Les sanctions de l’AI Act sont les amendes que le règlement (UE) 2024/1689 prévoit en cas de violation de ses règles sur l’intelligence artificielle. L’article 99 fixe trois niveaux, avec un maximum de 35 millions d’euros ou 7 % du chiffre d’affaires mondial pour les pratiques interdites. Les PME et les jeunes pousses paient au plus le moins élevé des deux montants. L’omnibus numérique sur l’IA étend cette règle aux petites entreprises de taille intermédiaire pour deux des niveaux. Les fournisseurs de modèles à usage général ont leur propre régime, avec des amendes de la Commission depuis le 2 août 2026. Le chapitre des sanctions s’applique depuis août 2025, mais aujourd’hui seule une partie des obligations qu’il sanctionne est exigible. Et en Espagne, il n’existe toujours pas de loi désignant les autorités et fixant le régime de sanctions, car le projet est devenu caduc avec la dissolution des Cortes Generales en octobre 2026.
Si vous avez besoin d’un conseil juridique en intelligence artificielle en Espagne, demandez une évaluation initiale gratuite.
L’article 99 du règlement (UE) 2024/1689 répartit les infractions en trois niveaux selon l’obligation enfreinte. Dans chacun, l’amende maximale est un montant fixe ou un pourcentage du chiffre d’affaires mondial de l’exercice précédent, le plus élevé étant retenu.
| Niveau | Ce qui est enfreint | Amende maximale |
|---|---|---|
| Premier | Interdictions de l’article 5 | 35 millions d’euros ou 7 % |
| Deuxième | Obligations des fournisseurs, mandataires, importateurs, distributeurs et déployeurs, des organismes notifiés et obligations de transparence de l’article 50 | 15 millions d’euros ou 3 % |
| Troisième | Informations inexactes, incomplètes ou trompeuses fournies aux organismes notifiés ou aux autorités qui les ont demandées | 7,5 millions d’euros ou 1 % |
Le pourcentage ne joue que pour les grandes entreprises. Au premier niveau, 7 % dépasse 35 millions lorsque le chiffre d’affaires mondial excède 500 millions d’euros. En deçà, le plafond est le montant fixe.
Le deuxième niveau est le plus large. Il couvre les obligations des fournisseurs de systèmes à haut risque, celles des importateurs et des distributeurs et celles du déployeur de l’article 26. Il couvre aussi les obligations de transparence de l’article 50. L’omnibus numérique sur l’IA a ajouté un point avec les obligations de coopération de l’article 25, paragraphes 2 et 4. Ce sont celles qui lient les opérateurs de la chaîne de valeur d’un système à haut risque.
Pour les PME, y compris les jeunes pousses, chaque amende de l’article 99 est plafonnée au moins élevé des deux montants de son niveau, selon le paragraphe 6. Une PME qui recourt à une pratique interdite risque au plus 7 % de son chiffre d’affaires, et non 35 millions.
L’omnibus, le règlement (UE) 2026/1744, a ajouté le paragraphe 6 bis pour les petites entreprises de taille intermédiaire définies par la recommandation (UE) 2025/1099. La même règle du montant le moins élevé s’applique à elles, mais seulement aux deuxième et troisième niveaux. Pour les pratiques interdites, elles sont traitées comme une grande entreprise.
L’omnibus a aussi réécrit le paragraphe 1. Les États membres peuvent prévoir des avertissements et des mesures non pécuniaires en plus des amendes. Et, en sanctionnant, ils doivent tenir compte des intérêts et de la viabilité économique des PME, des jeunes pousses et des petites entreprises de taille intermédiaire.
Les montants de l’article 99 sont des maximums. L’autorité fixe le montant concret selon les critères du paragraphe 7, parmi lesquels les suivants.
Les deux derniers critères récompensent la préparation. Avoir documenté le système et avoir alerté à temps réduisent l’amende, même s’ils n’évitent pas l’infraction.
Les fournisseurs de modèles à usage général relèvent d’un régime distinct à l’article 101. La Commission peut leur infliger jusqu’à 3 % de leur chiffre d’affaires mondial ou 15 millions d’euros, le montant le plus élevé étant retenu, depuis le 2 août 2026. Elle sanctionne les manquements à leurs obligations, l’absence de réponse aux demandes d’information et le refus de donner accès au modèle pour son évaluation.
L’omnibus a aussi créé un régime pour le Bureau de l’IA. Il surveille en exclusivité les systèmes fondés sur un modèle à usage général du même fournisseur et ceux intégrés dans les très grandes plateformes et moteurs de recherche en ligne. Ses décisions de non-conformité peuvent s’accompagner des amendes de l’article 99, paragraphes 3 à 7. Les obligations des modèles sont expliquées dans notre guide sur les modèles d’IA à usage général.
Le chapitre des sanctions s’applique depuis le 2 août 2025, sauf l’article 101, depuis le 2 août 2026. Mais une amende n’est possible que si l’obligation enfreinte est déjà exigible.
| Obligation | Exigible depuis le |
|---|---|
| Pratiques interdites de l’article 5 | 2 février 2025 |
| Deux nouvelles interdictions de l’omnibus | 2 décembre 2026 |
| Transparence de l’article 50 | 2 août 2026 |
| Systèmes à haut risque de l’annexe III | 2 décembre 2027 |
| Systèmes à haut risque de l’annexe I | 2 août 2028 |
Le détail des interdictions figure dans notre guide sur les pratiques d’IA interdites, et celui du haut risque dans notre guide sur les systèmes d’IA à haut risque.
