Checklist Article 4 AI Act PME : 5 livrables à produire en interne

Un message circule depuis l'été : "l'AI Act est repoussé à 2027". C'est vrai en partie — et cette formule masque l'information la plus importante pour votre PME.

Le règlement (UE) 2026/1744 du 8 juillet 2026 (« Digital Omnibus on AI »), publié au JOUE le 24 juillet et entré en vigueur le 27 juillet 2026, fait bien deux choses. Il reporte les obligations relatives aux systèmes à haut risque. Et, presque inaperçue, il réécrit l'article 4 lui-même.

Cet article n'est pas une introduction à l'AI Act — pour un panorama complet, consultez [notre guide AI Act PME](/blog/ai-act-pme-guide-2026). Ici, l'objectif est de vous donner les 5 livrables concrets qui structurent une démarche de littératie IA, réalisables en une journée, sans prestataire externe. Mais commençons par ce que la loi demande réellement, parce que ce n'est plus ce que la plupart des articles en ligne racontent.

Ce que le Digital Omnibus a changé, et ce qu'il n'a pas changé

La confusion est compréhensible : le texte modifie un calendrier complexe, et les titres de presse ont simplifié en annonçant « un report de l'AI Act ».

Voici la distinction qui compte pour votre PME :

Définition — article 4 de l'AI Act, dans sa rédaction issue du [règlement (UE) 2026/1744](https://eur-lex.europa.eu/eli/reg/2026/1744/oj/eng) : les fournisseurs et déployeurs de systèmes d'IA doivent « prendre des mesures pour soutenir le développement de la littératie IA » de leur personnel et des autres personnes utilisant ces systèmes pour leur compte, en tenant compte de leurs connaissances techniques, de leur expérience, de leur formation et du contexte d'utilisation. Le texte précise que « cette obligation n'impose pas de garantir un niveau spécifique de littératie IA pour un individu ».

C'est un changement de nature, pas de calendrier. On passe d'une obligation orientée résultat à une obligation de moyens explicite. Il n'y a plus de niveau à atteindre, donc plus de niveau qu'on puisse vous reprocher de ne pas avoir atteint. Le texte ajoute d'ailleurs que la Commission et les États membres doivent soutenir les efforts des déployeurs — en visant explicitement les PME — et que la Commission publiera des exemples pratiques de conformité.

Définition — déployeur (article 3, §4 de l'AI Act) : toute personne physique ou morale, autorité publique, agence ou autre organisme qui utilise un système IA sous sa propre responsabilité dans un contexte professionnel. Développer l'IA en interne n'est pas requis : utiliser ChatGPT, Microsoft Copilot ou tout logiciel intégrant une fonctionnalité IA suffit à qualifier une PME de déployeur au sens du règlement.

Sur les sanctions, nous ne citerons aucun montant. Le régime du chapitre XII a été modifié en même temps que le reste du texte et son application article par article n'est pas établie de façon fiable à ce jour. Les chiffres qui circulent — y compris ceux que cet article citait auparavant — proviennent de la rédaction antérieure du règlement. Une position ferme sur votre exposition relève d'un avocat spécialisé, pas d'un article de blog.

Alors pourquoi produire les cinq livrables qui suivent ? Pour une raison plus solide qu'une échéance : ils répondent à une question que vous ne pouvez pas éviter, celle de savoir ce que vos équipes font réellement avec l'IA.

Qui est concerné ? Presque toutes les PME françaises

L'Article 4 vise les "déployeurs" de systèmes IA. Un déployeur, c'est toute organisation qui utilise un système IA dans un contexte professionnel, qu'elle l'ait développé ou non.

Si vos collaborateurs utilisent l'un des outils suivants, vous êtes déployeur au sens du règlement :

• ChatGPT, Claude, Gemini ou tout autre assistant IA en ligne
• Microsoft Copilot, Copilot for M365, GitHub Copilot
• Un outil de scoring client, de tri de CV, de prévision de chiffre d'affaires
• Toute fonctionnalité "IA" intégrée dans votre ERP, CRM, outil RH ou solution comptable

Il n'existe pas de seuil de taille. Pas d'exemption PME dans le texte du règlement.

