AI Act : depuis le 2 août, les PME doivent pouvoir prouver que leurs équipes sont formées à l'IA

Depuis le 2 août 2026, la CNIL peut contrôler l'application du règlement européen sur l'intelligence artificielle. La plupart des dirigeants que je rencontre l'ignorent, non par négligence, mais parce que le sujet leur a été présenté comme une affaire de grands groupes.

Il ne s'agit pourtant ni d'un texte à venir, ni d'un seuil d'effectif. L'article 4 du règlement (UE) 2024/1689 impose depuis le 2 février 2025 à toute organisation utilisant des systèmes d'IA de veiller à ce que son personnel dispose d'un niveau suffisant de « littératie IA ». Aucun seuil de taille, aucun seuil de chiffre d'affaires. Dès le premier usage professionnel d'un outil d'IA, vous êtes concerné.

Et le premier usage professionnel, dans votre entreprise, a probablement déjà eu lieu.

Ce que l'obligation recouvre

La littératie IA, c'est la capacité de vos équipes à comprendre ce qu'elles manipulent : comment fonctionne l'outil qu'elles utilisent, quelles sont ses limites, quels risques il fait courir à l'entreprise et à ses clients.

Concrètement, cela veut dire que la personne qui colle un extrait de contrat dans un service en ligne sait ce qu'il advient de ce texte. Que le commercial qui fait générer une trame de proposition sait pourquoi il doit la relire. Que l'assistante qui utilise un outil de transcription en réunion sait où sont stockés les enregistrements.

Ce sont des compétences, pas des procédures. C'est précisément ce qui rend l'obligation atteignable pour une PME.

Ce que l'obligation ne recouvre pas

Ce sujet génère depuis quelques semaines beaucoup de messages anxiogènes. Autant être précis, parce que la confusion coûte plus cher que le texte lui-même.

Il n'existe pas d'amende automatique attachée à l'article 4. C'est une obligation de moyens. Aucun format de formation n'est imposé, aucun volume horaire, aucun organisme agréé. Une sensibilisation courte, adaptée à vos usages réels, satisfait à l'exigence.

Ce n'est pas une démarche de certification. Vous n'avez rien à déposer, rien à faire viser.

En revanche, l'absence totale d'action devient un facteur aggravant en cas de contrôle, ou en cas de litige lié à un dommage causé par un système d'IA. Ce qui est examiné alors, ce n'est pas la qualité pédagogique de votre démarche : c'est son existence, et la trace que vous en avez gardée. Un support daté, une liste de participants, un diagnostic complété.

De quoi prouver que vous vous en êtes occupé.

Le vrai sujet n'est pas réglementaire

Voilà pour le cadre. Mais je serais malhonnête de vous laisser croire que l'AI Act est la raison de s'y mettre.

Sur les diagnostics que je mène en PME, le constat est presque toujours le même : l'IA est entrée dans l'entreprise par les équipes, pas par la direction. Quelqu'un fait relire ses réponses clients délicates. Quelqu'un d'autre fait résumer ses comptes rendus. À la comptabilité, une personne a testé quelque chose qui marche plutôt bien, sans en parler à personne, parce que personne ne sait si c'est autorisé.

Ces usages ont trois caractéristiques. Ils sont réels : ils produisent déjà du gain de temps. Ils sont invisibles : personne ne les remonte. Et ils ne sont pas cadrés : aucune règle ne dit ce qui peut sortir de l'entreprise.

Le problème que cela pose n'est d'ailleurs pas celui qu'on croit. Ce n'est pas d'abord le risque de fuite de données, même s'il est réel. C'est le gâchis : trois personnes résolvent trois fois le même problème sans le savoir, et aucune des trois solutions ne devient un actif de l'entreprise.

L'obligation réglementaire n'est donc pas la raison d'agir. Elle est l'occasion de le faire maintenant plutôt que dans dix-huit mois.

Première étape : savoir où vous en êtes

Avant de décider quoi que ce soit, il faut un état des lieux. Pas un audit de trois semaines : une photographie.

C'est pour cela que j'ai construit un autodiagnostic de maturité IA : 14 questions, 5 minutes, gratuit, sans inscription et sans e-mail à laisser. Vous obtenez immédiatement un score, une lecture par axe et un plan d'actions priorisé.