L’article 99 oblige chaque État membre à fixer son régime de sanctions. L’Espagne devait le faire par le projet de loi organique sur le bon usage et la gouvernance de l’intelligence artificielle, que le gouvernement a transmis au Congrès et qui a été publié le 12 juin 2026. Le projet est devenu caduc avec la dissolution des Cortes Generales, publiée au Journal officiel espagnol (BOE) le 6 octobre 2026. Le gouvernement issu des élections du 29 novembre devra le présenter à nouveau, et rien n’assure qu’il conserve le même contenu.
Le projet caduc classait les infractions en très graves, graves et légères, avec des maximums alignés sur ceux du règlement, et qualifiait de très graves les pratiques interdites. Il répartissait le contrôle entre plusieurs autorités.
Ce qui reste ouvert, c’est la possibilité de sanctionner plus tard des infractions commises avant que la loi espagnole existe. Le principe de légalité exige que la sanction soit prévue au moment où l’infraction est commise. Ce doute ne concerne ni les mesures visant le produit, comme le retrait du marché, ni les amendes de la Commission aux fournisseurs de modèles.
Le cas est fictif. Talentia Software, S.L. est une PME de Séville comptant 40 salariés et 6 millions d’euros de chiffre d’affaires. Elle vend un logiciel qui trie les CV et note les candidats. En 2026, elle y ajoute un module qui analyse par vidéo le niveau de stress des salariés de ses clients lors des réunions de suivi.
Le tri des CV est à haut risque selon le point 4 de l’annexe III, et ses obligations seront exigibles à partir du 2 décembre 2027. Les enfreindre l’exposerait au deuxième niveau. En tant que PME, son maximum serait le montant le moins élevé, 3 % de 6 millions, soit 180 000 euros.
Le module vidéo pose un risque différent. Il infère les émotions de salariés sur leur lieu de travail, c’est donc une pratique interdite par l’article 5, paragraphe 1, point f, au premier niveau. Le maximum pour Talentia serait 7 % de son chiffre d’affaires, soit 420 000 euros. L’interdiction est exigible depuis février 2025, même si une amende en Espagne dépend de l’adoption du régime de sanctions. Le cadre général figure dans notre guide de l’AI Act pour les entreprises.
Jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires mondial de l’exercice précédent, le montant le plus élevé étant retenu. C’est l’amende pour recours à une pratique d’IA interdite par l’article 5. Les autres niveaux atteignent 15 millions ou 3 % pour les autres obligations. Et 7,5 millions ou 1 % pour la fourniture d’informations inexactes aux autorités.
Non. Pour les PME et les jeunes pousses, chaque amende est plafonnée au moins élevé des deux montants de son niveau, selon l’article 99.6. Depuis l’omnibus numérique sur l’IA, les petites entreprises de taille intermédiaire bénéficient aussi de cette règle aux deuxième et troisième niveaux, mais pas pour les pratiques interdites.
Les obligations déjà exigibles, comme les interdictions de l’article 5 ou la transparence de l’article 50, sont en vigueur. Mais l’Espagne n’a toujours pas de loi fixant le régime de sanctions et désignant les autorités, car le projet est devenu caduc avec la dissolution des Cortes Generales en octobre 2026. La possibilité de sanctionner plus tard des infractions antérieures à cette loi reste une question ouverte.
La Commission européenne, et non les autorités nationales. L’article 101 lui permet d’infliger des amendes jusqu’à 3 % du chiffre d’affaires mondial ou 15 millions d’euros depuis le 2 août 2026. En outre, le Bureau de l’IA peut sanctionner les systèmes qu’il surveille en exclusivité depuis l’omnibus.
L’article 99.7 impose de tenir compte de la coopération avec l’autorité, de la notification de l’infraction par l’opérateur et des mesures prises pour atténuer le dommage. Également du degré de responsabilité au regard des mesures techniques et organisationnelles appliquées. Avoir documenté le système et réagir à temps joue en votre faveur.
Le régime de sanctions de l’AI Act arrive par étapes, comme le règlement lui-même. Les interdictions s’appliquent déjà, la transparence depuis août 2026 et le haut risque en 2027 et 2028, tandis que l’Espagne reste sans sa loi. Ce décalage est un temps utile pour documenter les systèmes, conclure les contrats avec les fournisseurs et préparer le circuit de notification, qui sont justement les critères qui réduisent une amende. Chez Innovatech, nous analysons votre exposition dans le cadre de notre conseil juridique en intelligence artificielle. Écrivez-nous et nous vous donnerons une évaluation initiale gratuite.
Marta Suárez-Mansilla est associée gérante d'Innovatech Legal et abogada inscrite à l'ICAM (Ilustre Colegio de la Abogacía de Madrid), active en droit des technologies. Elle a suivi le cours Copyright de la Harvard Law School et le programme Blockchain de BerkeleyX, et conseille des entreprises technologiques depuis plus de huit ans.