Selon l'INSEE Première n°2061 (Clément Lefebvre, 2025), 10% des entreprises françaises de 10 salariés ou plus déclaraient utiliser au moins une technologie IA en 2024, contre 6% en 2023 et en dessous de la moyenne UE de 13%. Par taille : 9% pour les entreprises de 10 à 49 salariés, 15% pour les 50 à 249, 33% pour les 250 salariés et plus. Toutes ces entreprises sont des déployeurs au sens de l'Article 4, sans exception.

Et si votre entreprise n'est pas encore dans ces statistiques mais que vos équipes utilisent ChatGPT à titre personnel pour leur travail (ce qu'on appelle le shadow IA), vous êtes également concerné. L'obligation porte sur l'usage réel, pas sur les outils officiellement validés par la direction.

Si vous n'avez pas encore identifié vos cas d'usage IA prioritaires, [commencez par ce guide pratique](/blog/ia-pour-pme-guide) avant de passer à la checklist ci-dessous.

La checklist Article 4 AI Act PME : les 5 livrables

Voici les cinq documents qui constituent une démarche de littératie IA cohérente. Aucun n'est imposé par le texte — l'article 4 ne prescrit ni format, ni pièce justificative. Ils forment en revanche une séquence logique : chaque livrable prépare le suivant, et l'ensemble donne à un dirigeant la visibilité qui lui manque aujourd'hui.

Pour une PME qui démarre de zéro, la séquence recommandée en une journée est la suivante :

1. 1Matin (9h-12h) : produire le Livrable 1 (inventaire des outils IA) et le Livrable 2 (cartographie des niveaux par rôle)
2. 2Début d'après-midi (13h-16h) : rédiger la Charte d'utilisation (Livrable 3) et préparer le formulaire d'attestation du Registre (Livrable 5)
3. 3Fin d'après-midi (16h-17h) : poser la structure du Module de sensibilisation (Livrable 4), à finaliser et déployer dans les deux semaines suivantes

Livrable 1 : l'inventaire des outils IA (2 à 3 heures)

Commencez par cartographier ce que vous utilisez réellement. L'inventaire est le fondement de tout le reste.

Pour chaque système IA utilisé dans votre entreprise, documentez :

• Nom de l'outil et fournisseur
• Finalité (à quoi sert-il concrètement ?)
• Service(s) ou collaborateur(s) utilisateur(s)
• Type de données traitées (données personnelles ? données clients ? données confidentielles ?)
• Niveau d'automatisation (aide à la décision ou décision automatisée ?)

Le piège le plus fréquent : oublier le shadow IA. Les outils que vos collaborateurs utilisent sans validation officielle de la direction font partie de l'inventaire. Un collaborateur commercial qui utilise ChatGPT pour rédiger des emails avec des données clients, c'est un système IA à inventorier.

Autre piège courant : confondre ce registre IA avec le registre de traitement RGPD. Ce sont deux logiques distinctes. Le registre RGPD raisonne par traitement de données. L'inventaire IA raisonne par système : qu'est-ce que le système fait, qui l'utilise, dans quel contexte. Les deux documents sont complémentaires, pas substituables.

Format minimal acceptable : un tableau Excel ou Google Sheets. Pas besoin d'outil dédié. L'essentiel est que le document soit daté, signé par un responsable, et à jour au moment du contrôle.

Livrable 2 : la cartographie des niveaux de besoin par rôle (30 à 45 minutes)

L'Article 4 exige une approche proportionnée au rôle de chaque collaborateur. Un assistant comptable qui utilise une fonctionnalité d'autocomplétion IA dans son logiciel n'a pas les mêmes besoins de formation qu'un responsable marketing qui génère des contenus avec ChatGPT quotidiennement.

