Article 100 - Amendes pour institutions de l’Union

Explication de l’article

L’article 100 de l’IA Act concerne les institutions, organes et organismes de l’Union européenne qui entrent dans le champ d’application du règlement. Il prévoit un régime de sanctions spécifiques lorsque ces organismes ne respectent pas les obligations prévues par l’IA Act.

L’idée essentielle est que les institutions européennes ne sont pas placées en dehors du système de contrôle de l’IA Act. Lorsqu’elles utilisent ou mettent en œuvre des systèmes d’IA soumis au règlement, elles peuvent elles aussi faire l’objet de sanctions. Dans leur cas, c’est le Contrôleur européen de la protection des données (CEPD) qui dispose du pouvoir d’imposer les amendes administratives prévues par l’article 100.

1. Le rôle du Contrôleur européen de la protection des données

Le paragraphe 1 de l’article 100 prévoit que le Contrôleur européen de la protection des données peut imposer des amendes administratives aux institutions, organes et organismes de l’Union qui relèvent du champ d’application de l’IA Act. Le CEPD est donc l’autorité chargée de sanctionner ces organismes lorsqu’ils ne respectent pas certaines obligations du règlement. Il doit toutefois examiner chaque situation individuellement.

L’article 100 précise plusieurs éléments qui doivent être pris en compte pour déterminer s’il convient d’imposer une amende et, le cas échéant, pour déterminer son montant.

Les principaux éléments pris en compte sont notamment :

• la nature, la gravité et la durée de la violation ;
• les conséquences de cette violation ;
• la finalité du système d’IA concerné ;
• le nombre éventuel de personnes touchées ;
• le niveau du dommage subi ;
• le degré de responsabilité de l’institution concernée ;
• les mesures techniques et organisationnelles qu’elle avait mises en place ;
• les mesures prises pour réduire ou réparer les dommages ;
• son niveau de coopération avec le CEPD ;
• les éventuelles violations similaires commises précédemment ;
• la manière dont le CEPD a découvert la violation ;
• et le budget annuel de l’institution, de l’organe ou de l’organisme concerné.

Ce dernier élément est particulièrement important, contrairement au régime général de l’article 99, le calcul n’est pas fondé sur le chiffre d’affaires mondial d’une entreprise, puisque les institutions européennes ne sont pas des entreprises soumises à ce même critère.

2. Une sanction spécifique pour les pratiques d’IA interdites

Le paragraphe 2 concerne les violations de l’article 5 de l’IA Act, qui interdit certaines pratiques en matière d’intelligence artificielle. Lorsqu’une institution, un organe ou un organisme de l’Union ne respecte pas ces interdictions, le CEPD peut imposer une amende administrative pouvant atteindre 1 500 000 euros. Il s’agit donc d’un plafond spécifique applicable aux institutions européennes.

3. Les autres violations de l’IA Act

Le paragraphe 3 concerne les autres exigences ou obligations prévues par l’IA Act, c’est-à-dire les violations qui ne relèvent pas de l’article 5. Dans ce cas, l’amende administrative peut atteindre 750 000 euros. 

Il est important de préciser qu’il s’agit de plafonds et non de montants automatiquement appliqués. Le CEPD doit tenir compte des circonstances propres à chaque affaire avant de déterminer le montant de l’amende.

4. Le respect du droit d’être entendu

L’article 100 prévoit également des garanties procédurales. Avant de prendre une décision, le CEPD doit donner à l’institution, à l’organe ou à l’organisme concerné la possibilité de faire connaître son point de vue sur l’infraction présumée. Le CEPD ne peut fonder sa décision que sur les éléments et circonstances sur lesquels les parties concernées ont pu présenter des observations. 

Lorsque des personnes ont déposé une plainte, elles doivent également être étroitement associées à la procédure. Cette garantie est importante car l’imposition d’une amende ne peut pas intervenir sans que l’organisme concerné ait eu la possibilité de présenter ses observations.

5. Le respect des droits de la défense

Le paragraphe 5 précise que les droits de la défense doivent être pleinement respectés. Les parties concernées disposent notamment d’un droit d’accès au dossier détenu par le CEPD. Ce droit d’accès peut toutefois être limité lorsqu’il est nécessaire de protéger les intérêts légitimes liés notamment aux données à caractère personnel  et aux secrets commerciaux.

On retrouve ici une logique proche des autres procédures administratives européennes : l’autorité de contrôle doit pouvoir enquêter efficacement tout en garantissant les droits de la défense des personnes ou organismes concernés.

6. Que deviennent les sommes correspondant aux amendes ?

Le paragraphe 6 prévoit que les sommes collectées au titre des amendes imposées en vertu de l’article 100 contribuent au budget général de l’Union européenne. Toutefois, l’amende ne doit pas compromettre le bon fonctionnement de l’institution, de l’organe ou de l’organisme sanctionné.

Cette règle est logique compte tenu de la nature particulière des organismes concernés : une sanction financière ne doit pas avoir pour conséquence de compromettre l’accomplissement de leurs missions européennes.

7. Une obligation annuelle d’information de la Commission

Enfin, le paragraphe 7 prévoit que le CEPD doit informer chaque année la Commission européenne des amendes administratives qu’il a imposées en application de l’article 100, ainsi que des éventuelles actions en justice ou procédures judiciaires qu’il a engagées.

Cela permet d’assurer une certaine transparence et un suivi européen de l’application du régime de sanctions aux institutions de l’Union.

En résumé:

L’article 100 garantit que les institutions européennes elles-mêmes peuvent être tenues responsables du respect de l’IA Act, sous le contrôle du CEPD.