Sanctions AI Act : obligations et amendes pour l’IA

Mis à jour le 20 août 2026 Analyse des obligations applicables depuis l’entrée en vigueur des pouvoirs de sanction liés à l’AI Act.

Depuis le 2 août 2026, l’Union européenne peut sanctionner les entreprises qui ne respectent pas plusieurs obligations clés du règlement européen sur l’intelligence artificielle, plus connu sous le nom d’AI Act. Les fournisseurs et déployeurs de systèmes d’IA risquent désormais des amendes pouvant atteindre 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial pour les infractions les plus graves, et jusqu’à 15 millions d’euros ou 3 % pour les manquements aux obligations générales.

OpenAI, Mistral AI, Google, Meta, Anthropic, mais aussi les PME qui utilisent des chatbots, des générateurs de contenu, des outils RH automatisés ou des systèmes d’IA à haut risque sont concernés. Transparence, documentation, marquage des contenus générés par IA, supervision des modèles GPAI : voici ce qui change concrètement pour les entreprises opérant en Europe. Pour comprendre le cadre général, vous pouvez aussi consulter notre guide : qu’est-ce que l’AI Act ?

En résumé : ce qui change avec les sanctions de l’AI Act

• Depuis le 2 août 2026, l’Union européenne peut activer des sanctions pour plusieurs manquements à l’AI Act.
• Les amendes peuvent atteindre 35 millions d’euros ou 7 % du chiffre d’affaires mondial pour les pratiques interdites.
• Les obligations générales, dont la transparence, peuvent entraîner des sanctions allant jusqu’à 15 millions d’euros ou 3 % du chiffre d’affaires mondial.
• L’Article 50 impose des obligations de transparence aux chatbots, deepfakes, contenus générés par IA et systèmes de reconnaissance des émotions.
• Les fournisseurs de modèles d’IA à usage général, ou GPAI, comme OpenAI, Mistral AI, Google ou Meta peuvent être contrôlés par l’AI Office.
• Les entreprises doivent inventorier leurs systèmes d’IA, documenter les risques et mettre en place des mécanismes de conformité. Voir aussi notre checklist conformité AI Act pour les entreprises.

Le calendrier d’application de l’AI Act

L’AI Act n’est pas entré en application d’un seul bloc. Le règlement européen sur l’intelligence artificielle, officiellement règlement UE 2024/1689, est entré en vigueur le 1er août 2024, mais ses différentes obligations se déploient progressivement. Pour une vue plus détaillée, consultez notre calendrier complet de l’AI Act.

Ce qui change depuis le 2 août 2026, c’est que la Commission européenne dispose désormais de leviers renforcés pour faire respecter plusieurs obligations de l’AI Act. Les règles ne sont plus seulement théoriques : elles peuvent conduire à des mesures correctives, à des contrôles et, en cas de manquement, à des sanctions financières significatives.

Quelles sont les sanctions prévues par l’AI Act ?

Le régime de sanctions de l’AI Act s’inspire du RGPD, mais avec des plafonds parfois plus élevés. Les amendes varient selon la nature de l’infraction, la gravité du manquement, la taille de l’entreprise, son chiffre d’affaires et les mesures prises pour corriger la situation.

Les sanctions les plus lourdes concernent les pratiques interdites, comme les systèmes de notation sociale ou certaines formes d’identification biométrique en temps réel dans l’espace public. Ces interdictions sont applicables depuis février 2025, mais les pouvoirs de contrôle et de sanction sont désormais renforcés.

Pour les entreprises technologiques, le risque le plus immédiat concerne souvent le plafond de 15 millions d’euros ou 3 % du chiffre d’affaires mondial, applicable aux obligations générales de conformité. Une entreprise qui ne documente pas ses systèmes d’IA, ne respecte pas les obligations de transparence ou transmet des informations incomplètes aux autorités s’expose donc à un risque financier, juridique et réputationnel important.

Un point important : l’Article 99(8) du règlement prévoit que les mêmes faits ne peuvent pas donner lieu à une double sanction administrative au titre de l’AI Act et du RGPD. Les entreprises ne peuvent donc pas être sanctionnées deux fois pour exactement la même violation, même si des obligations distinctes peuvent continuer à s’appliquer.

Qui est concerné par les sanctions AI Act ?

