Formation AI Act : l'obligation de l'article 4 en PME

Formation AI Act : comment remplir l'obligation de maîtrise de l'IA (Art. 4) en PME sans budget

Depuis le 2 février 2025, toute entreprise qui utilise l'IA doit s'assurer que son personnel en a une maîtrise suffisante. C'est l'article 4 de l'AI Act. Il concerne autant la PME de 12 salariés qui utilise ChatGPT que le groupe qui déploie des modèles maison.

La bonne nouvelle : il ne s'agit pas d'une formation certifiante, ni d'un cursus de plusieurs jours. Une sensibilisation bien construite de 45 minutes, documentée, répond à l'obligation pour la majorité des PME. Ce guide explique ce qu'elle doit contenir, comment la prouver, les erreurs à éviter, et vous donne un programme prêt à l'emploi.

Que dit exactement l'article 4 de l'AI Act ?

L'article 4 du Règlement (UE) 2024/1689 demande aux fournisseurs et aux déployeurs de systèmes d'IA de prendre des mesures pour garantir, dans toute la mesure du possible, un niveau suffisant de maîtrise de l'IA de leur personnel et des autres personnes qui utilisent ces systèmes pour leur compte.

Trois points à retenir :

« Déployeur » signifie utilisateur professionnel. Si vos équipes utilisent Copilot, Gemini, ChatGPT ou un assistant intégré à votre CRM, vous êtes déployeur.
Le niveau est « suffisant », pas « expert ». Le règlement tient compte des connaissances de chacun, du contexte d'utilisation et des personnes concernées par les résultats de l'IA.
L'obligation est en vigueur depuis le 2 février 2025. L'omnibus numérique IA de 2026 a assoupli la formulation (il s'agit désormais de « soutenir le développement de la maîtrise de l'IA »), mais l'obligation demeure. Le report du haut risque au 2 décembre 2027 ne concerne pas l'article 4.

Le terme anglais est « AI literacy ». En français : maîtrise de l'IA, culture IA ou sensibilisation IA. Dans une PME, le mot juste est « sensibilisation » : chacun doit comprendre ce qu'il utilise, ce que l'outil fait mal, et quelles règles s'appliquent.

Qui doit être formé dans une PME ?

Tout le personnel qui utilise ou est susceptible d'utiliser un outil d'IA dans son travail. En 2026, cela veut dire presque tout le monde : commerciaux, administratifs, marketing, RH, direction, alternants et stagiaires.

Deux niveaux sont utiles :

Niveau socle (tout le personnel) : 45 minutes. Comprendre l'IA, ses limites, les règles internes, les données interdites, le signalement.
Niveau renforcé (utilisateurs à enjeu) : 1 à 2 heures supplémentaires pour ceux qui utilisent l'IA en RH, en finance, en relation client ou qui administrent les outils. On y ajoute le RGPD appliqué aux prompts, le contrôle humain, et le cas échéant les obligations du haut risque (annexe III, échéance au 2 décembre 2027).

Les prestataires et intérimaires qui utilisent vos outils sont également concernés. Une attestation simple ou une clause dans le contrat de prestation suffit.

Que doit contenir une sensibilisation à l'IA conforme à l'article 4 ?

Le règlement ne fixe pas de programme. Mais la logique de l'article 4 et les orientations des autorités européennes dessinent un contenu minimal. Voici les six blocs que nous recommandons.

1. Ce qu'est un système d'IA et comment il fonctionne

Sans entrer dans la technique : une IA générative prédit la suite la plus probable d'un texte. Elle ne « sait » rien, elle ne vérifie rien. Cette seule phrase change la façon dont les équipes lisent une réponse de ChatGPT.

2. Ce que l'IA fait mal

Hallucinations (réponses fausses présentées avec assurance), biais (reproduction de stéréotypes), obsolescence des données, incohérences. Un ou deux exemples concrets tirés de votre métier valent mieux qu'une liste abstraite. Un devis avec un prix inventé, une référence juridique qui n'existe pas, une traduction technique erronée.

3. Le cadre réglementaire, en cinq minutes

L'AI Act (niveaux de risque, article 4, transparence de l'article 50 à partir du 2 août 2026), le RGPD (données personnelles dans les prompts), le secret des affaires. Pas de cours de droit : trois règles à retenir.

4. Les règles internes de l'entreprise

C'est le cœur. Quels outils sont autorisés, quels outils sont interdits, quelles données ne doivent jamais entrer dans un prompt, comment on vérifie un contenu généré, qui signe. C'est ici que la charte IA et la politique d'usage prennent vie.

5. Les bonnes pratiques d'utilisation

Comment formuler une demande utile, comment recouper une information, comment documenter l'usage de l'IA dans un livrable, quand s'abstenir.

