Formation IA obligatoire : ce que l'AI Act exige vraiment de votre PME.

Répondons d'abord à la question posée dans le titre : oui, former ses équipes à l'IA est devenu une obligation réglementaire, proportionnée, sans formalisme imposé, mais réelle. Elle figure à l'article 4 du règlement européen sur l'intelligence artificielle (l'AI Act, règlement UE 2024/1689), applicable depuis le 2 février 2025. Et contrairement à ce que beaucoup de dirigeants imaginent, elle ne vise pas que les éditeurs de logiciels ou les grands groupes : elle s'applique à toute entreprise qui utilise des systèmes d'IA. Une PME dont trois salariés se servent d'un assistant conversationnel pour rédiger des devis est concernée.

Cet article est écrit pour un dirigeant, pas pour un juriste : chaque affirmation renvoie au texte ou à la position officielle de la Commission, et là où le règlement ne tranche pas, nous le disons plutôt que de combler le vide. C'est important, parce que le sujet attire beaucoup de commentaires alarmistes et de propositions commerciales qui présentent comme obligatoire ce qui ne l'est pas.

Ce que dit exactement l'article 4

Le texte est court. Le voici, dans sa version française officielle :

Trois éléments de cette phrase décident de tout, et ce sont précisément les trois que la plupart des articles sur le sujet survolent. « Déployeurs » désigne les entreprises utilisatrices, pas seulement les éditeurs. « Prennent des mesures pour garantir, dans toute la mesure du possible » est la formule classique d'une obligation de moyens : on attend un effort sérieux et documenté, pas un résultat certifié. « En tenant compte du contexte » interdit la réponse unique : ce qui convient à une PME de 40 personnes ne convient pas à une banque, et l'inverse est vrai aussi.

Notez aussi ce que la phrase ne contient pas : aucune durée, aucun programme, aucun certificat, aucun organisme, aucune fréquence, aucun seuil de taille. Tout ce qui vous serait présenté comme une exigence chiffrée de l'article 4 est une interprétation, pas le texte. C'est une raison de plus de connaître le vocabulaire du règlement plutôt que de s'en remettre à un prestataire ; nous avons rassemblé les termes qui reviennent dans le lexique IA du dirigeant, en langage courant.

Qui est « déployeur » : pourquoi votre PME l'est déjà

C'est le point qui fait basculer la lecture, et il est réglé par une définition, pas par une interprétation. L'article 3 du règlement donne au mot « déployeur » un sens très large :

Lisez la fin de la phrase : la seule exception est l'usage personnel non professionnel. Autrement dit, dès qu'un salarié utilise un outil d'IA dans le cadre de son travail, l'entreprise l'utilise « sous son autorité » et devient déployeur. Il n'y a pas de porte de sortie par la taille, par le secteur, par le prix de l'abonnement ni par le caractère occasionnel de l'usage.

Trois conséquences pratiques, rarement énoncées clairement :

• Un outil gratuit vous rend quand même déployeur : le règlement ne s'intéresse pas au modèle économique de l'outil, mais à l'autorité sous laquelle il est utilisé.
• Un usage non autorisé par vous vous engage tout de même : c'est le point aveugle du sujet. Si vos équipes utilisent l'IA sans que vous l'ayez décidé, vous êtes déployeur d'un système que vous ne connaissez pas. C'est exactement le problème que nous décrivons dans notre analyse du shadow AI, l'IA qui travaille déjà chez vous sans vous.
• L'obligation porte aussi sur les tiers qui opèrent pour vous, l'article 4 parle du « personnel » mais aussi des « autres personnes s'occupant du fonctionnement et de l'utilisation des systèmes d'IA » pour le compte de l'entreprise : intérimaires, alternants, prestataires qui pilotent un outil à votre place.

Une précision utile, en revanche, pour ne pas surdimensionner votre réponse : l'obligation vise les personnes qui « s'occupent du fonctionnement et de l'utilisation » des systèmes d'IA. Rien dans le texte ne demande de former un magasinier qui n'utilise aucun outil d'IA. Le périmètre se déduit de vos usages réels, ce qui rend l'inventaire indispensable avant toute dépense de formation.

« Niveau suffisant de maîtrise » : ce que ça veut dire

Deuxième zone de flou entretenue par beaucoup de contenus commerciaux. Là encore, le règlement définit lui-même le terme, au point 56 de l'article 3 : la maîtrise de l'IA, ce sont « les compétences, les connaissances et la compréhension » qui permettent « de déployer des systèmes d'IA en connaissance de cause, ainsi que de prendre conscience des possibilités et des risques de l'IA et des dommages éventuels qu'elle peut causer ».

