Contrôles, plaintes et sanctions AI Act : préparer une réponse crédible.
Une sanction se prépare rarement le jour où elle est prononcée. Elle révèle souvent un registre incomplet, une décision non attribuée, une alerte ignorée ou une coopération tardive. La meilleure défense reste un système de gouvernance qui fonctionne avant la demande.
L’AI Act permet aux autorités de demander des informations, d’enquêter, d’imposer des mesures correctives et de sanctionner certains manquements. Une organisation doit pouvoir expliquer ses rôles, ses décisions, ses contrôles, ses incidents et sa coopération.
Cluster éditorial : Gouvernance, contrôles et sanctions · Intention : Comprendre les sanctions AI Act et préparer un contrôle
En bref
L’essentiel à retenir
01
Pouvoirs de contrôle actifs depuis août 2026
02
Amendes graduées selon le manquement et le contexte
03
Canaux de plainte et signalement européens ouverts
04
Dossier de réponse préparé avant toute demande
01
Comprendre ce qu’une autorité peut rechercher
Une autorité peut vouloir identifier le système, le rôle de l’organisation, la finalité, les personnes concernées, la qualification de risque et les mesures appliquées. Elle peut demander des documents, examiner la conformité, coordonner une enquête ou imposer des mesures. Pour les modèles d’IA à usage général, l’AI Office dispose de pouvoirs spécifiques d’information, d’évaluation et de traitement des risques.
La demande ne porte pas toujours sur un dossier nommé « AI Act ». Les éléments utiles se trouvent dans les achats, les procédures métiers, les journaux, la sécurité, la protection des données, les formations et les contrats. Un index de preuve permet de les retrouver sans dupliquer les documents sensibles. Il indique l’emplacement, le propriétaire, la version et les droits d’accès.
Le règlement prévoit plusieurs plafonds. Les manquements liés aux pratiques interdites peuvent atteindre 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial total de l’exercice précédent pour une entreprise, selon le montant le plus élevé. D’autres manquements peuvent relever d’un plafond de 15 millions d’euros ou 3 %. La fourniture d’informations inexactes, incomplètes ou trompeuses peut relever d’un plafond distinct.
Ces montants sont des plafonds, pas des sanctions automatiques. La décision tient compte de la nature, de la gravité, de la durée, des conséquences, de la coopération, des mesures correctives et d’autres circonstances. Pour les entreprises, le mécanisme prend en compte le chiffre d’affaires. Les PME bénéficient de règles de plafond adaptées. Une présentation commerciale qui cite uniquement le maximum sans contexte informe mal les dirigeants.
Traiter une plainte comme un signal de gouvernance
Les personnes peuvent signaler une violation présumée aux autorités compétentes selon les modalités prévues. La Commission a aussi présenté des outils de plainte et de lanceur d’alerte dans le cadre de l’application du règlement. Une organisation doit disposer de son propre canal interne afin que les problèmes soient repérés et corrigés avant de s’aggraver.
Le canal doit être accessible aux salariés, prestataires et personnes concernées selon le contexte. Il distingue une question, un désaccord avec une décision, un incident de sécurité et une violation présumée. Chaque signal reçoit un identifiant, un responsable, un délai et une décision. Protégez les personnes, évitez les représailles et coordonnez avec les procédures existantes de conformité et d’alerte.
La cellule réunit un pilote, le propriétaire métier, le juridique ou la conformité, la technique, la sécurité, le DPO et la communication lorsque nécessaire. Elle vérifie le périmètre, préserve les éléments et nomme un interlocuteur. Les réponses sont factuelles, sourcées et cohérentes. Une hypothèse doit être présentée comme telle, avec un plan pour obtenir la réponse.
Un exercice annuel permet de tester le dispositif. Choisissez un système réel et simulez une demande sur la classification, la supervision ou un incident. Chronométrez la recherche des pièces. Vérifiez les accès et les versions. Notez les écarts, puis corrigez les responsabilités et l’index documentaire. L’objectif n’est pas de produire une mise en scène parfaite, mais de rendre le système fiable.
La première faiblesse est un registre qui ignore les usages non officiels. La deuxième est une qualification sans faits ni source. La troisième est un contrôle déclaré mais jamais testé. La quatrième est une formation identique pour tous les publics. La cinquième est un incident traité sans préserver la version et les journaux. Ces lacunes rendent la réponse fragile même lorsque l’équipe a travaillé de bonne foi.
Corrigez-les avec un système pilote. Inventoriez, qualifiez, testez la supervision, vérifiez les preuves et simulez un incident. Le résultat fournit un modèle concret pour les autres systèmes. Une revue exécutive suit les écarts critiques, les retards et les décisions d’acceptation du risque. Elle évite de diluer la responsabilité dans un comité trop large.
Le registre des contrôles et plaintes consigne la date, la source, le système, la nature de la demande, le propriétaire, les éléments transmis, les délais, les décisions et les actions. Il ne doit pas exposer inutilement des données personnelles ou des secrets. Utilisez des références vers les dossiers sécurisés plutôt que de recopier leur contenu.
Analysez les tendances. Plusieurs plaintes sur la même interface, des délais répétés ou une preuve souvent introuvable signalent un problème structurel. Attribuez une cause, une mesure corrective et une date de vérification. Le registre devient ainsi un outil d’amélioration continue plutôt qu’une archive défensive.
Le plafond dépend du manquement. Certaines violations peuvent atteindre 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial total pour une entreprise, selon les règles de l’article 99.
Non. Elle peut déclencher un examen. L’autorité apprécie les faits, le manquement, la gravité, la coopération et les mesures prises.
Un interlocuteur coordonne la réponse avec le métier, la conformité, le juridique, la technique, la sécurité et le DPO selon le sujet.
Il est préférable de centraliser un index et les responsabilités, tout en conservant les documents sensibles dans des espaces sécurisés adaptés.
Testez la recherche des preuves et la réponse sur un système réel au moyen d’un exercice chronométré.
