Formation IA obligatoire : ce que l'AI Act exige vraiment de votre PME.

Répondons d'abord à la question posée dans le titre : oui, former ses équipes à l'IA est devenu une obligation réglementaire, proportionnée, sans formalisme imposé, mais réelle. Elle figure à l'article 4 du règlement européen sur l'intelligence artificielle (l'AI Act, règlement UE 2024/1689), applicable depuis le 2 février 2025. Et contrairement à ce que beaucoup de dirigeants imaginent, elle ne vise pas que les éditeurs de logiciels ou les grands groupes : elle s'applique à toute entreprise qui utilise des systèmes d'IA. Une PME dont trois salariés se servent de ChatGPT pour rédiger des devis est concernée.

Ce que dit exactement l'article 4

Le texte est court. Le voici, dans sa version française officielle :

Deux mots comptent. « Déployeurs » : c'est le terme du règlement pour toute organisation qui utilise un système d'IA sous sa propre autorité, votre PME, donc, dès qu'un salarié utilise un outil d'IA dans le cadre du travail. « Maîtrise de l'IA » : l'article 3 du règlement la définit comme les compétences et la compréhension permettant un déploiement éclairé des systèmes d'IA, en conscience des opportunités, des risques et des préjudices possibles. Pas de la programmation : du discernement d'utilisateur.

Êtes-vous concerné ? Probablement, et vous êtes nombreux

La Commission européenne a confirmé dans sa foire aux questions officielle sur la maîtrise de l'IA que l'obligation s'applique sans seuil de taille : PME et micro-entreprises incluses, dès lors qu'elles utilisent l'IA, même un simple assistant conversationnel grand public. Or c'est déjà le cas d'une entreprise française sur quatre : selon le Baromètre France Num 2025, 26 % des TPE-PME utilisent au moins une solution d'IA, un doublement en un an. Et l'enquête de conjoncture de Bpifrance Le Lab mesure que l'IA générative touchait 55 % des TPE-PME fin 2025. Autrement dit : l'obligation de l'article 4 concerne déjà, mécaniquement, des centaines de milliers d'entreprises françaises, dont beaucoup l'ignorent.

Ce que l'obligation implique, et ce qu'elle n'implique pas

La bonne nouvelle, pour une fois avec un texte européen : la Commission a précisé les contours, et ils sont raisonnables. Le tableau ci-dessous résume sa position officielle.

C'est une obligation de moyens, pas de résultat. Ce qu'on attend d'une PME de 30 personnes n'est pas ce qu'on attend d'une banque : une formation par métier, adaptée aux outils réellement utilisés, avec une trace écrite, c'est précisément le niveau de réponse proportionné. Si vous avez déjà mis en place une politique IA d'une page et formé vos équipes sur leurs vraies tâches, vous êtes très probablement en règle.

Le calendrier complet, et les sanctions

Côté sanctions, soyons précis pour ne pas verser dans la peur commerciale : l'article 4 ne figure pas dans la liste des amendes harmonisées du règlement, les suites d'un manquement relèveront du régime fixé par chaque État membre, appliqué par ses autorités de surveillance à partir d'août 2026. Pour situer l'échelle du texte : les amendes harmonisées de l'AI Act montent jusqu'à 15 M€ ou 3 % du chiffre d'affaires mondial pour la plupart des obligations, et 35 M€ ou 7 % pour les pratiques interdites. Le risque réaliste pour une PME n'est pas là : il est dans un contrôle (ou un litige, prud'hommes, client, assureur) où l'entreprise devrait démontrer qu'elle a encadré et formé… et n'aurait rien à montrer.

La réserve honnête : le « Digital Omnibus »

Un article sérieux sur le sujet doit le mentionner : en novembre 2025, la Commission a proposé, dans son paquet de simplification « Digital Omnibus », d'assouplir l'article 4, l'obligation directe des entreprises deviendrait une mission de promotion confiée aux États membres. Cette proposition est en cours de négociation au moment où nous écrivons : tant qu'elle n'est pas adoptée, l'article 4 s'applique tel quel. Et surtout, ne vous trompez pas de raison d'agir : même si l'obligation était allégée demain, le fond resterait vrai. L'étude du MIT sur l'état de l'IA en entreprise a montré que 95 % des pilotes d'IA générative ne produisent aucun retour mesurable, et que la cause n'est pas technologique mais organisationnelle : un déficit d'apprentissage. La formation n'est pas une case réglementaire ; c'est la variable qui sépare les 5 % qui gagnent des 95 % qui bricolent. La CNIL dit la même chose depuis 2024 : former et sensibiliser les utilisateurs fait partie de ses recommandations de base pour tout déploiement d'IA générative.

La mise en conformité raisonnable, en quatre étapes

• 1 · Inventoriez les usages réels. Qui utilise quoi, pour quelles tâches, avec quelles données ? Comptez les comptes personnels non déclarés, c'est souvent la découverte du diagnostic. Sans cet état des lieux, impossible de calibrer une réponse « proportionnée au contexte ».
• 2 · Posez le cadre écrit. Une politique IA d'une page : outils autorisés, données interdites, règle de relecture, référent. C'est aussi la première recommandation de la CNIL (liste d'usages autorisés et interdits).
• 3 · Formez par métier, sur les vraies tâches. C'est ce que demande l'esprit du texte (« en tenant compte du contexte ») et c'est ce qui produit le retour. Une démo générique d'une journée ne coche ni la case réglementaire ni la case économique, on a documenté pourquoi. Le budget se finance : votre OPCO peut prendre en charge une large part des coûts si l'organisme est certifié Qualiopi.
• 4 · Documentez. Programme, dates, émargements, supports remis. La Commission recommande explicitement cette trace, et votre OPCO l'exige de toute façon pour le remboursement. Deux obligations, un seul classeur.

Questions fréquentes