En bref : L'article 4 de l'AI Act impose depuis le 2 février 2025 à toute entreprise utilisant l'intelligence artificielle de garantir un « niveau suffisant de maîtrise de l'IA » à ses collaborateurs. Aucun seuil de taille, aucun format imposé : ce qui compte est la proportionnalité au rôle de chacun et la capacité à démontrer ce qui a été mis en place. Une approche en trois niveaux (utilisateur occasionnel, utilisateur métier, référent) couvre les besoins de la plupart des TPE et PME. Les ressources gratuites de France Num et de Bpifrance permettent de démarrer sans budget dédié.
C'est probablement l'obligation la plus sous-estimée de tout le règlement européen sur l'IA. L'article 4 tient en quelques lignes, il ne prévoit pas de guichet officiel de contrôle, il n'exige aucun diplôme particulier. Résultat : la plupart des dirigeants de TPE et PME ne savent même pas qu'il existe, alors qu'il s'applique à eux depuis plus d'un an et demi.
Cette discrétion est trompeuse. Non seulement l'obligation est bien réelle, mais elle constitue le premier maillon de toute la conformité AI Act : on ne peut ni cartographier ses usages ni signaler les contenus générés si l'équipe ne sait pas de quoi il retourne. Cet article explique ce que le texte demande vraiment, comment y répondre à l'échelle d'une petite structure et comment le faire sans y consacrer un budget disproportionné.
Pour une vue d'ensemble du cadre réglementaire, notre guide AI Act pour TPE et PME présente les quatre niveaux de risque et le calendrier complet.
Article 4 de l'AI Act : de quoi parle-t-on exactement ?
Le texte officiel du règlement européen (UE) 2024/1689 est direct : « Les fournisseurs et les déployeurs de systèmes d'IA prennent des mesures pour garantir, dans la mesure du possible, un niveau suffisant de maîtrise de l'IA de leur personnel et des autres personnes s'occupant du fonctionnement et de l'utilisation des systèmes d'IA en leur nom. »
Deux idées clés dans cette phrase. La première : ce sont les entreprises elles-mêmes qui portent la responsabilité de la formation, pas les fournisseurs de modèles ni les éditeurs de logiciels. La seconde : le niveau à atteindre doit être « suffisant », donc proportionné au rôle et à l'usage réel, pas standardisé.
Le texte est entré en application le 2 février 2025. Depuis le 2 août 2026, les autorités de contrôle nationales sont pleinement compétentes pour vérifier son application.
Il faut noter que l'article 4 lui-même ne prévoit pas de sanction directe au sens des articles 99 et suivants du règlement. Une entreprise ne recevra donc pas une amende autonome au titre du seul défaut de littératie. En revanche, en cas de contrôle sur un autre volet (traitement de données personnelles, incident, réclamation), l'absence totale de démarche de formation joue contre l'entreprise et peut aggraver la responsabilité civile si un collaborateur mal formé cause un dommage avec un système d'IA, comme le rappellent plusieurs analyses juridiques récentes.
Qui est concerné dans votre entreprise ?
La réponse tient en une phrase : toute personne qui utilise un outil d'IA dans le cadre de son travail est concernée, y compris vous.
Cela recouvre plus de monde qu'on ne le pense. Un commercial qui reformule un email avec ChatGPT. Une assistante qui utilise un outil de transcription automatique de réunions. Un comptable qui laisse son logiciel proposer des écritures via une fonctionnalité IA. Un dirigeant qui teste un chatbot pour son site. Un développeur qui code avec un assistant génératif. Tous sont concernés.
Trois précisions utiles :
- La taille de l'entreprise ne change rien. Une TPE de trois personnes est aussi concernée qu'un groupe de mille salariés. L'obligation est individuelle, pas fonction du seuil.
- Les freelances et indépendants qui utilisent l'IA pour leur propre travail ne sont pas visés au titre de l'article 4 (celui-ci vise les entreprises employant du personnel). En revanche, un indépendant qui développe et vend des systèmes d'IA à des clients devient fournisseur au sens du règlement, avec les obligations correspondantes.
