Quand tomberont les premières amendes au titre de l'article 50 de l'EU AI Act ? Une prévision fondée sur les données

Les règles européennes de transparence applicables aux contenus générés par IA sont opposables depuis trois semaines. Aucune entreprise n'a été sanctionnée — ni au titre de l'article 50, ni au titre d'aucun autre article de l'EU AI Act, jamais. Cet article examine ce que le texte, la machinerie de contrôle et trois régimes précédents nous disent sur la manière dont cela va changer.

Trois semaines plus tard, le tableau d'affichage est vide — et ce fait en dit long

L'article 50 de l'EU AI Act est applicable depuis le 2 août 2026. Depuis cette date, les fournisseurs de systèmes d'IA générative doivent marquer leurs sorties dans un format lisible par machine et détectable (art. 50(2)) ; les déployeurs doivent divulguer de façon visible les deepfakes (art. 50(4)) ; les textes générés par IA publiés pour informer le public doivent être étiquetés, sauf s'ils ont fait l'objet d'un véritable contrôle éditorial ; et quiconque exploite un chatbot doit indiquer aux personnes qu'elles s'adressent à une machine (art. 50(1)). Le Digital Omnibus (règlement (UE) 2026/1744) n'a touché à rien de tout cela et n'a accordé qu'un seul délai de grâce : les systèmes déjà mis sur le marché avant le 2 août ont jusqu'au 2 décembre 2026 pour satisfaire à l'obligation de marquage lisible par machine.

Les textes d'interprétation sont complets. Les 51 pages de lignes directrices de la Commission sur l'article 50 ont été publiées le 20 juillet 2026 ; le code de bonne pratique sur la transparence des contenus générés par IA a été finalisé le 10 juin et déclaré adéquat les 8 et 9 juillet, avec environ 190 signataires — dont Anthropic, Google, Meta, Microsoft, Mistral et OpenAI. La seule absence remarquée de cette liste est xAI. La défense du « nous ne savions pas ce que la conformité voulait dire » n'existe plus.

Et pourtant, le fait le plus prédictif dont nous disposions est celui-ci : les interdictions de l'EU AI Act — l'article 5, le palier le plus sévère de tout le règlement, à 35 M€ ou 7 % du chiffre d'affaires, assorti de sanctions applicables depuis plus d'un an — n'ont donné lieu à aucune amende. Si les comportements les plus répréhensibles du règlement, passibles de plus du double de la sanction de l'article 50, sont restés impunis pendant dix-huit mois, la probabilité de base d'une amende rapide au titre de l'article 50 est faible.

L'article 50 sera appliqué par la couche la moins préparée du système

Savoir qui peut effectivement prononcer une amende au titre de l'article 50 importe davantage que le texte lui-même. L'AI Office à Bruxelles — l'autorité dont on parle le plus — n'est compétent pour l'article 50 que dans des cas étroits : les systèmes construits sur un modèle à usage général lorsque la même entreprise fournit les deux, et (depuis l'Omnibus) l'IA intégrée aux très grandes plateformes en ligne. Pour tous les autres — c'est-à-dire la quasi-totalité des déployeurs et la plupart des fournisseurs de systèmes —, l'autorité compétente est une autorité nationale de surveillance du marché. C'est là que se situe le maillon faible : au dernier décompte officiel, seuls 8 États membres sur 27 avaient ne serait-ce que notifié leur point de contact unique, et en juin 2026 six États membres n'avaient strictement rien désigné.

