Procédure de sanction & circonstances
Les sanctions AI Act sont prononcées au terme d'une procédure contradictoire qui prend en compte la nature, la durée et la gravité du manquement.
Points clés
- Procédure contradictoire obligatoire
- Critères atténuants/aggravants codifiés
- Publication possible de la décision
- Recours devant les juridictions nationales / CJUE
Définition
L'article 99.7 codifie les critères que l'autorité doit prendre en compte pour fixer le quantum d'une sanction administrative pécuniaire au titre de l'AI Act.
Détail
Le montant n'est jamais automatique : l'autorité doit motiver sa décision au regard d'une grille de critères. La proportionnalité est un principe directeur, une sanction manifestement disproportionnée peut être annulée.
Tableau
| Critère | Effet | Exemple |
|---|---|---|
| Gravité et durée | Aggravant | Système déployé pendant 18 mois sans conformity assessment |
| Nombre de personnes affectées | Aggravant | Scoring crédit appliqué à 200 000 demandes |
| Caractère intentionnel | Aggravant | Décision documentée de ne pas faire de FRIA |
| Coopération avec l'autorité | Atténuant | Auto-déclaration, plan de remédiation immédiat |
| Mesures pour atténuer le dommage | Atténuant | Notification des personnes, refonte du système |
| Antécédents | Aggravant | Précédente sanction AI Act ou RGPD |
Checklist
- Préparer un dossier de défense documentant la due diligence
- Désigner un référent unique pour les échanges avec l'autorité
- Documenter en continu les mesures de remédiation (preuve d'atténuation)
- Conserver les preuves de coopération (courriels, comptes rendus)
- Anticiper la publication éventuelle de la décision (impact réputationnel)
Comment utiliser cette fiche
Cette fiche sert de point d'entrée opérationnel pour un audit AI Act. Elle doit être reliée à un système d'IA précis, à un responsable interne, à des preuves disponibles et à une décision de classification documentée. Le bon usage consiste à vérifier le périmètre, confirmer le rôle de l'organisation, identifier les obligations applicables, puis transformer chaque écart en action datée.
Preuves à réunir
- Inventaire du système d'IA, finalité, utilisateurs et environnement de déploiement.
- Documentation technique, politiques internes, journaux, tests, supervision humaine et décisions de gouvernance.
- Référence aux articles AI Act, aux normes ou aux sources officielles qui justifient la qualification.
- Responsable de la revue, date de dernière mise à jour et prochaine échéance de contrôle.
Indicateurs de suivi
Suivez le taux de preuves disponibles, le nombre d'écarts ouverts, la criticité des actions restantes et la date de prochaine revue. Une fiche est exploitable si elle permet à un auditeur, un DPO ou un responsable technique de comprendre rapidement ce qui est conforme, ce qui reste à prouver et quelle décision doit être prise.
Questions fréquentes
- Une décision de sanction est-elle publique ?
- L'autorité peut décider de publier la décision motivée, en partie ou en intégralité. La publication est un facteur de dissuasion explicitement prévu par le règlement.
- Quel recours est possible ?
- Les décisions des autorités nationales sont contestables devant les juridictions administratives nationales. Les décisions de la Commission (art. 101) sont contestables devant le Tribunal de l'UE, puis la CJUE.