Traduisons pour une PME : il ne s'agit ni de programmation, ni de machine learning, ni de mathématiques. Il s'agit de discernement d'utilisateur. Un salarié « suffisamment maître » de l'IA sait, sur les outils qu'il utilise vraiment :

• que le modèle produit un texte plausible et non un texte vérifié, et qu'il faut donc contrôler les faits, les chiffres et les références ;
• quelles données de l'entreprise n'ont rien à faire dans un prompt, ce qui rejoint directement les règles RGPD applicables à l'IA ;
• ce que l'outil fait de ses données selon la version utilisée, gratuite ou professionnelle ;
• quand un résultat doit être relu, par qui, et ce qui ne doit jamais partir sans validation humaine ;
• quels usages sont interdits dans l'entreprise, et à qui poser la question en cas de doute.

La Commission européenne a publié une foire aux questions officielle sur la maîtrise de l'IA qui confirme ce niveau d'exigence, et qui contient deux phrases décisives pour un dirigeant. La première : « il n'y a pas besoin de certificat ; les organisations peuvent conserver une trace interne des formations et des autres actions d'accompagnement ». La seconde, plus exigeante : « se contenter de s'appuyer sur les notices d'utilisation des systèmes d'IA ou de demander au personnel de les lire risque d'être inefficace et insuffisant ». Autrement dit : pas de formalisme, mais pas de simulacre non plus.

Ce que la Commission n'a pas tranché, et il faut le dire : aucun volume horaire, aucune fréquence de rappel, aucun contenu minimal opposable. Toute personne qui vous annonce « il faut X heures » ou « il faut une formation certifiante » ajoute au texte ce qu'il ne dit pas. Le critère opposable est la proportionnalité au contexte : plus vos usages sont sensibles, plus l'effort attendu monte. Notre article sur le choix d'une formation IA et les questions à poser à un organisme détaille comment distinguer une offre sérieuse d'un argumentaire réglementaire.

Combien d'entreprises sont concernées, en France

La question n'est pas rhétorique : elle dit si l'obligation est une affaire de spécialistes ou un sujet de gestion courante. Les chiffres publics tranchent. Selon l'INSEE, en 2025, 18 % des entreprises françaises de 10 salariés ou plus déclaraient utiliser au moins une technologie d'IA, soit 8 points de plus qu'en 2024, et l'écart selon la taille reste net : 15 % des entreprises de 10 à 49 salariés, 31 % de celles de 50 à 249, 58 % de celles de 250 et plus. En un an, le taux a presque doublé dans les plus petites et progressé de moitié dans les plus grandes.

Ces chiffres portent sur des usages déclarés par l'entreprise, et les initiatives individuelles des salariés n'y sont en principe pas comptées. L'autre mesure, celle des usages effectifs, donne un ordre de grandeur bien supérieur : Bpifrance Le Lab mesure que 55 % des TPE-PME déclaraient recourir à l'IA générative fin 2025, contre 31 % fin 2024 et 15 % fin 2023. L'écart entre les deux séries n'est pas une contradiction : il mesure la part d'IA qui entre dans les entreprises par les salariés, sans décision d'entreprise. C'est précisément la population que l'article 4 vise, et celle qui n'a reçu aucune formation.

Le calendrier, en synthèse

La plupart des articles sur le sujet ne donnent qu'une date, le 2 février 2025. C'est insuffisant pour piloter : les échéances qui comptent pour une PME s'étalent jusqu'en 2028, et plusieurs d'entre elles ont bougé le 24 juillet 2026. Voici la frise, dans la version consolidée par la Commission. Nous en donnons ici la lecture utile à l'obligation de formation ; le détail échéance par échéance, y compris les reports du paquet de simplification, fait l'objet d'un article à part.

Deux commentaires sur cette frise, parce qu'elle se lit mal si on ne connaît pas la logique du règlement. D'abord, l'article 4 est en tête de calendrier, pas en queue : il est entré en application le même jour que l'interdiction des pratiques inacceptables (notation sociale, exploitation de vulnérabilités), c'est-à-dire dans le premier paquet, celui que le législateur a jugé le plus urgent. Ensuite, le 2 août 2026 n'est pas la date d'entrée en vigueur de votre obligation : c'est la date à partir de laquelle les autorités nationales de surveillance du marché peuvent la contrôler et la sanctionner. L'obligation, elle, court depuis le 2 février 2025.

