L'AESIA peut-elle vous sanctionner aujourd'hui pour l'AI Act ? La réponse courte est non

TL;DR

• L'AESIA (Agence Espagnole de Supervision de l'Intelligence Artificielle) existe depuis septembre 2023, mais elle ne peut pas aujourd'hui vous infliger une amende pour non-respect du Règlement sur l'Intelligence Artificielle. Il lui manque la loi qui typifie les infractions.
• Cette loi est le Projet de Loi Organique pour le bon usage et la gouvernance de l'intelligence artificielle (dossier 121/000096). Il est toujours au Congrès : le délai d'amendements s'est terminé le 2 septembre 2026 et il n'y a encore ni rapport de commission ni adoption.
• Le projet lui-même le dit : « seule une norme ayant rang de loi peut typifier des infractions, graduer des sanctions et attribuer des compétences de sanction ».
• Quand elle sera adoptée, les amendes pourront atteindre 35 millions d'euros ou 7 % du chiffre d'affaires mondial. Pour les PME (petite et moyenne entreprise), on appliquera le moins élevé des deux montants, non le plus élevé.
• Que l'AESIA ne puisse pas vous sanctionner ne signifie pas que vous êtes à l'abri. Pour les mêmes usages d'IA, l'AEPD peut vous sanctionner dès aujourd'hui (jusqu'à 20 millions ou 4 % au titre du RGPD), tout comme l'Inspection du Travail ou les autorités de la consommation.
• Et le Règlement européen oblige déjà, avec ou sans amende espagnole : les pratiques interdites s'appliquent depuis février 2025 et les obligations de transparence depuis le 2 août 2026.

D'où vient l'idée que l'AESIA sanctionne déjà ?

Si vous cherchez « sanctions AI Act Espagne » vous trouverez des dizaines de pages affirmant que l'Agence Espagnole de Supervision de l'Intelligence Artificielle sanctionne depuis août 2025, avec des tableaux d'amendes et des titres du type « les entreprises font face à 35 millions ».

Le chiffre est réel. Le calendrier, non.

L'origine du malentendu est une date du Règlement européen : le 2 août 2025, le chapitre XII de l'AI Act — celui des sanctions — a commencé à s'appliquer. Mais ce chapitre ne sanctionne personne. Ce qu'il fait, c'est d'ordonner aux États membres de mettre en place leur propre régime de sanctions. L'Espagne ne l'a pas encore fait.

C'est une distinction ennuyeuse avec des conséquences très concrètes : si un fournisseur vous vend de l'urgence avec l'argument que « l'AESIA sanctionne déjà », il vous vend avec une information fausse.

Qu'est-ce que l'AESIA et que peut-elle faire exactement ?

L'agence a été créée par le Décret Royal 729/2023, du 22 août (BOE n° 210, du 2 septembre 2023), qui approuve ses statuts. Elle est entrée en vigueur le 3 septembre 2023 et a son siège à La Corogne.

Ses fonctions figurent à l'article 10 des statuts. C'est là qu'apparaît, au paragraphe 1.k), la référence à la supervision et au pouvoir de sanction. Et avec une mention décisive : « conformément à ce que stipule la réglementation européenne ».

En technique juridique, c'est une habilitation par renvoi. Le décret royal dit « l'agence sanctionnera conformément à ce que dira la norme correspondante », mais ne définit aucune infraction, ne fixe aucun montant, n'établit aucune procédure. Il ne peut pas le faire : un décret royal est une norme réglementaire et l'article 25 de la Constitution exige un rang législatif pour typifier des infractions administratives.

Traduit : l'AESIA a le poste, le siège et l'organigramme. Elle n'a pas le catalogue des infractions.

Qu'est-ce qui manque, donc ?

Il manque le Projet de Loi Organique pour le bon usage et la gouvernance de l'intelligence artificielle, que le Conseil des Ministres a approuvé le 26 mai 2026. Voici son parcours réel, vérifiable dans la fiche du dossier :

La Mesa a confié le rapport à la Commission de l'Économie, du Commerce et de la Transformation Numérique. Tant que ce rapport n'existe pas, puis le débat en séance plénière, puis le Sénat, puis la publication au BOE, il n'y a pas de régime de sanctions.

