Publics, usages, exercices et traces : une méthode proportionnée pour soutenir la maîtrise de l’IA dans une PME en 2026.
L’article 4 de l’AI Act demande aux fournisseurs et déployeurs de systèmes d’IA de prendre des mesures soutenant le développement de la maîtrise de l’IA des personnes qui utilisent ou font fonctionner ces systèmes pour leur compte. Pour une PME, la démarche la plus utile consiste à partir des usages réels, prévoir un socle commun, adapter les exercices aux métiers et conserver une trace factuelle des actions menées.
Que demande l’article 4 de l’AI Act en 2026 ?
Le règlement européen 2026/1744 a remplacé la rédaction initiale de l’article 4. Le texte demande désormais aux fournisseurs et déployeurs de systèmes d’IA de prendre des mesures pour soutenir le développement de la maîtrise de l’IA de leur personnel et des autres personnes qui s’occupent du fonctionnement ou de l’utilisation de ces systèmes pour leur compte.
Ces mesures doivent tenir compte :
- des connaissances techniques des personnes concernées ;
- de leur expérience, de leur éducation et de leur formation ;
- du contexte dans lequel les systèmes d’IA sont utilisés ;
- des personnes ou groupes de personnes sur lesquels les systèmes sont utilisés.
L’obligation demeure, mais l’entreprise n’a pas à garantir un niveau individuel précis de maîtrise de l’IA. Elle doit pouvoir expliquer les mesures choisies et leur lien avec ses usages, ses publics et ses risques.
La Commission européenne indique qu’il n’existe pas de format universel ni de formation standard imposée. Une lecture des notices peut être insuffisante ; des formations, consignes, exercices, démonstrations ou autres initiatives peuvent être combinés selon le contexte. L’article 4 n’impose pas non plus, à lui seul, de certificat, de responsable IA dédié ou de comité de gouvernance particulier.
L’obligation s’applique depuis le 2 février 2025 et les règles de supervision et d’exécution sont applicables depuis le 3 août 2026. Ce calendrier ne transforme pas une sensibilisation générique en solution automatique : la pertinence des mesures reste liée aux systèmes réellement utilisés et aux personnes concernées.
Comment diagnostiquer le besoin de maîtrise de l’IA ?
Commencez par une ligne de travail réelle, pas par un catalogue de cours. Pour chaque usage, décrivez qui intervient, la tâche assistée, les données saisies, les personnes concernées et l’effet possible d’une erreur. Reliez ensuite cette situation à une mesure : consigne courte, démonstration, exercice métier, procédure d’escalade, documentation technique ou combinaison de plusieurs formats.
Cette analyse ne produit pas une note de conformité. Elle aide à justifier pourquoi deux équipes n’ont pas besoin du même contenu et pourquoi un changement d’usage peut déclencher une nouvelle action pédagogique.
Qui faut-il sensibiliser dans une PME ?
Commencez par les personnes qui utilisent directement un système d’IA ou interviennent dans son fonctionnement pour le compte de l’entreprise. Cela peut inclure des salariés, mais aussi certains prestataires, sous-traitants ou autres personnes placées dans le périmètre organisationnel lorsqu’ils réalisent ces tâches pour l’entreprise.
Une cartographie simple permet d’éviter deux erreurs : former toute l’entreprise au même niveau sans tenir compte des usages, ou limiter la sensibilisation aux seules équipes techniques alors que les outils génératifs sont utilisés dans les métiers.
