AI Act article 4 : que doit faire une PME en 2026 ?

Que dit l’article 4 de l’AI Act ?

L’article 4 oblige les fournisseurs et les déployeurs de systèmes d’IA à prendre des mesures pour favoriser la maîtrise de l’IA de leur personnel et des personnes qui utilisent ces systèmes pour leur compte.

Le déployeur (article 3, point 4 du règlement) est toute entreprise ou organisation qui utilise un système d’IA sous sa propre autorité : une PME dont les équipes se servent d’un assistant IA en est un. Les « autres personnes » travaillent pour vous sans être vos salariés : la FAQ de la Commission européenne cite un prestataire ou un sous-traitant, dont le personnel doit en général avoir les compétences en IA que sa tâche exige.

Selon la FAQ, s’en tenir à la notice d’utilisation d’un outil, ou demander aux salariés de la lire, peut s’avérer inefficace. La Commission précise aussi qu’aucun certificat n’est nécessaire, qu’aucune formation obligatoire n’est imposée et qu’il n’existe pas d’approche unique : les mesures s’adaptent à chaque personne et à chaque contexte.

Qu’a changé l’omnibus de juillet 2026 ?

Le règlement (UE) 2026/1744, l’omnibus numérique sur l’IA, a remplacé l’article 4 du règlement (UE) 2024/1689 : l’obligation demeure, mais elle consiste désormais à favoriser la maîtrise de l’IA, sans avoir à garantir de niveau suffisant ni spécifique par personne. Il est en vigueur depuis le 27 juillet 2026.

À notre avis, vous pouvez alléger les formations lourdes identiques pour tous et la mesure individuelle du niveau, non obligatoire selon la Commission.

Ce que nous constatons dans nos audits

Dans toutes les entreprises que nous avons auditées, des salariés utilisaient déjà des outils d’IA sans cadre défini. Ce constat porte sur plus de dix audits menés par Optimia depuis 2024, dans la finance, le financement participatif immobilier, les ESN, la promotion immobilière, les bureaux d’études, les biotechnologies, la santé et le transport.

Les outils concernés sont des versions gratuites de ChatGPT, de Gemini et de Claude, et des outils de transcription de réunions. Faute de formation, ces salariés y injectent très souvent des données clients et des données personnelles.

Environ 20 % des entreprises auditées avaient une charte d’usage de l’IA avant notre audit. Une charte d’usage, telle que nous la concevons, fixe les bonnes pratiques et renvoie vers un registre des actifs IA, qui liste les actifs déclarés par l’entreprise.

Avant de favoriser la maîtrise de l’IA, une PME doit donc savoir quels outils circulent et avec quelles données, et une charte reste lettre morte si personne n’est formé à l’appliquer. Notre article sur le shadow AI en PME détaille les risques et les solutions.

Comment se mettre en règle en cinq étapes ?

Nous recommandons cinq étapes : recenser les usages, situer le niveau de chacun, former, garder une trace et confier le suivi à un référent. Le texte ne les impose pas telles quelles : elles traduisent notre lecture de ce qu’il demande.

Étape 1 : recenser les usages réels

Il s’agit de savoir quels outils sont utilisés, par qui, pour quelles tâches et avec quelles données : vous ne pouvez pas former à des outils que vous ignorez. Un audit IA fait cet état des lieux ; vous pouvez aussi le mener en interne, en interrogeant les équipes sans esprit de sanction.

Pour 120 à 150 salariés, Optimia a créé un outil qui interroge tous les salariés avec des agents IA, complété par des entretiens physiques avec des collaborateurs clés ; le prix est sur devis.

Notre audit classique, l’audit immersion, mentionne l’AI Act, le RGPD et les autres règlements pour que vous compreniez qu’il existe des règles et des actions à mener, et nous pouvons vous y accompagner. Nos audits de gouvernance, distincts, recensent tous les cas d’usage, vérifient leur conformité et posent les bonnes pratiques liées à l’AI Act, au RGPD, à DORA et à l’hébergement des données de santé.

