Les amendes européennes liées à l'IA sont en train de recevoir leurs règles de procédure manquantes. La Commission européenne a publié le 12 octobre 2026 un projet de règlement d'exécution (référence Ares(2026)9589403) qui précise deux points pratiques des articles 75c et 75d du règlement sur l'IA : comment se compte le délai de prescription de cinq ans pour sanctionner certains systèmes d'IA, et quelle part du dossier une entreprise visée par une enquête peut consulter. Le texte est ouvert aux observations jusqu'au 9 novembre 2026 à 23 h 59, heure de Bruxelles, avec une adoption prévue au quatrième trimestre 2026. Ce n'est encore qu'un projet — sa première page indique qu'il n'a été ni adopté ni approuvé par la Commission et qu'il reflète les vues préliminaires de ses services — mais la direction est déjà concrète : dans ce type d'affaires, le temps joue en faveur du régulateur.
Deux catégories de systèmes seulement : modèles maison et IA des très grandes plateformes
La compétence exclusive de la Commission, selon l'article 75, paragraphe 1, ne couvre que deux catégories : les systèmes d'IA fondés sur un modèle d'IA à usage général lorsque le modèle et le système ont été développés par le même fournisseur ou par des fournisseurs appartenant à la même entreprise, et les systèmes d'IA qui constituent des très grandes plateformes en ligne ou de très grands moteurs de recherche désignés au titre du règlement sur les services numériques, ou qui y sont intégrés. Les obligations pèsent sur les fournisseurs de ces systèmes et sur les déployeurs qui sont eux-mêmes le fournisseur ou appartiennent à la même entreprise. Une entreprise ordinaire qui se contente d'appeler un chatbot tiers ne passe pas, pour cet usage, sous la supervision directe de la Commission ; les règles des États membres continuent de s'appliquer. C'est aussi une voie différente de la première mesure d'exécution du règlement sur l'IA annoncée le 14 octobre 2026 : ces demandes d'informations visaient les obligations de risque systémique des fournisseurs de modèles à usage général, tandis que ce projet concerne les systèmes de plateforme et les systèmes maison, avec des destinataires et des articles différents.
Six actes d'enquête peuvent relancer le délai de cinq ans, plafonné à dix ans
L'article 4 du projet exige que les décisions d'amende et d'astreinte soient prises dans un délai de prescription de cinq ans ; lorsque le manquement est continu ou répété, les cinq ans ne commencent à courir que le jour où il cesse. Chacun des six actes suivants, accompli pendant l'enquête, interrompt le délai et le fait repartir de zéro : les demandes de documents, d'explications ou d'autres informations ; les demandes d'accès pour évaluer un système ; les inspections ; les invitations à un dialogue structuré ; l'ouverture d'une procédure et sa réouverture. Une demande d'informations envoyée la quatrième année remet donc le compteur à zéro. Le plafond absolu est le double du délai, soit dix ans, au-delà desquels aucune amende ne peut plus être infligée ; mais le délai est suspendu pendant qu'une affaire est pendante devant la Cour de justice de l'Union européenne ou qu'une inspection sur place attend une autorisation judiciaire, et ce temps de suspension s'ajoute au plafond de dix ans. L'exécution après décision dispose de ses propres cinq ans, à compter du jour où la décision devient définitive, et une décision modifiant le montant ou tout acte visant à en obtenir le paiement le relance également. Le projet ne modifie pas les montants eux-mêmes — jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial pour les pratiques interdites, 15 millions d'euros ou 3 % pour les autres manquements, 7,5 millions d'euros ou 1 % pour des informations inexactes ou trompeuses : ce sont les plafonds existants du règlement sur l'IA. Ce qui change, c'est la durée pendant laquelle ces plafonds peuvent suivre une entreprise.
Le dossier ne s'ouvre pas sur simple demande : la version intégrale va aux seuls conseils externes
Les articles 2 et 3 du projet fixent aussi les conditions de la défense. L'opérateur visé n'a aucun accès au dossier avant que la Commission ne lui notifie ses constatations préliminaires ; ensuite, il reçoit une version expurgée pour protéger les secrets d'affaires. Le dossier complet, sans expurgation, n'est communiqué qu'à un nombre limité de conseils juridiques et économiques externes désignés et d'experts techniques externes, dont les noms doivent être transmis à l'avance à la Commission — les salariés et les juristes internes du destinataire ne peuvent pas le lire directement. Si l'un de ces conseils externes rejoint le destinataire ou une autre entreprise active sur les mêmes marchés pendant l'enquête ou dans les trois ans qui suivent sa clôture, les deux parties doivent en informer la Commission et le conseil doit garantir qu'il n'a plus accès aux documents. Les parties qui versent des pièces doivent identifier les secrets d'affaires dans chacune et fournir des versions non confidentielles ; lorsque la Commission entend divulguer une information revendiquée comme confidentielle, elle laisse au moins une semaine pour formuler des objections. En pratique, la défense dans ce type d'affaires passe dès le premier jour par une équipe externe, tandis que les personnes qui connaissent le mieux le système au sein de l'entreprise ne peuvent pas voir l'intégralité des preuves.
Trois choses à faire avant la clôture de la consultation pour les entreprises concernées
D'abord, vérifier si vous êtes dans le champ : inventoriez si l'un de vos systèmes entre dans les deux catégories — un système construit sur votre propre modèle à usage général, ou une fonction d'IA intégrée à une très grande plateforme ou un très grand moteur de recherche désigné dans l'UE. Si vous y êtes, préparez-vous à une procédure menée par la Commission ; sinon, préparez-vous selon la procédure de votre État membre, sans confondre les deux voies. Ensuite, tenir un registre des délais pour chaque contact avec le régulateur : consignez la date de chaque demande d'informations, de chaque accès d'évaluation, de chaque inspection et de chaque ouverture de procédure, car chacun peut relancer les cinq ans ; mesurez votre exposition la plus tardive à partir du comportement initial plus dix ans, sans supposer que le risque s'éteint automatiquement au bout de cinq ans. Enfin, arrêter à l'avance la liste des conseils externes et les niveaux de confidentialité : le dossier intégral n'est visible que par des personnes extérieures, donc les chercher en cours d'affaire fait perdre du temps de défense, et le marquage des secrets d'affaires ainsi que la préparation de versions non confidentielles des pièces versées devraient être une routine permanente quand la fenêtre d'objection est d'environ une semaine. Dernier avertissement : cette procédure ne vaut que pour la voie de supervision directe de la Commission, et non pour toutes les amendes IA dans l'UE — l'appliquer à une procédure menée par un État membre fausserait les délais tout autant.