L'état de préparation des marchés qui comptent, en août 2026 :

• Allemagne — Bundesnetzagentur (loi KI-MIG en vigueur depuis le 29 juillet 2026). Peut sanctionner dès aujourd'hui : régime de sanctions opérationnel et doté en personnel, quatre jours avant l'échéance.
• Italie — ACN (loi nationale sur l'IA en vigueur depuis octobre 2025). Presque : les décrets de sanction ont été adoptés en conseil des ministres le 4 août 2026 et n'attendent plus que leur publication officielle ; une infraction pénale parallèle visant les deepfakes (1 à 5 ans) s'applique déjà.
• Espagne — AESIA, la première agence dédiée à l'IA de l'UE. Pas encore : la loi organique qui lui confère son pouvoir de sanction est toujours au Parlement — et elle propose de traiter les contenus IA non étiquetés comme une infraction grave, passible de 35 M€/7 %.
• Pologne — KRBSI (loi publiée le 27 juillet 2026). Pas encore : le chapitre relatif aux sanctions ne s'applique qu'à partir de fin octobre 2026, et la présidence de la commission doit être pourvue d'ici la mi-octobre.
• Irlande — l'AI Office of Ireland coordonne une quinzaine d'autorités sectorielles (loi en vigueur depuis le 31 juillet 2026). Oui — mais chaque amende doit être confirmée par la High Court, et deux régulateurs clés restent en dehors du mécanisme de sanction.
• France — la DGCCRF coordonne, l'ARCOM co-régule les contenus IA. Incertain : le statut formel de désignation reste contesté.
• Pays-Bas — AP / RDI. Non : le texte d'application était encore en consultation publique en juin 2026.
• Finlande — Traficom et des autorités sectorielles, avec un comité de sanction dédié (loi en vigueur depuis le 1er janvier 2026). Oui — le régime le plus complet de l'UE, doté d'une disposition de sanction visant explicitement l'article 50.
• Danemark — seulement une loi étroite de 2025. Non pour l'article 50 : la loi complète sur l'IA est devenue caduque avec la dissolution du Parlement à l'occasion des élections de mars 2026, et aucune autorité n'est désignée pour la transparence.
• Autriche, Belgique, Grèce — aucune autorité désignée.

Un détail structurel joue en sens inverse, et il est sous-estimé : l'EU AI Act ne prévoit aucun guichet unique. Sous le RGPD, une autorité nationale offensive peut être désarmée sur le plan juridictionnel par l'établissement de l'entreprise en Irlande — c'est précisément ainsi que l'amende de 15 M€ infligée par l'Italie à OpenAI a été annulée en mars 2026. Dans le modèle de surveillance du marché de l'EU AI Act, toute autorité nationale peut agir contre tout produit présent sur son marché. Une seule autorité motivée peut avancer seule.

Chaque nouveau régime européen suit la même courbe

• RGPD (applicable en mai 2018) : premières amendes, modestes et prononcées d'office, en 2 à 4 mois (un hôpital portugais, une agence de paris autrichienne) ; première amende retentissante au bout de 8 mois (50 M€ contre Google, à la suite de plaintes d'ONG déposées dès le premier jour).
• DMA (obligations en mars 2024) : premières amendes au bout d'environ 13 mois (500 M€ pour Apple, 200 M€ pour Meta, avril 2025).
• DSA (obligations VLOP en août 2023) : première amende au bout d'environ 27 mois (120 M€ contre X, décembre 2025) — puis escalade rapide à 200 M€ (Temu) et 550 M€ (AliExpress) en huit mois.
• Article 5 de l'EU AI Act (applicable en février 2025) : plus de 18 mois, zéro amende.

Deux détails de ce palmarès comptent tout particulièrement pour l'article 50. Premièrement, les toutes premières amendes RGPD sont nées de contrôles de routine visant des défendeurs obscurs — la vidéosurveillance d'une agence de paris, les contrôles d'accès d'un hôpital —, tandis que l'amende retentissante n'est venue que des mois plus tard, à partir de plaintes stratégiques. Deuxièmement, lorsque la Commission a finalement infligé 120 M€ à X au titre du DSA, elle a abandonné les griefs ambitieux relatifs à la désinformation pour ne conserver que les trois griefs de transparence techniquement vérifiables. Les autorités sanctionnent ce qu'elles peuvent mesurer. La conformité à l'article 50 — le fichier porte-t-il une marque détectable, le chatbot se déclare-t-il, le deepfake est-il étiqueté — est à peu près ce que le droit européen du numérique offre de plus mesurable. Cela comprime les délais dès lors qu'une autorité décide d'agir.