Étape 2 : situer le niveau de chacun

Pas d’examen : la Commission précise que mesurer le niveau de connaissance des salariés n’est pas une obligation. Un entretien court ou un questionnaire suffit pour distinguer les débutants, les utilisateurs quotidiens et ceux qui construisent déjà leurs propres assistants.

Étape 3 : former par métier, sur des cas d’usage réels

Partez des tâches de chaque participant plutôt que d’un cours générique. Notre accompagnement Claude, mené auprès de 15 entreprises de 20 à 150 salariés, en illustre la méthode : six semaines, la gouvernance d’abord, puis une première session sur les bases de Claude, des sessions sur les assistants et skills, puis sur les automatisations. Après le parcours, la quasi-totalité des salariés formés continuent d’utiliser Claude : c’est une observation de terrain, pas une mesure.

La Commission tient un répertoire d’exemples de pratiques, mais précise qu’à ce stade, reproduire ces pratiques ne vaut pas automatiquement présomption de conformité.

Étape 4 : garder une trace de ce qui a été fait

Le règlement n’impose pas de registre, mais la Commission indique que les organisations peuvent tenir en interne un registre de leurs formations et autres initiatives. Nous conseillons de le faire, avec les pièces qu’un contrôleur ou un donneur d’ordre peut demander : inventaire des outils, charte, registre des formations (qui, sur quoi, quand), contenu des sessions, nomination du référent. Ne confondez pas ce registre avec le registre des actifs IA de la charte.

Étape 5 : confier le suivi à un référent

Aucune structure de gouvernance particulière n’est exigée, précise la Commission, mais un sujet sans responsable reste orphelin. Nous recommandons de nommer un référent IA : dans notre méthode, la charte des usages est posée et le référent nommé et coaché dès la première semaine, puis il prend le pilotage à la fin de l’accompagnement. Le nommer avant les sessions évite que la formation se fasse sans responsable.

Si personne en interne ne peut tenir ce rôle, un directeur IA externalisé peut s’en charger.

Quelles erreurs éviter face à l’article 4 ?

Trois erreurs reviennent : croire l’obligation supprimée, la limiter au haut risque, s’en tenir à la notice ou à une formation identique pour tous.

Croire que l’omnibus a supprimé l’obligation

L’omnibus l’a assouplie, pas supprimée : les autorités nationales peuvent la contrôler depuis août 2026. Le considérant 8 du règlement omnibus rappelle que la maîtrise de l’IA devrait être une priorité stratégique, indépendamment des obligations réglementaires et des sanctions potentielles.

Croire que seuls les systèmes à haut risque comptent

Le texte vise les systèmes d’IA sans distinction : il figure au chapitre I du règlement, consacré aux dispositions générales, et non au chapitre III, qui traite des systèmes à haut risque. Un assistant de rédaction ou de traduction, comme les versions gratuites de ChatGPT, de Gemini ou de Claude, entre donc dans son champ. La FAQ précise que les systèmes à haut risque peuvent appeler des mesures supplémentaires.

S’en tenir à la notice ou à une formation identique pour tous

Une journée de formation générale, identique pour tous, risque, comme la lecture de la seule notice, de passer à côté de ce que demande le texte : tenir compte des connaissances, de l’expérience et du contexte de chacun.

Comment choisir un prestataire pour l’article 4 de l’AI Act ?

Un bon prestataire commence par l’inventaire de vos usages réels, forme chaque profil selon son métier et vous remet une trace. Le texte vise le déployeur : un tiers ne vous décharge pas. Avant de signer, vérifiez que l’offre démarre par un état des lieux des outils réellement utilisés. Demandez aussi ce que vous recevez (registre, charte, contenu des sessions) et qui en reste propriétaire, ce que le prestataire verra, conservera et hébergera, et s’il est lié à un éditeur d’outils sans vous le dire.

Quelles garanties de confidentialité exiger ?