Une cartographie en deux ou trois niveaux suffit :

• Niveau 1 : Utilisateur occasionnel : connaît les risques de base (réponses inventées par l'IA, fuite de données), sait qu'il ne doit pas saisir de données confidentielles
• Niveau 2 : Utilisateur régulier : comprend les limites de l'outil utilisé, sait vérifier les outputs avant de les utiliser, connaît la charte de l'entreprise
• Niveau 3 : Référent IA (optionnel pour les PME) : maîtrise la classification des risques, peut former les collègues, interlocuteur interne en cas de problème

Cette cartographie est la traduction directe de ce que le texte demande de « prendre en compte » : les connaissances, l'expérience et la formation des personnes, et le contexte d'utilisation des systèmes. Accessoirement, elle vous évite de payer une formation avancée à des gens qui n'en ont pas besoin.

Livrable 3 : la charte d'utilisation de l'IA (2 à 3 heures)

La charte d'utilisation est le document de référence de votre politique IA interne. C'est le seul des cinq livrables que vos collaborateurs liront vraiment — d'où l'importance de le garder court.

Son contenu minimum :

• Liste des outils IA autorisés dans l'entreprise (et, idéalement, ceux qui sont interdits)
• Données qui ne doivent jamais être saisies dans un outil IA externe : données personnelles de clients, informations commerciales confidentielles, contrats, données bancaires
• Obligation de vérification humaine systématique des outputs IA avant toute action ou transmission
• Procédure de signalement d'un incident ou d'un doute (à qui se référer, comment)
• Identification du référent IA interne (peut être le dirigeant, le responsable IT, ou le DPO si l'entreprise en a un)

La charte peut s'intégrer à votre règlement intérieur ou à votre charte informatique existante. Elle doit être signée par la direction. Deux à trois pages suffisent : un document de 20 pages que personne ne lit ne change aucun comportement.

La charte d'utilisation IA n'est pas un document RH parmi d'autres. C'est le moment où la direction prend position sur l'usage de l'IA et en assume la responsabilité. Sans signature du dirigeant, ce n'est qu'une note de service.

Livrable 4 : le module de sensibilisation (2 à 3 heures de préparation, 45 minutes de session)

C'est le cœur de la démarche : c'est là que « prendre des mesures pour soutenir le développement de la littératie IA » devient concret. Un email d'information ne change rien à la pratique de personne. Une session, même courte, oui.

Contenu minimum du support de sensibilisation :

• Qu'est-ce que l'IA : définition accessible, sans jargon technique
• Comment fonctionnent les outils utilisés dans l'entreprise, et leurs limites
• Le risque d'hallucination : pourquoi les outputs IA peuvent être faux, et pourquoi vérifier est systématique
• Le risque de fuite de données : ce qu'on ne saisit jamais, et pourquoi
• Les règles de la charte d'utilisation de l'entreprise

L'Article 4 ne prescrit aucun format obligatoire (la Commission européenne le confirme : l'obligation de moyens s'adapte à votre contexte). Les formats compatibles en pratique :

• Présentation collective (PowerPoint, 30 à 45 minutes)
• Vidéo interne avec quiz de validation
• E-learning basique avec confirmation de lecture
• Atelier pratique avec mise en situation

Aucune certification externe n'est requise, et depuis la réécriture du texte, aucun niveau n'a à être garanti pour quiconque. Adaptez le contenu aux niveaux définis dans le Livrable 2 : les utilisateurs occasionnels n'ont pas besoin d'une session dense sur les modèles de langage.

Livrable 5 : le registre de formation et les attestations (30 minutes, puis mise à jour continue)

Le registre est ce qui distingue une démarche d'une intention. Il ne constitue pas une pièce exigée par le texte, mais c'est le seul moyen de savoir, dans six mois, qui a été accompagné et qui ne l'a pas été — notamment les personnes arrivées entre-temps.