Les sanctions de l’AI Act peuvent concerner plusieurs catégories d’acteurs de la chaîne de valeur de l’intelligence artificielle :

• les fournisseurs de systèmes d’IA ;
• les déployeurs, c’est-à-dire les organisations qui utilisent un système d’IA dans un contexte professionnel ;
• les importateurs de solutions d’IA ;
• les distributeurs ;
• les mandataires ou représentants autorisés dans l’Union européenne ;
• les fournisseurs de modèles d’IA à usage général, ou GPAI.

L’AI Act a également une portée extraterritoriale. Une entreprise située hors de l’Union européenne peut être concernée si elle met un système d’IA sur le marché européen ou si les résultats produits par son système sont utilisés dans l’Union européenne. C’est pourquoi des acteurs comme OpenAI, Google, Meta, Anthropic ou DeepSeek peuvent entrer dans le champ du règlement dès lors que leurs services sont proposés ou utilisés en Europe.

Article 50 de l’AI Act : les nouvelles obligations de transparence

L’Article 50 de l’AI Act est l’un des volets les plus visibles pour le grand public. Il impose des obligations de transparence à plusieurs catégories de systèmes d’IA, en particulier lorsque les utilisateurs interagissent avec une machine ou lorsqu’un contenu a été généré ou modifié artificiellement.

Chatbots et assistants vocaux

Tout système d’IA qui interagit directement avec une personne doit indiquer clairement que l’utilisateur interagit avec une intelligence artificielle, sauf si cela est évident compte tenu des circonstances. Les services comme ChatGPT, Le Chat de Mistral AI, Gemini, Claude ou d’autres assistants conversationnels doivent donc prévoir une information claire et accessible.

Pour les entreprises qui déploient un chatbot sur leur site web, leur application mobile, leur service client ou leur espace RH, cela implique d’ajouter une mention explicite du type : « Vous interagissez avec un assistant alimenté par intelligence artificielle ». Voir aussi notre guide dédié aux obligations légales des chatbots avec l’AI Act.

Contenus générés par IA

Les fournisseurs de systèmes d’IA générative doivent permettre l’identification des contenus générés ou modifiés par intelligence artificielle. Cela peut passer par des marquages lisibles par machine, des métadonnées, des filigranes numériques ou d’autres mécanismes techniques permettant une détection automatique.

L’objectif est de faciliter l’identification des textes, images, sons et vidéos produits par des systèmes d’IA, en particulier lorsqu’ils peuvent être diffusés à grande échelle. Un délai transitoire est prévu jusqu’au 2 décembre 2026 pour certains systèmes déjà mis sur le marché. Ce sujet est également lié aux enjeux de droit d’auteur et IA générative.

Deepfakes

Les images, vidéos ou contenus audio générés ou modifiés par IA, lorsqu’ils peuvent donner l’impression qu’une personne réelle a dit ou fait quelque chose qu’elle n’a pas dit ou fait, doivent être clairement signalés. Cette obligation vise notamment les deepfakes politiques, médiatiques, publicitaires ou frauduleux. Pour approfondir, lire notre dossier : deepfakes et obligations légales en Europe.

Lorsque le contenu relève d’un sujet d’intérêt public, l’obligation d’étiquetage peut, dans certains cas, être satisfaite par une révision éditoriale humaine substantielle, à condition qu’une personne physique ou morale assume clairement la responsabilité éditoriale du contenu.

Systèmes de reconnaissance des émotions

Les déployeurs de systèmes de reconnaissance des émotions doivent informer les personnes concernées avant utilisation. Cette obligation est particulièrement sensible dans les contextes professionnels, éducatifs, commerciaux ou de sécurité.

La Commission européenne a publié des lignes directrices sur l’Article 50, accompagnées d’un Code de pratique sur la transparence des contenus générés par IA. Ce cadre vise à harmoniser les pratiques et à faciliter la mise en conformité des fournisseurs et déployeurs.

Code of Practice AI Act : quels avantages pour les entreprises ?

La Commission européenne a mis en place un Code de pratique destiné à aider les acteurs de l’IA à respecter leurs obligations, notamment en matière de transparence et de modèles d’IA à usage général. Ce code est volontaire, mais il présente un intérêt stratégique pour les entreprises.

Les signataires peuvent bénéficier d’une présomption de conformité sur certains points couverts par le Code, à condition de respecter effectivement les engagements pris. En pratique, cela peut réduire l’incertitude réglementaire et faciliter le dialogue avec les autorités.

