En bref. Non, aucune loi n’impose à un dirigeant de TPE un diplôme ou un certificat pour utiliser l’IA. En revanche, l’article 4 du règlement européen sur l’IA, dit AI Act, s’applique depuis le 2 février 2025 à toute entreprise qui fait utiliser un outil d’IA par son personnel : elle doit prendre des mesures pour développer la maîtrise de l’IA de ses équipes. Depuis le règlement (UE) 2026/1744, entré en vigueur le 27 juillet 2026 selon la CNIL, aucun niveau précis n’est exigé. Ce qui est obligatoire, c’est d’agir, et de pouvoir le montrer.
La question revient dans presque chaque rendez-vous : « Est-ce que je suis obligé de former mes salariés à ChatGPT ? » Les réponses en ligne vont de « rien d’obligatoire » à « amende de plusieurs millions ». Les deux sont fausses. Voici les textes, cités mot pour mot. Pour une vue d’ensemble du règlement, lisez notre guide de l’AI Act pour les TPE et PME. Ici, on ne traite que l’article 4.
La réponse courte : une obligation de moyens, pas un diplôme
L’article 4 ne parle ni de formation certifiante, ni de nombre d’heures, ni de diplôme. Il impose aux entreprises qui utilisent des systèmes d’IA de « prendre des mesures ». Une formation en fait partie, comme une séance interne, une charte ou un accompagnement au poste.
La Commission européenne le dit sans détour dans ses questions-réponses sur la maîtrise de l’IA, mises à jour le 27 juillet 2026 : il n’y a pas besoin de certificat, et une organisation peut tenir un registre interne de ses formations et de ses autres actions d’accompagnement. Elle précise aussi qu’aucune structure de gouvernance particulière n’est exigée : pas de référent IA obligatoire, comme il existe un délégué à la protection des données pour le RGPD.
L’article 4 avant et après l’omnibus numérique
L’article 4 a changé de rédaction cet été. Le règlement (UE) 2026/1744 du Parlement européen et du Conseil du 8 juillet 2026, appelé « train de mesures omnibus numérique sur l’IA », a été publié au Journal officiel de l’Union européenne le 24 juillet 2026. Son article 1er, point 5, remplace l’article 4. Ce règlement entre en vigueur le troisième jour suivant sa publication, soit le 27 juillet 2026, date retenue par la CNIL et par la version consolidée publiée sur EUR-Lex.
Le texte d’origine (2024)
« Les fournisseurs et les déployeurs de systèmes d’IA prennent des mesures pour garantir, dans toute la mesure du possible, un niveau suffisant de maîtrise de l’IA pour leur personnel et les autres personnes s’occupant du fonctionnement et de l’utilisation des systèmes d’IA pour leur compte, en prenant en considération leurs connaissances techniques, leur expérience, leur éducation et leur formation, ainsi que le contexte dans lequel les systèmes d’IA sont destinés à être utilisés, et en tenant compte des personnes ou des groupes de personnes à l’égard desquels les systèmes d’IA sont destinés à être utilisés. »
Article 4 du règlement (UE) 2024/1689 du 13 juin 2024, publié au Journal officiel le 12 juillet 2024.
Le texte en vigueur depuis le 27 juillet 2026 (paragraphe 1)
« Les fournisseurs et les déployeurs de systèmes d’IA prennent des mesures pour favoriser le développement de la maîtrise de l’IA par leur personnel et les autres personnes s’occupant du fonctionnement et de l’utilisation des systèmes d’IA pour leur compte, […]. Cette obligation ne contraint pas les fournisseurs ou les déployeurs à garantir un niveau spécifique de maîtrise de l’IA par un individu. »
Article 4, paragraphe 1, tel que remplacé par l’article 1er, point 5, du règlement (UE) 2026/1744. Les critères du passage coupé sont les mêmes qu’en 2024.
