Règlement IA de l'UE — Article 99 : sanctions, plafonds et proportionnalité pour les PME

Le barème des sanctions

Article 99, paragraphe 3 : non-respect des pratiques interdites visées à l'article 5 — jusqu'à 35 M€ ou 7 % du chiffre d'affaires annuel mondial de l'exercice précédent, le montant le plus élevé étant retenu.

Article 99, paragraphe 4 : non-respect de dispositions autres que l'article 5 (obligations relatives aux systèmes à haut risque, transparence prévue à l'article 50, articles 53 et 55 relatifs aux MSIG) — jusqu'à 15 M€ ou 3 % du chiffre d'affaires annuel mondial.

Article 99, paragraphe 5 : fourniture d'informations inexactes, incomplètes ou trompeuses aux organismes notifiés ou aux autorités nationales — jusqu'à 7,5 M€ ou 1 % du chiffre d'affaires annuel mondial.

Article 99, paragraphe 6 : proportionnalité pour les PME et les jeunes entreprises — le montant le moins élevé des deux (montant absolu ou pourcentage) s'applique.

La notion de « chiffre d'affaires annuel mondial »

L'article 99 se réfère au chiffre d'affaires mondial et non au chiffre d'affaires réalisé dans l'Union européenne. Pour un éditeur SaaS affichant 5 M€ d'ARR au niveau mondial et 1 M€ de revenus dans l'UE, le plafond de sanction applicable aux systèmes à haut risque est de 150 000 € (3 % de 5 M€ au niveau mondial) et non de 30 000 € (3 % de 1 M€ dans l'UE). Pour les groupes multinationaux, le chiffre d'affaires pertinent est le chiffre d'affaires mondial consolidé de la société mère. Cela confère aux régulateurs un levier considérable, le plafond théorique étant très élevé pour les entreprises établies.

La proportionnalité pour les PME au titre de l'article 99, paragraphe 6

Pour les PME (moins de 250 salariés, moins de 50 M€ de chiffre d'affaires) et les jeunes entreprises, l'article 99, paragraphe 6, retient le montant le moins élevé entre le montant absolu et le pourcentage du chiffre d'affaires. Cela réduit généralement de manière substantielle l'exposition des petits éditeurs SaaS. Les autorités nationales disposent également d'un pouvoir d'appréciation en matière de proportionnalité au titre de l'article 99, paragraphe 7, en tenant compte des facteurs suivants : nature, gravité et durée de l'infraction ; caractère intentionnel ou négligent ; violations antérieures ; coopération ; mesures correctives ; taille de l'opérateur. En pratique, les amendes infligées aux PME pour une première infraction s'établissent souvent entre 10 et 30 % du plafond théorique.

Autorités de contrôle et procédure

L'article 99, paragraphe 8, impose aux États membres d'établir les règles relatives aux sanctions applicables aux infractions commises par les institutions, organes et organismes de l'Union (le Contrôleur européen de la protection des données est compétent à cet égard). Les autorités nationales assurent l'application aux opérateurs du secteur privé conformément aux règles procédurales de l'État membre concerné. Procédure type : enquête déclenchée par une plainte ou une initiative de l'autorité de surveillance, notification des constatations préliminaires, possibilité de présenter des observations, décision, voie de recours administratif, contrôle juridictionnel. Délai moyen de résolution : 12 à 24 mois à compter de la plainte initiale.

La mise en œuvre concrète des sanctions

Sur la base des premiers signaux issus de la période d'application du RGPD et des premières actions de mise en œuvre du Règlement IA au titre de l'article 5 depuis février 2025, on peut s'attendre à ce que : la majorité des cas de première infraction soient résolus par des injonctions de mise en conformité sans amende ; les violations manifestes de la transparence prévue à l'article 50 donnent lieu à des amendes comprises entre 10 000 € et 500 000 € ; les violations manifestes des interdictions visées à l'article 5 ou des obligations relatives aux systèmes à haut risque donnent lieu à des amendes comprises entre 100 000 € et 2 M€ ; les violations graves ou répétées s'approchent des plafonds absolus. Le coût en termes de marchés publics et d'atteinte à la réputation dépasse généralement l'amende elle-même d'un facteur 5 à 10.

Frequently asked questions

Quel est le montant maximal de la sanction prévue par le Règlement IA de l'UE ?

35 M€ ou 7 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. S'applique aux violations des pratiques interdites visées à l'article 5.

À partir de quand les sanctions s'appliquent-elles ?

Les sanctions prévues à l'article 5 s'appliquent depuis le 2 février 2025. Les autres sanctions s'appliquent à compter du 2 août 2026.

Les PME sont-elles vraiment exemptées des amendes élevées ?

Elles ne sont pas exemptées — les PME bénéficient de la proportionnalité. Le montant le moins élevé entre le plafond absolu et le pourcentage s'applique, et les autorités nationales exercent leur pouvoir d'appréciation pour réduire davantage les amendes. Amendes typiques pour une première infraction d'une PME : 10 à 30 % du plafond théorique.

Les amendes peuvent-elles se cumuler entre différents articles ?

Oui — un même incident peut engager des violations au titre de plusieurs articles. Des amendes cumulatives sont possibles. L'article 99, paragraphe 7, invite les autorités à veiller à ce que la sanction globale soit proportionnée.

Quelle est la procédure de recours ?

Recours administratif devant l'autorité nationale de contrôle compétente, puis contrôle juridictionnel devant les juridictions nationales, avec possibilité de renvoi à la Cour de justice de l'Union européenne sur des questions de droit de l'Union.

Sources

• https://eur-lex.europa.eu/eli/reg/2024/1689/oj