Parmi les obligations de l'AI Act, l'article 4 est celle que les TPE connaissent le moins — et pourtant, c'est la seule qui s'applique à toutes les entreprises, dès aujourd'hui. Pas de délai, pas de seuil de taille, pas de secteur exempté. Si vos équipes utilisent l'IA au travail, vous êtes concerné. Voici ce que dit le texte, ce qu'attend un contrôleur, et comment constituer une preuve solide sans vous y perdre.
Ce que dit vraiment l'article 4
L'article 4 de l'AI Act s'intitule « Maîtrise de l'intelligence artificielle ». Il impose que les personnes qui déploient ou utilisent des systèmes d'IA disposent d'un niveau de maîtrise suffisant eu égard aux outils qu'ils utilisent, aux risques associés, et à l'impact potentiel sur les tiers.
La bonne nouvelle : la loi ne définit pas de programme de formation précis. Elle ne vous oblige pas à faire passer une certification de 40 heures à chacun de vos salariés. Ce qu'elle demande, c'est que vous puissiez démontrer que vous avez pris les mesures adaptées à votre situation.
La mauvaise nouvelle : « suffisant » est un terme flou, qui laisse une marge d'appréciation au contrôleur. Sans trace écrite, vous ne pourrez pas prouver grand-chose.
À jour de juillet 2026 — l'article 4 est en vigueur depuis le 2 février 2025 pour toutes les entreprises.
Qui est vraiment concerné ?
La question revient souvent : « Mon entreprise est petite, c'est sûr que l'AI Act ne s'applique pas à nous. » C'est une idée reçue.
L'article 4 concerne toute entité — entreprise, association, indépendant — dès lors qu'elle utilise des systèmes d'IA. Pas besoin d'en développer, d'en commercialiser ou d'être un acteur tech. Si vos équipes utilisent ChatGPT pour rédiger des devis, Copilot pour leurs emails ou un outil métier intégrant de l'IA, vous êtes dans le périmètre.
Il existe en revanche des nuances selon le rôle de l'entreprise :
- Fournisseur d'IA (vous développez un système IA) : obligations plus larges, délais de mise en conformité progressifs selon la catégorie de risque.
- Déployeur (vous utilisez un système IA mis sur le marché par un autre) : l'article 4 s'applique, mais les obligations les plus lourdes (documentation technique, certification…) incombent au fournisseur.
La quasi-totalité des TPE sont dans la catégorie « déployeur » — ce qui réduit considérablement la charge réglementaire. Mais l'article 4 reste plein et entier.
Ce qu'un contrôleur attendrait de vous
Soyons honnêtes : en 2025-2026, les contrôles formels sur l'article 4 sont encore rares pour les TPE. Mais deux scénarios peuvent vous exposer plus tôt que prévu :
- Un incident : une fuite de données liée à un usage mal encadré de l'IA, une erreur transmise à un client. Le contrôleur demande alors vos preuves de conformité.
- Un client ou partenaire : de plus en plus d'entreprises demandent à leurs prestataires de justifier leur conformité IA avant de signer ou renouveler un contrat.
Dans l'un ou l'autre cas, voici ce qu'on vous demandera de montrer :
- Avez-vous identifié les outils d'IA utilisés dans votre entreprise ?
- Avez-vous informé vos équipes des règles d'usage ?
- Avez-vous formé les utilisateurs selon leur niveau d'exposition ?
- Avez-vous une trace de tout ça ?
Le rôle central de l'attestation nominative
L'attestation de formation ou de sensibilisation est la pièce clé de votre dossier. C'est un document signé, daté, nominatif, qui atteste que chaque collaborateur concerné a bien reçu une information ou une formation sur l'usage responsable de l'IA.
Voici pourquoi elle est irremplaçable :
- Elle transforme une obligation floue (« être formé ») en preuve concrète et opposable.
- Elle protège l'entreprise en cas de dérapage d'un collaborateur (vous avez agi, vous avez formé).
- Elle satisfait les demandes des clients et partenaires sans avoir à tout réexpliquer.
