Article 99 - Sanctions

Explication de l’article

L’article 99 de l’IA Act ouvre le chapitre XII consacré aux sanctions. Il établit le cadre général applicable lorsqu’un opérateur ne respecte pas les obligations prévues par le règlement.

L’article repose sur une idée importante : les États membres sont chargés de mettre en place et d’appliquer le régime national des sanctions, mais l’IA Act fixe certains plafonds et principes communs afin que les sanctions soient suffisamment efficaces dans l’ensemble de l’Union européenne.

1. Des sanctions déterminées par les États membres

Le paragraphe 1 prévoit que chaque État membre doit déterminer les règles relatives aux sanctions et autres mesures d’exécution applicables aux violations de l’IA Act. Ces mesures peuvent notamment comprendre :

des amendes administratives ;
des avertissements ;
des mesures non monétaires.

Les sanctions doivent être effectives, afin de permettre une véritable mise en œuvre du règlement, proportionnées, afin de tenir compte de la situation et de la gravité de chaque violation et dissuasives, afin d’éviter que le non-respect du règlement soit considéré comme une simple conséquence financière acceptable.

Lorsqu’ils déterminent les sanctions, les États membres doivent également tenir compte des intérêts des PME, des jeunes pousses (start-ups) et des SMC, ainsi que de leur viabilité économique. Cette précision a été intégrée dans la version consolidée de 2026.

2. Les États membres doivent informer la Commission

Le paragraphe 2 prévoit que les États membres doivent informer la Commission européenne de leur régime national de sanctions. Ils doivent également informer la Commission de toute modification ultérieure de ces règles. L’objectif est de permettre à la Commission de connaître les différents mécanismes nationaux utilisés pour assurer l’application de l’IA Act.

3. Des sanctions particulièrement importantes pour les pratiques interdites

Le paragraphe 3 concerne les violations de l’article 5, qui interdit certaines pratiques en matière d’intelligence artificielle. Le non-respect de ces interdictions peut entraîner une amende administrative pouvant atteindre 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial total de l’entreprise réalisé au cours de l’exercice précédent, le montant le plus élevé étant retenu.

Cette règle montre que les sanctions peuvent être particulièrement importantes lorsqu’une entreprise utilise une pratique d’IA interdite.

4. Les violations de certaines autres obligations

Le paragraphe 4 concerne notamment certaines obligations imposées :

aux fournisseurs en vertu de l’article 16 ;
aux mandataires en vertu de l’article 22 ;
aux importateurs en vertu de l’article 23 ;
aux distributeurs en vertu de l’article 24 ;
aux déployeurs en vertu de l’article 26 ;
aux organismes notifiés dans certaines situations ;
aux fournisseurs et déployeurs concernant certaines obligations de transparence prévues à l’article 50.

Pour ces violations, l’amende peut atteindre 15 millions d’euros ou 3 % du chiffre d’affaires annuel mondial total de l’entreprise réalisé au cours de l’exercice précédent, le montant le plus élevé étant retenu.

5. La fourniture d’informations incorrectes

Le paragraphe 5 prévoit également une sanction lorsqu’un opérateur fournit des informations inexactes, incomplètes ou trompeuses à un organisme notifié ou à une autorité nationale compétente en réponse à une demande. L’amende peut atteindre 7,5 millions d’euros ou 1 % du chiffre d’affaires annuel mondial total de l’entreprise réalisé au cours de l’exercice précédent, le montant le plus élevé étant retenu.

Cette disposition rappelle que la coopération avec les autorités chargées du contrôle de l’IA Act constitue elle-même une obligation importante.

6. Un régime particulier pour les PME et les start-ups

L’article 99 prévoit une règle spécifique pour les PME, y compris les start-ups. Pour ces entreprises, les amendes prévues aux paragraphes 3, 4 et 5 sont plafonnées au montant ou au pourcentage le plus faible entre les deux possibilités prévues par l’article. La version consolidée prévoit également une règle particulière pour les SMC concernant les amendes des paragraphes 4 et 5.

