L'essentiel en trente secondes. Depuis le 2 février 2025, tout employeur dont les équipes utilisent un outil d'intelligence artificielle — ChatGPT, Copilot, la fonction « IA » d'un logiciel métier — doit prendre des mesures pour que ces personnes maîtrisent suffisamment l'IA. C'est l'article 4 du règlement européen sur l'IA (AI Act). Il n'y a aucun seuil d'effectif. Depuis le 2 août 2026, les autorités peuvent contrôler et sanctionner. Ce qu'on vous demandera, ce n'est pas de tester vos salariés : c'est un dossier daté.
Qui est concerné par l'obligation ?
Le règlement (UE) 2024/1689 s'adresse à deux familles d'acteurs : les fournisseurs de systèmes d'IA, qui les conçoivent, et les déployeurs, qui les utilisent dans un cadre professionnel. Une TPE qui rédige ses devis avec ChatGPT, un cabinet dont les collaborateurs résument des documents avec Copilot, un commerce qui répond à ses clients avec un chatbot : tous sont déployeurs.
L'article 4 vise l'ensemble de leur personnel et des personnes qui, pour leur compte, utilisent ces systèmes — salariés, apprentis, intérimaires, parfois prestataires. Il ne fixe ni seuil d'effectif, ni seuil de chiffre d'affaires. Un seul salarié qui ouvre un assistant d'IA dans son travail, et l'obligation pèse sur l'entreprise — pas sur lui. C'est au dirigeant qu'on demandera des comptes.
La question à se poser n'est donc pas « avons-nous acheté un logiciel d'IA ? » mais « quelqu'un, chez nous, s'en sert-il ? ». Dans neuf entreprises sur dix, la réponse est oui, souvent sans que la direction l'ait décidé.
Depuis quand, et jusqu'à quand
- 2 février 2025L'article 4 entre en application. L'obligation de maîtrise de l'IA est due par tous les employeurs concernés, en même temps que l'interdiction des pratiques à risque inacceptable.
- 27 juillet 2026Le règlement (UE) 2026/1744, dit « omnibus IA », réécrit l'article 4 : il faut désormais prendre des mesures pour développer la maîtrise de l'IA, et non plus garantir un niveau. Une obligation de moyens, qui se prouve par des mesures documentées.
- 2 août 2026L'essentiel du règlement s'applique. Les autorités nationales — en France la CNIL, la DGCCRF et l'Arcom selon les domaines — disposent de leurs pouvoirs de contrôle et de sanction.
- 2 décembre 2027Échéance reportée pour les obligations lourdes des systèmes « à haut risque » de l'annexe III (tri de candidatures, notation de dossiers, évaluation de personnes). Ce report ne concerne ni l'article 4, ni la transparence, ni les sanctions.
Ce que la loi demande exactement
Le texte demande à l'employeur de prendre des mesures pour garantir, « dans toute la mesure du possible », un niveau suffisant de maîtrise de l'IA à son personnel, en tenant compte de trois choses : les connaissances des personnes, le contexte dans lequel les outils sont utilisés, et les personnes sur lesquelles ces outils ont un effet — vos clients, vos patients, vos candidats.
Trois conséquences pratiques. D'abord, il n'y a pas de niveau à atteindre ni d'examen à réussir : on ne testera pas vos salariés. Ensuite, la mesure doit être proportionnée : une heure suffit pour une équipe qui rédige des mails avec un assistant, davantage pour un service qui trie des candidatures. Enfin, et c'est le point que beaucoup oublient, une mesure qui n'est pas documentée n'existe pas aux yeux d'un contrôleur. Votre parole ne suffira pas ; il faut une trace écrite et datée.
Ce qu'il faut savoir aussi : aucune certification « conformité IA » n'existe, ni pour les entreprises, ni pour les prestataires. Si on vous en vend une, c'est un bon indice sur le sérieux de l'interlocuteur.
Ce qu'il faut pouvoir montrer
En cas de contrôle ou d'incident, la première pièce demandée sera votre dossier. Un dossier solide tient en quatre documents :
- Une charte d'usage de l'IA, adaptée à vos métiers, qui dit ce que l'on peut faire avec ces outils et ce que l'on ne fait jamais — signée par chaque collaborateur.
- Un registre daté des mesures prises : quelle session, quel jour, pour qui, sur quels outils.
- Des attestations nominatives de participation, une par personne.
- Un mémo pour la direction, qui résume le cadre et les décisions prises — utile le jour où quelqu'un pose la question.
