Depuis le 2 août 2026, les autorités nationales peuvent contrôler l'application de l'AI Act. Et il y a une obligation, discrète, entrée en application il y a plus d'un an et demi, que la quasi-totalité des PME francophones n'a jamais mise en œuvre : former ses équipes à l'IA. Elle tient en un article de quatre lignes, elle ne s'accompagne d'aucune amende propre, et c'est précisément pour ça qu'elle est passée sous les radars. Voici ce qu'elle exige réellement, ce que vous risquez vraiment, et le plan minimal pour être en règle.
L'essentiel en 30 secondes
- L'article 4 de l'AI Act impose à toute organisation qui utilise un système d'IA d'assurer un « niveau suffisant de maîtrise de l'IA » chez les personnes qui s'en servent.
- Il s'applique depuis le 2 février 2025. Il n'y a aucun seuil d'effectif : une entreprise de trois personnes qui utilise ChatGPT est concernée au même titre qu'un groupe industriel.
- Non, vous ne risquez pas 15 millions d'euros. L'article 4 ne figure pas dans la liste des manquements sanctionnés par l'article 99. Le risque est ailleurs — et il est réel.
- Ce qu'on attend de vous n'est ni un diplôme ni un organisme certifié : une démarche proportionnée, écrite et datée.
Ce que dit exactement l'article 4
Le texte du règlement (UE) 2024/1689 est court. Les fournisseurs et les déployeurs de systèmes d'IA doivent prendre des mesures pour assurer « dans toute la mesure du possible, un niveau suffisant de maîtrise de l'IA » de leur personnel et des personnes qui utilisent ces systèmes pour leur compte — en tenant compte de leurs connaissances techniques, de leur expérience, de leur formation, et du contexte dans lequel les systèmes sont utilisés.
Trois mots méritent d'être pesés.
« Déployeur », d'abord. Vous n'avez pas besoin de développer de l'IA pour être concerné. Le déployeur, au sens du règlement, c'est celui qui utilise un système d'IA sous sa propre autorité, dans un cadre professionnel. Si votre assistante utilise un outil de transcription de réunions, si votre commercial fait rédiger ses relances par une IA, si votre comptable passe des factures dans un moteur de reconnaissance : vous êtes déployeur.
« Suffisant », ensuite. Le règlement ne fixe ni volume horaire, ni programme, ni certification. C'est une obligation de moyens, calibrée sur le risque réel de vos usages. Une PME qui utilise l'IA pour reformuler des e-mails n'a pas le même devoir qu'un cabinet de recrutement qui présélectionne des candidatures.
« Les personnes qui utilisent ces systèmes pour votre compte », enfin. La formulation dépasse le salarié. Elle englobe l'intérimaire, le stagiaire, le prestataire qui opère l'outil pour vous.
Non, vous ne risquez pas 15 millions d'euros
C'est l'affirmation qu'on lit partout depuis l'été, et elle est fausse — ou du moins très approximative.
Le régime de sanctions de l'AI Act figure à l'article 99. Il énumère précisément les manquements passibles d'une amende administrative : les pratiques interdites de l'article 5 (jusqu'à 35 M€ ou 7 % du chiffre d'affaires mondial), puis une liste limitative d'obligations dont la violation expose à 15 M€ ou 3 % — les articles 16, 22, 23, 24, 26, 31, 33, 34 et 50.
L'article 4 n'y figure pas. Il n'existe donc pas d'amende européenne autonome pour défaut de formation.
Ce serait une erreur d'en conclure que l'obligation est décorative. Trois mécanismes la rendent mordante.
Le facteur aggravant. Dès qu'un contrôle porte sur autre chose — transparence, traitement de données, système à haut risque — l'absence totale de démarche de formation pèse dans l'appréciation de la sanction. L'article 99 impose de tenir compte de la nature du manquement, de sa gravité, du degré de coopération et des mesures prises pour l'atténuer. Une entreprise qui n'a rien formalisé part avec un handicap.
Les régimes nationaux. L'article 99 oblige les États membres à fixer eux-mêmes les règles de sanction applicables aux infractions au règlement, et à les rendre effectives, proportionnées et dissuasives. Le périmètre exact varie donc d'un pays à l'autre, et les transpositions ne sont pas toutes achevées.
La responsabilité civile et contractuelle. C'est probablement le risque le plus concret pour une PME. Un salarié mal formé qui laisse fuiter des données clients dans un outil grand public, une décision commerciale prise sur une hallucination non détectée, un contenu généré qui reprend une œuvre protégée : dans chacun de ces cas, l'absence de formation documentée transforme un accident en négligence caractérisée. Vis-à-vis d'un client, d'un assureur ou d'un juge, ce n'est pas la même conversation.
Ce que « formation suffisante » veut dire concrètement
Le règlement ne prescrit rien. La Commission européenne et le Bureau de l'IA ont en revanche publié un recueil vivant de pratiques de littératie déclarées par les organisations, ainsi qu'une foire aux questions qui éclaire l'intention : ce qui est attendu, c'est une démarche adaptée, pas un certificat.
En pratique, pour une PME, un niveau suffisant couvre quatre choses.
Comprendre ce que fait l'outil. Pas son architecture — son comportement. Qu'un modèle de langage produit une réponse plausible, pas une réponse vérifiée. Qu'il ne « sait » pas qu'il se trompe.
Savoir ce qu'on a le droit d'y mettre. C'est le point le plus opérationnel et le plus souvent négligé. Données personnelles de clients, informations couvertes par un secret professionnel, éléments contractuels confidentiels : où vont-ils, sont-ils réutilisés pour l'entraînement, dans quel pays sont-ils hébergés ?
