AI Act et maîtrise de l'IA (Art. 4) : ce que votre PME doit mettre en place et prouver

Mis à jour le 22 septembre 2026. Dates vérifiées sur le texte du règlement (UE) 2024/1689 et l'accord politique sur l'omnibus numérique du 6 mai 2026.

AI Act et maîtrise de l'IA : ce que votre PME doit mettre en place, et prouver

Le règlement (UE) 2024/1689 (« AI Act ») est entré en vigueur le 1er août 2024. Son article 4 s'applique depuis le 2 février 2025 : les fournisseurs et les déployeurs de systèmes d'IA, c'est-à-dire toute entreprise qui en utilise, doivent prendre des mesures pour assurer un niveau suffisant de maîtrise de l'IA à leur personnel. Les sanctions prévues par le règlement sont applicables depuis le 2 août 2025.

Si vos équipes utilisent ChatGPT, Microsoft 365 Copilot, Claude, Gemini ou un logiciel métier doté de fonctions d'IA, vous êtes concerné. Ce n'est pas une « formation obligatoire » au sens d'un programme imposé : c'est une obligation de moyens, proportionnée, que vous devez pouvoir documenter.

Ce que nous constatons en mission : l'usage précède presque toujours le cadre. Les outils sont là, souvent à l'initiative des collaborateurs ; aucun document ne dit ce qui est autorisé, avec quelles données, ni qui en est responsable. La mise en ordre est rapide quand elle est méthodique.

Que dit exactement l'article 4 ?

L'article 4 demande aux fournisseurs et aux déployeurs de « prendre des mesures pour garantir, dans toute la mesure du possible, un niveau suffisant de maîtrise de l'IA » aux personnes qui utilisent ou exploitent des systèmes d'IA pour leur compte. Ce niveau tient compte de leurs connaissances, de leur expérience, du contexte d'utilisation et des personnes concernées par les systèmes.

L'omnibus numérique de 2026 (accord politique du 6 mai 2026, publication au Journal officiel attendue à l'été 2026) a assoupli la formulation, qui devient une obligation de « soutenir le développement de la maîtrise de l'IA ». L'obligation demeure ; ce qui change, c'est l'insistance sur la proportionnalité.

Concrètement, trois dimensions :

1. Comprendre les outils utilisés — ce que fait l'outil, ce qu'il ne fait pas, quand se fier à sa réponse et quand la vérifier. Il ne s'agit pas de former à l'algorithmique.

2. Connaître les risques — résultats erronés ou inventés, biais, confidentialité des données saisies, droits d'auteur. Un collaborateur sensibilisé sait garder un regard critique : c'est ce que le règlement appelle le contrôle humain.

3. Pouvoir le prouver — le règlement n'impose ni certification ni organisme agréé. Il attend que l'entreprise puisse montrer ce qu'elle a fait : qui a été sensibilisé, quand, sur quel contenu.

Quelles entreprises sont concernées ?

Toute entreprise qui utilise un système d'IA dans son activité, sans seuil de taille ni de chiffre d'affaires. Le règlement distingue les fournisseurs (ceux qui développent ou mettent sur le marché un système) et les déployeurs (ceux qui l'utilisent sous leur autorité). Une PME est presque toujours déployeur.

Le seuil est bas : un assistant conversationnel pour rédiger des e-mails, un outil de transcription de réunions, un CRM avec scoring, un logiciel de paie qui intègre des fonctions d'IA suffisent.

Par où commencer selon les équipes

Quelles sanctions ?

Le régime de sanctions (article 99) est applicable depuis le 2 août 2025. Les plafonds sont les suivants ; pour les PME, c'est le montant le plus bas des deux qui s'applique.

L'article 4 ne figure pas dans la liste des manquements assortis d'une amende chiffrée à l'article 99 ; le défaut de maîtrise de l'IA pèse surtout comme circonstance aggravante en cas de manquement à une autre obligation, et comme faiblesse évidente lors d'un contrôle ou d'un litige (RGPD, droit du travail, responsabilité civile). En France, la surveillance relève des autorités compétentes désignées par la loi de mise en œuvre (CNIL notamment).

Le vrai risque pour une PME n'est pas l'amende record. C'est de ne rien pouvoir montrer le jour où un client, un candidat, un salarié ou une autorité pose la question.

Le calendrier, vérifié

Le RGPD s'applique en parallèle à chaque donnée personnelle saisie dans un outil d'IA. Le détail est sur notre page Calendrier AI Act.

Se mettre en ordre en cinq étapes

1. Inventorier les usages réels — Tous les outils, y compris ceux utilisés sans compte d'entreprise : assistants, transcription, génération d'images, fonctions d'IA des logiciels métier. La liste est plus longue qu'on ne le pense. Notre auto-évaluation de maturité IA aide à la constituer.

2. Identifier les personnes exposées — En priorité celles dont l'usage a un effet sur des tiers (candidats, clients, salariés) ou produit des contenus publiés.

3. Organiser une sensibilisation documentée — Un atelier de deux à quatre heures couvre le socle : fonctionnement et limites des outils, risques (erreurs, biais, confidentialité), règles d'usage, RGPD dans les prompts. Le contenu doit être adapté aux outils et aux métiers de l'entreprise. Voir notre Formation IA en entreprise.

