AI Act, article 4 : ce que la maîtrise de l’IA demande à une PME.

Le règlement européen sur l'IA (RIA, ou AI Act) a été publié au Journal officiel de l'Union européenne le 12 juillet 2024 et est entré en vigueur le 1er août 2024, rappelle la CNIL. Selon la Commission, son article 4 s'applique depuis le 2 février 2025.

Le règlement a ensuite été amendé dans le cadre d'un train de mesures de simplification, l'« omnibus » : la CNIL indique que la version amendée a été adoptée le 24 juillet 2026 et est entrée en vigueur le 27 juillet 2026.

Pour l'article 4, la Commission résume ainsi le texte modifié :

• la maîtrise de l'IA reste une obligation pour les fournisseurs et les déployeurs de systèmes d'IA, mais aucun niveau précis, ou « suffisant », n'est plus imposé ;
• la Commission et les États membres continuent d'aider les entreprises, notamment en publiant des exemples pratiques de mise en œuvre ;
• le Comité européen de l'IA doit adopter des recommandations, en s'appuyant sur les référentiels de compétences européens.

Une organisation qui utilise un système d'IA développé par une autre est un « déployeur » : c'est le cas d'une PME dont les salariés se servent de ChatGPT, selon l'exemple donné par la Commission (voir plus bas).

Selon la Commission, l'article 4 vise toute personne de l'organisation qui utilise directement un système d'IA. Il vise aussi les « autres personnes » qui agissent pour le compte de l'entreprise : un sous-traitant, un prestataire, voire un client.

L'exemple donné par la Commission parle à beaucoup de PME : des salariés qui utilisent ChatGPT pour rédiger des textes publicitaires ou traduire sont concernés. Ils doivent être informés des risques propres à l'outil, par exemple les hallucinations, ces réponses fausses présentées avec assurance.

1. Une compréhension générale de l'IA dans l'entreprise : qu'est-ce que l'IA, comment fonctionne-t-elle, quels outils utilisons-nous, quelles opportunités et quels dangers ?
2. Le rôle de l'entreprise : développe-t-elle des systèmes d'IA, ou utilise-t-elle ceux d'un autre ?
3. Le risque des systèmes utilisés : que doivent savoir les salariés qui s'en servent, quels risques connaître, comment les limiter ?
4. Des actions adaptées au niveau de chacun (connaissances techniques, expérience, formation) et au contexte : secteur, usage, personnes concernées par les résultats.

La Commission précise que ces quatre points comprennent des aspects juridiques et éthiques. Elle admet des niveaux différents selon les publics. Par exemple, un dirigeant, un commercial et un développeur peuvent ne pas avoir besoin du même contenu.

• Pas de certificat, selon la Commission : l'entreprise peut tenir une trace interne des formations et des actions d'accompagnement.
• Pas d'obligation de mesurer le niveau de connaissance des salariés.
• Pas de structure imposée : ni responsable de l'IA, ni comité de gouvernance dédié.
• Pas d'exigence propre à un secteur de la part du Bureau européen de l'IA, mais le contexte et le niveau de risque doivent guider l'approche.
• Pas de formule obligatoire : une formation n'est pas exigée dans tous les cas, cela dépend de l'analyse. La Commission note toutefois que faire lire le mode d'emploi des outils peut se révéler inefficace dans bien des cas.

Le contrôle de l'article 4 ne relève pas du Bureau européen de l'IA mais des autorités nationales de surveillance du marché, chargées de superviser ces règles à partir d'août 2026, selon la Commission. Les sanctions sont fixées par les lois nationales.

La Commission insiste sur la proportionnalité : toute sanction tient compte du cas, de la nature et de la gravité du manquement, et de son caractère intentionnel ou non. Elle ajoute qu'une sanction pourrait être plus probable s'il est prouvé qu'un incident est dû à un manque de formation ou d'accompagnement des équipes.

Pour les entreprises qui utilisent des systèmes d'IA à haut risque, l'obligation de former les personnes chargées du contrôle humain reste en place.

Le parcours vidéo « Les bases de l'IA générative au travail » s'adresse à tout salarié, indépendant ou dirigeant qui débute avec un assistant d'IA (ChatGPT, Claude, Copilot ou équivalent), sans prérequis. À la fin du parcours, on sait notamment :

• expliquer simplement comment un assistant d'IA produit une réponse, et pourquoi il peut se tromper ;
• dire ce qu'on ne colle jamais dans un outil d'IA ;
• relire une réponse avant de l'utiliser.

Ces trois points recoupent deux des questions de la Commission : comprendre l'outil (question 1) et connaître ses risques (question 3). Le reste de l'analyse (rôle de l'entreprise, systèmes utilisés, niveau de risque) vous appartient.