L'AI Act et son arsenal de sanctions
L'AI Act prévoit l'arsenal de sanctions le plus dur de tous les textes IA dans le monde. Plus élevé que le RGPD (qui plafonne à 4% du CA). Plus précis que les lois US (qui sont sectorielles). Cela en fait un texte effrayant à première lecture, mais comme toutes les régulations européennes, il est conçu pour être proportionné.
Voici les 3 niveaux de sanctions, leur logique, et ce qu'une PME française risque vraiment en pratique.
Niveau 1 : 35M€ ou 7% du CA (les interdictions)
Quoi. Pour les pratiques d'IA classées "risque inacceptable" et donc interdites : social scoring, manipulation cognitive, reconnaissance des émotions sur le lieu de travail (sauf sécurité/médical), catégorisation biométrique sensible, etc.
Sanction maximale. Jusqu'à 35 millions d'euros OU 7% du chiffre d'affaires annuel mondial total, selon le plus élevé.
Cas concret pour une PME. Très rare. Si vous n'utilises pas de social scoring ou de manipulation cognitive (ce qui est probablement le cas), vous n'es pas concerné par ce niveau. La majorité des cas relèveront du niveau 2 ou 3.
Niveau 2 : 15M€ ou 3% du CA (haut risque non conforme)
Quoi. Pour les manquements aux obligations sur les systèmes IA haut risque : pas de DPIA, pas de supervision humaine effective, pas de documentation technique, pas de tests de robustesse, etc. C'est le niveau le plus probable pour une PME en non-conformité.
Sanction maximale. Jusqu'à 15 millions d'euros OU 3% du chiffre d'affaires annuel mondial total.
Cas concret pour une PME. Imagine une PME à 5M€ de CA qui utilise un outil IA de tri CV sans DPIA, sans information candidats, sans supervision humaine effective. Le 3% du CA = 150 000€ maximum. En pratique, sanction réelle probable : 5 000 à 50 000€ pour un premier manquement, plus élevée si récidive.
Niveau 3 : 7.5M€ ou 1.5% du CA (informations incomplètes)
Quoi. Pour les manquements à l'obligation de fournir des informations correctes ou complètes aux autorités de surveillance.
Sanction maximale. Jusqu'à 7.5 millions d'euros OU 1.5% du chiffre d'affaires annuel mondial total.
Cas concret pour une PME. Si vous réponds tardivement ou de manière incomplète à une enquête de la CNIL ou de la future autorité IA, vous pouvez te prendre une sanction de niveau 3 en plus de la sanction de fond.
L'adaptation aux PME : ce que la loi prévoit
L'AI Act prévoit explicitement une adaptation pour les PME et startups. Article 99-7 :
- Pour les PME et startups, c'est le pourcentage du CA qui s'applique, pas le montant absolu.
- Les autorités doivent prendre en compte la situation économique de l'entreprise.
- Les autorités doivent privilégier la pédagogie et la mise en conformité pour les premiers manquements de bonne foi.
Concrètement, pour une PME à 1M€ de CA :
- Niveau 1 max : 70 000€ (au lieu de 35M€).
- Niveau 2 max : 30 000€ (au lieu de 15M€).
- Niveau 3 max : 15 000€ (au lieu de 7.5M€).
Ces montants sont les plafonds maximums. La sanction réelle est généralement inférieure et tient compte de la gravité, de la durée, de la coopération, des circonstances.
La procédure : mise en demeure puis sanction
Comme pour le RGPD, la procédure est graduelle :
- Plainte ou autosaisine : déclenchement par une plainte (candidat refusé, employé, concurrent) ou par auto-saisine de l'autorité.
- Enquête : l'autorité te demande des éléments (documentation, logs, contrats fournisseurs).
- Mise en demeure : l'autorité te demande de te mettre en conformité dans un délai (3-6 mois typiquement).
- Vérification : l'autorité vérifie votre mise en conformité.
- Sanction uniquement si vous n'avez pas corrigé dans le délai donné.
En pratique, les sanctions sont rares au premier manquement de bonne foi. Les autorités privilégient la mise en conformité. Sauf cas grave (manipulation délibérée, atteinte aux personnes), vous auras le temps de corriger avant sanction.
Comment éviter une sanction AI Act
- Inventaire de vos systèmes IA et classification des niveaux de risque. Documentation à jour.
- DPIA pour les systèmes haut risque. Avant déploiement.
- Information explicite aux personnes concernées (candidats, employés, clients).
- Supervision humaine effective sur les décisions IA, documentée.
- Information CSE en amont des déploiements impactant les conditions de travail.
- Audit fournisseurs : DPA AI Act + RGPD avec chaque fournisseur IA.
- Monitoring et logs des incidents.
- Désignation d'un responsable AI Act dans l'entreprise.
- Formation des équipes aux obligations qui les concernent.
- Réaction rapide en cas de plainte ou d'enquête : fournir tout ce qui est demandé, dans les délais.
Le vrai risque pour une PME en 2026
Soyons honnêtes : la probabilité d'une sanction réelle AI Act pour une PME française en 2026 est faible. Les autorités sont en train de se mettre en place. La première mise en demeure significative est attendue début 2027. Le premier vrai dossier de sanction probablement courant 2027.
Mais attention : l'absence de sanction ne signifie pas absence de risque. Les vrais risques en 2026 sont plutôt :
- Plainte CSE ou syndicat qui paralyse un projet IA RH (temps de gestion + image interne).
- Plainte candidat via la CNIL pour usage IA non transparent en recrutement.
- Demande client BtoB de prouver votre conformité AI Act avant de signer un contrat.
- Image et réputation en cas de scandale public sur usage IA non maîtrisé.
Ces risques sont plus immédiats que le risque sanction et méritent autant d'attention.
Pour aller plus loin : guide complet AI Act PME et calendrier des obligations.
Audit conformité personnalisé : 45 minutes gratuites.