Non, le report de juillet 2026 ne vous exonère pas

Voici le contresens qu'il faut désamorcer, parce qu'il va être massif dans les prochains mois. Le 24 juillet 2026, le règlement (UE) 2026/1744, connu sous le nom de « Digital Omnibus on AI », a été publié au Journal officiel de l'Union européenne ; il est entré en vigueur le 27 juillet 2026. Ce texte reporte une partie des obligations de l'AI Act, et la presse économique a titré sur le report. Un dirigeant qui lit ces titres en conclut naturellement que son obligation de former ses équipes est repoussée. C'est faux.

Ce qui est reporté, c'est le régime des systèmes à haut risque : les obligations relatives aux systèmes de l'annexe III (recrutement, évaluation des salariés, accès au crédit, éducation) passent du 2 août 2026 au 2 décembre 2027, et celles relatives à l'IA intégrée dans les produits réglementés de l'annexe I au 2 août 2028. Le paquet ajoute par ailleurs de nouvelles interdictions applicables au 2 décembre 2026 et aménage la mise en œuvre des obligations de marquage des contenus générés par IA.

L'article 4 n'est pas dans le report. Il s'applique depuis le 2 février 2025 et il s'applique toujours. Le calendrier consolidé publié par la Commission le confirme : les « dispositions générales, y compris les définitions et la littératie en IA » sont à la date du 2 février 2025, et cette ligne n'a pas bougé.

Ce que le règlement 2026/1744 fait à l'article 4, en revanche, c'est en alléger le niveau d'exigence. L'obligation de « garantir » un niveau suffisant de maîtrise de l'IA devient une obligation de prendre des mesures pour soutenir le développement de cette maîtrise, avec une phrase qui lève l'ambiguïté :

Autrement dit, l'obligation reste sur l'entreprise, elle reste sans seuil de taille, elle reste applicable, et le législateur écrit noir sur blanc qu'elle porte sur l'effort, pas sur le résultat individuel. Pour une PME, c'est une bonne nouvelle sur un point précis : personne ne pourra vous reprocher qu'un salarié n'ait pas atteint un niveau. Mais on pourra toujours vous reprocher de n'avoir rien mis en place.

Comparatif établi le 27 juillet 2026 à partir du texte de 2024 et du règlement (UE) 2026/1744 publié au Journal officiel le 24 juillet 2026.

Un dernier point, celui qui compte le plus : ne calez pas votre décision sur le règlement. Même allégée, l'obligation ne changerait rien à la raison économique de former. L'étude du MIT sur l'état de l'IA en entreprise a montré que 95 % des pilotes d'IA générative ne produisent aucun retour mesurable, et que la cause n'est pas technologique mais organisationnelle. La formation n'est pas une case réglementaire ; c'est la variable qui sépare les projets qui rapportent de ceux qui s'éteignent, ce que nous détaillons dans notre méthode de calcul du retour sur investissement de l'IA en PME.

Ce qui est réellement sanctionnable, et par qui

C'est le point où l'imprécision est la plus fréquente, et la plus rentable pour ceux qui vendent de la peur. Mettons les choses au clair, article par article.

L'article 4 ne figure pas dans la liste des amendes harmonisées. L'article 99 du règlement organise trois paliers : jusqu'à 35 M€ ou 7 % du chiffre d'affaires mondial pour les pratiques interdites de l'article 5 ; jusqu'à 15 M€ ou 3 % pour un ensemble d'obligations limitativement énumérées ; jusqu'à 7,5 M€ ou 1 % pour la communication d'informations inexactes. Cette liste du palier à 3 % cite les articles 16, 22, 23, 24, 26, 31, 33, 34 et 50. L'article 4 n'y est pas. Il n'existe donc pas d'amende européenne automatique pour défaut de formation.

Ce sont les États membres qui fixent les suites. L'article 99, paragraphe 1, leur demande de prévoir des sanctions « effectives, proportionnées et dissuasives », en tenant compte des intérêts des PME et de leur viabilité économique. Et le règlement prévoit expressément que, pour les PME et les jeunes entreprises, l'amende retient le plus faible des deux montants (le pourcentage ou la somme fixe), et non le plus élevé. Le régime français de sanctions n'est pas encore adopté au moment où nous écrivons.

En revanche, sur les usages à haut risque, l'exigence de formation est bien assortie du palier à 3 %. C'est la nuance que personne ne fait, et c'est la plus importante pour une PME qui recrute. L'article 26 impose aux déployeurs de systèmes à haut risque de confier la surveillance humaine « à des personnes physiques qui ont les compétences, la formation et l'autorité nécessaires, ainsi que le soutien nécessaire ». Cet article 26, lui, est dans la liste des amendes à 15 M€ ou 3 %. Le même article, à son paragraphe 7, oblige l'employeur à informer les représentants du personnel et les salariés concernés avant de mettre en service un système d'IA à haut risque sur le lieu de travail.