Le texte lui-même le reconnaît dans son exposé des motifs, page 11 : la loi est nécessaire car « seule une norme ayant rang de loi peut typifier des infractions, graduer des sanctions et attribuer des compétences de sanction conformément aux principes de légalité, de proportionnalité et de sécurité juridique ».

Il y a un détail supplémentaire qu'il convient de connaître, car il rythme la réalité. La disposition additionnelle deuxième oblige le Gouvernement à impulser, dans un délai maximal de six mois après l'entrée en vigueur de la loi, une autre norme transformant l'AESIA en entité de l'article 84 de la Loi 40/2015, avec personnalité juridique propre et « pleine indépendance organique et fonctionnelle ». C'est-à-dire : quand la loi sera adoptée, l'agence devra encore se restructurer de l'intérieur.

Et la loi elle-même entrera en vigueur le lendemain de sa publication au BOE (disposition finale huitième). Sans vacatio legis, sans période d'adaptation. Le jour de sa publication, le catalogue des infractions sera opérationnel.

De quoi parlons-nous quand la loi existera ?

L'article 30 du projet fixe ces plafonds :

Voici maintenant la nuance que presque personne ne mentionne, et qui change complètement la lecture si vous avez une PME. Dans la règle générale, on applique le montant le plus élevé des deux. Mais l'article 30.8 du projet, suivant l'article 99.6 du Règlement européen, établit que pour les PME et les entreprises émergentes, on appliquera le moins élevé.

Pour une entreprise de 40 salariés qui facture 6 millions, 1 % d'une infraction grave représente 60 000 euros, non 7,5 millions. Cela fait toujours mal. Mais c'est un chiffre dont on peut parler dans un conseil d'administration sans que la conversation ne tourne à la panique.

Il convient d'ajouter deux éléments. Le premier : outre l'amende, l'article 30.2 permet d'ordonner le retrait du produit ou la déconnexion du système d'IA quand l'autorité résout de façon motivée qu'il y a un risque inacceptable ou grave. Pour une entreprise qui a intégré l'IA dans son fonctionnement, l'éteindre peut coûter plus que la sanction. Le second : l'article 16 du projet typifie comme infraction grave, pour tout opérateur, la résistance ou l'obstruction à une inspection. C'est-à-dire que la façon la plus simple de transformer un petit dossier en un dossier coûteux est de ne pas coopérer.

Cela signifie-t-il que l'AI Act ne s'applique pas en Espagne ?

Non. Le Règlement (UE) 2024/1689 est un règlement européen : il s'impose directement, sans nécessité de transposition. Ce qui manque, c'est la machine espagnole pour punir son non-respect, non l'obligation elle-même.

De plus, le calendrier a évolué cet été. Le Règlement (UE) 2026/1744, dit Omnibus numérique sur l'IA, a été publié au JOUE le 24 juillet 2026 et est en vigueur depuis le 27 juillet. Il reporte une grande partie des obligations à haut risque. Voici le calendrier mis à jour :

Si votre entreprise dispose d'un chatbot de service client, génère des images ou des textes avec l'IA ou utilise la reconnaissance des émotions, la date qui vous concerne est le 2 août 2026, non 2027. Les obligations de transparence de l'article 50 n'ont pas été reportées.

L'Omnibus a également assoupli l'article 4. Il n'exige plus de « garantir » l'alphabétisation en IA de votre personnel, mais d'« adopter des mesures pour soutenir » sa promotion, et précise expressément qu'il n'oblige pas à atteindre un niveau concret pour aucune personne en particulier. C'est une réelle réduction de charge pour les PME.

Et il y a une exception à tout ce qui précède : la Commission européenne peut sanctionner directement, sans passer par aucune autorité espagnole, les fournisseurs de modèles d'IA à usage général, à hauteur de 3 % de leur chiffre d'affaires mondial ou 15 millions d'euros (article 101). Cela vise celui qui fabrique le modèle, non la PME qui l'utilise.

Alors, qu'est-ce qui peut réellement vous tomber dessus aujourd'hui ?