Une charte recopiée sur internet peut se retourner contre vous : elle prouve ce que vous aviez compris, et elle ne correspond pas à vos outils. C'est le document dont la personnalisation compte le plus.
Les sanctions, sans exagération
L'article 4 n'a pas de régime d'amende propre. Le règlement prévoit des amendes lourdes — jusqu'à 15 millions d'euros ou 3 % du chiffre d'affaires mondial, davantage pour les pratiques interdites — mais elles visent d'autres articles, notamment les obligations de transparence (un chatbot qui cache qu'il est une IA, par exemple). Pour une PME, le plafond retenu est le plus bas des deux valeurs, pas le plus élevé. Une entreprise à 800 000 € de chiffre d'affaires ne risque pas 35 millions, et quiconque agite ce chiffre devant vous bluffe.
Le risque lié à l'article 4 est indirect, mais réel : en cas de contrôle ou d'incident, l'autorité doit tenir compte des mesures que vous aviez prises. Avec un dossier, la sanction baisse. Sans rien à montrer, vous n'avez aucun argument à faire valoir.
Le vrai risque n'est pas l'amende
Le jour où un salarié colle un fichier client, un bulletin de paie ou un dossier médical dans une IA grand public, vous ne basculez pas sur le terrain de l'AI Act : vous basculez sur celui du RGPD et du secret professionnel, où la CNIL sanctionne déjà, et depuis longtemps. Ce que l'on vous demandera alors, c'est ce que vous aviez mis en place pour que cela n'arrive pas. Une session datée et une charte signée sont la réponse. Le silence n'en est pas une.
C'est aussi le risque le plus fréquent : des salariés qui utilisent ces outils sans cadre, qui n'osent pas en parler, et une direction qui découvre l'usage le jour du problème.
Comment Carmalia répond à l'obligation
Nous venons une heure — dans vos bureaux à Vienne, Lyon ou Nice, ou en visio partout en France. Un ingénieur, pas un commercial, passe avec vos équipes sur ce que l'on peut faire avec ces outils, ce que l'on ne fait jamais, et pourquoi, à partir de vos logiciels réels. Nous repartons en vous laissant le dossier complet : charte signée, registre daté, attestations nominatives, mémo de direction — le jour même. À partir de 390 € HT selon l'effectif, réglés après la prestation, sans acompte. Nos documents sont relus par un fiscaliste partenaire.
Nous ne promettons pas que « vous serez en conformité » : personne ne peut le garantir, et l'appréciation relève des autorités. Nous produisons les pièces qui documentent ce que vous avez mis en place — c'est exactement ce que la loi demande depuis juillet 2026.
Questions fréquentes
Une entreprise de trois salariés est-elle concernée ?
Oui. L'article 4 ne prévoit aucun seuil d'effectif ni de chiffre d'affaires. Dès qu'une personne utilise un système d'IA pour le compte de l'entreprise, l'obligation pèse sur l'employeur.
Nous n'avons pas acheté de logiciel d'IA. Sommes-nous concernés ?
Probablement. La question n'est pas ce que l'entreprise a acheté, mais ce que ses équipes utilisent : un assistant de rédaction gratuit, la fonction IA d'une suite bureautique, un traducteur en ligne. Dans la plupart des entreprises, l'usage existe sans avoir été décidé.
Faut-il faire passer un test à nos salariés ?
Non. Le texte, réécrit en juillet 2026, demande de prendre des mesures proportionnées, pas d'atteindre un niveau. Ce qui compte, c'est de pouvoir montrer ce qui a été fait, à quelle date, pour qui.
Une session d'une heure suffit-elle ?
Pour une équipe qui utilise des assistants généralistes, oui : la loi demande une mesure proportionnée aux usages et aux risques. Pour des usages sensibles — tri de candidatures, évaluation de personnes — le cadre est plus lourd et relève d'autres articles du règlement.
Est-ce finançable par l'OPCO ?
Non, et c'est assumé. Il ne s'agit pas d'une action de formation mais d'une prestation de mise en conformité. C'est aussi ce qui la rend rapide : aucun dossier de financement, aucun délai administratif.
Quelle différence avec le RGPD ?
Le RGPD protège les données personnelles ; l'AI Act encadre les systèmes d'IA. Les deux se rejoignent le jour où un salarié confie des données de clients à une IA. C'est pour cela que la charte d'usage traite les deux sujets ensemble.
Parlons-en quinze minutes
On vérifie ensemble que vous êtes concerné. Si ce n'est pas utile chez vous, on vous le dit.