Vos équipes utilisent déjà ChatGPT, Claude, Gemini ou Copilot. Depuis le 2 février 2025, ce n’est plus seulement une question d’efficacité : l’AI Act article 4 demande aux entreprises qui fournissent ou utilisent des systèmes d’IA de prendre des mesures pour développer la maîtrise de l’IA (AI literacy) de leur personnel. Une PME n’a pas besoin d’un service juridique dédié pour commencer. Elle a besoin de savoir qui est concerné, quoi faire, et ce que le texte n’impose pas.
L’essentiel
L’article 4 s’applique depuis le 2 février 2025 aux fournisseurs et aux déployeurs. Une PME qui utilise l’IA au travail est, en principe, un déployeur. L’obligation est de prendre des mesures adaptées aux personnes et au contexte, pas de garantir un niveau individuel. Le Digital Omnibus (règlement (UE) 2026/1744, en vigueur le 27 juillet 2026) a assoupli la formulation. Les autorités nationales peuvent contrôler depuis le 2 août 2026. Ceci n’est pas un conseil juridique.
Ce que dit vraiment l’article 4
Le règlement (UE) 2024/1689 — l’AI Act — définit la maîtrise de l’IA comme les compétences, connaissances et compréhension qui permettent d’utiliser un système de façon éclairée, et de percevoir ses opportunités, ses risques et les dommages possibles (article 3, point 56).
Dans sa version d’origine, l’article 4 demandait aux fournisseurs et aux déployeurs de prendre des mesures pour garantir, dans toute la mesure du possible, un niveau suffisant de maîtrise de l’IA de leur personnel et des autres personnes chargées du fonctionnement et de l’utilisation des systèmes d’IA pour leur compte, en tenant compte des connaissances, de l’expérience, du contexte d’usage et des personnes concernées par le système.
Cette disposition figure au chapitre I. Elle s’applique donc depuis le 2 février 2025 (article 113, point a), en même temps que les définitions et les pratiques interdites. Ce n’est pas une échéance 2027.
Le 19 novembre 2025, la Commission a proposé un « Digital Omnibus on AI ». Ce n’est plus un projet. Le règlement (UE) 2026/1744 a été adopté le 8 juillet 2026 et est entré en vigueur le 27 juillet 2026. Il remplace l’article 4. La Q&R de la Commission sur la maîtrise de l’IA résume le droit actuel :
- l’obligation de prendre des mesures pour soutenir le développement de la maîtrise de l’IA reste ;
- aucun niveau spécifique, ni « suffisant », n’est exigé pour chaque personne ;
- la Commission et les États membres doivent soutenir les efforts, en particulier ceux des PME, et publier des exemples pratiques ;
- le comité européen de l’IA doit adopter des recommandations. À la date de rédaction, elles ne sont pas présentées ici comme déjà publiées.
Former et cadrer n’est plus optionnel. Ce n’est pas un examen à faire passer à chaque salarié. Relisez la version consolidée avant une décision engageante.
Fournisseurs et déployeurs : une PME est concernée
L’article 4 ne vise pas seulement les éditeurs. Il vise les fournisseurs (ceux qui mettent un système sur le marché ou en service sous leur nom) et les déployeurs.
Un déployeur, au sens de l’article 3, point 4, est toute personne qui utilise un système d’IA sous son autorité, sauf usage purement personnel et non professionnel. Une entreprise qui donne accès à ChatGPT, Copilot, Claude ou un outil métier « augmenté » à ses salariés est, dans ce cas, un déployeur. La Q&R de la Commission le dit sans détour : si les employés utilisent ChatGPT pour rédiger ou traduire, l’entreprise doit les informer des risques spécifiques, par exemple les hallucinations.
Vous n’avez pas besoin d’entraîner un modèle. Il suffit d’utiliser l’IA dans le cadre du travail.
Le public visé n’est pas toute la fiche de paie. C’est le personnel et les autres personnes qui font fonctionner ou utilisent les systèmes pour votre compte. La Commission indique que cela peut inclure un contractant, un prestataire, parfois un client, selon le risque et le rôle réel. Un dirigeant n’a pas le même besoin qu’un commercial qui colle des e-mails clients dans un prompt.
Ce que « maîtrise de l’IA » veut dire en PME
Ce n’est pas un diplôme ni une certification « AI Act ready ». La Commission décrit un contenu minimal à considérer, pas un programme unique :
- Comprendre l’IA dans votre organisation : outils réellement utilisés, bénéfices, pièges.
- Clarifier votre rôle : fournisseur, déployeur, ou les deux.
- Parler des risques des systèmes en place : données, erreurs, biais, décisions trop rapides.
- Adapter l’action au niveau des personnes, au métier et aux personnes concernées (un outil RH n’est pas un outil marketing).
La Q&R précise : pas d’obligation de mesurer le niveau de chaque salarié, pas de certificat, pas de responsable IA obligatoire sur le modèle du DPO. Un registre interne des sessions et des consignes peut servir de trace. Reproduire les exemples du répertoire de pratiques de la Commission ne crée pas une présomption de conformité.
