AI Act article 4 non conforme : que risque vraiment votre PME ?

Réponse courte, et elle a changé cet été : beaucoup moins que ce qu'on vous a raconté. Le 27 juillet 2026, le règlement (UE) 2026/1744 est entré en vigueur et a réécrit l'article 4 de l'AI Act. Il ne demande plus d'assurer un niveau de maîtrise de l'IA : il demande de *soutenir le développement* de cette maîtrise, et il précise noir sur blanc qu'il « n'impose pas de garantir un niveau spécifique de littératie IA pour un individu ».

Autrement dit : il n'existe pas de niveau à atteindre, donc pas de niveau qu'on puisse vous reprocher de ne pas avoir atteint.

Voilà la réponse calibrée. Ni alarmisme, ni déni. Le reste de cet article explique ce qui subsiste — parce qu'il subsiste quelque chose — et ce qu'il reste rationnel de faire.

⚠️ Attention au contresens inverse. « La règle a changé » ne veut pas dire « c'est repoussé ». L'article 4 s'applique depuis le 2 février 2025 et cette date n'a pas bougé d'un jour. Ce qui a été allégé, c'est la substance de l'obligation, pas son calendrier.

Ce que l'Article 4 impose concrètement, depuis sa réécriture

Le texte, dans sa version applicable

Le règlement (UE) 2026/1744 du 8 juillet 2026 — le « Digital Omnibus on AI » — publié au JOUE le 24 juillet 2026, remplace intégralement l'article 4 de l'AI Act.

Les fournisseurs et déployeurs de systèmes d'IA doivent « prendre des mesures pour soutenir le développement de la littératie IA » de leur personnel et des autres personnes utilisant ces systèmes pour leur compte, en tenant compte de leurs connaissances techniques, de leur expérience, de leur formation et du contexte d'utilisation. Le texte ajoute : « cette obligation n'impose pas de garantir un niveau spécifique de littératie IA pour un individu ».

>

*Article 4 de l'AI Act tel que modifié par le [règlement (UE) 2026/1744](https://eur-lex.europa.eu/eli/reg/2026/1744/oj/eng) (EUR-Lex)*

La littératie IA reste définie à l'article 3, paragraphe 56 de l'AI Act comme "les compétences, connaissances et capacités de compréhension permettant une utilisation éclairée des systèmes d'IA, ainsi qu'une conscience des opportunités et des risques associés". Ce n'est pas une formation diplômante, et ce n'est plus un seuil de compétence à démontrer. C'est une obligation de moyens, proportionnée à la taille de l'entreprise et à ses usages réels.

Ce que "littératie IA" veut dire en pratique pour votre PME

En pratique, l'obligation se réduit à ceci : avoir fait quelque chose, et que ce quelque chose ait un rapport avec vos usages réels.

• Votre personnel sait ce qu'est un système d'IA et comment l'utiliser de façon responsable
• Vos collaborateurs connaissent les risques liés au partage de données sensibles avec des outils IA
• Les mesures prises tiennent compte du contexte d'utilisation — donc, en amont, vous savez quels outils sont utilisés chez vous

Ce troisième point est le seul qui coince réellement dans la plupart des PME. Et il ne coince pas pour des raisons juridiques.

Qui est concerné dans votre entreprise ?

Toute personne "directement en contact avec un système d'IA" (formulation de la Commission européenne dans ses FAQ officielles). Selon une étude Microsoft France / YouGov de février 2026, 61 % des collaborateurs utilisant l'IA en entreprise le font via leurs comptes personnels au moins une fois par semaine. Dans une PME de 2026, cela couvre probablement plus de monde que vous ne le pensez.

L'usage non supervisé via comptes personnels reste un vrai problème — mais c'est d'abord un problème de sécurité des données et de qualité du travail produit, pas une infraction à l'article 4. Ne pas savoir quels outils circulent dans son entreprise est un angle mort de direction avant d'être un sujet réglementaire.

Ce qui a réellement changé cet été

Le Digital Omnibus a-t-il repoussé la deadline de l'Article 4 ?

Non — il a fait autre chose, et de plus lourd de conséquences : il a réécrit l'article lui-même.

