EU AI Act : l'Europe sanctionne désormais jusqu'à 35 M€ d'amende

Le 2 août 2026 : la date qui a changé le paysage réglementaire de l'IA en Europe

Pendant près de deux ans, l'EU AI Act a été présenté comme le règlement de toutes les obligations futures. La période de mise en conformité, longue et progressive, avait permis à de nombreuses organisations de reporter sine die les chantiers de conformité les plus exigeants, dans l'espoir implicite que les autorités de supervision resteraient dans une posture pédagogique. Ce calcul est désormais caduque. Depuis le 2 août 2026, les pouvoirs d'application de l'AI Office européen et des autorités nationales compétentes des États membres sont pleinement opérationnels, marquant le passage officiel de la phase de guidance vers la phase de sanctions effectives.

Le changement est fondamental. Avant août 2026, une organisation interpellée sur sa conformité pouvait encore se prévaloir d'être "en cours de mise en conformité" sans risque juridique immédiat. Cette période de tolérance de facto n'existe plus. Les premiers manquements identifiés à partir de cette date peuvent désormais faire l'objet d'enquêtes formelles, d'injonctions, et in fine d'amendes administratives calibrées pour être dissuasives à l'échelle des grandes entreprises technologiques mondiales.

Le régime de sanctions de l'EU AI Act repose sur une architecture à trois niveaux, pensée pour graduer la réponse réglementaire en fonction de la gravité du manquement. Au premier niveau, le plus sévère, figurent les infractions liées aux pratiques d'IA interdites — les systèmes de notation sociale généralisée, les identifications biométriques à distance en temps réel dans les espaces publics sans autorisation, les systèmes de manipulation subliminale ou exploitant les vulnérabilités psychologiques. Ces violations sont passibles d'amendes allant jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial annuel de l'entité sanctionnée, le montant le plus élevé étant retenu.

Au deuxième niveau se trouvent les autres manquements aux obligations du règlement, y compris le non-respect des exigences applicables aux modèles d'IA à usage général (GPAI — General Purpose AI Models) comme les grands modèles de langage déployés commercialement. Ces infractions exposent leurs auteurs à des amendes pouvant atteindre 15 millions d'euros ou 3 % du chiffre d'affaires mondial. Au troisième niveau, les sanctions pour communications incorrectes ou trompeuses envers les autorités de contrôle sont plafonnées à 7,5 millions d'euros ou 1 % du chiffre d'affaires mondial.

La répartition des compétences entre instances de contrôle est un élément clé de l'architecture d'application du règlement. La Commission européenne, via l'AI Office qu'elle chapeaute, dispose d'une compétence directe pour les fournisseurs de modèles d'IA à usage général — c'est-à-dire les grandes sociétés développant des modèles de fondation comme les LLMs. Les autorités nationales des États membres, quant à elles, ont compétence sur les autres opérateurs déployant des systèmes d'IA à haut risque. Le Contrôleur européen de la protection des données (CEPD) exerce une compétence spécifique sur les institutions et agences de l'Union européenne.

Pour les entreprises non établies dans l'Union européenne mais offrant des systèmes d'IA à des utilisateurs ou opérateurs européens, le règlement s'applique également, selon un principe d'extraterritorialité similaire à celui du RGPD. Les acteurs américains, asiatiques ou d'autres régions qui déploient des systèmes d'IA en Europe sont soumis aux mêmes exigences et au même régime de sanctions. L'AI Office peut initier des enquêtes et infliger des amendes même en l'absence d'établissement physique en Europe, en coordonnant si nécessaire avec les autorités nationales des pays d'établissement.

Sur le plan pratique, les organisations qui n'ont pas encore réalisé leur classification des systèmes d'IA (distinction entre systèmes à haut risque, risque limité et risque minimal) se trouvent dans une situation d'urgence. Les systèmes d'IA à haut risque — définis par l'annexe III du règlement et couvrant notamment les systèmes de recrutement, de notation de crédit, de gestion des infrastructures critiques, ou les systèmes utilisés dans l'éducation et la justice — sont soumis aux obligations les plus contraignantes : évaluation de conformité préalable au déploiement, documentation technique exhaustive, enregistrement dans la base de données européenne, et dispositif de supervision humaine opérationnel.