Six prédictions

1. Les premières actions de contrôle arriveront cet hiver — et ce ne seront pas des amendes

(Niveau de confiance : élevé.) Attendez-vous aux premières activités formelles au titre de l'article 50 — demandes d'informations, injonctions de mise en conformité, opération coordonnée de contrôle des chatbots non déclarés ou des publicités deepfake non étiquetées — entre le T4 2026 et le T2 2027. La date déclenchante est le 2 décembre 2026 : le délai de grâce de marquage pour les systèmes existants expire, l'argument selon lequel « la transition n'est pas terminée » meurt, et la nouvelle interdiction des applications de dénudage entre en vigueur. D'ici là, les premiers titres consacrés à la mise en application viseront probablement des États membres, et non des entreprises : les lettres de mise en demeure de la Commission adressées aux six pays et plus qui n'ont jamais désigné d'autorité.

2. La première amende tombera au second semestre 2027

(Niveau de confiance : moyen à élevé.) En faisant la part des choses entre la courbe du RGPD (décentralisée, petites amendes en quelques mois) et celle du DMA/DSA (13 à 27 mois), et en tenant compte d'autorités qui, pour la plupart, n'existaient pas avant juillet 2026, la fenêtre la plus probable pour la première amende au titre de l'article 50 se situe entre mi-2027 et début 2028 — soit environ 12 à 18 mois après l'entrée en application. Nos estimations de probabilité cumulée qu'au moins une amende ait été prononcée : 5 % au 2 décembre 2026, 35 % en août 2027, 60 % en décembre 2027, 85 % en août 2028.

3. L'Allemagne, l'Italie ou l'Espagne — dans cet ordre de probabilité

(Niveau de confiance : moyen.) La Bundesnetzagentur allemande est la seule autorité d'un grand marché à être entrée dans le mois d'août 2026 avec un cadre juridique complet, des effectifs dédiés et une tradition d'amendes administratives qui produit régulièrement des sanctions sans éclat. L'Italie est à quelques jours de la rejoindre : les décrets de sanction ont définitivement passé le conseil des ministres le 4 août 2026 et, dès leur parution au journal officiel, la culture de contrôle de l'IA la plus offensive de l'UE sera pleinement armée — même si les procureurs n'auront peut-être pas besoin de l'article 50, les deepfakes nuisibles non divulgués constituant déjà un délit passible de cinq ans de prison. L'AESIA espagnole deviendra l'autorité la plus motivée à l'instant même où sa loi organique franchira le Parlement : c'est la seule agence dont le statut fondateur vise expressément les contenus IA non étiquetés, à un palier de sanction deux fois supérieur à celui de l'EU AI Act lui-même. L'outsider est la Finlande, seul État membre doté depuis janvier 2026 d'un régime de sanctions complet et opérationnel pour l'article 50, freinée surtout par une culture de contrôle mesurée.

4. Un petit déployeur dont personne n'a entendu parler — pas un laboratoire d'IA de pointe

(Niveau de confiance : élevé.) Les quelque 190 signataires du code de bonne pratique, dont tous les grands fournisseurs de modèles, se sont acheté une supervision centrée sur le « respect du code », assortie d'une circonstance atténuante explicite dans la fixation des amendes. Les profils réalistes des premiers défendeurs, dans l'ordre : un annonceur diffusant des publicités de recommandation par avatar IA ou par deepfake sans aucune divulgation (un manquement à l'art. 50(4) visible et démontrable) ; un site de contenu publiant des articles d'actualité rédigés par IA sans étiquetage et sans véritable contrôle éditorial ; et un chatbot grand public sans mention d'IA. Attendez-vous à des montants à cinq ou six chiffres, pas à des millions — le plafond applicable aux PME s'inverse en « le montant le plus faible » — et attendez-vous à ce que la décision soit contestée et fort possiblement annulée, comme le sont souvent les premières amendes de tout nouveau régime.