C'est le point que presque personne n'a relevé dans le débat français, entièrement occupé par le report des obligations « haut risque ». Récapitulons ce que le règlement (UE) 2026/1744 fait, et ce qu'il ne fait pas :

Si vous avez entendu que « l'AI Act a été repoussé », c'est inexact pour l'article 4 : sa date n'a pas changé. C'est sa substance qui a été allégée. Et si vous lisez encore quelque part que l'article 4 impose de constituer un dossier de preuve opposable, c'est la rédaction antérieure du texte — celle d'avant le 27 juillet 2026.

Ce qui s'applique quand même depuis le 2 août 2026

Le 2 août 2026 n'est pas une date vide. Ce qui entre en application à cette date :

• La gouvernance et les pouvoirs d'exécution : le Bureau européen de l'IA et les autorités des États membres deviennent responsables de la mise en œuvre, de la supervision et du contrôle de l'AI Act.
• Les obligations de transparence de l'article 50 (signaler qu'un contenu ou une interaction est généré par une IA), avec une période transitoire de quatre mois pour les systèmes mis sur le marché avant cette date.
• La surveillance du marché et la surveillance après commercialisation.

En clair : le dispositif de contrôle existe désormais. Ce qu'il contrôle sur le terrain de la littératie IA, en revanche, est devenu beaucoup plus léger qu'annoncé.

Le vrai risque pour votre PME

Le risque proactif est faible dans les 6 premiers mois

Les autorités nationales de surveillance du marché ne vont pas lancer des contrôles massifs sur les PME dès le 3 août 2026. Aucune administration ne démarre ainsi. La priorité dans les premiers mois sera l'accompagnement des acteurs de bonne foi, la publication de guides, et les contrôles des acteurs les plus exposés (grandes entreprises, déployeurs de systèmes à haut risque).

Pour une PME de 20 à 250 salariés n'utilisant pas de systèmes IA à haut risque, la probabilité d'un contrôle proactif dans les 6 premiers mois est faible. C'est la réalité, et il serait malhonnête de vous faire croire le contraire.

Le risque déclenché par un incident, lui, n'a pas changé

Le scénario concret pour une PME n'a jamais été le contrôle proactif sur la littératie IA. C'est l'événement qui vous met en défaut — et, dans ces situations, ce n'est presque jamais l'article 4 qui vous est opposé.

Les situations où l'absence de démarche devient coûteuse :

• Un incident IA survient chez vous : données confidentielles collées dans un outil grand public via un compte personnel, décision automatisée contestée par un salarié ou un client. Le terrain juridique est alors celui du RGPD et du droit du travail, pas celui de l'article 4.
• Un donneur d'ordre ou un client grand compte vous interroge sur vos usages IA dans le cadre d'un appel d'offres ou d'un audit fournisseur. Ne rien pouvoir répondre coûte un contrat, pas une amende.
• Un contentieux prud'homal fait apparaître l'utilisation d'un outil IA dans une procédure disciplinaire ou un licenciement.
• Un outil relevant de l'annexe III (tri de CV, évaluation automatisée) est déployé sans préparation, alors que ces obligations arrivent au 2 décembre 2027.

Dans chacun de ces cas, ne pas savoir quels outils sont utilisés chez vous est un handicap réel. Ce n'est simplement pas un handicap de nature réglementaire au titre de l'article 4.

Et les sanctions financières ?

C'est la question que tout le monde pose, et c'est celle sur laquelle nous choisissons de ne rien affirmer.

Le régime de sanctions de l'AI Act a été modifié par le Digital Omnibus en même temps que le reste du texte, et son application article par article au 2 août 2026 n'est pas établie de façon fiable à ce jour. Les montants qui circulent — y compris ceux que cet article citait dans sa version précédente — proviennent de la rédaction antérieure du règlement.

Nous ne citerons donc aucun montant. Sur un sujet où un chiffre faux se propage plus vite qu'une correction, mieux vaut une réponse incomplète qu'une réponse inventée. Si vous avez besoin d'une position juridique ferme sur votre exposition, elle relève d'un avocat spécialisé, pas d'un article de blog — le nôtre compris.

