Maîtrise de l'IA, article 4 : ce que doit faire une PME

L'article 4 du règlement (UE) 2024/1689 sur l'intelligence artificielle s'applique depuis le 2 février 2025, avec les dispositions générales du texte. Il vise les fournisseurs, qui développent un système d'IA, et les déployeurs, qui l'utilisent sous leur propre autorité dans un cadre professionnel. Une PME qui se sert d'un assistant conversationnel est un déployeur. La Commission européenne le confirme dans ses questions-réponses sur la maîtrise de l'IA, mises à jour le 27 juillet 2026 : une entreprise dont les salariés utilisent ChatGPT pour rédiger des textes publicitaires ou traduire est concernée. Ces réponses éclairent le texte sans le remplacer.

Que demande l'article 4 depuis l'omnibus de juillet 2026 ?

La première version demandait des mesures pour garantir, « dans toute la mesure du possible, un niveau suffisant de maîtrise de l'IA ». Le règlement (UE) 2026/1744 du 8 juillet 2026, dit omnibus numérique sur l'IA, a réécrit l'article. Fournisseurs et déployeurs « prennent des mesures pour favoriser le développement de la maîtrise de l'IA » par leur personnel et par les autres personnes qui utilisent les systèmes pour leur compte. Le texte précise que cette obligation ne les contraint pas « à garantir un niveau spécifique de maîtrise de l'IA par un individu ».

Le considérant 8 de l'omnibus donne la raison : des obligations strictes ne conviendraient pas à toutes les entreprises et alourdiraient la mise en conformité, « en particulier pour les petites entreprises ». La Commission et les États membres doivent désormais soutenir les efforts des entreprises, en particulier des PME, et la Commission doit publier des exemples pratiques sur la plateforme d'information unique. L'omnibus est entré en vigueur le 27 juillet 2026. L'obligation demeure, mais elle porte sur les actions menées, pas sur un niveau atteint par chaque personne.

Qui faut-il former dans une PME ?

Toute personne de l'entreprise qui manipule directement un système d'IA, selon la Commission. L'article vise aussi « les autres personnes s'occupant du fonctionnement et de l'utilisation des systèmes d'IA » pour le compte de l'entreprise : la Commission cite un sous-traitant, un prestataire de services ou un client. Les intervenants d'un prestataire doivent avoir les compétences utiles à leur tâche, comme les salariés.

Un diplôme ne dispense pas de tout. Une personne formée au développement de l'IA peut normalement être considérée comme formée, mais l'entreprise vérifie qu'elle connaît les outils utilisés en interne, leurs risques et les questions juridiques et éthiques qu'ils posent.

Sur quoi porte la maîtrise de l'IA ?

Le règlement la définit comme les compétences, les connaissances et la compréhension qui permettent de déployer un système d'IA en connaissance de cause, et de prendre conscience des possibilités, des risques et des préjudices possibles de l'IA. La Commission propose quatre questions pour bâtir les mesures :

Une compréhension générale : ce qu'est l'IA, comment elle fonctionne, quels outils l'entreprise utilise, ce qu'ils apportent et ce qu'ils risquent.
Le rôle de l'entreprise : développe-t-elle des systèmes d'IA ou utilise-t-elle ceux d'un autre ?
Les risques des systèmes utilisés : ce que les salariés doivent savoir, les risques à connaître et la façon de les limiter.
Des actions ajustées aux personnes et au contexte : ce que chacun sait déjà, ce qui lui manque, le secteur et l'usage de l'outil.

Pour un outil d'écriture comme ChatGPT, la Commission donne l'exemple des hallucinations, ces réponses inventées par l'outil : les utilisateurs doivent en être informés. Elle encourage aussi à couvrir le cadre juridique, dont le règlement lui-même, et l'éthique. L'usage des outils grand public par les salariés est détaillé dans ChatGPT en entreprise.

Faut-il une formation, un certificat ou un référent IA ?

Aucun certificat n'est exigé, répond la Commission : l'entreprise peut tenir un registre interne des formations et des autres actions. Aucune structure n'est imposée non plus, ni référent IA sur le modèle du délégué à la protection des données, ni comité de gouvernance.

Aucun format de formation n'est imposé, et des niveaux différents selon les personnes sont admis. La Commission prévient pourtant que s'en remettre à la notice d'utilisation, ou demander au personnel de la lire, est souvent inefficace. Elle tient un répertoire de plus de 40 initiatives menées par des entreprises et des administrations ; les reprendre ne vaut pas présomption de conformité. Un cas reste plus strict : le déployeur d'un système à haut risque confie le contrôle humain à des personnes qui ont les compétences, la formation et l'autorité nécessaires (article 26).

Qui contrôle, et que risque l'entreprise ?

Les autorités nationales de surveillance du marché, et non le Bureau de l'IA de la Commission. Selon les questions-réponses, elles contrôlent l'article 4 à partir d'août 2026. Les sanctions relèvent du droit de chaque État et doivent être proportionnées : elles tiennent compte de la nature et de la gravité du manquement, et de son caractère intentionnel ou non. La Commission juge une sanction plus probable si un incident vient d'un défaut de formation ou d'accompagnement.

Le règlement ne crée ni infraction pénale ni droit à réparation. Une personne qui subit un dommage agit selon le droit national.

Par où commencer dans une PME ?

Les quatre questions de la Commission tiennent en un plan court, à adapter à la taille de l'entreprise :

Lister les outils d'IA réellement utilisés, y compris les comptes ouverts par les salariés eux-mêmes, et pour chacun qui s'en sert et pour quoi faire.
Former d'abord ceux dont le travail avec l'outil sort de l'entreprise : devis, offre, courrier à un client, traduction. Puis les autres utilisateurs, et les prestataires qui travaillent avec vos outils.
Pour chaque outil, expliquer ce qu'il fait, ses limites, les erreurs qu'il peut produire, les données qu'on peut lui confier ou non, et qui relit ce qu'il produit.
Garder une trace : date, personnes, contenu, outils couverts. Un simple tableau peut servir de registre, puisqu'aucun certificat n'est demandé.
Revoir le plan à chaque nouvel outil ou nouvel usage.

Pour se faire aider, la Commission oriente les PME vers les pôles européens d'innovation numérique (EDIH), plus de 200 guichets en Europe dont la plupart proposent des services d'IA, formations comprises. La protection des données, la politique d'usage et le calendrier du règlement sont traités dans RGPD et IA générative. Pour choisir les usages qui valent l'effort, voir cinq situations où l'IA sert dans une PME industrielle.

Questions fréquentes

L'article 4 concerne-t-il une PME qui utilise seulement ChatGPT ?

Oui. La Commission répond qu'une entreprise dont les salariés utilisent ChatGPT pour rédiger ou traduire doit les informer des risques propres à l'outil, comme les hallucinations.

Faut-il un certificat de formation à l'IA ?

Non. Aucun certificat n'est exigé ; l'entreprise peut tenir un registre interne des formations et des autres actions menées.

L'omnibus de juillet 2026 a-t-il supprimé l'obligation ?

Non, il l'a assouplie. Les entreprises prennent des mesures pour favoriser la maîtrise de l'IA, sans devoir garantir un niveau donné pour chaque personne.

Qui contrôle l'application de l'article 4 ?

Les autorités nationales de surveillance du marché de chaque État, pas le Bureau de l'IA de la Commission européenne.

Sources

Tous les articles

Maîtrise de l'IA : ce que l'article 4 du règlement européen demande à une PME