C'est là que la conversation devient utile. Les usages d'IA qui posent le plus de problèmes dans une PME espagnole sont déjà régulés par des normes avec un régime de sanctions pleinement opérationnel :

La ligne sur le droit du travail mérite un paragraphe à part, car elle prend souvent par surprise. Depuis la Loi 12/2021 (BOE n° 233, du 29 septembre 2021), l'article 64.4 d) du Statut des Travailleurs reconnaît à la représentation légale des travailleurs le droit d'« être informée par l'entreprise des paramètres, règles et instructions sur lesquels se basent les algorithmes ou systèmes d'intelligence artificielle qui affectent la prise de décisions pouvant avoir une incidence sur les conditions de travail, l'accès et le maintien dans l'emploi, y compris l'élaboration de profils ».

Cette obligation existe depuis 2021, ne dépend pas de l'AI Act et n'attend aucune loi organique. Si vous avez un comité d'entreprise ou des délégués du personnel et que vous avez intégré l'IA dans la sélection, l'affectation des horaires ou l'évaluation des performances sans les en informer, vous êtes déjà en infraction.

Le projet de loi, par ailleurs, n'y touche pas : sa disposition additionnelle première confirme expressément que les fonctions de l'Inspection du Travail restent intactes.

Et les guides de l'AESIA ? Sont-ils contraignants ?

L'AESIA a publié le 16 décembre 2025 un ensemble de seize guides pratiques, plus un recueil de listes de contrôle : deux introductifs, treize techniques (évaluation de conformité, gestion des risques, supervision humaine, gouvernance des données, transparence, précision, robustesse, cybersécurité, registres, surveillance post-commercialisation, gestion des incidents et documentation technique) et un manuel d'utilisation.

Ce sont de bons matériaux qui font gagner du temps. Mais l'agence elle-même prévient qu'ils « n'ont pas de caractère contraignant et ne substituent ni ne développent la réglementation applicable ». La page ajoute également qu'ils seront mis à jour une fois l'Omnibus numérique adopté, de sorte que les versions que vous téléchargerez maintenant vont évoluer.

Utilisez-les comme modèle de travail. Ne les citez pas comme s'ils étaient du droit.

Pourquoi se préparer maintenant coûte-t-il moins cher ?

Trois raisons pratiques, sans effet d'annonce.

La loi entre en vigueur le lendemain de sa publication. Il n'y a pas de période de grâce nationale, donc la marge d'adaptation est celle que vous vous accordez à l'avance, non celle que vous donnera le BOE.

L'inventaire est le travail lent. Savoir quels outils d'IA existent réellement dans votre entreprise (y compris ceux qu'un département a contractés sans le dire à personne), quelles données ils touchent et quelles décisions ils influencent prend des semaines calendaires même si c'est peu d'heures de travail. Cet inventaire est exactement ce que vous demandera toute autorité, et aussi ce que vous demandera le premier grand client qui vous enverra un questionnaire fournisseurs.

Et le risque actuel n'attend pas. L'AEPD, l'Inspection du Travail et les autorités de la consommation peuvent agir aujourd'hui sur les mêmes faits. Préparer l'AI Act et préparer le RGPD représentent, à 70 % du travail, la même tâche : savoir quels systèmes vous avez, quelles données ils utilisent, qui supervise leurs décisions et ce que vous dites à la personne concernée.

Que faire dès lundi matin ?

1. Faites l'inventaire. Un tableau avec chaque outil d'IA utilisé dans l'entreprise, qui l'a contracté, quelles données entrent, quelle décision en sort et qui la révise. Incluez les abonnements que le marketing paye par carte.
2. Cochez les trois cases de risque réel. L'une d'elles influence-t-elle la sélection, l'évaluation ou le licenciement ? L'une d'elles traite-t-elle des données personnelles de clients ou de salariés ? L'une d'elles génère-t-elle du contenu que vous publiez sans dire qu'il est synthétique ?
3. Révisez la transparence avant le 2 août 2026. Si vous avez un chatbot, l'utilisateur doit savoir qu'il parle à une machine. Si vous publiez du contenu synthétique, il doit être identifié.
4. Si vous avez une représentation des travailleurs, informez-la. L'article 64.4 d) du Statut des Travailleurs n'admet pas l'attente et la conversation est bien moins coûteuse avant qu'il n'y ait une plainte.
5. Conservez les preuves. Contrats avec les fournisseurs, fiches des systèmes, courriels de décision. La diligence démontrée est une circonstance atténuante expresse dans l'article 31 du projet de loi.
6. Mettez une alerte sur le BOE. Le jour où la loi organique sera publiée, le compte à rebours commence. Jusqu'alors, aucun calendrier d'amendes espagnoles n'est réel.