Le cabinet LegalAIInsights, qui suit de près les développements réglementaires depuis l'entrée en vigueur des premières dispositions de l'EU AI Act en 2024, notait en septembre 2026 que "le glissement de la guidance vers les pénalités représente le changement le plus significatif du paysage de conformité IA depuis l'entrée en application du RGPD en mai 2018." De fait, les parallèles avec le RGPD sont nombreux : période de mise en conformité suivie d'une activation des pouvoirs coercitifs, premières enquêtes ciblant les acteurs les plus visibles, puis montée en puissance progressive du nombre de dossiers.

Vers un effet RGPD : ce que l'histoire de la protection des données prédit pour l'IA

L'histoire de l'application du RGPD depuis 2018 offre un modèle prédictif précieux pour anticiper la trajectoire de l'EU AI Act. Dans les premiers mois suivant l'activation des pouvoirs de sanction du RGPD, les autorités de protection des données avaient adopté une posture relativement prudente, concentrant leurs premières enquêtes sur des cas emblématiques et des acteurs de grande visibilité. Les premières amendes significatives — contre Google en France (50 M€ en 2019), British Airways et Marriott au Royaume-Uni — avaient joué un rôle pédagogique pour l'ensemble du marché, signalant que le nouveau régime était réel et opérationnel.

Les analystes s'attendent à une dynamique similaire pour l'EU AI Act. Les premières enquêtes de l'AI Office cibleront probablement des cas à forte visibilité publique — systèmes d'IA dont le non-respect des exigences du règlement est démontrable sur la base de faits publiquement disponibles ou de plaintes formelles — afin d'envoyer un signal fort au marché. Les modèles d'IA à usage général déployés à grande échelle, les systèmes de recommandation des grandes plateformes, et les applications d'IA dans les domaines sensibles (recrutement, crédit, santé) figureront probablement parmi les premières cibles d'attention réglementaire.

Pour les entreprises françaises, la CNIL a été désignée comme autorité nationale compétente pour les systèmes d'IA à haut risque dans les domaines relevant de sa compétence sectorielle. La CNIL a indiqué avoir commencé à constituer des équipes spécialisées dans l'audit des systèmes d'IA, et elle dispose désormais du mandat légal pour initier des contrôles, demander de la documentation, et proposer des sanctions. Les entreprises françaises utilisant des systèmes d'IA dans les ressources humaines, le marketing ciblé, la gestion de crédit ou d'autres domaines à haut risque doivent considérer la possibilité d'un contrôle de la CNIL comme un scénario concret à anticiper.

La question de la conformité pour les modèles GPAI — General Purpose AI — est particulièrement sensible pour les éditeurs de logiciels qui intègrent des LLMs dans leurs produits. Le règlement distingue les modèles GPAI à impact systémique (dont la puissance de calcul d'entraînement dépasse 10^25 FLOPs) des autres modèles GPAI. Les premiers sont soumis à des obligations renforcées, notamment en matière d'évaluation des risques systémiques, de signalement des incidents et de cybersécurité. Les acteurs comme OpenAI, Anthropic, Google DeepMind et Meta AI entrent directement dans cette catégorie, et relèvent de la compétence directe de la Commission européenne.

Ce qu'il faut retenir

• Depuis le 2 août 2026, l'EU AI Act est pleinement applicable avec des amendes réelles jusqu'à 35 M€ ou 7 % du CA mondial : les "délais de grâce" officieux appartiennent au passé.
• La priorité immédiate est la classification des systèmes d'IA utilisés dans l'organisation : identifier ceux relevant de la catégorie "haut risque" (annexe III) et lancer les chantiers de conformité correspondants.
• Les fournisseurs de modèles GPAI (LLMs, modèles multimodaux) sont sous la compétence directe de la Commission européenne via l'AI Office, avec des obligations spécifiques renforcées pour les modèles à impact systémique.