Amendes AI Act : le barème réel pour une PME (article 99)

« Jusqu'à 35 millions d'euros d'amende » : le chiffre ouvre la plupart des articles sur l'AI Act. Il est exact — et trompeur. Ce plafond ne concerne que les pratiques interdites de l'article 5 (notation sociale, manipulation exploitant la vulnérabilité), rarissimes en PME. Le barème réel du règlement (UE) 2024/1689 est gradué, et il contient une règle spécifique aux PME que presque personne ne cite.

Les trois paliers de l'article 99

Premier palier (article 99 §3) : les pratiques interdites de l'article 5 exposent à une amende administrative pouvant atteindre 35 M€ ou 7 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu.

Deuxième palier (article 99 §4) : le non-respect des autres obligations du règlement — y compris les obligations de transparence de l'article 50, celles qui concernent la plupart des PME à partir du 2 août 2026 — est plafonné à 15 M€ ou 3 % du chiffre d'affaires annuel mondial.

Troisième palier (article 99 §5) : fournir des informations incorrectes, incomplètes ou trompeuses aux autorités compétentes expose à 7,5 M€ ou 1 %. Ce palier ne vise pas la transparence envers vos utilisateurs : il sanctionne le fait de mentir au régulateur.

La règle méconnue : pour une PME, c'est le montant le plus bas

L'article 99 §6 renverse la logique pour les PME et les start-ups : là où le régime général retient le montant le plus élevé entre la somme fixe et le pourcentage, une PME se voit appliquer le montant le plus bas des deux.

Illustration théorique : pour une entreprise réalisant 2 M€ de chiffre d'affaires, 3 % représentent 60 000 € — c'est ce montant, et non 15 M€, qui constitue le plafond en cas de manquement à l'article 50. Le risque est réel et proportionné à la taille de l'entreprise ; il n'a rien du chiffre catastrophiste des gros titres.

Le règlement demande par ailleurs aux autorités de tenir compte, dans chaque cas, de la nature et de la durée du manquement, des mesures correctives déjà prises et de la taille de l'opérateur (article 99 §7). Une entreprise qui documente ses usages et corrige vite ne part pas du plafond.

Qui contrôle, et à partir de quand

Les sanctions relatives à l'article 50 deviennent applicables le 2 août 2026, en même temps que l'obligation elle-même. La surveillance relève des autorités nationales désignées par chaque État membre depuis le 2 août 2025 ; en France, l'articulation avec la CNIL est déjà engagée pour les traitements impliquant des données personnelles.

Réduire le risque à presque rien

La meilleure défense coûte peu : inventorier les usages d'IA réels de l'entreprise, tenir un registre horodaté, et produire les documents que l'article 50 exige pour votre situation — notice de transparence, politique d'étiquetage des contenus, registre de conformité. Face à un contrôle, l'entreprise qui présente ces pièces démontre sa bonne foi ; l'article 99 §7 en tient compte.

Le diagnostic gratuit de ConformityIA établit en 5 minutes votre classification et la liste exacte de vos obligations — sans création de compte.