Il évalue cinq dimensions :

• Usages et valeur : ce que vous en faites aujourd'hui
• Données et confidentialité : ce que vos données permettent, et ce qu'elles interdisent
• Compétences : ce que vos équipes savent réellement
• Intégration : ce que vos outils supportent
• Pilotage : qui décide, et sur quelle base

L'intérêt de ce format n'est pas le score global. Il est dans l'écart entre les axes : deux entreprises au même score peuvent avoir des profils radicalement différents, et donc des priorités opposées. C'est cet écart qui indique par où commencer.

Le remplir vous donne aussi, accessoirement, un premier élément daté à verser à votre dossier au titre de l'article 4.

Ce que Werk IA fait de ce constat

Un diagnostic vous dit où vous en êtes.

C'est l'objet de l'atelier Werk IA : une demi-journée, dans vos locaux, avec vos équipes, autour de 4 temps :

Cadrer

Un point de préparation avec vous, une à deux heures, deux à trois semaines avant. On s'aligne sur ce qui est déjà acté en interne : outils retenus, organisation, sujets sensibles à ne pas heurter devant tout le monde. Je m'adapte à vos choix, je ne viens pas imposer les miens.

Diagnostiquer

Un questionnaire en ligne, à remplir par vos équipes avant l'atelier permet d'établir un état des lieux des connaissances et usages de l'IA en interne. Vous obtenez un rapport daté, que vous pouvez verser à votre dossier de conformité.

Embarquer

Le jour J, une conférence d'1h15 met tout le monde au même niveau de compréhension (ce que l'IA change, ce qu'elle ne change pas, poste par poste). Puis un atelier de 2h15 minimum, en petits groupes, où chaque équipe fait sortir ses propres cas d'usage. Pas une liste préparée en amont par la direction.

Prioriser

Vous repartez avec une feuille de route qui sépare les actions rapides des projets lourds, chaque cas d'usage documenté avec son coût actuel estimé et son niveau de difficulté.

Trois effets que les dirigeants n'anticipent pas. Les ambassadeurs IA se révèlent d'eux-mêmes pendant l'atelier (vous n'avez personne à nommer). Les collaborateurs qui craignent l'IA se rassurent en découvrant qu'on leur demande leur avis, pas leur remplacement. Et vous obtenez une trace datée (diagnostic, supports, attestation de participation) qui alimente directement votre conformité à l'article 4.

Et si le sujet, chez vous, c'est d'abord la donnée

Il arrive que le diagnostic IA révèle autre chose que ce qu'on venait y chercher. Quand l'axe « données » ressort nettement en dessous des autres, le problème n'est pas l'intelligence artificielle : il est en amont.

Une IA branchée sur des données que personne ne sait fiables produit des réponses fausses avec le même aplomb que des réponses justes. Et un tableau de bord alimenté par trois fichiers qui ne se parlent pas ne devient pas juste parce qu'on lui ajoute un modèle.

Pour ce cas de figure, l'autodiagnostic Data prend le relais sur cinq axes : fiabilité, accessibilité, gouvernance, apport aux décisions et valorisation. Même format : 14 questions, 5 minutes, résultat immédiat et plan d'actions priorisé. Il demande en revanche vos coordonnées, contrairement au diagnostic IA.

Les deux se complètent, et beaucoup d'entreprises gagnent à faire les deux : l'un dit ce que vos équipes savent faire, l'autre ce que vos données leur permettent de faire.

Par où commencer cette semaine

La question à se poser n'est pas « quel outil acheter ». C'est : combien de personnes chez nous sauraient expliquer pourquoi une IA se trompe ?

Si la réponse est « une ou deux », vous savez par où commencer. Et vous savez aussi que ce n'est pas un problème d'investissement, mais d'acculturation (les deux ne coûtent pas du tout la même chose, ni en argent ni en temps).

Commencez par le diagnostic. Cinq minutes, et vous saurez de quoi vous parlez. Si vous voulez ensuite qu'on en discute, prenez vingt minutes dans mon agenda : je vous dirai franchement si l'atelier a du sens pour votre entreprise. Il m'arrive régulièrement de dire non.