Le nouvel article ajoute deux paragraphes. Le paragraphe 2 charge la Commission et les États membres de soutenir les entreprises, « en particulier les PME », et oblige la Commission à publier des exemples pratiques. Le paragraphe 3 confie au Comité IA l’adoption de recommandations.
| Point | Version 2024 | Version 2026 |
|---|---|---|
| Ce que fait l’entreprise | Prend des mesures pour « garantir, dans toute la mesure du possible, un niveau suffisant » | Prend des mesures pour « favoriser le développement » de la maîtrise de l’IA |
| Niveau à atteindre | « Suffisant », sans définition chiffrée | Aucun niveau spécifique exigé par personne |
| Rôle des pouvoirs publics | Non prévu dans l’article | La Commission et les États membres soutiennent les entreprises, en particulier les PME |
| Application | Depuis le 2 février 2025 | Obligation toujours applicable, rédaction remplacée le 27 juillet 2026 |
Traduction pour un dirigeant : on est passé d’une obligation proche du résultat à une obligation de moyens. Mais l’obligation n’a pas disparu. Le considérant 8 du règlement 2026/1744 présente d’ailleurs la maîtrise de l’IA comme une « priorité stratégique », indépendamment des obligations réglementaires et des sanctions.
Ce que veut dire « maîtrise de l’IA »
Le terme est défini à l’article 3, point 56, du règlement 2024/1689 :
« les compétences, les connaissances et la compréhension qui permettent aux fournisseurs, aux déployeurs et aux personnes concernées, compte tenu de leurs droits et obligations respectifs dans le contexte du présent règlement, de procéder à un déploiement des systèmes d’IA en toute connaissance de cause, ainsi que de prendre conscience des possibilités et des risques que comporte l’IA, ainsi que des préjudices potentiels qu’elle peut causer »
Autrement dit, savoir écrire une bonne consigne ne suffit pas. Il s’agit de comprendre ce que l’outil fait, où partent les données, quand il se trompe et ce qu’il ne faut jamais lui confier. La Commission propose quatre questions de départ : quels outils utilise-t-on, sommes-nous fournisseur ou utilisateur, quels risques présentent-ils, quelles actions pour qui.
Qui est concerné : votre TPE aussi
Le règlement appelle « déployeur » toute personne physique ou morale « utilisant sous sa propre autorité un système d’IA sauf lorsque ce système est utilisé dans le cadre d’une activité personnelle à caractère non professionnel » (article 3, point 4). Il n’y a pas de seuil de taille. Une entreprise de trois personnes dont l’assistante rédige les relances avec ChatGPT est un déployeur.
La Commission a répondu à cette question précise. Une entreprise dont les salariés utilisent ChatGPT pour écrire des textes publicitaires ou traduire doit-elle respecter l’article 4 ? Oui : ils doivent au moins être informés des risques propres à l’outil, par exemple les hallucinations. Elle ajoute que les « autres personnes » visées par l’article peuvent être un prestataire, un sous-traitant, voire un client.
Le cas particulier des usages à haut risque
Si vous utilisez un outil d’IA pour trier des candidatures ou évaluer des salariés, vous entrez dans les usages listés au point « Emploi » de l’annexe III du règlement. L’article 26 impose alors une exigence plus forte : confier le contrôle humain à des personnes qui disposent « des compétences, de la formation et de l’autorité nécessaires ». Le devis du soir n’est pas concerné, mais un logiciel de recrutement peut l’être.
Y a-t-il une amende si l’on ne fait rien ?
C’est ici qu’il faut être précis. L’article 99, paragraphe 4, du règlement liste les obligations dont la violation est punie d’une amende administrative pouvant atteindre 15 millions d’euros ou 3 % du chiffre d’affaires annuel mondial (texte consulté sur EUR-Lex en octobre 2026). L’article 4 n’y figure pas, ni dans la version de 2024, ni après l’omnibus, qui n’a ajouté à cette liste que des obligations de l’article 25.
Cela ne veut pas dire « aucun risque ». L’article 99, paragraphe 1, laisse chaque État membre fixer son régime de sanctions pour toute violation du règlement, et l’omnibus y a ajouté la mention des amendes administratives, en demandant de tenir compte des intérêts des PME. Selon la Commission, le contrôle de l’article 4 revient aux autorités nationales de surveillance du marché à partir d’août 2026, avec des sanctions proportionnées, plus probables en cas d’incident dû à un manque de formation. En France, le schéma des autorités présenté par la DGE et la DGCCRF en septembre 2025 devait passer par une loi. À la date de rédaction, nous n’avons pas trouvé de sanction française publiée qui vise spécifiquement l’article 4.
