Base de connaissances
Amendes de l'AI Act pour les PME : que risquez-vous vraiment ?
Par Bob Biesemans · publié le
Des amendes jusqu'à 35 millions d'euros font peur. Quelles amendes pour quelles règles, qu'en est-il de la maîtrise de l'IA, et qui contrôle en Belgique ? État en octobre 2026.
En bref
Les amendes les plus élevées de l'AI Act, jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires, visent l'IA interdite. Pour les PME, c'est toujours le montant le plus bas. Pour la maîtrise de l'IA (article 4), l'AI Act ne fixe pas lui-même d'amende ; les États membres déterminent les sanctions. En Belgique, l'autorité n'est pas encore désignée par la loi en octobre 2026.
Les gros montants visent l'IA interdite
L'article 99 de l'AI Act fixe les amendes maximales. Les plus élevées, jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial, visent les pratiques d'IA interdites de l'article 5, comme la manipulation ou la notation sociale. Pour une série d'autres obligations, notamment celles des utilisateurs d'IA à haut risque, le plafond est de 15 millions d'euros ou 3 %.
Pour les PME et les start-up, c'est chaque fois le montant le plus bas qui s'applique. Depuis le Digital Omnibus, l'article 99 demande aussi expressément de tenir compte de la viabilité économique des PME et prévoit des avertissements et des mesures non financières.
Et pour la maîtrise de l'IA ?
L'article 4 sur la maîtrise de l'IA ne figure pas dans la liste des obligations pour lesquelles l'AI Act fixe lui-même un montant d'amende. Les États membres déterminent toutefois les sanctions des infractions au règlement en général. Il n'y a donc pas de montant européen fixe pour qui n'a pris aucune mesure, mais ce n'est pas facultatif pour autant.
En pratique, l'article 4 compte surtout quand quelque chose tourne mal : une fuite de données via un chatbot, une plainte, une erreur dans un devis. La question est alors quelles mesures vous aviez prises. Qui peut le montrer est en meilleure position.
Qui contrôle en Belgique ?
L'accord de gouvernement fédéral 2025-2029 désigne l'IBPT comme autorité centrale pour l'AI Act. Au moment d'écrire ces lignes, cette désignation n'est pas encore inscrite dans une loi. Lorsque l'IA traite des données personnelles, l'Autorité de protection des données est compétente et le RGPD s'applique pleinement.
Ce qu'une PME a intérêt à faire maintenant
Vérifiez que vous n'utilisez pas d'IA interdite ; pour la plupart des PME, c'est vite clair. Listez les outils d'IA utilisés par les collaborateurs. Prenez des mesures de maîtrise de l'IA adaptées au travail de chaque service et documentez-les. Mesurez si elles fonctionnent. Information générale, pas un avis juridique ; en cas de doute, faites-vous conseiller par un juriste.
Questions fréquentes
Puis-je recevoir une amende si mon personnel ne maîtrise pas l'IA ?
L'AI Act ne fixe pas lui-même d'amende pour l'article 4. Les États membres peuvent prévoir des sanctions, et en cas d'incident on examinera les mesures prises. Prendre et documenter des mesures est donc prudent.
Qui contrôle l'AI Act en Belgique ?
L'accord de gouvernement 2025-2029 désigne l'IBPT, mais en octobre 2026 ce n'est pas encore inscrit dans une loi. Pour les données personnelles, l'Autorité de protection des données est compétente.
Les PME ont-elles des amendes plus basses ?
Oui. Pour les PME et start-up, c'est le plus bas du montant fixe et du pourcentage du chiffre d'affaires, et depuis le Digital Omnibus leur viabilité économique doit être prise en compte.