| Public | Exemples d’usage | Priorité pédagogique | Trace utile |
|---|---|---|---|
| Direction et responsables | Choix d’outils, validation des usages, décisions d’investissement | Rôle de l’entreprise, arbitrage, gouvernance, incidents et limites des systèmes | Réunion de cadrage et décisions datées |
| Utilisateurs occasionnels | Reformulation, résumé, recherche, traduction | Données à ne pas transmettre, erreurs, sources et validation humaine | Socle commun et exercice pratique |
| Marketing et communication | Textes, images, campagnes, veille | Exactitude, sources, droits, transparence et voix de l’entreprise | Cas métier et grille de relecture |
| RH et recrutement | Offres, sourcing, tri, évaluation ou aide à la décision | Différencier les fonctions, biais, données, effets sur les personnes et escalade | Atelier spécifique et procédure de validation |
| Équipe technique ou prestataire IT | Intégration, automatisation, code, connexion aux données | Architecture, accès, sécurité, tests, journalisation et responsabilités | Documentation technique et revue des changements |
| Personnes chargées du contrôle humain | Validation d’un résultat ou surveillance du fonctionnement | Capacité réelle à comprendre, contester, corriger et arrêter l’usage | Scénario d’erreur et critères d’intervention |
Cette matrice est un point de départ. Une PME qui utilise seulement un assistant de rédaction sur des contenus publics n’a pas le même besoin qu’une entreprise qui connecte un système à des données internes ou l’emploie dans une décision concernant des personnes.
Faut-il un socle commun ou des parcours par métier ?
Les deux sont complémentaires. Le socle commun donne un vocabulaire et des réflexes partagés. Les parcours métier rendent ces principes applicables au travail quotidien.
Le socle commun
- ce que l’entreprise appelle un système ou un usage d’IA ;
- les outils et comptes acceptés, à valider ou interdits ;
- les catégories d’informations à ne pas transmettre sans validation ;
- les erreurs possibles : invention, obsolescence, biais, mauvaise interprétation ;
- la place du contrôle humain et la responsabilité de la personne qui utilise le résultat ;
- le canal de question et la conduite à tenir en cas d’incident.
Les parcours métier
Ajoutez des exemples dans lesquels les participants reconnaissent leurs documents, leurs destinataires et leurs décisions. Une équipe commerciale peut travailler sur un email expurgé ; une équipe RH doit distinguer l’aide à la rédaction d’une fonction de classement ; un responsable informatique doit examiner les accès, les flux de données et les évolutions du fournisseur.
Chaque module doit répondre à quatre questions : quelle tâche est assistée, quelles informations entrent dans l’outil, qui utilise le résultat et quel contrôle est attendu avant l’action suivante ?
Quel contenu prévoir dans une sensibilisation IA ?
- Comprendre ce que fait — et ne fait pas — le système.Présentez les fonctions réellement disponibles, leurs limites et la différence entre une réponse plausible et une information vérifiée.
- Relier l’outil aux usages de l’entreprise.Montrez les tâches autorisées, celles qui nécessitent une validation et celles qui doivent être suspendues pour analyse.
- Protéger les informations.Utilisez des exemples concrets : données clients, CV, contrats, prix non publics, code confidentiel, accès et documents internes.
- Vérifier les résultats.Apprenez à contrôler les faits, chiffres, dates, liens, citations, calculs, biais et formulations avant toute diffusion ou décision.
- Maintenir un contrôle humain réel.La personne chargée de vérifier doit avoir le temps, les compétences, les informations et l’autorité nécessaires pour corriger ou arrêter.
- Réagir à une erreur ou un incident.Donnez un contact, les informations à conserver et les premières actions à réaliser sans masquer la situation.
- Comprendre les règles internes et le contexte.Reliez la session à la politique IA, au registre des usages, aux outils approuvés et aux procédures existantes.
- Actualiser les connaissances.Les modèles, fonctionnalités, réglages et conditions changent ; prévoyez une revue plutôt qu’une formation unique oubliée.
Le contenu peut inclure des dimensions juridiques, éthiques, métier, techniques et de sécurité, mais il doit rester compréhensible pour le public visé. L’objectif n’est pas de faire de chaque salarié un spécialiste du règlement : il s’agit de lui donner les connaissances et les réflexes adaptés aux systèmes qu’il manipule.