L’objectif est de tenir compte de la capacité économique de l’entreprise et d’éviter qu’un régime de sanctions uniforme ne produise des conséquences disproportionnées pour les petites structures.

7. Les circonstances de chaque situation doivent être prises en compte

L’imposition d’une amende ne repose pas uniquement sur l’existence d’une violation. Le paragraphe 7 prévoit que les autorités doivent tenir compte de toutes les circonstances pertinentes de chaque situation. Parmi les éléments pouvant être pris en considération figurent notamment: la nature de la violation, sa gravité, sa durée, ses conséquences, la finalité du système d’IA concerné, le nombre de personnes affectées, le niveau de dommage subi, le degré de responsabilité de l’opérateur, les mesures prises pour réduire les conséquences de la violation, les antécédents de l’opérateur, le degré de coopération avec les autorités, la manière dont l’autorité a eu connaissance de la violation, les avantages économiques obtenus ou les pertes évitées grâce à la violation et les autres circonstances aggravantes ou atténuantes pertinentes. Cela permet d’appliquer le principe de proportionnalité à chaque situation concrète.

En résumé:

L’article 99 transforme les obligations de l’IA Act en obligations véritablement contraignantes en prévoyant un cadre de sanctions destiné à assurer leur respect dans l’Union européenne.

Notions clés à comprendre

Sanction administrative: Une sanction administrative est une mesure imposée par une autorité compétente lorsqu’une personne ou une organisation ne respecte pas une obligation légale. Dans l’IA Act, elle peut notamment prendre la forme d’une amende administrative.

Plafond de l’amende: Le plafond correspond au montant maximal que l’amende peut atteindre. L’IA Act prévoit parfois un montant fixe et un pourcentage du chiffre d’affaires mondial. Pour certaines violations, le montant le plus élevé des deux est retenu.

Chiffre d’affaires mondial: Le calcul peut être fondé sur le chiffre d’affaires annuel mondial total réalisé au cours de l’exercice précédent. Cette méthode permet notamment d’adapter le niveau maximal de l’amende à la dimension économique de l’entreprise.

Sanction proportionnée: Une sanction proportionnée doit tenir compte de la situation concrète. Une même violation ne conduit donc pas automatiquement au même montant d’amende dans toutes les situations.

Mesure non monétaire: L’article 99 permet également aux États membres de prévoir des mesures qui ne consistent pas nécessairement en une amende financière, par exemple certains avertissements ou mesures disciplinaires, selon le droit national applicable.

Exemple pratique

Une entreprise déploie un système d’IA utilisé pour prendre en charge certaines décisions concernant des personnes. L’autorité compétente constate que l’entreprise utilise une pratique interdite par l’article 5 de l’IA Act. Une procédure de sanction peut alors être engagée conformément aux règles nationales.

Compte tenu de la nature de la violation, l’entreprise peut être exposée au plafond prévu par l’article 99, paragraphe 3 : jusqu’à 35 millions d’euros ou 7 % de son chiffre d’affaires annuel mondial total, le montant le plus élevé étant retenu.

L’autorité doit cependant examiner les circonstances propres au dossier avant de déterminer le montant effectivement applicable. Si l’entreprise est une PME ou une start-up, le régime spécifique prévu au paragraphe 6 doit également être pris en compte.

Vos risques de sanction en cas de non-conformité à l’IA Act sont-ils correctement identifiés ?

L’article 99 encadre les sanctions applicables aux violations de l’IA Act et prévoit notamment des amendes pouvant atteindre certains plafonds selon la nature de l’infraction.

Besoin d’aide pour évaluer mes risques de sanction avec un expert de l’IA Act ?