6. Le signalement et le référent

À qui s'adresser en cas de doute ou d'incident, sous quel délai, et l'engagement de non-sanction pour un signalement de bonne foi.

Un quiz de dix questions en fin de session permet de vérifier que les messages sont passés, et de constituer une preuve.

Quelle durée pour la formation AI Act ?

Le règlement ne fixe aucune durée. Ce qui compte, c'est l'adéquation entre le contenu et les usages réels.

Pour une PME dont les usages sont à risque minimal ou limité (IA générative, assistants bureautiques, chatbots), 45 minutes en session collective couvrent les six blocs. C'est assez court pour réunir toute l'équipe, assez long pour traiter les cas concrets.

Pour les utilisateurs à enjeu (RH, finance, données clients), ajoutez un module complémentaire de 60 à 90 minutes.

Prévoyez une mise à jour annuelle de 20 à 30 minutes : nouvelles règles, nouveaux outils, retour sur les incidents de l'année. Le calendrier de l'AI Act évolue (transparence en 2026, haut risque fin 2027) et la sensibilisation doit suivre.

Comment prouver que vous avez rempli l'obligation ?

C'est la question que se posent le plus les dirigeants, et celle qui est le plus souvent négligée. L'article 4 ne prévoit pas de certificat officiel. C'est à vous de constituer la preuve. Quatre pièces suffisent.

L'attestation de sensibilisation individuelle

Un document d'une page, signé par le participant et par l'entreprise, qui indique : la date, la durée, le contenu abordé (les six blocs), le formateur ou l'animateur, et la mention que le participant a pris connaissance de la charte IA. Un exemplaire au dossier du salarié, un exemplaire dans le classeur conformité.

Le registre de formation

Un tableau simple : nom, fonction, date de la session, niveau (socle ou renforcé), date de la prochaine mise à jour, résultat du quiz. Il permet de repérer immédiatement qui n'a pas été formé (nouvelles recrues, absents).

Le support de formation daté

Les slides utilisées, avec la version et la date. Si une autorité ou un client vous demande « qu'avez-vous enseigné ? », vous montrez le support.

Le lien avec la charte IA

La preuve la plus solide est la cohérence : la charte annonce une sensibilisation, le registre montre qu'elle a eu lieu, les attestations le confirment, et le registre des systèmes IA liste les outils sur lesquels elle portait.

Le Kit Conformité IA Act pour PME inclut ces quatre éléments : le module de sensibilisation de 20 slides (45 minutes), le quiz de dix questions, le modèle d'attestation en DOCX et le registre. Le module « Sensibilisation IA + attestation » est également proposé seul en option.

Les 6 erreurs les plus fréquentes

1. Envoyer un e-mail et considérer que c'est fait

Un e-mail « merci de ne pas mettre de données clients dans ChatGPT » n'est pas une sensibilisation. Il n'y a ni contenu structuré, ni interaction, ni preuve de compréhension.

2. Former uniquement les « techniciens »

L'article 4 vise ceux qui utilisent l'IA, pas ceux qui la développent. En PME, ce sont les commerciaux et les administratifs qui produisent le plus de prompts.

3. Copier une formation généraliste sans les règles internes

Une vidéo « comprendre l'IA en 30 minutes » ne dit pas quels outils sont autorisés chez vous, ni quelles données sont interdites. Le bloc 4 (règles internes) est indispensable.

4. Ne rien conserver

Une session réalisée sans attestation ni registre est invisible. Dans deux ans, personne ne pourra prouver qu'elle a eu lieu.

5. Oublier les nouveaux arrivants

Intégrez la sensibilisation IA dans le parcours d'accueil, au même titre que la sécurité ou le RGPD. Sinon, le registre se dégrade au fil des embauches.

6. Faire une session unique et ne jamais y revenir

Les outils changent tous les six mois. Les règles aussi. Une mise à jour annuelle courte maintient la preuve à jour.

Modèle de programme : sensibilisation IA en 45 minutes

Voici le déroulé que nous utilisons en PME. Il tient en 20 slides et se déroule en présentiel ou en visio.

Minute	Séquence	Contenu	Format
0–3	Ouverture	Pourquoi cette session : l'IA est déjà dans l'entreprise, on la cadre pour l'utiliser bien	Mot du dirigeant
3–10	L'IA, comment ça marche	Prédiction de texte, données d'entraînement, pourquoi l'IA « invente »	3 slides, une démo en direct
10–17	Ce que l'IA fait mal	Hallucinations, biais, obsolescence. Deux exemples tirés de votre métier	3 slides, un cas à discuter
17–22	Le cadre légal en 5 minutes	AI Act (art. 4, art. 50), RGPD dans les prompts, secret des affaires	2 slides
22–32	Nos règles	Outils autorisés / tolérés / interdits, données interdites, vérification, qui signe	5 slides, la charte en main
32–37	Bonnes pratiques	Formuler, recouper, documenter, s'abstenir	2 slides
37–40	Signaler	Le référent IA, la procédure, la non-sanction	1 slide
40–45	Quiz et attestation	10 questions, correction collective, signature des attestations	Quiz + formulaire

Quelques conseils : faites animer par le dirigeant ou le référent IA, utilisez vos propres exemples (un prompt réel, anonymisé, vaut tous les cas d'école), corrigez le quiz en direct, et faites signer les attestations le jour même. Celles remises « plus tard » ne reviennent jamais.