Traduction concrète : utiliser un assistant IA pour reformuler un compte rendu relève de l'article 4, obligation de moyens sans amende harmonisée. Utiliser un outil d'IA pour trier des candidatures ou évaluer des salariés fait basculer dans le régime des systèmes à haut risque, où la compétence des personnes qui supervisent est une obligation sanctionnable, avec information préalable du personnel. Si le recrutement est concerné chez vous, lisez ce que l'IA peut et ne peut pas faire dans un processus de recrutement avant d'outiller quoi que ce soit.

Qui contrôle ? Les autorités nationales de surveillance du marché, à partir du 2 août 2026. En France, le gouvernement a publié en septembre 2025 un schéma de désignation qui confie la coordination et le point de contact unique à la DGCCRF, avec une répartition des usages entre autorités sectorielles, la CNIL sur les données personnelles et la biométrie, l'Arcom sur l'audiovisuel, l'ACPR sur la finance, l'ANSSI sur la cybersécurité. Ce schéma n'est pas encore adopté. Il faut le dire tel quel : le règlement s'applique directement aux entreprises françaises, mais l'architecture de contrôle nationale n'est pas finalisée.

Ce qui nous amène au risque réaliste, celui que nous voyons vraiment arriver dans les PME. Il n'est pas dans un contrôle spontané de l'article 4. Il est dans les situations où l'on vous demande de prouver que vous avez encadré : un litige prud'homal où un salarié invoque une décision prise avec l'aide d'un outil d'IA, un client grand compte qui impose une clause de conformité IA dans son contrat cadre, un questionnaire d'assureur cyber, un audit RGPD de la CNIL qui découvre des données personnelles dans des comptes personnels. Dans tous ces cas, la question posée est la même : montrez-nous votre cadre et vos formations. Une entreprise qui n'a rien à montrer est en difficulté bien avant qu'une amende européenne n'entre dans la conversation.

Ce qu'une PME de 40 salariés doit faire, concrètement

Prenons un cas de figure explicitement générique, pour sortir des généralités : une PME de 40 salariés dans le bâtiment, deux commerciaux, une assistante de direction, un service comptable de trois personnes, un bureau d'études de six, le reste sur les chantiers. Une dizaine de personnes utilisent un assistant IA, dont trois sur des comptes personnels. Voici la démarche proportionnée, en quatre étapes, telle que nous la déroulons.

Inventorier les usages réels, y compris les comptes personnels

Une réunion d'une heure par service, une question simple, et une garantie donnée d'avance : aucune sanction pour les usages passés. Sans cette amnistie explicite, vous n'obtiendrez que des déclarations de façade, et l'inventaire ratera précisément la partie qui vous expose. Notez pour chaque usage : la personne, la tâche, l'outil, la version (gratuite ou payante), le type de données, la fréquence. Une feuille de calcul suffit. Dans notre expérience de diagnostic, c'est l'étape qui produit le plus de surprises, dans les deux sens : des risques ignorés et des gains déjà réalisés que personne n'avait remontés.

Classer vos usages : ordinaire, sensible ou à haut risque

Trois catégories suffisent. Ordinaire : reformuler, résumer, traduire, préparer un brouillon relu par un humain, sur des données non personnelles. Sensible : les mêmes gestes sur des données personnelles ou couvertes par le secret des affaires, ce qui déclenche les règles RGPD et le réflexe de pseudonymisation. À haut risque au sens du règlement : tri de candidatures, évaluation des salariés, décisions d'accès au crédit, notation. Cette dernière catégorie change de régime juridique, et c'est là que la frontière entre ce que l'IA prépare et ce qu'un professionnel valide devient une règle de gouvernance, pas une précaution de style. Le classement se tranche cas par cas, et il vaut mieux le faire avec la liste officielle sous les yeux qu'à l'intuition : l'autodiagnostic annexe III passe vos usages au crible, un par un et dit lesquels basculent réellement dans le haut risque.