Savoir quand une vérification humaine est obligatoire. Un devis, un contrat, un diagnostic, un message envoyé au nom de l'entreprise ne partent pas sans relecture.
Savoir signaler. À qui remonte-t-on une réponse aberrante, un biais constaté, un doute ?
Le plan minimal, en cinq étapes
Aucune de ces étapes ne demande de budget. L'ensemble représente une demi-journée pour une PME de moins de vingt personnes.
1. Recensez vos usages réels. Faites la liste des outils d'IA effectivement utilisés dans l'entreprise, y compris ceux que personne n'a validés. C'est presque toujours l'étape la plus instructive : on découvre trois ou quatre outils installés spontanément par les équipes.
2. Classez-les par sensibilité. Un outil qui touche des données personnelles, des candidatures ou des décisions ayant un effet sur des personnes n'est pas dans la même catégorie qu'un correcteur orthographique.
3. Écrivez une note d'usage d'une page. Ce qui est autorisé, ce qui est interdit, ce qui doit être relu par un humain, qui contacter en cas de doute. Une page suffit. Datez-la.
4. Organisez une session collective d'une heure. Vous, un ordinateur, l'équipe. Vous montrez les outils validés, vous montrez une hallucination en direct, vous expliquez la note. Vous faites signer une feuille de présence.
5. Conservez les traces. Note d'usage, feuille de présence, date, liste des outils. C'est cette pochette-là qui constitue votre conformité à l'article 4. Rejouez la séance à chaque arrivée et une fois par an.
Chez Panoraia, le tri est déjà fait. Sur chaque fiche outil, vous voyez d'un coup d'œil l'hébergement des données, la conformité RGPD, la conformité AI Act et la disponibilité d'un support en français — les quatre critères qui décident, en pratique, de ce que vous pouvez confier à un outil. Et si vous devez structurer une vraie gouvernance, la catégorie Conformité IA réunit les plateformes dédiées. Vous comparez, vous choisissez, vous documentez.
Qui contrôle, en France et en Belgique
En France, l'architecture est éclatée. La DGCCRF assure la coordination de la surveillance du marché et le point de contact unique ; la CNIL est positionnée comme autorité de référence sur le volet données et libertés, et une quinzaine d'autorités sectorielles interviennent selon le domaine d'application — Arcom, ACPR, AMF, ANSM, entre autres. Les dispositions de désignation ont suivi un parcours législatif mouvementé ; le règlement, lui, est d'application directe et n'attend pas.
En Belgique, le SPF Économie est l'autorité de surveillance du marché et coordonne la mise en œuvre, avec un rôle du Centre pour la Cybersécurité Belgique sur le volet sécurité. Aucune législation belge spécifique n'est venue préciser ce cadre à ce jour.
Dans les deux cas, l'entrée en jeu des mécanismes de gouvernance et de sanction, le 2 août 2026, change la nature du sujet : jusque-là, on pouvait être en infraction sans conséquence pratique.
Et le reste du calendrier ?
Un mot pour situer l'article 4 dans l'ensemble, parce que la confusion est fréquente.
Le règlement (UE) 2026/1744, publié au Journal officiel le 24 juillet 2026 et entré en vigueur le 27 juillet, a reporté le cœur du dispositif « haut risque » : 2 décembre 2027 pour les systèmes autonomes de l'annexe III, 2 août 2028 pour l'IA intégrée à des produits déjà réglementés. Les obligations de transparence de l'article 50 — dire à l'utilisateur qu'il parle à une IA, marquer les contenus générés — ne sont pas concernées par ce report.
Ce que ce report ne touche pas non plus, c'est l'article 4. Il s'applique depuis février 2025 et continue de s'appliquer. Nous avons détaillé l'ensemble du calendrier dans notre article sur ce qui change vraiment le 2 août 2026.
Ce que ça change pour le choix de vos outils
Une conséquence pratique, souvent manquée : la formation est beaucoup plus facile à assurer quand les outils sont peu nombreux et clairement cadrés.
Une PME qui laisse coexister sept outils d'IA installés au fil de l'eau ne pourra ni les recenser correctement, ni former qui que ce soit dessus, ni tracer quoi que ce soit. Une PME qui en retient trois, choisis pour leur hébergement et leur support, forme ses équipes en une heure et documente sa démarche en une page.
C'est exactement l'exercice auquel sert notre sélecteur en trois questions : partir de votre métier ou de votre secteur, et ressortir avec une courte liste défendable plutôt qu'avec un catalogue. Pour les dirigeants qui veulent commencer par le haut, notre guide sur ce qu'un dirigeant de PME peut réellement déléguer à l'IA part du même principe.
Sources
- Règlement (UE) 2024/1689 du 13 juin 2024 établissant des règles harmonisées concernant l'intelligence artificielle — articles 3, 4 et 99 (EUR-Lex)
- Règlement (UE) 2026/1744 (« Digital Omnibus » volet IA), JOUE du 24 juillet 2026 (EUR-Lex)
- Commission européenne — Bureau de l'IA, ressources sur la littératie en IA (digital-strategy.ec.europa.eu)
- SPF Économie (Belgique), dossier AI Act (economie.fgov.be)
- DGCCRF (France), coordination de la surveillance du marché de l'IA (economie.gouv.fr)
---
Cet article présente une analyse d'ordre général à jour au 3 septembre 2026. Il ne constitue ni un conseil juridique, ni un avis personnalisé, et ne saurait se substituer à l'examen de votre situation par un professionnel du droit. Les textes cités peuvent faire l'objet de modifications ou d'interprétations divergentes ; Panoraia ne garantit ni l'exhaustivité ni l'actualité permanente des informations présentées, et décline toute responsabilité quant aux décisions prises sur leur seul fondement.