- L'IA intégrée dans vos outils existants compte aussi. Si votre suite bureautique, votre CRM ou votre logiciel comptable ont ajouté des fonctionnalités IA au fil des versions, les collaborateurs qui les utilisent doivent être formés à leur usage, même s'ils n'ont pas explicitement « choisi » d'utiliser de l'IA.
Que signifie « niveau suffisant de maîtrise » ?
Le règlement ne prescrit ni durée, ni programme, ni certification. Il exige un niveau proportionné. En pratique, une personne formée doit être capable de :
- comprendre ce qu'est le système d'IA qu'elle utilise, en termes accessibles (ce qu'il fait, sur quel principe, avec quelles données) ;
- identifier ses limites et ses risques (hallucinations, biais, confidentialité, dépendance) ;
- utiliser l'outil de manière responsable (types de données autorisées, vérifications à faire, cadre légal) ;
- savoir vers qui remonter un problème (référent interne, DPO, dirigeant).
Selon la Commission européenne, les mesures acceptables couvrent un large éventail : information écrite, sensibilisation collective, formation formelle, documentation interne et charte d'usage. C'est la combinaison qui compte, pas un format unique.
Une méthode simple pour se mettre en conformité
Pour une TPE ou une PME, l'approche la plus pragmatique consiste à segmenter votre personnel en trois niveaux d'usage et à ajuster la formation à chacun. C'est le modèle recommandé par la plupart des praticiens du sujet.
Trois niveaux de littératie IA adaptés à la réalité d'une TPE ou PME.
Niveau 1 : utilisateur occasionnel. Tout le monde dans l'entreprise. Une sensibilisation courte (une à deux heures), une charte interne d'usage responsable et une attestation de lecture signée suffisent. Le contenu couvre les fondamentaux : ce qu'est un modèle d'IA générative, ce qu'il fait bien ou mal, quelles données ne jamais lui confier, comment repérer une réponse fausse.
Niveau 2 : utilisateur métier. Les collaborateurs qui utilisent l'IA de façon régulière et significative dans leur travail (marketing, support client, comptabilité, développement). Une formation dédiée d'une demi-journée à une journée sur les outils qu'ils utilisent effectivement, avec des cas d'usage concrets et un certificat individuel. C'est le cœur du dispositif.
Niveau 3 : référent IA. Une personne dans l'entreprise (souvent le dirigeant dans une TPE, un chef de projet ou un DSI dans une PME) porte le sujet globalement : cartographie des usages, mise à jour de la documentation, veille sur le règlement et point d'équipe trimestriel. Une formation approfondie sur deux jours ou plus donne les repères nécessaires. Ce référent joue aussi le rôle de point de contact pour vos utilisateurs et pour les autorités si besoin.
Pour approfondir les usages IA en TPE et PME et les cas d'application concrets, consultez notre article sur les cas d'usage IA pour TPE et PME.
Les ressources gratuites pour former votre équipe
L'obligation de formation n'implique pas nécessairement un budget dédié. Plusieurs ressources publiques permettent de couvrir le niveau 1, voire une partie du niveau 2, sans dépenser un euro.
- France Num propose des dossiers pratiques, des retours d'expérience et des MOOCs d'introduction à l'IA gratuits, calibrés pour le dirigeant de TPE et PME.
- Bpifrance Université, dans le cadre du plan « Osez l'IA », donne accès à des parcours de découverte et à un accompagnement partiel financé.
- Les CCI organisent régulièrement des ateliers collectifs gratuits ou à faible coût sur l'IA en entreprise.
- La CNIL publie des fiches pratiques accessibles sur l'articulation entre RGPD et IA générative.
Pour le niveau 2 et le niveau 3, une formation externe finançable par votre OPCO est souvent la solution la plus efficace. Nos formations IA calibrées TPE et PME sont conçues pour être immédiatement actionnables et pour vous fournir la documentation qu'un contrôleur attend.