4. Conserver les preuves — Programme daté, feuille d'émargement, attestation de sensibilisation nominative. Ajoutés au registre des systèmes IA et à la charte, ils constituent le dossier que vous pourrez présenter.

5. Prévoir une revue annuelle — Les outils changent, les usages aussi, et la Commission publie des lignes directrices. Une mise à jour annuelle, courte, suffit dans la plupart des cas.

Combien de temps, combien d'argent ?

Pour une organisation de 20 à 250 salariés utilisant des outils standard, la mise en ordre de l'article 4 tient en quelques semaines : un inventaire, une session de sensibilisation, un jeu de documents. Le coût dépend de ce que vous faites en interne et de ce que vous confiez à un tiers ; nos tarifs sont publics sur la page Offres. Nous ne publions pas de moyennes de marché sur ce sujet : celles qui circulent ne sont pas vérifiables.

Ce qui coûte cher, en revanche, c'est de traiter le sujet dans l'urgence, après un incident : une donnée client saisie dans un outil grand public, un contenu généré publié sans vérification, une question d'un candidat sur le tri de sa candidature.

Ce que la plupart des articles ne disent pas

1. L'article 4 est une obligation de moyens. Il n'existe ni certification obligatoire, ni programme homologué, ni durée minimale. Ce qui compte est la proportionnalité et la preuve.

2. La sensibilisation est le point d'entrée, pas la fin. Sans charte ni règles sur les données, une formation seule ne tient pas : les équipes reviennent à leurs habitudes.

3. Les usages RH sont les plus sensibles. Même si leurs obligations « haut risque » ne s'appliquent qu'au 2 décembre 2027, le RGPD et le droit du travail s'appliquent déjà au tri de candidatures assisté par IA.

4. Le marquage des contenus est une obligation récente. Depuis le 2 août 2026, un chatbot doit se présenter comme tel et les contenus générés doivent être marqués ; les équipes qui publient doivent le savoir.

Checklist : où en êtes-vous ?

• Les outils d'IA utilisés dans l'entreprise sont inventoriés, usages informels compris.
• Les personnes qui les utilisent régulièrement sont identifiées.
• Les usages qui relèvent de l'annexe III (RH, scoring) sont repérés.
• Une sensibilisation a eu lieu ou est planifiée, avec un programme daté.
• Les preuves sont conservées : feuille d'émargement, attestations nominatives.
• Une charte et des règles sur les données saisies existent.
• Un référent interne est désigné et une revue annuelle est prévue.

Pour aller au bout de la liste : la checklist AI Act gratuite (10 questions, 3 minutes) puis le Kit Conformité IA Act pour PME.

Prochaine étape

• Checklist AI Act — Auto-diagnostic gratuit en 3 minutes, PDF envoyé par e-mail.
• Kit Conformité IA Act pour PME — Charte IA, politique d'usage, registre des systèmes IA, checklist, module de sensibilisation avec attestation, guide de mise en œuvre. 147 € HT, mises à jour pendant 12 mois, remboursement sur demande sous 14 jours.
• Formation IA en entreprise — Programme adapté à vos outils et métiers, avec attestation de sensibilisation nominative, feuille d'émargement et programme daté.
• Calendrier AI Act — Toutes les échéances, ce qui s'applique à une PME.

FAQ

L'article 4 s'applique-t-il aux micro-entreprises et aux indépendants ?

Oui. Il ne prévoit pas de seuil de taille. Pour un indépendant, l'obligation se traduit par une auto-formation documentée aux outils qu'il utilise.

Faut-il une certification officielle ?

Non. Ni le règlement ni les autorités n'exigent de certification. Ce qui est attendu est une sensibilisation adaptée, documentée : programme, date, participants.

Quel est le lien avec le RGPD ?

Les deux textes se complètent. Le RGPD encadre les données personnelles traitées, y compris celles saisies dans un prompt. L'AI Act encadre les systèmes d'IA eux-mêmes : usages interdits, transparence, maîtrise, haut risque. Une PME au clair sur le RGPD a une base ; elle doit y ajouter l'inventaire des systèmes, la sensibilisation et, le cas échéant, la transparence.

Ma PME utilise seulement ChatGPT : suis-je concernée ?

Oui. Dès qu'un collaborateur l'utilise dans un cadre professionnel, l'entreprise est déployeur d'un système d'IA et l'article 4 s'applique.

Ces informations sont fournies à titre général et ne constituent pas un conseil juridique. Adaptez-les à votre situation et faites-les valider si nécessaire.

Articles connexes

• Formation IA Act et article 4 : la maîtrise de l'IA en PME
• AI Act : systèmes interdits et à haut risque dans votre PME
• Charte IA d'entreprise : contenu et exemple
• Kit Conformité IA Act pour PME

À propos de l'auteur : Jonathan Adam est le fondateur de The IA Officer (Valdem Corp SL, Madrid). Vingt ans dans le SaaS et l'e-commerce (produit, technique, direction), il intervient auprès de PME et ETI en France et en Espagne sur le cadrage, le déploiement et la conformité de l'IA. Profil LinkedIn