Quatre scénarios concrets de PME
| Situation | Mesure pédagogique utile | Exercice ou contrôle | Trace proportionnée |
|---|---|---|---|
| Assistant de rédaction sur des contenus publics | Socle court sur les erreurs, les sources, le ton et les outils acceptés. | Comparer une réponse fluide avec la source réellement ouverte. | Support daté, participants et grille de relecture. |
| Équipe commerciale préparant des emails | Socle commun et cas métier sur la minimisation des données et les engagements formulés. | Transformer un historique client en scénario fictif avant la saisie. | Exemple expurgé, règle interne et date de revue. |
| Recrutement assisté par une fonction IA | Parcours spécifique sur la fonction exacte, les données, les biais, les personnes et l’escalade. | Distinguer rédaction d’offre, tri, classement et décision ; suspendre les cas non cadrés. | Fiche d’usage, critères de contrôle et décision du responsable. |
| Prestataire connectant une IA à des documents internes | Parcours technique sur les accès, flux, secrets, journalisation, tests et incidents. | Revoir les droits d’accès et simuler le retrait du connecteur. | Schéma de flux, validation technique et historique des changements. |
Ces scénarios illustrent la proportionnalité. Le nombre de minutes n’est pas le seul critère : la qualité dépend surtout du lien entre la mesure, le rôle de la personne, le système utilisé et la capacité à agir face à une erreur.
Exemple de session pratique de 90 minutes
| Durée | Séquence | Résultat attendu |
|---|---|---|
| 10 min | Usages IA présents dans la PME et objectifs de la session | Les participants savent pourquoi ils sont concernés. |
| 15 min | Démonstration d’une réponse utile puis d’une réponse erronée | Ils distinguent fluidité et fiabilité. |
| 15 min | Exercice de classification de cinq informations | Ils reconnaissent les données à exclure ou à valider. |
| 20 min | Cas métier en petits groupes | Ils définissent la tâche, les données et le contrôle humain. |
| 15 min | Vérification de sources, chiffres et formulations | Ils appliquent une grille de relecture. |
| 10 min | Incident simulé : mauvaise donnée copiée ou résultat publié trop vite | Ils savent qui prévenir et quelles informations conserver. |
| 5 min | Questions, engagement pratique et prochaine revue | La session débouche sur une action observable. |
Une session interne peut convenir lorsque les personnes qui l’animent comprennent les outils, les usages et les risques concernés. Pour un usage complexe ou sensible, faites intervenir les compétences métier, techniques, sécurité, protection des données ou juridiques appropriées.
Comment déployer la démarche en 30 jours ?
- Semaine 1 — Cartographier. Lister les systèmes, fonctions, utilisateurs, prestataires, finalités et personnes concernées.
- Semaine 1 — Prioriser. Repérer les usages impliquant des informations sensibles, des décisions ou des effets importants sur des personnes.
- Semaine 2 — Concevoir. Définir le socle commun, les parcours métier, les exercices et les messages d’escalade.
- Semaine 2 — Tester. Faire relire le support par quelques utilisateurs et vérifier qu’ils savent agir face à des situations concrètes.
- Semaine 3 — Déployer. Organiser les sessions, fournir les règles accessibles et ouvrir un canal de questions.
- Semaine 4 — Documenter. Consolider les traces, les questions reçues, les difficultés et les améliorations décidées.
- Semaine 4 — Planifier. Fixer les rappels, les sessions d’arrivée et la revue déclenchée par un changement d’outil ou d’usage.
Ne retardez pas tout le programme en attendant une cartographie parfaite. Un premier socle prudent peut être diffusé rapidement, à condition d’indiquer ses limites et de poursuivre l’analyse des usages plus sensibles.
Quand faut-il actualiser les mesures ?
Fixez une revue périodique, puis ajoutez des déclencheurs anticipés : nouvel outil, nouvelle fonction, connexion à une base interne, changement de données, automatisation supplémentaire, arrivée d’un nouveau public, incident, erreur récurrente ou évolution d’une consigne officielle. La revue doit répondre à trois questions : qu’est-ce qui a changé, qui doit agir différemment et quel support doit être remplacé ?
Une session annuelle peut être trop tardive après l’ajout d’un connecteur sensible et inutilement fréquente pour un usage stable. Combinez un rendez-vous planifié avec une mise à jour déclenchée par les changements importants.