Poser le cadre écrit et désigner un référent

Une page, pas vingt : outils autorisés en version professionnelle, données qui n'entrent jamais dans un prompt, règle de relecture avant tout envoi externe, usages interdits, nom du référent, date de révision. C'est le document que nous décomposons rubrique par rubrique, avec les textes types à recopier, dans notre modèle de politique IA d'une page. Le référent n'est pas un comité : c'est une personne nommée, à qui l'on pose la question « est-ce que j'ai le droit de mettre ça ? ». Le rôle de référent IA, sa charge réelle et son profil méritent d'être posés dès le départ, sous peine de voir la fonction se diluer.

Former par métier et garder la trace

Un socle commun court sur le fonctionnement, les limites et les risques, c'est le cœur de ce que la Commission attend. Puis une déclinaison par métier sur les tâches réelles : les commerciaux sur leurs devis et leurs relances, la comptabilité sur ses rapprochements, le bureau d'études sur ses mémoires techniques. C'est cette seconde moitié qui coche la mention « en tenant compte du contexte », et c'est aussi celle qui produit le retour. Conservez le programme, les dates, la liste des participants et les supports remis. Deux raisons de le faire : la Commission le recommande, et votre financeur l'exige de toute façon pour la prise en charge.

Une remarque sur la durabilité, parce qu'une formation cochée n'est pas une compétence acquise : sans reprise à quelques semaines, l'essentiel s'efface. C'est le mécanisme documenté par la réplication expérimentale de la courbe de l'oubli d'Ebbinghaus, et c'est la raison pour laquelle tant de formations IA retombent en trois semaines. Le cadre réglementaire ne vous demande pas de rappel ; l'efficacité, oui.

Ce que ça coûte, et comment le financer

Question légitime, et rarement traitée honnêtement sur les pages qui parlent d'obligation. Trois choses se cumulent, et une seule est vraiment un coût nouveau.

• L'inventaire et le cadre écrit : votre temps. Deux à trois demi-journées de dirigeant ou de référent. Aucune dépense externe n'est nécessaire, et rien dans le règlement n'exige de prestataire.
• Les comptes professionnels : quelques dizaines d'euros par utilisateur et par mois. Ce n'est pas une exigence de l'article 4, mais c'est ce qui rend le cadre applicable, un compte gratuit personnel ne se pilote pas. Nous avons chiffré les grilles publiques dans notre budget IA type pour une PME, et comparé les offres dans ChatGPT, Claude ou Copilot, lequel pour quelle équipe.
• La formation : le seul poste significatif. Et le seul qui se finance. Les dispositifs de branche et le FNE-Formation peuvent prendre en charge une part importante des coûts pédagogiques, sous conditions, dès lors que l'organisme est certifié Qualiopi. Nous avons détaillé les circuits, les pièces à fournir et les pièges dans notre guide du financement d'une formation IA en 2026.

Un mot de franchise commerciale, puisque nous vendons de la formation : l'article 4 ne vous oblige pas à passer par un organisme. Une PME peut y répondre en interne, avec un référent solide, un cadre écrit et des sessions maison documentées. Ce que nous apportons est ailleurs : le contenu par métier, les prompts qui marchent sur vos vraies tâches, et l'ancrage dans le temps. Si votre besoin est uniquement réglementaire, dites-le, et faites-le vous-même.

Les cinq erreurs les plus fréquentes

Les voici, dans l'ordre où nous les rencontrons.

Erreurs observées en diagnostic et confrontées au texte du règlement (articles 4, 26 et 99) et à la foire aux questions de la Commission européenne.

Deux d'entre elles méritent un mot de plus. L'interdiction pure et simple est la plus tentante et la plus coûteuse : nous lui avons consacré une analyse complète du shadow AI et des raisons pour lesquelles l'interdiction aggrave le problème. Et le « certificat conforme AI Act » vendu à prix d'or est devenu un classique du démarchage : il rejoint la famille des offres que nous décrivons dans notre guide des arnaques qui prospèrent sur l'engouement pour l'IA.

Enfin, une erreur de cadrage plus profonde, qui n'est pas juridique : traiter le sujet comme un dossier de conformité alors qu'il est un sujet de compétence. Une équipe qui comprend ce que fait un modèle, ce qu'il ne fait pas et où sont ses angles morts est en même temps conforme et productive. Une équipe qui a signé une charte sans rien comprendre n'est ni l'un ni l'autre. C'est la logique d'ensemble que nous posons dans le guide complet de l'IA en PME, et le point de départ que nous recommandons est une définition claire de ce qu'est, et n'est pas, l'IA en entreprise.

Si vous préférez commencer seul, deux points d'entrée : le test de maturité IA en dix questions situe votre entreprise en cinq minutes, et la page de la formation IA pour PME détaille le contenu du socle commun et des huit déclinaisons métier.

Questions fréquentes