Ce qui est en revanche certain : l'article 4 n'imposant aucun niveau garanti par individu, il n'y a plus de « niveau insuffisant » constatable. Le risque qui subsiste concerne l'absence totale de mesures, pas leur calibrage.

Les 3 actions qui restent utiles, en moins de 5 heures

Puisque l'urgence réglementaire est retombée, la question n'est plus « comment se couvrir avant la date ». Elle est : qu'est-ce qui vaut le coup d'être fait, indépendamment de la contrainte légale ?

Ces trois actions sont exactement celles que nous recommandions avant — non parce qu'elles protègent d'une sanction, mais parce qu'elles règlent un vrai problème de pilotage. Elles tiennent en une demi-journée.

Action 1 : Inventaire des outils IA utilisés (2 heures)

L'objectif est de cartographier ce qui existe réellement dans votre entreprise, pas ce que vous avez officiellement autorisé.

Méthode :

1. 1Envoi d'un email à tous les managers : "Quels outils IA utilisez-vous ou votre équipe utilise-t-elle, même à titre personnel, dans le cadre professionnel ?"
2. 2Tour de table lors de la prochaine réunion d'équipe ou call management
3. 3Compilation dans un tableau simple : outil, service concerné, usage, données entrées

Le Shadow IA (61 % des utilisateurs IA via comptes personnels, selon Microsoft France / YouGov, février 2026) rend cet inventaire non trivial. Ne vous attendez pas à une liste courte. ChatGPT, Copilot, Gemini, Mistral, Perplexity : les usages sont probablement plus étendus que vous ne le croyez.

Livrable attendu : document Word ou Excel daté, signé ou envoyé par le dirigeant, listant les outils IA identifiés et leurs usages.

Action 2 : Session de sensibilisation documentée (2 heures)

Une formation complète prend des semaines. Une sensibilisation traçable prend une matinée.

Le contenu minimum à couvrir lors d'une session collective (ou d'une note écrite envoyée à tous) :

• Ce qu'est un système d'IA et pourquoi l'AI Act s'en préoccupe
• Ce qu'il est acceptable et inacceptable de partager avec un outil IA
• Les risques liés à l'usage de comptes personnels pour des tâches professionnelles
• Le référent interne à contacter en cas de question

La session peut durer 45 minutes. Ce n'est pas l'exhaustivité qui compte, c'est la traçabilité.

Livrable attendu : invitation ou email de convocation envoyé avec liste de présence signée, ou accusé de réception d'une note d'information. Daté.

Action 3 : Désignation d'un référent IA interne (30 minutes)

Une note interne d'une page, signée par le dirigeant, désignant une personne responsable du suivi des questions IA dans l'entreprise.

Ce référent n'a pas besoin d'être un expert. Il peut être le DRH, le DSI, le responsable qualité, ou le dirigeant lui-même dans une TPE. Sa mission : être l'interlocuteur en cas de contrôle et assurer le suivi des actions de mise en conformité.

Livrable attendu : note interne datée et signée, d'une page maximum.

Le total : moins de 5 heures

Ces trois documents ne sont pas une « preuve de conformité » — l'article 4 n'en réclame aucune. Ce sont trois choses beaucoup plus banales et beaucoup plus utiles : vous savez enfin ce qui est utilisé chez vous, vos équipes ont été prévenues des risques évidents, et quelqu'un est identifié pour traiter le sujet.

Pour aller plus loin sur la démarche, consultez [les 5 livrables de la checklist Article 4](/blog/checklist-article-4-ai-act-pme-aout-2026).

Le vrai sujet : vous ne savez pas ce que vos équipes font avec l'IA

Trois documents en moins de 5 heures, c'est le minimum. Ce qui manque ensuite n'est pas un dossier juridique : c'est une vision claire de vos usages et de leurs risques réels.

Pourquoi ça compte, maintenant que la contrainte est retombée

Retirez la peur du gendarme, et il reste le problème d'origine. Vos collaborateurs collent des données dans des outils que vous n'avez pas choisis, obtiennent des réponses qu'ils ne savent pas toujours vérifier, et prennent des décisions à partir de ces réponses. Ce risque-là n'a jamais dépendu d'une date réglementaire.