Parmi les acteurs annoncés ou attendus autour de ces dispositifs de conformité figurent des entreprises majeures de l’IA comme OpenAI, Google, Meta ou Mistral AI, ainsi que de nombreuses organisations européennes et internationales. Pour suivre les publications officielles, consultez la page de la Commission européenne consacrée à l’AI Act et au cadre réglementaire européen sur l’IA.

Concrètement, un Code of Practice peut prévoir :

• des standards de documentation ;
• des mécanismes de marquage des contenus générés par IA ;
• des procédures de signalement ;
• des mesures de gestion des risques ;
• des engagements sur les tests, l’évaluation et la cybersécurité ;
• des bonnes pratiques de transparence envers les utilisateurs.

Pour une startup ou une PME qui ne dispose pas d’une équipe juridique spécialisée, s’aligner sur un Code de pratique peut constituer l’un des chemins les plus simples vers la conformité AI Act. Voir également notre guide : conformité AI Act pour startups et PME.

Modèles GPAI : quelles obligations pour OpenAI, Mistral AI, Google et Meta ?

Les modèles d’IA à usage général, souvent désignés par l’acronyme GPAI, sont des modèles capables d’effectuer un large éventail de tâches et de servir de base à de nombreuses applications en aval. Les grands modèles de langage, les modèles multimodaux et certains modèles génératifs entrent dans cette catégorie. Pour aller plus loin, lire notre article : qu’est-ce qu’un modèle GPAI ?

Les règles applicables aux GPAI sont entrées en application progressivement à partir d’août 2025. Depuis le 2 août 2026, les pouvoirs de supervision et de sanction de la Commission européenne sont renforcés pour ces modèles.

Concrètement, l’AI Office peut notamment :

• demander de la documentation technique sur un modèle ;
• examiner les informations relatives aux données d’entraînement ;
• évaluer les mesures de gestion des risques ;
• demander des mesures correctives en cas de non-conformité ;
• engager des procédures de sanction en cas de manquement persistant.

L’impact pour Mistral AI

Pour Mistral AI, acteur français majeur de l’intelligence artificielle, l’enjeu est double. D’une part, ses modèles et services doivent respecter les obligations de transparence applicables aux systèmes d’IA utilisés en Europe. D’autre part, son positionnement autour de certains modèles ouverts peut faciliter la documentation, la traçabilité et l’explication de certaines caractéristiques techniques. À lire aussi : Mistral AI : modèles, stratégie et open source.

Les modèles open source ou open weight peuvent bénéficier de certains allègements, mais ils ne sont pas totalement exemptés. Les obligations liées aux pratiques interdites, à la transparence, à la cybersécurité et aux risques systémiques peuvent continuer à s’appliquer selon les cas.

L’impact pour OpenAI

Pour OpenAI, les obligations sont particulièrement importantes en raison de la diffusion massive de ses modèles et services en Europe. Les modèles propriétaires comme GPT-4o ou les générations ultérieures peuvent être soumis à des demandes de documentation, d’évaluation et d’explication auprès de l’AI Office. Voir notre analyse : OpenAI en Europe : régulation, conformité et AI Act.

La difficulté pour les fournisseurs de modèles propriétaires réside dans l’équilibre entre la protection du secret industriel et les exigences de transparence réglementaire. L’AI Act ne rend pas automatiquement publics tous les détails techniques, mais il donne aux autorités compétentes un pouvoir d’accès à certaines informations nécessaires à l’évaluation de la conformité.

L’impact pour Google, Meta et les autres fournisseurs

Google, Meta, Anthropic, xAI, DeepSeek et d’autres fournisseurs de modèles avancés sont également concernés dès lors que leurs systèmes sont mis à disposition sur le marché européen ou utilisés dans l’Union européenne. Les grands acteurs devront démontrer leur capacité à documenter leurs modèles, à identifier les risques, à prévenir les usages interdits et à informer correctement les utilisateurs.

Conformité AI Act : pourquoi de nombreuses organisations ne sont pas prêtes

Malgré le calendrier progressif de l’AI Act, de nombreuses organisations restent insuffisamment préparées. Plusieurs rapports sectoriels ont souligné qu’une part importante des entreprises concernées ne dispose pas encore d’un inventaire complet de ses systèmes d’IA, ni d’une cartographie claire des risques réglementaires.

La difficulté tient au fait que l’IA est souvent déjà intégrée dans de nombreux outils utilisés au quotidien : solutions RH, CRM, outils marketing, moteurs de recommandation, chatbots, logiciels de productivité, systèmes de scoring, cybersécurité ou analyse documentaire.