Le Code du travail allait déjà dans ce sens
Pour une entreprise qui a des salariés, la question ne se limite pas à l’AI Act. L’article L6321-1 du Code du travail, dans sa version en vigueur depuis le 26 octobre 2025, pose que « l’employeur assure l’adaptation des salariés à leur poste de travail ». Il veille aussi au maintien de leur capacité à occuper un emploi, « au regard notamment de l’évolution des emplois, des technologies et des organisations ». Quand un outil d’IA entre dans le quotidien d’un poste, l’accompagnement fait partie de cette adaptation.
La CNIL, dans ses questions-réponses sur l’utilisation d’un système d’IA générative, rappelle que c’est en général l’organisme utilisateur qui engage sa responsabilité en cas de mauvaise utilisation par son personnel. Elle recommande d’encadrer l’usage par une charte interne qui liste les usages autorisés et interdits, et de former les utilisateurs. Le salarié qui colle le fichier clients dans un outil gratuit pour relancer les impayés pose d’abord une question de RGPD.
Ce qu’une TPE doit pouvoir montrer
Personne ne vous demandera un diplôme. Si une autorité, un client ou un assureur pose la question, vous devez pouvoir montrer que vous avez agi. Cinq pièces suffisent dans la plupart des petites entreprises.
- La liste des outils utilisés : ChatGPT, Copilot, Mistral, l’assistant intégré au logiciel de comptabilité, avec qui s’en sert et pour quoi faire.
- Une charte d’usage d’une ou deux pages : ce qu’on peut confier à l’outil, ce qu’on ne lui confie jamais (données clients nominatives, prix d’achat, secrets de fabrication), et la règle de relecture humaine avant tout envoi.
- Une trace des actions de formation : date, durée, contenu, participants. La feuille d’émargement d’une séance interne compte. L’attestation d’une formation externe aussi.
- Les réglages vérifiés : historique, réutilisation des données par le fournisseur, comptes professionnels plutôt que personnels.
- Un point régulier : un nouvel outil ou un nouvel usage, comme le tri de candidatures, doit faire revoir la charte.
Ce dossier tient dans une chemise et montre une démarche adaptée à vos outils, ce que demande l’article 4.
Une formation suivie et attestée fait partie de ce dossier. Si vous dirigez une TPE, vérifiez ce que votre fonds peut prendre en charge.
Faut-il donc suivre une formation ?
Juridiquement, une formation externe n’est pas imposée. En pratique, c’est souvent le moyen le plus simple de remplir l’obligation et de laisser une trace datée. C’est aussi le moyen d’aller plus loin que les consignes : la plupart des formations à l’IA s’arrêtent aux visuels et aux prompts, alors que le vrai sujet d’un dirigeant de TPE, ce sont la comptabilité, la trésorerie, les relances et le temps perdu. Pour voir où l’IA aide vraiment, lisez notre guide de l’IA pour les dirigeants de TPE.
Pour le dirigeant lui-même, la formation peut être prise en charge par le fonds d’assurance formation dont il relève, l’AGEFICE ou le FAFCEA selon son activité, avec un remboursement versé après la formation. Les conditions et les pièges sont détaillés dans notre guide sur le financement de la formation du dirigeant.
Agir, et pouvoir le montrer.
Le Dirigeant Augmenté est notre formation IA des dirigeants de TPE : comptabilité, trésorerie, devis, connexion des logiciels, prospection et cadre juridique, en visio et en e-learning tutoré. Nous l’avons d’abord appliquée chez nous. Nous avons récupéré 44 heures d’administratif par mois. Ce temps est reparti sur le conseil et la création.
Un bloc entier porte sur le cadre juridique et la sécurité, et la formation laisse une trace datée de votre démarche. Commencez par vérifier ce que votre fonds peut prendre en charge.
Questions fréquentes
La formation à l’IA est-elle obligatoire pour les salariés ?
Il n’existe pas d’obligation de suivre une formation diplômante. L’article 4 du règlement (UE) 2024/1689 impose à l’entreprise qui utilise des outils d’IA de prendre des mesures pour favoriser la maîtrise de l’IA de son personnel. Depuis le règlement (UE) 2026/1744, aucun niveau spécifique n’est exigé par personne. Une formation est l’un des moyens de remplir cette obligation, pas le seul.