Selon l'INSEE (enquête TIC 2024), seules 9 % des PME françaises de moins de 50 salariés utilisent officiellement une technologie d'IA. Pourtant, 61 % des collaborateurs utilisant l'IA le font via des comptes personnels (Microsoft France / YouGov, février 2026). Votre entreprise est probablement dans ce deuxième groupe sans en avoir pleinement conscience.

L'allègement de l'article 4 est une bonne nouvelle pour une seule raison : il vous autorise à traiter le sujet pour ce qu'il vaut opérationnellement, au lieu de le traiter dans l'urgence pour cocher une case avant une date.

Ce que produit un Audit IA Express

Les trois actions ci-dessus sont un premier pas nécessaire. Mais elles ne donnent pas une vue structurée de vos usages.

Laurent Bouzon, consultant IA chez Smart Impulsion, observe que les dirigeants sous-estiment régulièrement le périmètre réel de leurs usages IA, en particulier les usages via comptes personnels non déclarés. C'est précisément ce point aveugle qu'un Audit IA Express est conçu pour documenter.

Un [Audit IA Express](/services/audit) produit en moins de 48 heures un rapport complet documentant :

• L'inventaire exhaustif des systèmes IA utilisés dans votre entreprise
• L'évaluation de vos obligations réelles au titre de l'AI Act selon vos usages, calendrier à jour compris
• L'identification des risques prioritaires (en particulier les usages Shadow IA et les systèmes potentiellement concernés par l'annexe III à horizon décembre 2027)
• Un plan d'actions priorisé et chiffré

Ce rapport est ce que vous présentez à votre comité de direction, à un donneur d'ordre qui vous interroge sur vos usages IA, ou à un conseil juridique si un incident survient.

Pour comprendre ce que couvre exactement ce type de démarche, notre [guide de l'audit IA pour les PME](/blog/audit-ia-pme-guide-complet) détaille la méthode et les livrables.

Le contexte de marché que vous devez garder en tête

Selon Bpifrance Le Lab (juin 2025), 58 % des dirigeants de PME-ETI françaises considèrent que l'IA est un enjeu de survie à 3-5 ans. La même étude révèle que 43 % ont déjà une stratégie IA, mais que 50 % n'utilisent que des solutions gratuites.

Cette configuration (enjeu reconnu, démarche non structurée, usage non supervisé) est exactement celle que l'article 4 cherche à faire évoluer — désormais en accompagnant plutôt qu'en contraignant. Votre PME n'est pas une exception : elle est dans la norme française. Ce qui signifie aussi que se distinguer par une démarche sérieuse reste accessible.

Les données de marché et les obligations réglementaires sont détaillées dans [notre guide complet AI Act pour les PME](/blog/ai-act-pme-guide-2026). Pour approfondir ce que l'obligation de littératie signifie pour vos équipes, l'article sur [ce que l'article 4 demande précisément](/blog/litteratie-ia-pme-ai-act-article-4) répond aux questions opérationnelles les plus fréquentes.

À retenir. L'article 4 s'applique depuis février 2025, sa date n'a pas bougé, et sa substance a été allégée le 27 juillet 2026 : aucun niveau de littératie n'a à être garanti pour qui que ce soit. Ce qui reste, c'est l'obligation de prendre des mesures — et un problème de pilotage que 5 heures de travail suffisent à commencer à traiter.

Prenez rendez-vous pour un [Audit IA Express](/services/audit) si vous voulez savoir précisément où en est votre organisation.

*Sources : [Règlement (UE) 2026/1744 du 8 juillet 2026, « Digital Omnibus on AI » — EUR-Lex](https://eur-lex.europa.eu/eli/reg/2026/1744/oj/eng), publié au JOUE le 24 juillet 2026, entré en vigueur le 27 juillet 2026 ; Règlement (UE) 2024/1689 (AI Act) ; INSEE, enquête TIC 2024 ; Bpifrance Le Lab, juin 2025 ; Microsoft France / YouGov, février 2026.*

*Article mis à jour le 8 août 2026 : la version précédente présentait l'article 4 comme une obligation de résultat assortie de sanctions chiffrées. La réécriture du texte par le règlement (UE) 2026/1744 rend cette lecture caduque.*