L’EU AI Act n’est plus un texte lointain reserve aux juristes. Si vos equipes utilisent ChatGPT, Copilot, Claude, un CRM dope a l’IA ou un simple outil de tri automatique de candidatures, vous etes deja concerne. Et une echeance approche : le 2 aout 2026, le reglement europeen sur l’intelligence artificielle devient pleinement applicable, et avec lui le dispositif de controle et de sanction. L’article 4, qui impose la litteratie en IA de vos collaborateurs, est la premiere obligation a laquelle toute entreprise est confrontee. Bonne nouvelle : s’y conformer est largement a votre portee. Voici, concretement, quoi faire.
L’article 4 en clair : former les gens qui utilisent l’IA
L’article 4 du reglement (UE) 2024/1689 tient en une idee simple : toute organisation qui fournit ou deploie un systeme d’IA doit garantir un niveau suffisant de litteratie en IA de son personnel et des personnes qui utilisent ces systemes pour son compte.
« Litteratie en IA » ne veut pas dire transformer vos commerciaux en data scientists. Cela signifie que les personnes qui manipulent l’IA comprennent :
- ce qu’est l’outil qu’elles utilisent et ce qu’il ne sait pas faire,
- ses limites et ses risques (erreurs, « hallucinations », biais),
- comment l’utiliser de maniere responsable (donnees confidentielles, RGPD, verification des resultats),
- a quel moment l’humain doit garder la main.
Le niveau attendu est proportionne : il depend du role de chaque personne, de son niveau technique, de sa formation et du contexte d’usage. Un dirigeant, un juriste, un developpeur et un assistant administratif n’ont pas besoin de la meme chose.
Une PME de 8 personnes ou tout le monde utilise ChatGPT au quotidien est tout autant concernee qu’un grand groupe. L’obligation ne depend ni de votre taille, ni de votre secteur : elle depend du simple fait d’utiliser de l’IA dans un cadre professionnel.
Le bon calendrier (et la nuance sur aout 2026)
L’AI Act s’applique par vagues. Voici les dates qui comptent vraiment :
- 1er aout 2024 — entree en vigueur du reglement.
- 2 fevrier 2025 — interdiction des usages a « risque inacceptable » et entree en application de l’article 4 (litteratie IA).
- 2 aout 2025 — regles sur les modeles d’IA a usage general (GPAI), mise en place de la gouvernance et du regime de sanctions.
- 2 aout 2026 — application de la majeure partie du reglement, dont les obligations pour les systemes a haut risque (annexe III), avec des autorites nationales pleinement operationnelles pour controler et sanctionner.
- 2 aout 2027 — systemes a haut risque integres dans des produits deja regules (annexe I, marquage CE).
L’obligation de l’article 4 est juridiquement contraignante depuis le 2 fevrier 2025. Ce qui change au 2 aout 2026, c’est que l’AI Act devient pleinement applicable et que les autorites disposent de tous leurs moyens de controle. A partir de cette date, la litteratie IA est verifiee dans le cadre des audits de conformite : c’est le moment ou le risque de sanction devient concret. Autrement dit, aout 2026 est votre date butoir pour etre demonstrablement en regle.
Etes-vous concerne ? (spoiler : presque certainement oui)
Le reglement distingue deux roles, et c’est le second qui fait que tout le monde est concerne :
- Fournisseur (provider) : vous developpez ou faites developper un systeme d’IA que vous mettez sur le marche sous votre nom.
- Deployeur (deployer) : vous utilisez un systeme d’IA dans le cadre de votre activite professionnelle.
Utiliser ChatGPT Team, Microsoft Copilot, un assistant IA dans votre suite bureautique, un outil de scoring commercial ou un tri automatise de CV fait de vous un deployeur. La quasi-totalite des entreprises tombent dans cette categorie. L’article 4 s’applique donc, dans les faits, a presque toutes les organisations.
Connaitre votre niveau de risque
Avant de construire votre conformite, situez vos usages dans les quatre niveaux de risque definis par l’AI Act :
- Risque inacceptable (interdit) : notation sociale, manipulation, reconnaissance des emotions au travail ou a l’ecole, certaines utilisations biometriques. Interdit depuis fevrier 2025.
- Haut risque (annexe III) : recrutement et gestion RH, acces a l’education, scoring de credit, infrastructures critiques, biometrie, acces aux services essentiels. Obligations lourdes a partir d’aout 2026 (gestion des risques, qualite des donnees, documentation, supervision humaine, journalisation).
- Risque limite (transparence) : chatbots, contenus generes ou manipules (deepfakes) doivent etre signales aux utilisateurs.
- Risque minimal : la grande majorite des usages (assistants de redaction, filtres anti-spam, recommandations). Pas d’obligation specifique au-dela de l’article 4.
Beaucoup d’entreprises pensent etre en « risque minimal »… jusqu’a ce qu’elles realisent que leur outil de tri de candidatures les place en haut risque. D’ou l’importance de commencer par une cartographie honnete.