Texte original de l’IA Act

Article 99 – Sanctions

1. Conformément aux conditions établies dans le présent règlement, les États membres déterminent le régime des sanctions et autres mesures d’exécution, qui peuvent également comprendre des amendes administratives, des avertissements et des mesures non monétaires, applicables à toute violation du présent règlement commise par des opérateurs, et prennent toute mesure nécessaire pour veiller à la mise en œuvre correcte et effective de ces sanctions, tenant ainsi compte des lignes directrices publiées par la Commission en vertu de l’article 96. Ces sanctions doivent être effectives, proportionnées et dissuasives. Lorsqu’ils imposent des sanctions, les États membres tiennent compte des intérêts des PME, y compris les jeunes pousses, et des petites entreprises à moyenne capitalisation, ainsi que de leur viabilité économique.

2. Les États membres informent la Commission, sans retard et au plus tard à la date d’entrée en application, du régime des sanctions et des autres mesures d’exécution visées au paragraphe 1, de même que de toute modification apportée ultérieurement à ce régime ou à ces mesures.

3. Le non-respect de l’interdiction des pratiques en matière d’IA visées à l’article 5 fait l’objet d’amendes administratives pouvant aller jusqu’à 35 000 000 EUR ou, si l’auteur de l’infraction est une entreprise, jusqu’à 7 % de son chiffre d’affaires annuel mondial total réalisé au cours de l’exercice précédent, le montant le plus élevé étant retenu.

4. La non-conformité avec l’une quelconque des dispositions suivantes relatives aux opérateurs ou aux organismes notifiés, autres que celles énoncées à l’article 5, fait l’objet d’une amende administrative pouvant aller jusqu’à 15 000 000 EUR ou, si l’auteur de l’infraction est une entreprise, jusqu’à 3 % de son chiffre d’affaires annuel mondial total réalisé au cours de l’exercice précédent, le montant le plus élevé étant retenu:

a) les obligations incombant aux fournisseurs en vertu de l’article 16;

b) les obligations incombant aux mandataires en vertu de l’article 22;

c) les obligations incombant aux importateurs en vertu de l’article 23;

d) les obligations incombant aux distributeurs en vertu de l’article 24;

d bis) les obligations incombant aux fournisseurs et aux opérateurs en vertu de l’article 25, paragraphes 2 et 4;

e) les obligations incombant aux déployeurs en vertu de l’article 26;

f) les exigences et obligations applicables aux organismes notifiés en application de l’article 31, de l’article 33, paragraphes 1, 3 et 4, ou de l’article 34;

g) les obligations de transparence pour les fournisseurs et les déployeurs conformément à l’article 50.

5. La fourniture d’informations inexactes, incomplètes ou trompeuses aux organismes notifiés ou aux autorités nationales compétentes en réponse à une demande fait l’objet d’une amende administrative pouvant aller jusqu’à 7 500 000 EUR ou, si l’auteur de l’infraction est une entreprise, jusqu’à 1 % de son chiffre d’affaires annuel mondial total réalisé au cours de l’exercice précédent, le montant le plus élevé étant retenu.

6. Dans le cas des PME, y compris les jeunes pousses, chaque amende visée au présent article s’élève au maximum aux pourcentages ou montants visés aux paragraphes 3, 4 et 5, le chiffre le plus faible étant retenu.

6 bis. Dans le cas des petites entreprises à moyenne capitalisation, chaque amende visée aux paragraphes 4 et 5 s’élève au maximum aux pourcentages ou montants qui y sont visés, le chiffre le plus faible étant retenu.