Pour chaque collaborateur ayant suivi la sensibilisation, consignez :

• Nom et prénom
• Poste et service
• Date de la formation ou sensibilisation
• Titre du support utilisé
• Signature ou confirmation écrite (email suffit pour les formations en ligne)

Ce registre est vivant. À chaque arrivée d'un nouveau collaborateur, il doit être mis à jour avant que cette personne commence à utiliser des outils IA. À chaque adoption d'un nouvel outil IA dans l'entreprise, une mise à jour de la sensibilisation est recommandée. Prévoyez une révision annuelle minimum.

Ce qui ne sert à rien

Plusieurs approches, intuitivement raisonnables, ne produisent aucun effet.

• Envoyer un email "pour information" : personne ne le lit, personne ne change de pratique. Ce n'est pas une question de conformité, c'est une question d'efficacité — un email n'a jamais empêché quiconque de coller un fichier client dans un chatbot.
• Copier-coller une charte trouvée en ligne sans l'adapter : une charte générique qui ne mentionne aucun de vos outils réels ne guide aucune décision concrète. Vos équipes s'en aperçoivent immédiatement.
• Attendre d'avoir l'ISO 42001 pour agir : la certification ISO 42001 est utile, mais elle n'est requise par aucun texte au titre de l'article 4. L'attendre, c'est repousser de plusieurs mois quelque chose de réalisable en une journée.
• Déléguer entièrement à un prestataire sans vous impliquer : l'obligation incombe à l'organisation déployeuse. Un consultant peut vous aider à structurer les livrables, mais la direction doit valider, signer et s'approprier la démarche. Si vous choisissez de faire appel à un accompagnateur, lisez d'abord [notre guide pour choisir le bon partenaire IA](/blog/agence-ia-comment-choisir-partenaire-transformation).
• Confondre RGPD et AI Act : vos obligations RGPD existantes ne couvrent pas l'article 4, et l'inverse est vrai aussi. Les deux réglementations coexistent et s'alimentent mutuellement, mais elles demandent des livrables distincts.
• Croire qu'il faut constituer un dossier opposable : c'est la lecture d'avant le 27 juillet 2026. Elle circule encore largement. Elle conduit à sur-documenter au lieu d'agir.

Et ensuite ?

Ces cinq livrables ne sont pas un exercice ponctuel, et ils ne se périment pas avec une échéance réglementaire.

Ils doivent vivre. Chaque nouveau collaborateur doit être accompagné avant d'utiliser des outils IA. Chaque nouvel outil adopté doit être ajouté à l'inventaire et intégré à la charte. Le registre doit être tenu à jour en continu. C'est exactement ce que signifie « soutenir le développement » de la littératie IA : un mouvement, pas un événement.

L'horizon suivant à planifier dès maintenant : les obligations pour les systèmes IA à haut risque (annexe III). Si votre entreprise utilise des outils IA pour des décisions d'embauche, de crédit, de scoring ou dans des secteurs sensibles, l'échéance est le 2 décembre 2027 — et celles-là sont d'une tout autre lourdeur que l'article 4. Ce n'est pas si loin, et la préparation prend du temps.

Selon la FAQ AI Literacy de la Commission européenne (digital-strategy.ec.europa.eu, 2026), 80% des 251 European Digital Innovation Hubs (EDIHs) en Europe proposent déjà des services axés sur l'IA, dont l'accompagnement à la conformité AI Act Article 4. En France, le réseau France 2030 (BPI) remplit un rôle comparable.

Si vous souhaitez aller au-delà de cette base, [un audit IA complet](/blog/audit-ia-pme-guide-complet) permet d'identifier précisément vos usages, leurs niveaux de risque et les priorités.

58% des dirigeants de PME-ETI françaises considèrent l'IA comme importante ou très importante pour la pérennité de leur entreprise à 3-5 ans (Bpifrance Le Lab, enquête auprès de 1 209 dirigeants, 2025). Si c'est stratégique pour vous, la question n'est plus de savoir si la loi vous y oblige.

