L'AI Act, le règlement européen sur l'intelligence artificielle, demande depuis février 2025 aux entreprises qui utilisent l'IA de prendre des mesures pour développer la maîtrise de l'IA de leurs équipes. Une exigence encore méconnue de beaucoup de dirigeants. Voici ce que cela signifie concrètement, sans jargon juridique.
Ce que dit l'article 4
L'article 4 de l'AI Act impose à toute organisation utilisant un système d'IA de garantir un niveau suffisant de « littératie IA » pour son personnel, sans seuil d'effectif : une entreprise de 5 salariés est concernée au même titre qu'un grand groupe. Le texte ne fixe pas de programme standard, mais un principe de proportionnalité : les mesures doivent être adaptées au rôle de chaque salarié, aux outils utilisés et au niveau de risque associé. Un usage occasionnel de ChatGPT pour reformuler un email n'appelle pas le même dispositif qu'un usage intensif d'agents IA autonomes sur des décisions à fort impact.
Qui est concerné, en pratique
Beaucoup de dirigeants pensent ne pas être concernés parce qu'ils n'utilisent « pas vraiment d'IA ». C'est souvent faux : l'obligation s'applique dès qu'un salarié utilise une IA générative (ChatGPT, Gemini, Claude, Copilot), mais aussi dès qu'un logiciel métier intègre une fonctionnalité IA, comme un CRM avec scoring automatique de leads ou un outil de gestion avec suggestions intelligentes. Le critère n'est pas « avoir un projet IA », c'est « utiliser un système d'IA en contexte professionnel », direct ou indirect.
Ce qui change depuis le 2 août 2026
Depuis le règlement « Digital Omnibus » (UE 2026/1744, entré en vigueur fin juillet 2026), cette exigence est une obligation de moyens : l'entreprise doit pouvoir montrer qu'elle a pris des mesures pour développer la maîtrise de l'IA de ses équipes, pas garantir un niveau précis pour chaque salarié. Concrètement, une formation adaptée aux usages réels, une attestation par participant et un registre des actions menées constituent cette preuve.
Ce qu'il faut concrètement mettre en place
Trois éléments constituent une réponse raisonnable à l'obligation. D'abord, une formation adaptée au profil de chaque type d'utilisateur : un usage occasionnel appelle une sensibilisation légère, un usage intensif ou à risque appelle un programme plus complet. Ensuite, une attestation de formation qui permet de prouver la mise en conformité en cas de contrôle — sans document formel, il devient très difficile de démontrer une mise en conformité même réelle. Enfin, une sensibilisation aux risques concrets, notamment la confidentialité des données transmises à des IA grand public, qui reste le sujet le plus souvent négligé alors qu'il constitue un risque opérationnel immédiat.
Le risque souvent sous-estimé : les données
Au-delà de la conformité réglementaire, le risque le plus immédiat reste opérationnel : des salariés qui collent des données sensibles (devis, données clients, contrats) dans des IA grand public sans en connaître les règles. Une donnée envoyée à un service d'IA gratuit peut être utilisée pour entraîner de futurs modèles selon les conditions d'utilisation du service — un risque de fuite d'information que peu de salariés mesurent réellement. C'est une composante centrale de toute formation de mise en conformité sérieuse, pas un sujet annexe traité en quelques minutes.
Que se passe-t-il en cas de contrôle
En cas de contrôle par la CNIL ou la DGCCRF, une entreprise doit être en mesure de démontrer les mesures prises : programme de formation dispensé, liste des salariés formés, contenu couvert, et idéalement une politique interne d'usage de l'IA. L'absence totale de démarche constitue le scénario le plus risqué ; une démarche engagée mais imparfaite est généralement traitée plus favorablement qu'une absence complète de mise en conformité.
Les autres obligations de l'AI Act à connaître
L'article 4 sur la littératie IA n'est qu'une partie du règlement. L'AI Act classe les systèmes d'IA par niveau de risque (inacceptable, élevé, limité, minimal) et impose des obligations proportionnelles à ce niveau. La plupart des usages en PME (assistants de rédaction, outils bureautiques, chatbots simples) relèvent d'un risque limité ou minimal, avec des obligations de transparence plutôt que de certification lourde. Les usages à risque élevé (recrutement automatisé, scoring de crédit, systèmes touchant à des droits fondamentaux) sont soumis à des exigences beaucoup plus strictes, qui concernent rarement les outils IA du quotidien utilisés par une PME classique.
Foire aux questions rapide sur l'AI Act
Une entreprise de moins de 10 salariés est-elle concernée ?
Oui. L'article 4 ne fixe aucun seuil d'effectif : une micro-entreprise utilisant ChatGPT est concernée au même titre qu'un grand groupe.
Faut-il former chaque salarié individuellement ?
Non, la formation peut être collective, à condition d'être adaptée au niveau de risque et au rôle de chaque profil d'utilisateur au sein du groupe formé.
Un salarié qui utilise l'IA de façon ponctuelle est-il concerné ?
Oui, mais avec un niveau d'exigence proportionné : une sensibilisation légère peut suffire pour un usage occasionnel, contrairement à un usage intensif ou à risque.
Comment se mettre en conformité rapidement
Une formation dispensée par un organisme certifié Qualiopi permet de répondre à cette exigence tout en donnant un vrai bénéfice opérationnel à vos équipes (gain de temps, réduction des erreurs), plutôt que de traiter la conformité comme une contrainte pure et déconnectée du quotidien. Elle doit se conclure par la remise d'une attestation et d'un registre qui montrent les mesures prises par l'entreprise, documents que vous devez conserver.
Découvrez notre formation de mise en conformité AI Act, avec attestation et registre inclus.