L'AI Act, le règlement européen sur l'intelligence artificielle, impose depuis février 2025 une obligation encore méconnue de beaucoup d'entreprises : former les équipes qui utilisent l'IA. Depuis le 2 août 2026, les autorités nationales disposent du pouvoir de sanctionner les entreprises qui n'ont rien mis en place. Voici ce que cela signifie concrètement, sans jargon juridique.

Ce que dit l'article 4

L'article 4 de l'AI Act impose à toute organisation utilisant un système d'IA de garantir un niveau suffisant de « littératie IA » pour son personnel, sans seuil d'effectif : une entreprise de 5 salariés est concernée au même titre qu'un grand groupe. Le texte ne fixe pas de programme standard, mais un principe de proportionnalité : les mesures doivent être adaptées au rôle de chaque salarié, aux outils utilisés et au niveau de risque associé. Un usage occasionnel de ChatGPT pour reformuler un email n'appelle pas le même dispositif qu'un usage intensif d'agents IA autonomes sur des décisions à fort impact.

Qui est concerné, en pratique

Beaucoup de dirigeants pensent ne pas être concernés parce qu'ils n'utilisent « pas vraiment d'IA ». C'est souvent faux : l'obligation s'applique dès qu'un salarié utilise une IA générative (ChatGPT, Gemini, Claude, Copilot), mais aussi dès qu'un logiciel métier intègre une fonctionnalité IA, comme un CRM avec scoring automatique de leads ou un outil de gestion avec suggestions intelligentes. Le critère n'est pas « avoir un projet IA », c'est « utiliser un système d'IA en contexte professionnel », direct ou indirect.

Ce qui change depuis le 2 août 2026

L'obligation elle-même existe depuis février 2025, mais jusqu'au 2 août 2026, aucune autorité nationale ne pouvait sanctionner son non-respect. Depuis cette date, la CNIL et la DGCCRF en France disposent du pouvoir de contrôle et de sanction, jusqu'à 15 millions d'euros ou 3% du chiffre d'affaires mondial (le montant le plus élevé des deux étant retenu). Ce n'est donc plus une échéance à anticiper : c'est une situation de non-conformité déjà sanctionnable pour les entreprises qui n'ont rien mis en place à ce jour.

Ce qu'il faut concrètement mettre en place

Trois éléments constituent une réponse raisonnable à l'obligation. D'abord, une formation adaptée au profil de chaque type d'utilisateur : un usage occasionnel appelle une sensibilisation légère, un usage intensif ou à risque appelle un programme plus complet. Ensuite, une attestation de formation qui permet de prouver la mise en conformité en cas de contrôle — sans document formel, il devient très difficile de démontrer une mise en conformité même réelle. Enfin, une sensibilisation aux risques concrets, notamment la confidentialité des données transmises à des IA grand public, qui reste le sujet le plus souvent négligé alors qu'il constitue un risque opérationnel immédiat.

Le risque souvent sous-estimé : les données

Au-delà de la sanction réglementaire, le risque le plus immédiat reste opérationnel : des salariés qui collent des données sensibles (devis, données clients, contrats) dans des IA grand public sans en connaître les règles. Une donnée envoyée à un service d'IA gratuit peut être utilisée pour entraîner de futurs modèles selon les conditions d'utilisation du service — un risque de fuite d'information que peu de salariés mesurent réellement. C'est une composante centrale de toute formation de mise en conformité sérieuse, pas un sujet annexe traité en quelques minutes.

Que se passe-t-il en cas de contrôle

En cas de contrôle par la CNIL ou la DGCCRF, une entreprise doit être en mesure de démontrer les mesures prises : programme de formation dispensé, liste des salariés formés, contenu couvert, et idéalement une politique interne d'usage de l'IA. L'absence totale de démarche constitue le scénario le plus risqué ; une démarche engagée mais imparfaite est généralement traitée plus favorablement qu'une absence complète de mise en conformité.

Les autres obligations de l'AI Act à connaître

L'article 4 sur la littératie IA n'est qu'une partie du règlement. L'AI Act classe les systèmes d'IA par niveau de risque (inacceptable, élevé, limité, minimal) et impose des obligations proportionnelles à ce niveau. La plupart des usages en PME (assistants de rédaction, outils bureautiques, chatbots simples) relèvent d'un risque limité ou minimal, avec des obligations de transparence plutôt que de certification lourde. Les usages à risque élevé (recrutement automatisé, scoring de crédit, systèmes touchant à des droits fondamentaux) sont soumis à des exigences beaucoup plus strictes, qui concernent rarement les outils IA du quotidien utilisés par une PME classique.

Foire aux questions rapide sur l'AI Act

Une entreprise de moins de 10 salariés est-elle concernée ?

Oui. L'article 4 ne fixe aucun seuil d'effectif : une micro-entreprise utilisant ChatGPT est concernée au même titre qu'un grand groupe.

Faut-il former chaque salarié individuellement ?

Non, la formation peut être collective, à condition d'être adaptée au niveau de risque et au rôle de chaque profil d'utilisateur au sein du groupe formé.

Un salarié qui utilise l'IA de façon ponctuelle est-il concerné ?

Oui, mais avec un niveau d'exigence proportionné : une sensibilisation légère peut suffire pour un usage occasionnel, contrairement à un usage intensif ou à risque.

Comment se mettre en conformité rapidement

Une formation certifiée Qualiopi permet de couvrir l'obligation légale tout en donnant un vrai bénéfice opérationnel à vos équipes (gain de temps, réduction des erreurs), plutôt que de traiter la conformité comme une contrainte pure et déconnectée du quotidien. Elle doit se conclure par la remise d'une attestation et d'un registre qui prouvent votre mise en conformité auprès des autorités de contrôle, documents que vous devez conserver.

Découvrez notre formation de mise en conformité AI Act, avec attestation et registre inclus.