Quelles preuves conserver sans créer une usine à gaz ?
La Commission précise qu’aucun certificat spécifique n’est nécessaire au titre de l’article 4. Un registre interne des formations et autres initiatives d’accompagnement peut documenter la démarche.
Pour chaque action, conservez de façon proportionnée :
- le public, les rôles et les usages visés ;
- la date, la durée, le format et la personne qui a animé ;
- la version du support et les sources officielles consultées ;
- les exercices ou situations pratiques utilisés ;
- la liste de participation ou une preuve équivalente adaptée ;
- les questions soulevées et les changements apportés aux règles ;
- la date ou l’événement déclenchant la prochaine revue.
L’article 4 n’oblige pas à mesurer les connaissances individuelles. Un quiz ou une mise en situation peut néanmoins être utile pédagogiquement pour vérifier la compréhension d’un réflexe précis. Présentez son objectif, évitez les données inutiles et ne confondez pas un score ponctuel avec une garantie globale.
À mettre en pratique : partez des 10 réflexes à transmettre aux salariés, reliez-les à une politique IA interne utilisable et adaptez les exemples aux usages quotidiens de l’IA générative.
Structurez votre première sensibilisation IA
Le Pack PME pilote prépare un socle, des règles internes et des supports adaptables à vos usages, sans délivrer de certification ni promettre une validation réglementaire.
Questions fréquentes sur l’article 4 de l’AI Act
L’article 4 impose-t-il une formation obligatoire identique pour tous ?
Non. La Commission indique qu’il n’existe pas de format unique ni d’exigence stricte imposant la même formation. Les mesures doivent être adaptées aux connaissances, à l’expérience, à la formation, au contexte d’utilisation et aux personnes concernées.
Une PME utilisant ChatGPT pour rédiger des textes est-elle concernée ?
Selon la Commission, une entreprise dont les salariés utilisent un outil comme ChatGPT pour rédiger ou traduire doit les informer des risques spécifiques, par exemple les réponses inventées. Il faut toutefois vérifier le rôle de l’entreprise et si les outils concernés répondent à la définition d’un système d’IA dans le contexte considéré.
Faut-il tester le niveau de chaque salarié ?
Non. L’article 4 n’impose pas de mesurer les connaissances individuelles ni de garantir un niveau précis. Des exercices et quiz peuvent rester utiles pour apprendre et identifier un besoin d’accompagnement, sans devenir une certification.
Une attestation de présence suffit-elle ?
Elle constitue une trace, mais ne décrit pas à elle seule la pertinence du contenu. Conservez aussi le public visé, les usages couverts, la version du support, les exercices, les questions et la prochaine revue.
Faut-il nommer un responsable ou AI Officer ?
L’article 4 n’impose pas de structure de gouvernance particulière ni de responsable IA dédié. Une PME a néanmoins intérêt à désigner une personne chargée de coordonner les usages, les questions, les supports et les mises à jour.
À quelle fréquence renouveler la sensibilisation ?
Aucune fréquence universelle n’est fixée. Prévoyez un accueil pour les nouveaux utilisateurs, une revue régulière et une actualisation lorsqu’un système, une fonction, une finalité, un public ou un risque évolue.
Sources officielles consultées
- EUR-Lex — Règlement (UE) 2026/1744, nouvelle rédaction de l’article 4.
- Commission européenne — Questions-réponses sur la maîtrise de l’IA.
- Commission européenne — Maîtrise de l’IA, compétences et vivier de talents.
- CNIL — Utiliser l’IA générative dans les TPE et PME.
- CNIL, France Num et CPME — Choisir et utiliser une solution d’IA générative.
- CNIL — Questions-réponses sur l’utilisation d’un système d’IA générative.
Sources relues le 31 août 2026. Les recommandations du comité européen de l’IA et les exemples publiés sur la plateforme unique pourront faire évoluer les pratiques : planifiez une veille.
Ce document constitue une aide documentaire et pédagogique. Il ne remplace pas un conseil juridique personnalisé.