Article 50 de l'AI Act : quelles sanctions en cas de manquement ?
Le plafond légal
Le non-respect des obligations de transparence de l'article 50 est sanctionné sur la base de l'article 99, paragraphe 4 : des amendes administratives pouvant atteindre 15 millions d'euros ou 3 % du chiffre d'affaires annuel mondial — le montant le plus élevé étant retenu. C'est le même ordre de grandeur que le RGPD, ce qui explique les titres alarmistes.
Ce qui change pour une PME
Le paragraphe 6 du même article prévoit explicitement une proportionnalité : pour les PME, y compris les start-up, le plafond applicable est le montant le plus faible des deux (là où les grandes entreprises sont exposées au plus élevé). Les sanctions doivent en outre être « effectives, proportionnées et dissuasives ». Un manquement documentaire chez un commerçant ne rencontrera jamais les montants destinés aux plateformes.
Le calcul qui vous concerne : votre CA × 3 %
Oubliez les 15 millions — ils n'existent que pour les grands groupes. Pour une PME, l'exposition maximale théorique se calcule en une ligne : 3 % de votre chiffre d'affaires.
- CA de 200 000 € → plafond théorique de 6 000 €
- CA de 1 M€ → 30 000 €
- CA de 4 M€ → 120 000 €
Et encore : ces plafonds sont des maximums légaux, pas des montants pratiqués — les autorités appliquent une gradation (gravité, durée, mesures correctives). Mais même ramenée à quelques milliers d'euros, une amende administrative représente plusieurs mois de marge pour une TPE, sans compter l'injonction publique qui peut l'accompagner. C'est ce risque-là — concret, chiffrable, assurable — que quelques mentions bien placées éliminent.
Qui contrôle, et comment ça commence
En France, le dispositif est partagé : la DGCCRF coordonne les autorités de surveillance du marché et sert de point de contact unique ; pour la transparence des contenus et les deepfakes, c'est l'Arcom qui est désignée ; la CNIL intervient dès que des données personnelles entrent en jeu. La consécration formelle de ce schéma par la loi est en cours d'achèvement, mais l'AI Act, lui, s'applique déjà directement.
Trois déclencheurs possibles : un contrôle d'initiative, un signalement de concurrent, et surtout une plainte : l'article 85 ouvre à toute personne le droit de signaler un manquement à l'autorité. Un client, un salarié ou un concurrent peut donc déclencher l'examen de votre site en quelques lignes.
Le précédent RGPD est instructif : la CNIL a d'abord fait pédagogie, puis durci progressivement sa doctrine — jusqu'à sanctionner majoritairement des TPE-PME ces dernières années. Rien ne permet d'affirmer que les autorités françaises suivront un autre chemin.
Le risque réel, au bon niveau
Pour une TPE-PME, le scénario le plus probable n'est pas l'amende maximale mais l'injonction de mise en conformité — publique ou non —, avec le coût réputationnel qui l'accompagne. C'est aussi ce qui rend la conformité accessible : des mentions visibles, datées et documentées suffisent à sortir du viseur. Le texte complet est lisible sur l'AI Act Explorer et le règlement sur EUR-Lex.