Depuis le 2 février 2025, toute entreprise qui utilise des outils d’IA dans son travail (ChatGPT, Copilot ou Gemini compris) doit mettre en place des mesures pour que son équipe sache s’en servir. C’est ce qu’exige l’article 4 du règlement européen sur l’IA, l’« AI Act ». Depuis juillet 2026, après la réforme de l’omnibus numérique, il ne s’agit plus d’atteindre un certain niveau, mais d’agir et de pouvoir le prouver. Dans une PME, cela peut se résumer à une courte formation, une charte d’utilisation écrite et un registre des personnes formées.
De quoi parle l’article 4
L’article 4 porte sur la maîtrise de l’IA : les compétences, les connaissances et la compréhension qui permettent d’utiliser des systèmes d’IA avec discernement, en connaissant leurs opportunités, leurs risques et les préjudices qu’ils peuvent causer (c’est ainsi que l’article 3 du règlement la définit).
Le texte d’origine, applicable depuis le 2 février 2025, imposait aux fournisseurs et aux déployeurs de garantir, « dans toute la mesure du possible », que leur personnel et les personnes qui utilisent des systèmes d’IA pour leur compte disposent d’un niveau suffisant de maîtrise de l’IA.
Mais cette rédaction a été modifiée par le règlement (UE) 2026/1744, l’omnibus numérique, publié le 24 juillet 2026 et en vigueur depuis le 27 juillet :
- Désormais, une entreprise doit mettre en place des mesures pour favoriser la maîtrise de l’IA de son personnel et des personnes qui utilisent l’IA pour son compte.
- L’article précise qu’il n’impose pas de garantir un niveau précis pour chaque personne.
- La Commission européenne et les États membres doivent soutenir ces efforts, en particulier ceux des PME.
Autrement dit, ce n’est plus une obligation de résultat, mais une obligation de moyens. Mais cela reste une obligation.
Votre entreprise est-elle concernée ?
Presque certainement. Le règlement appelle déployeur toute personne qui utilise un système d’IA sous sa propre autorité (sauf usage personnel et non professionnel). Donc, si quelqu’un de votre équipe utilise un outil d’IA pour rédiger des e-mails, préparer des propositions ou créer des visuels pour une campagne, votre entreprise est le déployeur de cet outil.
Il n’y a pas d’exemption selon la taille de l’entreprise. Une entreprise de 5 personnes a la même obligation qu’une entreprise de 500, même si la façon raisonnable de s’y conformer est bien plus simple. Elle s’applique aussi aux personnes qui utilisent l’IA pour votre compte, comme les indépendants ou les prestataires.
Qui contrôle, et que se passe-t-il si vous ne vous y conformez pas
Depuis août 2026, les autorités nationales peuvent contrôler le respect de l’article 4. En Espagne, l’autorité principale est l’AESIA (Agencia Española de Supervisión de la Inteligencia Artificial).
Les sanctions sont fixées par chaque État membre. En Espagne, le projet de loi organique qui devait les fixer est devenu caduc le 6 octobre 2026, lors de la dissolution des Cortes : il faudra donc un nouveau texte. Aujourd’hui, le risque le plus réel n’est pas une amende au titre de l’article 4, mais de faire face à un contrôle, à la réclamation d’un client ou à une fuite de données sans pouvoir montrer ce que vous avez fait pour que votre équipe utilise l’IA avec prudence.
De quelle formation votre équipe a-t-elle besoin ?
Il n’existe pas de certificat officiel, ni de nombre d’heures minimum. Dans ses questions-réponses sur l’article 4, la Commission européenne recommande d’adapter la formation à ce que chaque personne fait avec l’IA et à ce qu’elle sait déjà, et de tenir compte des risques des outils utilisés par l’entreprise.
Une façon pratique de l’organiser, par profil (les durées sont indicatives, le règlement ne les fixe pas) :
| Profil | Ce qu’il doit savoir | Durée indicative |
|---|---|---|
| Toute l’équipe | Ce qu’est l’IA générative et où elle se trompe, quelles données ne jamais saisir, que tout résultat doit être relu avant usage, la charte de l’entreprise | 1 à 2 heures, au démarrage et à l’arrivée |
| Ceux qui publient du contenu (marketing, agences) | En plus : quand signaler qu’une image, un son ou une vidéo est artificiel, le droit à l’image et le droit d’auteur | 1 heure de plus |
| Ceux qui utilisent des données de clients ou de salariés | En plus : le RGPD appliqué à l’IA, pourquoi on ne laisse pas l’IA décider à propos de personnes | 1 heure de plus |
| Ceux qui choisissent ou paramètrent les outils | En plus : comment évaluer un fournisseur, l’accord de traitement des données, où les données sont traitées | 2 heures de plus |
Comment une PME peut s’y conformer en 5 étapes
- Faites l’inventaire des outils d’IA que vous utilisez. Y compris ceux que les gens utilisent de leur propre initiative : selon une étude d’OpenAI auprès de 1 000 PME espagnoles, 70 % de leurs dirigeants déclarent que leurs salariés utilisent déjà l’IA de leur propre initiative.
- Déterminez quels outils sont autorisés et pour quoi faire, et mettez-le par écrit. Une charte IA est la base de la formation : quels outils, avec quelles données, qui relit le résultat. 39 % des PME espagnoles n’en ont toujours pas.
- Formez chaque personne selon son profil, en partant du tableau ci-dessus.
- Consignez ce que vous faites. Un registre simple suffit : qui a été formé, quand, avec quel contenu, et qu’il a lu la charte. C’est ce que vous pourrez montrer si on vous le demande.
- Faites le point chaque année, et quand les outils changent ou que quelqu’un arrive.
Erreurs fréquentes
- Penser que cela ne concerne que ceux qui développent de l’IA. L’article 4 s’applique aussi à ceux qui l’utilisent.
- Acheter un certificat et considérer que c’est fait. Il n’existe pas de certificat officiel ; ce qui compte, c’est que la formation soit adaptée à votre entreprise et documentée.
- Interdire l’IA. Cela fonctionne rarement : les gens continuent de l’utiliser depuis des comptes personnels, et l’entreprise perd le contrôle de ses données.
- Former une fois et ne plus y penser. Les outils changent tous les quelques mois, et l’équipe aussi.
Comment P30 peut vous aider
La formation est plus simple quand toute l’équipe utilise le même outil autorisé. Avec P30, l’entreprise travaille dans son propre espace, avec des rôles et des permissions, plutôt que dans des comptes personnels. Vos données sont hébergées dans l’UE et ne servent jamais à entraîner des modèles. Et notre équipe vous aide à le déployer.
Pour le reste de l’AI Act (le calendrier, les sanctions, ce qui a été reporté), consultez notre guide de l’AI Act en 2026.
Sources
- Règlement (UE) 2024/1689 (AI Act), articles 3 et 4.
- Règlement (UE) 2026/1744 (omnibus numérique), qui modifie l’article 4.
- Commission européenne : questions-réponses sur la maîtrise de l’IA.
- AESIA, agence espagnole de contrôle de l’IA.
- Congrès des députés : projet de loi 121/000096 sur le bon usage et la gouvernance de l’IA, caduc depuis le 6 octobre 2026.
- Étude d’OpenAI auprès de 1 000 dirigeants de PME espagnoles, rapportée par Europa Press le 17 septembre 2026.