Sans budget : ce qui est possible

Une PME n'a pas besoin d'un organisme de formation pour remplir l'article 4. Trois options :

Faire soi-même à partir d'un support prêt à l'emploi. Le dirigeant ou le référent IA anime, avec des slides adaptées. Coût : une demi-journée de préparation, 45 minutes de session. C'est l'approche du Kit Conformité IA Act pour PME, qui livre le module en PPTX modifiable.
Utiliser des ressources publiques. Des contenus généralistes existent (autorités, organismes publics). Ils couvrent les blocs 1 à 3, mais pas vos règles internes. Complétez-les.
Passer par un intervenant externe. Utile quand les usages sont à enjeu (RH, finance, données sensibles) ou quand l'équipe dépasse 50 personnes. C'est l'objet de nos formations IA en entreprise, en complément du kit.

Dans tous les cas, commencez par un état des lieux. La checklist de conformité AI Act pour PME, gratuite, liste ce qu'il faut vérifier avant la première session : outils en usage, données manipulées, personnes concernées.

Cas concret : une PME de négoce, 35 salariés

Une entreprise de commerce B2B découvre que ses commerciaux utilisent trois outils d'IA différents, dont un gratuit dont les conditions permettent l'entraînement sur les données saisies. Le dirigeant nomme le responsable administratif référent IA. En une semaine : inventaire, charte adaptée, session de 45 minutes en deux groupes, attestations signées, registre rempli.

Résultat : l'outil gratuit est retiré, un compte entreprise est ouvert sur un outil validé, et l'entreprise dispose d'une preuve datée de sa sensibilisation, sans intervenant externe. Les gains de temps sur la préparation des offres sont conservés, dans un cadre documenté.

Si vous voulez vérifier que votre dispositif tient avant de le déployer, l'Audit IA Express passe en revue vos outils, vos usages et votre plan de formation en une session.

FAQ – Formation AI Act et article 4

La formation AI Act est-elle obligatoire pour toutes les entreprises ?

Oui, dès lors que l'entreprise utilise un système d'IA dans un cadre professionnel. L'article 4 s'applique aux fournisseurs et aux déployeurs depuis le 2 février 2025, quelle que soit la taille de l'entreprise. L'omnibus 2026 a assoupli la formulation mais n'a pas supprimé l'obligation.

Quelle durée de formation pour être conforme à l'article 4 de l'AI Act ?

Aucune durée n'est imposée. Pour des usages à risque minimal ou limité (IA générative, assistants bureautiques, chatbots), une session de 45 minutes couvrant le fonctionnement de l'IA, ses limites, le cadre légal, les règles internes et le signalement est adaptée. Ajoutez un module renforcé pour les utilisateurs à enjeu et une mise à jour annuelle.

Faut-il une certification ou un organisme agréé ?

Non. L'AI Act ne prévoit ni certification, ni organisme agréé pour l'article 4. L'entreprise peut animer la sensibilisation elle-même. Ce qui compte, c'est la pertinence du contenu et la preuve conservée (attestation, registre, support daté).

Comment prouver la maîtrise de l'IA en cas de contrôle ?

Avec quatre pièces : une attestation de sensibilisation signée par chaque participant, un registre de formation (qui, quand, quel niveau, prochaine mise à jour), le support de formation daté, et la charte IA qui annonce le dispositif. Les autorités françaises compétentes (CNIL notamment) apprécient la démarche dans son ensemble.

Les stagiaires, alternants et prestataires doivent-ils être formés ?

Oui, dès lors qu'ils utilisent les outils d'IA de l'entreprise ou agissent pour son compte. L'article 4 vise le personnel et « les autres personnes » qui utilisent les systèmes d'IA au nom du déployeur. Une attestation simple ou une clause dans le contrat de prestation permet de le documenter.

Ce document est un modèle générique d'aide à la conformité, il ne constitue pas un conseil juridique. Adaptez-le à votre situation et faites-le valider si nécessaire.

Ces informations sont fournies à titre général et ne constituent pas un conseil juridique. Adaptez-les à votre situation et faites-les valider si nécessaire.