Ce que vous devez pouvoir démontrer
Le règlement demande de la traçabilité. Face à un contrôle ou à une réclamation, vous devez pouvoir présenter :
- une cartographie à jour des outils IA utilisés dans l'entreprise, à qui, pour quoi faire ;
- une charte d'usage ou une note interne diffusée à tous les collaborateurs, signée ou attestée ;
- les preuves de formation dispensée (programme, dates, présence, supports, attestations individuelles) ;
- l'identification claire d'un référent interne ou de la personne responsable du sujet ;
- la trace des révisions périodiques (au moins annuelles).
Rien de tout cela n'exige un outil spécifique. Un dossier partagé avec les documents en question suffit, à condition d'être tenu à jour. La difficulté est moins de produire ces éléments que de le faire régulièrement, sans quoi la documentation devient vite obsolète, les usages IA en entreprise évoluant très vite.
Un premier pas concret, cette semaine
Si vous n'avez encore rien mis en place, voici les trois actions qui font passer votre entreprise de « non-conforme silencieuse » à « en démarche crédible » en moins d'une journée cumulée :
- Envoyez un email à toute l'équipe demandant qui utilise quels outils d'IA aujourd'hui, dans quel cadre. C'est votre cartographie initiale.
- Rédigez une note interne d'une page rappelant les grandes règles (données à ne pas coller, vérification systématique des sorties, signalement de l'usage IA quand pertinent). Diffusez-la avec accusé de lecture.
- Bloquez deux heures dans un mois pour une sensibilisation collective (en interne ou avec un intervenant externe) et notez la date dans le calendrier partagé.
Vous n'êtes pas conforme au sens plein du terme, mais vous n'êtes plus dans la zone de risque maximal. Le reste se construit par étapes.
Chez Pivox, nous accompagnons les TPE et PME sur l'adoption de l'IA en intégrant l'obligation de littératie dès le cadrage des projets. Nous avons aussi formalisé nos pratiques dans notre engagement pour une IA responsable. Pour discuter de votre situation, prenons rendez-vous.
FAQ
Suis-je vraiment concerné si mes équipes utilisent seulement ChatGPT et Copilot de temps en temps ?
Oui. Dès qu'un outil d'IA est utilisé dans le cadre professionnel pour le compte de l'entreprise, l'obligation de littératie s'applique, quel que soit le niveau de risque de l'outil. Notre article détaillé sur l'usage de ChatGPT, Claude et Gemini en entreprise en 2026 précise les autres obligations liées à ces usages courants.
Existe-t-il une certification officielle « littératie IA » ?
Non. Le règlement n'impose aucun programme standard ni certification. Vous êtes libre du format tant que la formation est proportionnée aux rôles et que vous pouvez apporter la preuve de sa mise en œuvre. Un certificat interne ou remis par un organisme de formation reconnu (Qualiopi) reste la trace la plus simple pour un contrôle.
Quelle sanction concrète si je ne fais rien ?
L'article 4 ne prévoit pas de sanction autonome. Il n'existe donc pas d'amende directe pour défaut de littératie. En revanche, en cas de contrôle sur un autre volet (RGPD, incident IA, réclamation d'un utilisateur), l'absence totale de démarche est un facteur aggravant et peut engager votre responsabilité civile si un collaborateur mal formé cause un dommage avec un système d'IA.
Combien de temps faut-il consacrer à la formation ?
Cela dépend du profil. Pour un utilisateur occasionnel, une à deux heures suffisent. Pour un utilisateur métier, comptez une demi-journée à une journée. Pour un référent interne, deux journées de formation initiale plus un temps régulier de veille (une à deux heures par mois). L'important est la proportionnalité, pas la durée.
Est-ce que je peux financer cette formation via mon OPCO ?
Oui, la plupart des formations IA structurées et certifiantes sont éligibles au financement OPCO. Cela couvre en général la majorité du coût pour les PME. Un devis d'un organisme certifié Qualiopi permet de monter le dossier auprès de votre OPCO de rattachement.