Ce que ca veut dire en pratique : les 5 livrables a preparer
Se conformer a l’article 4 ne demande pas un budget de grand groupe. Cela demande de la methode et surtout des preuves. En cas de controle, l’autorite ne vous demandera pas si vous avez « sensibilise » vos equipes : elle vous demandera de le demontrer. Voici les cinq livrables a constituer.
1. Une cartographie de vos usages IA
Listez tous les outils d’IA reellement utilises dans l’entreprise, qui les utilise, et pour quoi faire. C’est la base : impossible de former et d’encadrer ce que vous ne connaissez pas. Cette cartographie revele aussi vos eventuels usages a haut risque.
2. Une charte (politique d’usage de l’IA)
Un document interne qui dit clairement ce que vos collaborateurs peuvent faire avec l’IA, ce qu’ils doivent faire valider, et ce qu’ils ne doivent jamais faire : injecter des donnees personnelles ou des secrets d’affaires dans un outil public, diffuser un resultat sans verification, etc.
3. Un plan de formation par fonction
Le coeur de l’article 4. Adaptez le contenu au role : sensibilisation generale pour tous, modules cibles pour les metiers a fort usage (RH, marketing, support), approfondissement pour les utilisateurs avances. L’objectif n’est pas un diplome, mais une comprehension reelle et utilisable.
4. Des preuves de formation
C’est ce qui distingue une entreprise « conforme » d’une entreprise « qui dit l’etre ». Conservez : attestations de lecture de la charte signees, registre des formations suivies, supports utilises, dates. Une formation certifiee Qualiopi produit automatiquement cette tracabilite et offre un haut niveau de preuve en cas d’inspection.
5. Un referent IA et une gouvernance
Designez une personne responsable du sujet : elle pilote la cartographie, met a jour la charte, programme les formations et repond en cas de controle. Sans pilote, le dispositif se perime en quelques mois.
Une ETI de 120 salaries : cartographie des outils en 2 semaines, charte d’usage validee par la direction et le DPO, e-learning de 45 minutes pour tous + atelier dedie pour l’equipe RH (usage haut risque), attestations signees archivees, et un referent IA rattache a la direction. Cout maitrise, et un dossier solide a presenter en cas de controle.
Et les sanctions ?
Le regime de sanctions de l’AI Act est dissuasif. Les plafonds (le montant le plus eleve s’applique) :
- Pratiques interdites : jusqu’a 35 M EUR ou 7 % du chiffre d’affaires annuel mondial.
- Manquement aux autres obligations (haut risque, transparence…) : jusqu’a 15 M EUR ou 3 %.
- Informations inexactes ou trompeuses aux autorites : jusqu’a 7,5 M EUR ou 1 %.
Pour les PME et startups, c’est le montant le plus faible entre le plafond fixe et le pourcentage qui s’applique : un principe de proportionnalite bienvenu.
Une nuance importante : l’article 4 lui-meme ne figure pas dans la grille des amendes plafonnees par le reglement. Les sanctions pour defaut de litteratie sont fixees par chaque Etat membre. Mais en pratique, le manquement a l’article 4 devient un facteur aggravant lors de tout controle et fragilise toute votre defense en cas d’incident lie a l’IA. Ne pas former, c’est s’exposer inutilement.
Votre plan d’action avant le 2 aout 2026
Si vous ne deviez retenir qu’une feuille de route, la voici :
- Cartographier vos outils et usages d’IA, et identifier vos eventuels usages a haut risque.
- Rediger et diffuser votre charte d’usage de l’IA.
- Former vos equipes, avec un contenu adapte a chaque fonction.
- Collecter les preuves : attestations, registre, supports, dates.
- Nommer un referent et inscrire une revue annuelle au calendrier.
Commencez maintenant : ces chantiers prennent quelques semaines, pas quelques jours, et aout 2026 arrive vite.
Se faire accompagner
La conformite a l’AI Act est avant tout un exercice de methode et de bon sens. Mais si vous voulez securiser la demarche, gagner du temps et disposer de livrables solides en cas de controle, faites-vous accompagner.
Mettez votre entreprise en conformite avec l’AI Act
Spicy Advisory accompagne les PME et ETI pour cartographier leurs usages d’IA, batir leur charte, former leurs equipes et constituer un dossier de conformite pret a presenter. De l’audit au plan de formation, vous etes pret pour le 2 aout 2026.
Parler a un expert Spicy Advisory arrow_forwardPour aller plus loin, ce guide complet de l’AI Act pour les PME et ETI en France detaille chaque etape de la mise en conformite, avec des exemples concrets et la liste des documents a produire.
En resume
L’article 4 de l’EU AI Act n’est pas une contrainte abstraite : c’est l’occasion de professionnaliser l’usage de l’IA dans votre entreprise. Cartographiez vos usages, posez des regles claires, formez vos equipes, gardez les preuves. Faites-le avant le 2 aout 2026, et vous transformerez une obligation reglementaire en avantage : des collaborateurs qui utilisent l’IA mieux, plus vite, et sans mettre l’entreprise en risque.