5. La divulgation des deepfakes et des chatbots sera sanctionnée avant le marquage lisible par machine

(Niveau de confiance : moyen à élevé.) L'étiquetage des deepfakes (art. 50(4)) et la divulgation des chatbots (art. 50(1)) sont visibles à l'œil nu : une capture d'écran prouve le manquement, et les lignes directrices de la Commission indiquent explicitement que le marquage lisible par machine ne peut pas se substituer à une mention visible sur un deepfake. L'obligation de marquage de l'art. 50(2), à l'inverse, est enveloppée de réserves — « techniquement faisable », « état de l'art » —, ne s'appuie sur aucune norme harmonisée — aucune n'est même en cours de rédaction, le marquage des contenus se situant entièrement hors du mandat de normalisation de l'UE en matière d'IA — et son échafaudage d'interopérabilité n'arrive que le 2 février 2027. Les autorités de la première vague choisiront le combat qu'elles peuvent gagner sur le papier. La mise en application du marquage viendra à maturité plus tard — mais plus durement, car la conformité y est binaire et automatisable à grande échelle.

6. La première grande sanction pour contenus synthétiques ne citera pas du tout l'article 50

(Niveau de confiance : moyen.) La Commission poursuit déjà l'affaire de contenus synthétiques la plus flagrante d'Europe — les images sexuelles générées en masse par Grok — au titre du DSA, où elle dispose de pouvoirs centralisés, d'un plafond de 6 % et d'un véritable élan (trois amendes totalisant 870 M€ en huit mois). xAI est le seul grand fournisseur resté hors du code de transparence et fait l'objet d'une injonction de conservation des données courant jusqu'à fin 2026. La séquence la plus probable : une décision DSA contre X en 2027, qui fera office de précédent européen en matière de contenus synthétiques, l'article 50 n'y étant cité qu'à titre de contexte ; la première amende à neuf chiffres spécifiquement fondée sur l'article 50, si elle vient un jour, suivra en 2028 ou plus tard.

Les jalons qui déplaceraient ces dates

• Septembre–octobre 2026 — Les groupes de travail du code de bonne pratique se constituent ; l'AI Office clôt sa campagne de recrutement d'une quarantaine d'agents chargés du contrôle ; les décrets de sanction italiens paraissent au journal officiel ; le chapitre polonais sur les sanctions devient applicable.
• Automne 2026 — Surveillez les paquets d'infraction mensuels de la Commission, à la recherche de lettres adressées aux États membres n'ayant désigné aucune autorité, ainsi que l'achèvement du parcours parlementaire de la loi organique espagnole.
• 2 décembre 2026 — Fin du délai de grâce de marquage pour les systèmes existants ; l'interdiction des applications de dénudage et de la génération de contenus pédocriminels entre en vigueur au palier de 35 M€/7 %. La date la plus probable pour l'annonce d'une première enquête formelle.
• 2 février 2027 — Les signataires du code doivent disposer d'une détection de filigranes interopérable en fonctionnement : la première échéance de conformité technique objectivement testable.
• Tout au long de 2027 — Conclusions préliminaires au titre du DSA concernant Grok/X ; la première plainte fondée sur l'art. 85 rendue publique par une ONG (les outils de plainte ont ouvert le 2 août 2026, et le précédent du RGPD montre que les plaintes stratégiques arrivent tôt et explosent plus tard).

Ce que cela signifie si vous êtes censé être en conformité

La lecture rationnelle de « pas encore d'amendes » n'est pas « pas encore de risque ». Le schéma commun à tous les régimes précédents est celui d'une longue période de calme qui s'achève brutalement, avec des premiers défendeurs choisis pour la facilité de la preuve plutôt que pour la gravité des faits — et avec des demandes d'informations, des injonctions et des dommages réputationnels qui arrivent bien avant les sanctions.

La première amende sera modeste, nationale, et visera quelqu'un qui aura ignoré tout cela. La question intéressante n'a jamais été de savoir si elle arrivera — mais si vous serez en position d'être inintéressant le jour où elle arrivera.