Publié le 2 novembre 2026. Textes et liens vérifiés à cette date sur les sources officielles citées. Cet article informe, il ne remplace pas un conseil juridique sur votre situation.
La réponse courte : former, oui ; garantir un niveau, non
Si vos salariés utilisent un outil d'intelligence artificielle dans leur travail — ChatGPT compris —, votre entreprise doit prendre des mesures pour développer leur maîtrise de l'IA. Depuis le 27 juillet 2026, le texte n'exige plus de garantir un « niveau suffisant » : c'est une obligation de moyens, sans certificat imposé et sans amende propre fixée par le règlement européen. Concrètement, une PME doit pouvoir montrer qu'elle a identifié ses outils, informé ses équipes de leurs risques et adapté cette information à leur poste.
L'obligation figure à l'article 4 du règlement (UE) 2024/1689 sur l'intelligence artificielle, dit « AI Act », applicable depuis le 2 février 2025. Elle a été réécrite par le règlement (UE) 2026/1744 du 8 juillet 2026, le « train de mesures omnibus numérique sur l'IA », publié au Journal officiel de l'Union européenne le 24 juillet 2026 et entré en vigueur le troisième jour suivant.
Ce que dit l'article 4, avant et après juillet 2026
La version de 2024 demandait de « garantir, dans toute la mesure du possible, un niveau suffisant de maîtrise de l'IA » ; la version de 2026 demande de « prendre des mesures pour favoriser le développement » de cette maîtrise. Le passage d'un résultat à atteindre à des moyens à mettre en œuvre est le changement qui compte pour une PME.
- Avant (texte de 2024). Les fournisseurs et les déployeurs de systèmes d'IA prenaient des mesures pour garantir, dans toute la mesure du possible, un niveau suffisant de maîtrise de l'IA pour leur personnel et les autres personnes utilisant ces systèmes pour leur compte ;
- Après (texte en vigueur). Ils « prennent des mesures pour favoriser le développement de la maîtrise de l'IA » par ces mêmes personnes, en tenant compte de leurs connaissances, de leur expérience, de leur formation et du contexte d'utilisation. Le texte ajoute que cette obligation « ne contraint pas » à garantir un niveau spécifique de maîtrise par un individu ;
- Ce qui est nouveau pour les pouvoirs publics. La Commission et les États membres doivent soutenir ces efforts, « en particulier les PME », et la Commission publie des exemples pratiques de mise en conformité sur une plateforme d'information unique.
Le considérant 8 du règlement de 2026 explique ce recul : des obligations strictes « ne seraient pas adaptées à tous les types de fournisseurs et de déployeurs » et créent une charge supplémentaire, « en particulier pour les petites entreprises ». L'article n'a pas été supprimé pour autant : il reste une obligation, simplement mieux proportionnée.
Votre PME est-elle concernée ?
Oui, dès qu'un salarié utilise un outil d'IA pour le compte de l'entreprise. Le règlement appelle « déployeur » toute personne ou organisation qui utilise un système d'IA sous sa propre autorité, sauf pour une activité personnelle non professionnelle. Une PME qui laisse ses équipes rédiger, traduire ou résumer avec un assistant d'IA est donc déployeur, même si elle n'a rien développé.
La foire aux questions de la Commission européenne sur la maîtrise de l'IA, mise à jour le 20 octobre 2026, prend justement l'exemple d'une entreprise dont les salariés utilisent ChatGPT pour rédiger des publicités ou traduire des textes : ils doivent être informés des risques propres à cet usage, comme les hallucinations — ces réponses fausses énoncées avec assurance. Pour distinguer ce qui relève d'un simple assistant, d'un chatbot ou d'un agent, voyez notre article agent IA, chatbot ou assistant virtuel.
Ce qu'il faut concrètement mettre en place
Quatre étapes suffisent à une PME : savoir quels outils d'IA sont utilisés, savoir à quel titre, évaluer leurs risques, et adapter l'information à chaque poste. Ce sont les quatre étapes que décrit la Commission dans sa foire aux questions ; aucune ne demande un budget de formation important.
- Faire l'inventaire. Listez les outils d'IA réellement utilisés dans l'entreprise, y compris ceux que les salariés ont adoptés d'eux-mêmes, et ce qu'ils en font ;
- Déterminer votre rôle. Dans la grande majorité des PME, vous êtes déployeur. Vous devenez fournisseur si vous développez un système d'IA ou le mettez sur le marché sous votre nom ;
- Évaluer les risques. Pour chaque usage : que se passe-t-il si l'outil se trompe, et quelles données lui confie-t-on ? Un texte publicitaire relu ne pèse pas comme un courrier client envoyé sans vérification ;
- Adapter l'action aux personnes. Une consigne écrite et une courte séance peuvent suffire pour un usage rédactionnel ; une formation plus poussée se justifie quand l'usage touche des clients, des données personnelles ou des décisions.
