Formation IA obligatoire : ce que l'AI Act impose vraiment aux PME

Réponse directe : oui, une PME qui utilise l'IA doit prendre des mesures pour former ses équipes. C'est l'article 4 de l'AI Act, applicable depuis le 2 février 2025. Mais depuis juillet 2026, le texte a été assoupli : il s'agit de « favoriser » la maîtrise de l'IA, pas de garantir un niveau. Aucun certificat n'est exigé, et le règlement ne prévoit pas d'amende propre à cet article.

Si vous avez reçu un email du type « Formation IA obligatoire : jusqu'à 7,5 millions d'euros d'amende », cet article est pour vous. On reprend le texte, calmement.

Ce que dit l'article 4, aujourd'hui

L'AI Act (règlement européen 2024/1689) contient une obligation dite de « maîtrise de l'IA ». Dans sa version actuelle, les fournisseurs et les utilisateurs professionnels de systèmes d'IA doivent prendre des mesures pour favoriser la maîtrise de l'IA de leur personnel et des personnes qui utilisent ces systèmes pour leur compte. Ces mesures tiennent compte des connaissances techniques, de l'expérience et de la formation de chacun, ainsi que du contexte d'utilisation.

Ce qui a changé en juillet 2026. Le règlement dit « Omnibus numérique sur l'IA » (règlement 2026/1744, en vigueur depuis le 27 juillet 2026) a réécrit cet article. L'ancienne version demandait de « garantir, dans toute la mesure du possible, un niveau suffisant » de maîtrise de l'IA. La nouvelle demande de « prendre des mesures pour favoriser » cette maîtrise, et précise qu'elle n'impose pas de garantir un niveau donné pour chaque personne. En clair, on passe d'une obligation de résultat à une obligation de moyens.

Votre PME est-elle concernée ?

Oui, dès que vos équipes utilisent un outil d'IA dans leur travail. Le texte vise les « déployeurs », c'est-à-dire toute organisation qui utilise un système d'IA dans un cadre professionnel, sans seuil de taille. La Commission européenne le confirme dans sa foire aux questions : une entreprise dont les salariés utilisent ChatGPT doit s'assurer qu'ils en comprennent les risques, par exemple les « hallucinations » (des réponses fausses présentées avec assurance).

Ce que l'article 4 n'exige pas

• Pas de certificat. La Commission est explicite : aucun certificat n'est nécessaire. Une trace interne des formations et des actions menées suffit.
• Pas de programme imposé. Aucun format, aucune durée, aucun organisme n'est imposé. Les mesures doivent être adaptées au contexte : qui utilise quoi, pour quoi faire, avec quels risques.
• Pas d'amende dédiée dans le règlement. L'article 99 de l'AI Act, qui fixe les amendes, ne cite pas l'article 4. Les montants que l'on voit circuler (7,5 millions d'euros, par exemple) concernent d'autres manquements, comme le fait de fournir des informations inexactes aux autorités. Le contrôle relève des autorités nationales depuis le 2 août 2026, selon des règles fixées par chaque État.

Ça ne veut pas dire qu'on peut l'ignorer. En cas d'incident (des données clients collées dans un outil grand public, une erreur de l'IA reprise telle quelle dans un devis), l'absence de toute sensibilisation pèsera contre l'entreprise.

Concrètement, que faire dans une PME ?

Un plan simple, proportionné à votre taille, en quatre étapes :

1. Faire l'inventaire des outils d'IA utilisés. ChatGPT, Copilot, Gemini, un assistant intégré à votre logiciel de gestion ou de comptabilité : qui s'en sert, et pour quoi ?
2. Former selon les rôles. Tout le monde doit connaître les bases : ce que l'IA fait bien, ce qu'elle fait mal, ce qu'on ne lui confie jamais (données personnelles, informations confidentielles). Les utilisateurs réguliers ont besoin de pratique sur leurs vraies tâches. Le dirigeant a besoin de la vue d'ensemble : risques, priorités, règles du jeu.
3. Écrire des règles d'usage simples. Une page suffit : outils autorisés, données interdites, relecture humaine obligatoire avant tout envoi à un client.
4. Garder une trace. Date, participants, contenu de la formation, supports. C'est ce que la Commission recommande pour pouvoir démontrer vos mesures.

Une demi-journée, est-ce suffisant ?

Pour une petite équipe qui utilise surtout des assistants comme ChatGPT, une demi-journée bien construite couvre l'essentiel : comprendre, pratiquer sur ses propres documents, repartir avec des règles claires. Pour des usages plus poussés (automatisations, agents IA connectés à vos outils), il faut compléter par un accompagnement sur ces usages précis.

Pour comparer les formats et les prix, lisez notre guide formation IA en entreprise : comment choisir. Et si vos équipes collent déjà des données clients dans des outils grand public, commencez par notre article IA et RGPD : ce qu'une PME doit savoir.