L'Article 99 du Règlement (UE) 2024/1689 fixe le barème. Pour une pratique interdite (Article 5), l'amende monte jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial, le plus élevé des deux. Pour un manquement aux obligations des systèmes high-risk : 15 M€ ou 3 %. Pour des informations trompeuses aux autorités : 7,5 M€ ou 1 %.
Une amende potentielle n'est pas une dette. Elle ne se provisionne pas tant qu'elle n'est pas notifiée. Elle est donc absente des états financiers que l'acheteur examine en due diligence — alors même qu'elle est inscrite dans la loi et qu'elle s'attache au système IA de la cible. C'est le risque parfait : réel, quantifiable, et nulle part dans les chiffres.
Au closing, cette exposition change de propriétaire. L'acquéreur d'un actif IA non conforme hérite de l'amende latente comme Marriott a hérité de la faille de Starwood. Sauf qu'ici, le barème est connu d'avance — et il se compte en dizaines de millions.
Un acheteur averti ne laisse pas un risque chiffrable hors de l'équation. Il le price — en décote, en escrow, en indemnité réglementaire post-closing. La question n'est pas « est-ce que ce risque existe », mais « qui l'a quantifié, et quand ». Le score D7™ établit la probabilité de classification high-risk, le niveau de conformité aux Articles 9-15, et l'exposition Article 99 associée — avant la LOI, pour que le risque entre dans la négociation au lieu de la hanter après.