C’est cohérent avec une formation IA en entreprise utile : publics séparés, pratique sur le travail réel, vérification humaine. L’article 4 n’impose pas le format. Il impose de ne pas laisser les outils sans mode d’emploi humain.
Il n’impose pas non plus un format unique, ni une conformité automatique. Suivre une session, même bien conçue, ne rend pas l’entreprise conforme à l’AI Act ou au RGPD. Si vous déployez un système à haut risque, l’article 26 (personnel formé pour le contrôle humain) reste un régime distinct. Ne mélangez pas les deux.
Cet article n’est pas un conseil juridique. Faites valider les cas sensibles (RH, santé, crédit, recrutement) par un juriste ou votre DPO.
Ce qu’une PME peut faire concrètement
Une séquence sobre, calée sur le texte. Elle n’épuise pas le règlement.
1. Lister les usages, pas les logos
Qui utilise quoi, pour quelle tâche, avec quelles données ? Le compte perso compte autant que la licence officielle. Sans inventaire, vous formez à l’aveugle.
2. Séparer les publics
- Direction / CODIR : décisions, risques, ordre de marche. Le format initiation DG / CODIR existe pour ça.
- Collaborateurs qui utilisent l’IA : bases, limites, données interdites. C’est le rôle des fondamentaux de l’IA générative.
- Métiers exposés (RH, commercial, support) : cas réels, relecture, escalade.
Mélanger tout le monde dans la même salle produit un contenu trop large. Le catalogue formations est construit sur cette séparation, y compris un format intra quand le besoin sort du catalogue.
3. Dire ce qui est autorisé, puis former
Une charte IA courte (outils, données, relecture, signalement) donne un support à la session. Partez du modèle de charte IA si besoin, puis présentez-la en équipe : un fichier sur un drive ne forme personne.
4. Documenter l’effort
Date, public, contenu, consignes. Un tableau partagé suffit souvent. Gardez la trace : c’est ce qu’une autorité, un assureur ou un client grand compte demandera d’abord.
5. Relier formation et gouvernance
L’article 4 n’est pas tout l’AI Act. Inventaire, risques, transparence : voir la gouvernance IA (également via compliance). Si un usage devient un projet, passez par l’accompagnement — après un appel de qualification, pas avant.
Sanctions : lire l’article 99 sans paniquer
L’article 99 du règlement 2024/1689 fixe des plafonds d’amendes pour certaines infractions : pratiques interdites (article 5), obligations des fournisseurs, importateurs, distributeurs, déployeurs de systèmes à haut risque, transparence (article 50), informations trompeuses aux autorités. L’article 4 n’apparaît pas dans ces listes. Il n’existe donc pas d’amende forfaitaire européenne spécifique à la maîtrise de l’IA.
Cela ne veut pas dire « pas de conséquence ». L’article 99, paragraphe 1, demande aux États membres de prévoir des sanctions effectives, proportionnées et dissuasives pour toute infraction au règlement (amendes, avertissements, mesures non pécuniaires). La Q&R confirme que les autorités nationales de surveillance du marché (pas le Bureau de l’IA) peuvent sanctionner un manquement à l’article 4, et que le risque est plus tangible s’il existe un incident lié à un défaut de formation.
Le contrôle s’applique depuis le 2 août 2026 (article 113 ; Q&R : surveillance et exécution à compter de cette date). Le détail français (autorité désignée, barème national) n’est pas affirmé ici : à vérifier au cas par cas.
FAQ — AI Act article 4 et formation IA
L’article 4 de l’AI Act s’applique-t-il à une PME qui utilise ChatGPT ?
Oui, si l’outil est utilisé sous l’autorité de l’entreprise. L’article 4 vise les fournisseurs et les déployeurs. Source : articles 3 et 4 du règlement 2024/1689 ; Q&R Commission.
Faut-il former tout le monde, y compris les prestataires ?
L’obligation porte sur le personnel et les personnes qui utilisent les systèmes pour votre compte. Un prestataire peut entrer dans le champ selon la mission. Calibrez selon le rôle et le risque.
Une session d’une journée suffit-elle ?
Aucune durée n’est imposée. Une journée ciblée peut démarrer l’effort ; un e-mail « lisez la notice » est rarement à la hauteur. Reliez la session à une charte.
Y a-t-il une amende spécifique si l’on n’a pas formé les équipes ?
Pas d’amende forfaitaire européenne listée à l’article 99 pour l’article 4. Des sanctions nationales proportionnées restent possibles. Le contrôle s’applique depuis le 2 août 2026.
Le Digital Omnibus a-t-il supprimé l’obligation ?
Non. Le règlement 2026/1744 maintient l’obligation de mesures et retire l’exigence d’un niveau individuel « suffisant ».
Besoin de cadrer une formation autour de vos métiers ? Parlez-nous de votre équipe. L’appel de qualification (30 minutes) est gratuit et sans engagement ; le programme et le tarif se confirment ensuite sur devis. Basés à Wattrelos (Hauts-de-France), nous intervenons aussi à distance, y compris en Île-de-France.