Faut-il un certificat pour prouver qu’on respecte l’article 4 ?
Non. Dans ses questions-réponses sur la maîtrise de l’IA, mises à jour le 27 juillet 2026, la Commission européenne indique qu’aucun certificat n’est nécessaire. Une organisation peut tenir un registre interne de ses formations et de ses autres actions. Gardez donc les dates, les contenus et les participants.
Quelle amende risque une TPE qui ne fait rien ?
L’article 4 ne figure pas dans la liste de l’article 99, paragraphe 4, du règlement, qui fixe les plafonds européens d’amende. Les sanctions éventuelles relèvent du droit national, que chaque État membre fixe selon l’article 99, paragraphe 1, en tenant compte des intérêts des PME. Selon la Commission, elles doivent être proportionnées et sont plus probables en cas d’incident lié à un manque de formation.
Depuis quand l’article 4 de l’AI Act s’applique-t-il ?
Depuis le 2 février 2025, date d’application des chapitres I et II fixée par l’article 113 du règlement. Sa rédaction a été remplacée par le règlement (UE) 2026/1744, publié au Journal officiel le 24 juillet 2026 et entré en vigueur le 27 juillet 2026. Selon la Commission, le contrôle par les autorités nationales s’exerce à partir d’août 2026.
Mes salariés utilisent ChatGPT gratuitement, suis-je concerné ?
Oui. Le règlement appelle déployeur toute personne qui utilise un système d’IA sous sa propre autorité dans un cadre professionnel, sans seuil de taille. La Commission cite l’exemple d’une entreprise dont les salariés rédigent des textes publicitaires ou traduisent avec ChatGPT : ils doivent au moins connaître les risques, comme les hallucinations. La CNIL recommande en plus une charte qui liste les usages autorisés et interdits.
Le Code du travail oblige-t-il à former à l’IA ?
Il ne vise pas l’IA en particulier. L’article L6321-1 du Code du travail dispose que l’employeur assure l’adaptation des salariés à leur poste de travail et veille au maintien de leur capacité à occuper un emploi, au regard notamment de l’évolution des technologies. Quand un outil d’IA change la façon de travailler sur un poste, l’accompagnement entre dans cette obligation.
Faut-il dire à ses clients qu’ils échangent avec une IA ?
Oui, dans certains cas, depuis le 2 août 2026. Selon le communiqué de la Commission européenne du 31 juillet 2026, les chatbots et autres systèmes interactifs doivent indiquer à l’utilisateur qu’il s’adresse à une IA et non à un humain, et les hypertrucages (deepfakes) doivent être signalés. Si vous installez un assistant de réponse sur votre site, vérifiez qu’il l’annonce clairement.
Quand s’appliquent les règles sur l’IA à haut risque, comme le tri de candidatures ?
À partir du 2 décembre 2027 pour les domaines listés à l’annexe III, dont l’emploi. Selon la Commission européenne, consultée en octobre 2026, l’omnibus entré en vigueur le 27 juillet 2026 a reporté ces règles, et celles des systèmes intégrés à des produits réglementés au 2 août 2028. L’obligation de maîtrise de l’IA de l’article 4, elle, s’applique déjà.
Quelles pratiques d’IA sont interdites par l’AI Act ?
L’article 5 du règlement interdit notamment les systèmes qui manipulent les personnes, exploitent leurs vulnérabilités ou les notent de façon injuste au détriment de leurs droits. Selon l’article 113 du règlement (UE) 2024/1689, consulté en octobre 2026, ces interdictions s’appliquent depuis le 2 février 2025. Une TPE qui utilise un assistant d’écriture ou de tableur n’est pas visée.
L’AI Act prévoit-il des allègements pour les petites entreprises ?
Oui, en partie. Selon la Commission européenne, consultée en octobre 2026, l’omnibus entré en vigueur le 27 juillet 2026 étend aux petites entreprises de taille intermédiaire les obligations simplifiées déjà prévues pour les PME. L’article 4 révisé charge aussi la Commission et les États membres de soutenir les entreprises, en particulier les PME. L’obligation d’agir sur la maîtrise de l’IA demeure.