Questions fréquentes sur la checklist Article 4 AI Act PME

L'article 4 s'applique-t-il à ma PME si je n'ai développé aucune IA en interne ?

Oui. L'Article 4 cible les "déployeurs" de systèmes IA : toute organisation qui utilise un outil IA dans un contexte professionnel. ChatGPT, Copilot, un logiciel avec fonctionnalité IA intégrée : vous êtes concerné. Il n'existe ni seuil de taille ni exemption PME dans le texte du règlement.

Quelle différence entre l'article 4 et les obligations pour les systèmes IA à haut risque ?

L'article 4 s'applique à tous les déployeurs, sans distinction de taille ni de secteur, et c'est désormais une obligation de moyens explicite. Les obligations pour les systèmes à haut risque (annexe III) sont d'une tout autre lourdeur — évaluation de conformité, enregistrement, supervision humaine renforcée — et ont été reportées au 2 décembre 2027 par le règlement (UE) 2026/1744. Ne confondez pas les deux : le tri de CV relève de la seconde catégorie, pas de l'article 4.

Combien de temps faut-il pour produire les 5 livrables ?

Une journée de travail suffit pour les quatre livrables structurants (inventaire, cartographie, charte, registre). Le module de sensibilisation se finalise dans les deux semaines suivantes (2-3 heures de préparation, 45 minutes de session collective).

Faut-il faire appel à un prestataire externe ?

Non. Pour une PME avec des usages IA standards (ChatGPT, Copilot, logiciels métier), les cinq livrables se produisent en interne en une journée. Aucun texte n'exige d'intervenant externe. Un prestataire apporte de la valeur si vous utilisez des outils IA pour des décisions sensibles (embauche, crédit, scoring) ou si vous voulez préparer l'échéance annexe III de décembre 2027.

Que risque concrètement ma PME au titre de l'article 4 ?

Nous ne citons aucun montant de sanction. Le régime du chapitre XII de l'AI Act a été modifié par le Digital Omnibus et son application article par article n'est pas établie de façon fiable à ce jour ; les chiffres qui circulent proviennent de la rédaction antérieure. Ce qui est certain : l'article 4 n'imposant aucun niveau garanti par individu, il n'existe plus de « niveau insuffisant » constatable. Le sujet résiduel est l'absence totale de démarche, pas son calibrage.

Passez à l'action — pour de bonnes raisons

Cette checklist représente une base de travail pour une PME ordinaire. Les cinq livrables décrits ci-dessus sont réalisables en interne, en une journée, par un dirigeant ou un responsable IT/RH avec de la méthode.

Il n'y a plus d'échéance qui vous presse sur l'article 4 — il n'y en avait d'ailleurs jamais eu, puisque le texte s'applique depuis février 2025. Ce qui reste, c'est un besoin de visibilité : savoir quels outils circulent chez vous, qui les utilise, et où une erreur coûterait cher.

Si vous souhaitez aller plus vite, sécuriser votre interprétation ou préparer dès maintenant l'échéance annexe III de décembre 2027, l'Audit IA Express Smart Impulsion vous accompagne : identification de vos systèmes IA, évaluation de leur niveau de risque, plan d'actions priorisé, en trois jours de travail collectif.

[Demander un Audit IA Express](/services/audit)

*Sources : [Règlement (UE) 2026/1744 du 8 juillet 2026, « Digital Omnibus on AI » — EUR-Lex](https://eur-lex.europa.eu/eli/reg/2026/1744/oj/eng), publié au JOUE le 24 juillet 2026, entré en vigueur le 27 juillet 2026 ; Règlement (UE) 2024/1689 (AI Act) ; INSEE Première n°2061 ; Commission européenne, FAQ AI Literacy ; Bpifrance Le Lab, 2025.*

*Article mis à jour le 8 août 2026 pour tenir compte de la réécriture de l'article 4 par le règlement (UE) 2026/1744.*