Trois précisions de la Commission évitent des dépenses inutiles : aucun certificat n'est exigé, aucune structure dédiée — « responsable IA » ou comité — n'est imposée, et un registre interne des formations et consignes données suffit à garder une trace. Elle précise aussi que se reposer sur les seules notices d'utilisation des outils ne suffit pas. Pour un premier niveau, notre article formation IA pour débutant propose un parcours de quatre semaines qui couvre ces bases ; s'il s'agit de faire financer une formation certifiante, les règles sont détaillées dans formation IA éligible CPF.
Contrôle et sanctions : ce que l'on sait
Le respect de l'article 4 est contrôlé par les autorités nationales de surveillance du marché, et le règlement européen ne fixe pas d'amende propre à cette obligation : les sanctions relèvent du droit de chaque État membre. L'article 99 du règlement plafonne les amendes pour les pratiques interdites et pour une liste d'obligations précises ; l'article 4 n'y figure pas.
Selon la foire aux questions de la Commission, la supervision par ces autorités commence le 2 août 2026, et les sanctions doivent rester proportionnées à la nature, à la gravité et au caractère intentionnel ou négligent du manquement. Le risque réel pour une PME est moins une amende isolée que la situation qui suit un incident : un salarié qui a envoyé à un client une information inventée par l'outil, ou collé des données personnelles dans un service grand public, sans jamais avoir reçu de consigne. L'absence de toute mesure pèsera alors contre l'entreprise.
Ce que l'omnibus de 2026 ne change pas
Les pratiques d'IA interdites restent interdites, et les entreprises qui utilisent un système d'IA à haut risque gardent des obligations renforcées — dont la formation des personnes chargées de le superviser —, avec des dates d'application repoussées. L'allègement porte sur l'article 4, pas sur l'ensemble du règlement.
- Systèmes à haut risque reportés. Le règlement de 2026 fixe l'application des exigences correspondantes au 2 décembre 2027 pour les systèmes listés à l'annexe III (par exemple le recrutement ou l'évaluation des salariés) et au 2 août 2028 pour ceux intégrés à des produits réglementés de l'annexe I ;
- Un point d'attention pour les PME qui recrutent. Un logiciel qui trie ou classe des candidatures relève de l'annexe III. Si vous en utilisez un, la formation de la personne qui en supervise les résultats n'est plus seulement une bonne pratique : elle s'ajoutera à vos obligations de déployeur ;
- Le reste du droit continue de s'appliquer. Coller des données personnelles de clients dans un outil d'IA relève toujours du RGPD, indépendamment de l'AI Act.
Comment nous accompagnons une PME sur ce point
Nous faisons l'inventaire de vos usages, rédigeons avec vous des consignes courtes par poste et formons les équipes sur leurs outils et leurs tâches réels. C'est le contenu de notre formation IA en entreprise, établie après un audit de 30 minutes et chiffrée dans un devis ferme.
Nous ne sommes ni avocats ni organisme certifié Qualiopi : nos formations ne sont pas finançables par le CPF, et pour une question juridique propre à votre situation, un professionnel du droit reste l'interlocuteur. Lorsque l'équipe maîtrise les bases, la suite se trouve souvent dans l'automatisation des tâches répétitives, avec les mêmes règles de vérification. Toutes nos pages sur le sujet sont réunies dans la rubrique intelligence artificielle en entreprise.
Questions fréquentes
L'AI Act oblige-t-il une PME à former ses salariés à l'IA ?
Il l'oblige à prendre des mesures pour développer leur maîtrise de l'IA dès qu'ils utilisent un outil d'IA pour l'entreprise. Depuis le règlement (UE) 2026/1744, entré en vigueur le 27 juillet 2026, il n'impose plus de garantir un niveau suffisant : la mesure peut être une formation, mais aussi des consignes écrites et une information adaptée au poste.
Utiliser ChatGPT dans l'entreprise suffit-il à être concerné ?
Oui. Une entreprise qui utilise un système d'IA sous sa propre autorité est un déployeur au sens du règlement. La Commission européenne cite l'exemple de salariés utilisant ChatGPT pour rédiger ou traduire : ils doivent être informés des risques propres à cet usage, comme les réponses fausses énoncées avec assurance.
Faut-il un certificat ou une attestation de formation IA ?
Non. La Commission européenne indique qu'aucun certificat n'est exigé et qu'aucune structure dédiée n'est imposée. Un registre interne des formations, consignes et informations données aux équipes suffit à garder une trace des mesures prises.
Quelle amende en cas de non-respect de l'article 4 ?
Le règlement européen ne fixe pas de montant d'amende propre à l'article 4 : les sanctions relèvent du droit de chaque État membre et doivent être proportionnées. Le contrôle est confié aux autorités nationales de surveillance du marché, avec une supervision qui commence le 2 août 2026 selon la Commission.
Les formations IA de Fiducia IA sont-elles finançables par le CPF ?
Non. Fiducia IA n'est pas certifié Qualiopi et ses formations ne préparent pas à une certification enregistrée. Ce sont des formations sur mesure, construites sur les tâches et les outils de l'entreprise, chiffrées dans un devis ferme après un audit de 30 minutes.