Les coûts de conformité peuvent être élevés pour les grandes entreprises, notamment lorsqu’elles doivent auditer plusieurs systèmes d’IA, réaliser des évaluations de risques, mettre en place une gouvernance interne, documenter les modèles utilisés et former les équipes. Les PME et startups bénéficient de certains dispositifs d’accompagnement et de mesures proportionnées, mais elles restent soumises aux obligations de base.

La proposition dite Digital Omnibus, destinée à réduire une partie de la charge administrative numérique en Europe, pourrait faire évoluer certaines échéances ou modalités d’application. Toutefois, tant qu’aucune modification définitive n’est adoptée, les dates prévues par l’AI Act restent légalement contraignantes.

Checklist de conformité AI Act pour les entreprises

Pour réduire les risques juridiques et opérationnels, les entreprises doivent engager sans attendre une démarche structurée de conformité AI Act. Voici les principales actions à mettre en œuvre. Pour une version détaillée, consultez notre checklist conformité AI Act.

Étape 1 : inventorier les systèmes d’IA

La première étape consiste à identifier tous les systèmes d’IA utilisés, développés ou intégrés par l’entreprise. Cet inventaire doit inclure les outils internes, les solutions SaaS, les API tierces, les chatbots, les générateurs de contenu et les systèmes d’aide à la décision.

Étape 2 : cartographier les obligations

Chaque système doit être classé selon les catégories prévues par l’AI Act : risque inacceptable, haut risque, système soumis à transparence, modèle GPAI ou système à risque limité. Cette cartographie permet d’identifier les obligations applicables.

Étape 3 : mettre en place la transparence

Les entreprises doivent informer les utilisateurs lorsqu’ils interagissent avec une IA, étiqueter les deepfakes, prévoir des mécanismes de marquage des contenus générés par IA et documenter les systèmes de reconnaissance des émotions le cas échéant.

Étape 4 : documenter les risques

La documentation est centrale dans la conformité AI Act. Elle doit permettre de démontrer que l’entreprise connaît ses systèmes, comprend leurs risques, a mis en place des contrôles et peut répondre aux demandes des autorités.

Étape 5 : surveiller l’évolution réglementaire

L’AI Act va continuer à évoluer à travers des lignes directrices, des codes de pratique, des normes harmonisées et d’éventuelles modifications législatives. Les entreprises doivent donc mettre en place une veille réglementaire active.

AI Act et RGPD : quelles différences pour les entreprises ?

L’AI Act ne remplace pas le RGPD. Les deux règlements peuvent s’appliquer simultanément, mais ils poursuivent des objectifs différents. Pour mieux comprendre les obligations liées aux données personnelles, consultez notre guide RGPD pour les entreprises.

Un système d’IA qui traite des données personnelles devra donc respecter à la fois le RGPD et l’AI Act. Par exemple, un outil RH utilisant l’IA pour trier des candidatures devra se conformer aux règles de protection des données, mais aussi aux exigences propres aux systèmes d’IA à haut risque si le cas d’usage entre dans cette catégorie.

Glossaire rapide : GPAI, fournisseur, déployeur, système à haut risque

GPAI

Un modèle d’IA à usage général capable d’effectuer un large éventail de tâches et pouvant être intégré dans de nombreuses applications.

Fournisseur

Une personne ou organisation qui développe ou fait développer un système d’IA et le met sur le marché ou en service sous son nom.

Déployeur

Une organisation qui utilise un système d’IA dans un contexte professionnel ou institutionnel.

Système d’IA à haut risque

Un système utilisé dans des domaines sensibles, comme l’emploi, l’éducation, l’accès à certains services essentiels, la justice, la sécurité ou les infrastructures critiques.

Article 50

Article de l’AI Act qui impose des obligations de transparence, notamment pour les chatbots, deepfakes, contenus générés par IA et systèmes de reconnaissance des émotions.

FAQ AI Act : sanctions, transparence et obligations des entreprises

Quand les sanctions de l’AI Act entrent-elles en vigueur ?

Les pouvoirs de sanction liés à plusieurs obligations de l’AI Act sont applicables depuis le 2 août 2026. Certaines interdictions étaient déjà en vigueur depuis février 2025, tandis que d’autres obligations, notamment pour certains produits intégrant de l’IA, s’appliqueront à partir de 2027.

Quel est le montant maximal des amendes prévues par l’AI Act ?