Une attestation utile comporte :
- Le nom et la fonction du collaborateur.
- La date de la sensibilisation ou formation.
- Le contenu couvert (en résumé : bonnes pratiques, confidentialité, vérification humaine…).
- La signature du collaborateur et du responsable.
Elle n'a pas besoin d'être un document de 10 pages. Une page suffit, dès lors qu'elle est précise et conservée.
Exemple concret : une TPE de 6 salariés
Prenons le cas de Marc, gérant d'une agence de communication de 6 personnes. Depuis mi-2024, ses équipes utilisent ChatGPT pour rédiger des briefs, un outil de génération d'images pour des visuels exploratoires, et un outil de synthèse automatique pour les comptes-rendus de réunion.
Marc n'avait rien formalisé. En janvier 2025, un grand compte lui demande ses justificatifs de conformité IA avant de renouveler un contrat de 30 000 €. Il dispose de 10 jours.
Voici ce qu'il a fait :
Première semaine :
- Inventaire des outils IA utilisés : 4 outils identifiés, listés dans un registre simple.
- Rédaction d'une charte d'usage de 3 pages, adaptée à son secteur.
- Session de sensibilisation de 45 minutes avec toute l'équipe.
Deuxième semaine :
- Signature des attestations par les 6 collaborateurs.
- Transmission du dossier (charte + registre + attestations) au client.
Résultat : le contrat a été renouvelé. Le client a noté que Marc était « l'un des rares prestataires à avoir déjà tout en ordre ».
Coût total pour Marc : une demi-journée de travail et un abonnement Chartia.
Distinguer sensibilisation et formation approfondie
L'erreur fréquente est de penser qu'il faut former tout le monde de la même façon. L'article 4 parle de maîtrise « proportionnelle » au rôle et à l'exposition aux risques.
En pratique :
Sensibilisation pour tous : un document ou une session de 30 à 60 minutes couvrant les bases — ce qu'est l'IA générative, ce qu'on peut y mettre ou non, l'importance de la vérification humaine. Idéal pour les collaborateurs qui utilisent l'IA occasionnellement.
Formation approfondie pour les utilisateurs intensifs : ceux qui utilisent l'IA quotidiennement, qui prennent des décisions basées sur ses productions, ou qui traitent des données sensibles. Pour eux, il faut couvrir les biais, les hallucinations, les enjeux RGPD, et les spécificités de leur métier.
Le registre des outils IA vous aide à segmenter : pour chaque outil, notez qui l'utilise, à quelle fréquence, et quel type de données y transite. Cela vous permet d'adapter le niveau de formation à chaque profil.
Tenir à jour les attestations
Une attestation signée une fois n'est pas valable à vie. Deux occasions de la renouveler :
- Quand un nouvel outil est adopté : même si la formation générale est déjà faite, une mise à jour spécifique à l'outil s'impose pour les utilisateurs concernés.
- Quand la réglementation évolue : à chaque changement significatif, une mise à jour de la charte et un nouveau point avec les équipes sont nécessaires.
Chartia suit les évolutions réglementaires et vous signale quand une nouvelle version de vos documents est disponible — c'est la promesse du journal de veille.
Par où commencer ?
Si vous n'avez encore rien formalisé, voici l'ordre le plus efficace :
- Faites l'inventaire de vos outils IA (même un tableau simple suffit).
- Rédigez ou générez votre charte d'usage — c'est la base sur laquelle s'appuie la sensibilisation.
- Organisez une session de 30 à 45 minutes avec vos équipes.
- Faites signer des attestations nominatives, conservées dans chaque dossier de collaborateur.
Tout cela peut se faire en une journée de travail pour une équipe de moins de 10 personnes. Chartia génère la charte, le registre et les attestations pré-remplies en 20 minutes.
Pas sûr de ce dont votre entreprise a besoin exactement ? Faites le diagnostic gratuit : en 10 questions, vous saurez précisément où vous en êtes sur l'article 4 et les autres obligations de l'AI Act. Vous pouvez aussi consulter notre page dédiée à la formation IA obligatoire pour approfondir le sujet.