7. Pour décider s’il y a lieu d’imposer une amende administrative et pour décider du montant de l’amende administrative dans chaque cas d’espèce, toutes les caractéristiques propres à chaque cas sont prises en considération et, le cas échéant, il est tenu compte des éléments suivants:

a) la nature, la gravité et la durée de la violation et de ses conséquences, compte tenu de la finalité du système d’IA concerné, ainsi que, le cas échéant, du nombre de personnes touchées et du niveau de dommage qu’elles ont subi;

b) la question de savoir si des amendes administratives ont déjà été imposées par d’autres autorités de surveillance du marché au même opérateur pour la même violation;

c) la question de savoir si des amendes administratives ont déjà été imposées par d’autres autorités au même opérateur pour des violations d’autres dispositions du droit de l’Union ou du droit national, lorsque ces violations résultent de la même activité ou omission constituant une violation pertinente au sens du présent règlement;

d) la taille, le chiffre d’affaires annuel et la part de marché de l’opérateur qui commet la violation;

e) toute autre circonstance aggravante ou atténuante applicable aux circonstances de l’espèce, telle que les avantages financiers obtenus ou les pertes évitées, directement ou indirectement, du fait de la violation;

f) le degré de coopération établi avec les autorités nationales compétentes en vue de remédier à la violation et d’en atténuer les éventuels effets négatifs;

g) le degré de responsabilité de l’opérateur, compte tenu des mesures techniques et organisationnelles qu’il a mises en œuvre;

h) la manière dont les autorités nationales compétentes ont eu connaissance de la violation, notamment si, et dans quelle mesure, l’opérateur a notifié la violation;

i) le fait que la violation a été commise délibérément ou par négligence;

j) toute mesure prise par l’opérateur pour atténuer le préjudice subi par les personnes concernées.

8. Chaque État membre établit les règles déterminant dans quelle mesure des amendes administratives peuvent être imposées à des autorités et organismes publics établis sur son territoire.

9. En fonction du système juridique des États membres, les règles relatives aux amendes administratives peuvent être appliquées de telle sorte que les amendes sont imposées par les juridictions nationales compétentes ou par d’autres organismes, selon le cas prévu dans ces États membres. L’application de ces règles dans ces États membres a un effet équivalent.

10. L’exercice des pouvoirs conférés par le présent article est soumis à des garanties procédurales appropriées conformément au droit de l’Union et au droit national, y compris des recours juridictionnels effectifs et une procédure régulière.

11. Les États membres font rapport chaque année à la Commission sur les amendes administratives qu’ils ont infligées au cours de l’année concernée, conformément au présent article, ainsi que sur toute action en justice ou procédure judiciaire connexe.

Vous pouvez consulter le texte officiel consolidé de l’IA Act sur : EUR-Lex – Règlement (UE) 2024/1689, version consolidée du 27 juillet 2026

Perspectives avec d’autres textes

Perspectives européennes

Règlement (UE) 2019/1020 relatif à la surveillance du marché et à la conformité des produits

C’est un règlement européen important à rapprocher de l’article 99, mais il ne constitue pas le fondement général des sanctions de l’article 99. Le règlement 2019/1020 organise la surveillance du marché, notamment les pouvoirs des autorités nationales : enquêtes, inspections, demandes d’informations, mesures correctives, restrictions de mise à disposition et, dans certaines conditions, sanctions.

Comme l’AI Act s’appuie plus largement sur le système européen de surveillance du marché. Le règlement 2019/1020 fournit donc le cadre institutionnel et procédural de surveillance, tandis que l’article 99 fixe le régime spécifique des sanctions pour les violations de l’AI Act. Ainsi, l’article 99 n’applique pas directement le règlement 2019/1020, mais ils sont complémentaires.

Perspectives Françaises

Loi Informatique et Libertés

La loi n° 78-17 du 6 janvier 1978 reste pertinente lorsque l’utilisation d’un système d’IA implique également un traitement de données personnelles, mais il ne constitue pas le texte français qui fixe de manière générale les sanctions de l’article 99 de l’AI Act.

Son lien est plutôt complémentaire, car une même utilisation de l’IA peut conduire à une violation de l’AI Act et, séparément, à une violation du RGPD ou de la loi Informatique et Libertés. La CNIL dispose alors de ses propres pouvoirs de contrôle et de sanction au titre du cadre de protection des données.

L’IA ACT peut sembler complexe. L’équipe de DPO externe de Mon Expert RGPD vous accompagne.

Menu IA Act