L'AI Act demande aux entreprises de développer la maîtrise de l'IA de leurs équipes. Où en est votre PME ?

L'article 4 du règlement européen sur l'intelligence artificielle (AI Act) demande aux organisations qui fournissent ou utilisent des systèmes d'IA de prendre des mesures pour favoriser la maîtrise de l'IA par leur personnel, en tenant compte de ses connaissances, de son expérience et du contexte d'utilisation. Il s'applique depuis le 2 février 2025 à toutes les tailles d'entreprise, PME comprises. Depuis l'omnibus IA de juillet 2026, le texte précise qu'il n'impose pas de garantir un niveau précis de maîtrise pour chaque salarié.

Le règlement (UE) 2026/1744 du 8 juillet 2026, entré en vigueur le 27 juillet 2026, a réécrit l'article 4. L'obligation demeure : les entreprises doivent prendre des mesures pour favoriser la maîtrise de l'IA de leurs équipes. Elle ne les contraint plus à garantir un niveau spécifique de maîtrise pour chaque salarié, et la Commission comme les États membres doivent aider les PME à s'en acquitter. Le même texte reporte les obligations applicables aux systèmes d'IA à haut risque au 2 décembre 2027 (annexe III) et au 2 août 2028 (annexe I).

Si vos salariés utilisent des outils d'IA dans le cadre professionnel (ChatGPT, Copilot, des assistants IA intégrés à vos logiciels), alors oui, votre entreprise est concernée. Selon les données Optimia, 68 % des utilisateurs IA en PME ne déclarent pas leur usage. Vous êtes probablement concerné même si vous ne le savez pas.

L'AI Act ne fixe pas lui-même d'amende pour l'article 4 : les plafonds de 15 millions d'euros ou 3 % du chiffre d'affaires mondial visent d'autres obligations, comme celles des déployeurs de systèmes à haut risque ou les obligations de transparence. Ce sont les États membres qui fixent les sanctions applicables. Selon la Commission européenne, les règles de surveillance s'appliquent depuis août 2026 et les autorités nationales peuvent sanctionner un manquement à l'article 4.

Le texte n'impose aucun format de formation. La Commission européenne rappelle qu'il n'existe pas d'approche unique et qu'aucune formation obligatoire n'est imposée. En revanche, l'article 4 demande de tenir compte des connaissances, de l'expérience et du contexte de chaque personne. Une journée générique identique pour tous répond mal à cette exigence : des actions adaptées au poste et suivies dans le temps sont plus faciles à défendre.

Aucun certificat n'est exigé. La Commission européenne indique que les organisations peuvent tenir un registre interne des formations et des autres actions d'accompagnement : qui a été formé, quand, sur quels sujets. Le programme TIM génère automatiquement ce registre, avec un export PDF horodaté présentable en cas d'inspection, par salarié, par compétence, par date.

L'AI Act et le RGPD sont complémentaires. Le RGPD encadre le traitement des données personnelles, y compris celles traitées par les outils IA. L'AI Act ajoute des obligations spécifiques sur la maîtrise et la gouvernance de ces outils. Ne pas vérifier les DPA (Data Processing Agreements) de vos outils IA est une non-conformité RGPD, indépendamment de l'AI Act.

DORA (Digital Operational Resilience Act) s'applique spécifiquement au secteur financier et se concentre sur la résilience opérationnelle numérique. L'AI Act s'applique à tous les secteurs et se concentre sur l'utilisation responsable de l'IA. Une entreprise du secteur financier doit se conformer aux deux réglementations.

Le programme TIM d'Optimia couvre cinq dimensions de la maîtrise de l'IA : connaissances techniques (C1-Comprendre), déploiement éclairé (C2-Produire), conscience des risques (C3-Juger), cadre réglementaire (C4-Cadrer), et identification des opportunités (C5-Repérer). Le registre de formation est un sous-produit automatique du programme, pas un livrable séparé.