Exigez par écrit, avant le premier rendez-vous, un accord de confidentialité, la liste de ce que le prestataire pourra consulter et celle de ses sous-traitants. Nous signons un tel accord avant chaque audit et, en règle générale, avant chaque prestation ; le détail figure dans notre article sur l’audit IA.

Quelles sont les conditions d’un audit Optimia ?

L’audit est conduit par Julien Johann ou par l’un des consultants Data IA d’Optimia, déplacements inclus dans le prix, partout en France. Il est sans engagement : la feuille de route peut être activée immédiatement avec Optimia, ou confiée à d’autres. Nous pouvons fournir une attestation ou un rapport utilisable dans un appel d’offres, alors que la Commission n’exige aucun certificat pour l’article 4.

E-learning, formation sur site, avocat ou outil SaaS : que couvre chaque option ?

À notre avis, chaque option a un périmètre différent : vérifiez ce qu’elle couvre réellement, entre inventaire, formation par métier et trace.

Comment reconnaître une offre sérieuse et transparente ?

Méfiez-vous d’un certificat présenté comme « obligatoire », d’un programme identique pour tous ou d’une amende annoncée comme certaine (l’article 99 ne cite pas l’article 4).

Nous n’imposons jamais un outil : nous posons des questions sur les contraintes humaines, la sécurité et la souveraineté, puis proposons le plus adapté. Optimia a rejoint le Claude Partner Network, ce que nous déclarons ici : d’après Anthropic, l’adhésion est gratuite et ses critères d’entrée portent sur l’activité de conseil ou d’intégration, pas sur l’indépendance : elle n’a donc pas valeur de label d’indépendance. Les avantages que nous en tirons sont détaillés dans notre article sur Claude en Team ou Enterprise. Nos prix d’audit sont publics.

Demandez aussi des signes vérifiables. Notre page À propos et notre rubrique News en publient, par exemple la sélection des 100 start-up où investir en 2026 du magazine Challenges. Nous ne nommons aucun client à ce jour.

Quel est le calendrier de l’AI Act pour une PME ?

L’article 4 s’applique depuis le 2 février 2025, et les autorités nationales peuvent le contrôler depuis août 2026. Les obligations des systèmes à haut risque, reportées par l’omnibus, ne s’appliqueront qu’à partir du 2 décembre 2027 ou du 2 août 2028 selon les cas.

La FAQ de la Commission cite le 2 et le 3 août 2026 pour le début de la surveillance, un écart sans conséquence pour une PME. Le calendrier officiel de la Commission reprend les autres échéances.

Quelle sanction une PME risque-t-elle ?

Aucune amende n’est prévue spécifiquement pour l’article 4 : l’article 99 du règlement ne le cite pas, et chaque État membre fixe son régime de sanctions. Les autorités nationales peuvent néanmoins sanctionner un manquement, dans le respect du principe de proportionnalité.

Les amendes les plus lourdes, jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires mondial annuel (le montant le plus élevé), visent les pratiques interdites par l’article 5, pas la maîtrise de l’IA. Pour les PME, chaque amende prévue à l’article 99, paragraphes 3 à 5, est plafonnée au plus bas du pourcentage et du montant fixe (paragraphe 6). L’omnibus étend ce plafond aux petites entreprises à moyenne capitalisation pour les paragraphes 4 et 5 (paragraphe 6 bis).

Parmi les critères de fixation d’une amende figurent la gravité de l’infraction, son caractère intentionnel ou négligent et les mesures techniques et organisationnelles mises en œuvre (article 99, paragraphe 7). La FAQ de la Commission ajoute qu’une sanction pourrait être plus probable s’il est établi qu’un incident découle d’un manque de formation et d’accompagnement du personnel.

À notre avis, c’est le scénario à éviter : nos audits, exposés plus haut, montrent que l’usage d’outils d’IA sans cadre n’a rien de théorique. Le RGPD s’y applique aussi : son article 28 exige un contrat avec tout sous-traitant qui traite des données personnelles pour le compte de l’entreprise, un point que détaille notre article sur les risques du shadow AI.