1. Le contrôleur européen de la protection des données peut imposer des amendes administratives aux institutions, organes et organismes de l'Union relevant du champ d'application du présent règlement. Pour décider s'il y a lieu d'infliger une amende administrative et pour déterminer le montant de l'amende administrative dans chaque cas individuel, toutes les circonstances pertinentes de la situation spécifique sont prises en compte et les éléments suivants sont dûment pris en considération :
(a) la nature, la gravité et la durée de l'infraction et de ses conséquences, en tenant compte de la finalité du système d'IA concerné, ainsi que, le cas échéant, du nombre de personnes affectées et du niveau de préjudice qu'elles ont subi ;
(b) le degré de responsabilité de l'institution, de l'organe ou de l'organisme de l'Union, compte tenu des mesures techniques et organisationnelles qu'ils ont mises en œuvre ;
(c) toute mesure prise par l'institution, l'organe ou l'organisme de l'Union pour atténuer les dommages subis par les personnes affectées ;
d) le degré de coopération avec le contrôleur européen de la protection des données afin de remédier à la violation et d'en atténuer les éventuels effets négatifs, y compris le respect de toute mesure précédemment ordonnée par le contrôleur européen de la protection des données à l'encontre de l'institution, de l'organe ou de l'agence de l'Union concerné(e) en ce qui concerne le même sujet ;
(e) toute infraction antérieure similaire commise par l'institution, l'organe ou l'organisme de l'Union ;
(f) la manière dont le contrôleur européen de la protection des données a eu connaissance de la violation, en particulier si, et dans quelle mesure, l'institution, l'organe ou l'organisme de l'Union a notifié la violation ;
(g) le budget annuel de l'institution, de l'organe ou de l'organisme de l'Union.
2. Le non-respect de l'interdiction des pratiques d'IA visées à l'article 5 est passible d'amendes administratives d'un montant maximal de 1 500 000 EUR.
3. Le non-respect par le système d'IA de toute exigence ou obligation prévue par le présent règlement, autre que celles énoncées à l'article 5, est passible d'amendes administratives d'un montant maximal de 750 000 EUR.
4. Avant de prendre des décisions en vertu du présent article, le contrôleur européen de la protection des données donne à l'institution, l'organe ou l'organisme de l'Union qui fait l'objet de la procédure menée par le contrôleur européen de la protection des données l'occasion d'être entendu sur la question relative à l'infraction éventuelle. Le contrôleur européen de la protection des données ne fonde ses décisions que sur les éléments et circonstances sur lesquels les parties concernées ont pu s'exprimer. Les plaignants, s'il y en a, sont associés étroitement à la procédure.
5. Les droits de la défense des parties concernées sont pleinement respectés dans la procédure. Elles ont le droit d'accéder au dossier du contrôleur européen de la protection des données, sous réserve de l'intérêt légitime des particuliers ou des entreprises à la protection de leurs données à caractère personnel ou de leurs secrets d'affaires.
6. Les fonds recueillis par l'imposition d'amendes en vertu du présent article contribuent au budget général de l'Union. Les amendes n'affectent pas le bon fonctionnement de l'institution, de l'organe ou de l'organisme de l'Union qui en fait l'objet.
7. Le contrôleur européen de la protection des données notifie chaque année à la Commission les amendes administratives qu'il a infligées en vertu du présent article et toute procédure contentieuse ou judiciaire qu'il a engagée.