Questions fréquentes

L'AESIA peut-elle m'inspecter même si elle ne peut pas me sanctionner ?

C'est le projet de loi qui attribue les fonctions de surveillance, d'inspection et le pouvoir de sanction sur les systèmes d'IA, et il n'est pas encore adopté. En attendant, ce sont les autorités disposant déjà d'une compétence par d'autres matières qui peuvent vous inspecter : l'AEPD pour les données personnelles, l'Inspection du Travail pour les relations de travail, la consommation pour les pratiques commerciales.

Si je ne respecte pas le Règlement européen maintenant et que la loi est adoptée en 2027, serai-je sanctionné rétroactivement ?

Non. Le principe de non-rétroactivité des dispositions de sanction défavorables figure à l'article 9.3 de la Constitution. Ce qui peut se passer, c'est que le non-respect persiste le jour où la loi entre en vigueur, et soit alors sanctionnable à partir de ce moment. Un système mal construit ne se corrige pas tout seul avec le passage du temps.

J'ai une entreprise de 30 personnes. Le plafond de 35 millions me concerne-t-il ?

Comme montant absolu, presque certainement non. Pour les PME, l'article 30.8 du projet applique le moins élevé entre le montant fixe et le pourcentage du chiffre d'affaires. Ce qui vous concerne, ce sont les mesures accessoires : le retrait ou la déconnexion du système peut arrêter un processus métier entier.

J'utilise ChatGPT ou Copilot pour des tâches internes. Suis-je fournisseur d'IA ?

Non. Vous êtes responsable du déploiement (déployeur), qui est une figure avec des obligations plus légères. Les obligations lourdes de documentation technique, d'évaluation de conformité et de marquage incombent à celui qui développe le système ou le commercialise sous son propre nom. Attention à ce dernier point : si vous intégrez un modèle tiers dans un produit que vous vendez sous votre marque, vous pouvez devenir fournisseur.

Les guides de l'AESIA me protègent-ils si je les suis ?

Ils ne donnent pas de présomption de conformité ; l'agence elle-même dit qu'ils ne sont pas contraignants. Cela dit, les avoir suivis documente la diligence, et la diligence est expressément valorisée pour graduer la sanction. Ils servent de preuve que vous avez fait le travail, non de bouclier.

Sources

• Décret Royal 729/2023, du 22 août, approuvant les statuts de l'Agence Espagnole de Supervision de l'Intelligence Artificielle (BOE-A-2023-18911).
• Projet de Loi Organique pour le bon usage et la gouvernance de l'intelligence artificielle. BOCG, Congrès des Députés, Série A, n° 97-1, du 12 juin 2026.
• Dossier 121/000096, Congrès des Députés (état de la procédure et délais d'amendements).
• Règlement (UE) 2024/1689, du 13 juin 2024, établissant des règles harmonisées en matière d'intelligence artificielle.
• Règlement (UE) 2026/1744, du 8 juillet 2026 (Omnibus numérique sur l'IA), JOUE du 24 juillet 2026.
• Règlement (UE) 2016/679 (RGPD), article 83.
• Loi 12/2021, du 28 septembre (BOE n° 233, du 29 septembre 2021), ajoutant la lettre d) à l'article 64.4 du Statut des Travailleurs.
• Guides de l'AESIA : https://aesia.digital.gob.es/es/guias

Cet article décrit l'état de la procédure au 28 juillet 2026. Un projet de loi évolue ; vérifiez la fiche du dossier avant de prendre des décisions basées sur ces dates.