Les amendes peuvent atteindre 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial pour les pratiques interdites. Pour les autres manquements, le plafond est généralement de 15 millions d’euros ou 3 % du chiffre d’affaires mondial.

L’AI Act s’applique-t-il aux entreprises hors d’Europe ?

Oui. Toute entreprise, où qu’elle soit située, qui place un système d’IA sur le marché européen ou dont les résultats sont utilisés dans l’Union européenne est concernée. OpenAI, Google, Meta, Anthropic, DeepSeek ou d’autres fournisseurs internationaux peuvent donc être soumis à l’AI Act si leurs services sont proposés ou utilisés en Europe.

Les modèles open source sont-ils exemptés de l’AI Act ?

Pas totalement. Les modèles publiés sous licence open source peuvent bénéficier de certains allègements, mais il ne s’agit pas d’une exemption générale. Les obligations de transparence, les pratiques interdites et certaines exigences liées aux risques systémiques peuvent continuer à s’appliquer selon les caractéristiques du modèle et son usage.

Un chatbot doit-il indiquer qu’il utilise de l’IA ?

Oui. L’Article 50 impose aux systèmes qui interagissent directement avec des personnes d’indiquer clairement qu’il s’agit d’une intelligence artificielle, sauf si cela est évident pour l’utilisateur. Une entreprise qui déploie un chatbot sur son site ou son service client doit donc prévoir une mention visible et compréhensible.

Les contenus générés par IA doivent-ils être étiquetés ?

Oui. Les fournisseurs doivent prévoir des mécanismes permettant d’identifier les contenus générés ou modifiés par IA. Selon les cas, cela peut passer par des métadonnées, un filigrane numérique, un marquage lisible par machine ou une mention explicite pour l’utilisateur.

Quels sont les risques pour une PME qui utilise l’IA ?

Une PME qui déploie un chatbot, utilise un système d’aide à la décision ou produit des contenus générés par IA doit vérifier les obligations applicables. Les sanctions prévues par l’AI Act sont les mêmes dans leur principe, mais les autorités doivent tenir compte de la taille, des moyens et de la situation économique de l’entreprise.

Que risque une entreprise qui ne fait rien ?

Une entreprise qui ignore ses obligations peut s’exposer à des demandes de mise en conformité, à des contrôles, à des mesures correctives et, en cas de non-conformité persistante ou grave, à des sanctions financières. Le risque n’est pas seulement juridique : il peut aussi être commercial, réputationnel et opérationnel.

Qui contrôle l’application de l’AI Act ?

L’application de l’AI Act repose sur les autorités nationales compétentes des États membres et sur l’AI Office, créé au sein de la Commission européenne, notamment pour la supervision des modèles d’IA à usage général. La Commission présente son rôle sur sa page consacrée à l’AI Office européen.

Ce qu’il faut retenir

• L’AI Act entre dans une phase d’application effective avec des pouvoirs de sanction renforcés.
• Les amendes peuvent atteindre jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires mondial pour les infractions les plus graves.
• L’Article 50 impose des obligations concrètes de transparence aux chatbots, deepfakes, contenus générés par IA et systèmes de reconnaissance des émotions.
• Les fournisseurs de modèles GPAI comme OpenAI, Mistral AI, Google et Meta sont directement concernés par les obligations de documentation et de supervision.
• Les entreprises qui utilisent l’IA doivent inventorier leurs systèmes, identifier les risques, documenter leur conformité et informer clairement les utilisateurs.
• La conformité AI Act doit être traitée comme un chantier transversal impliquant les équipes juridiques, techniques, produit, RH, sécurité et direction générale.

Sources officielles et références

• EUR-Lex — Règlement UE 2024/1689 établissant des règles harmonisées concernant l’intelligence artificielle
• Commission européenne — Cadre réglementaire européen sur l’intelligence artificielle
• Commission européenne — AI Office
• EU Artificial Intelligence Act — Ressource de suivi et d’analyse du texte
• Article 50 de l’AI Act — Obligations de transparence pour certains systèmes d’IA.
• Article 99 de l’AI Act — Régime de sanctions administratives.
• Analyses juridiques sectorielles publiées par des cabinets spécialisés en droit numérique, conformité et intelligence artificielle.
• Article publié le 13 août 2026 et mis à jour le 20 août 2026. Ce contenu est fourni à titre informatif et ne constitue pas un conseil juridique. Pour une analyse adaptée à votre organisation, consultez un professionnel du droit spécialisé en régulation numérique et intelligence artificielle.