près de 825 millions d’euros à l’encontre d’UBER (24 août 2026)
CNIL — Les contrôles en 2026 : recrutement, répertoire électoral unique et fédérations sportives (3 avril 2026)
Rédigé par Adrien Bano, fondateur d’IA en Règle. Nous ne sommes pas avocats : cet article a été préparé avec l’aide d’outils d’IA et vérifié sur les textes officiels cités.
Cet article a un but d’information générale, établi d’après les textes en vigueur au 17 septembre 2026 ; il ne constitue pas un conseil juridique.
