Une date qui circule, un calendrier qui ne dit pas tout à fait ça
Un communiqué relayé le 28 août 2026 par plusieurs titres de presse affirme que l'obligation de « littératie IA » serait entrée, depuis le 3 août 2026, dans une phase de supervision active, les entreprises françaises devant désormais prouver qu'elles ont formé leurs équipes sous peine de contrôles et de sanctions. Le calendrier officiel du règlement européen sur l'intelligence artificielle raconte une histoire légèrement différente. L'article 4 de l'AI Act, celui qui impose aux fournisseurs et aux déployeurs de systèmes d'IA de garantir un niveau suffisant de maîtrise à leur personnel, s'applique depuis le 2 février 2025, en même temps que l'interdiction des pratiques inacceptables (notation sociale, manipulation subliminale, exploitation des vulnérabilités). Ce que le calendrier situe bien début août 2026, ce sont les obligations de transparence de l'article 50, dont l'étiquetage des contenus générés par IA, entrées en application le 2 août 2026, avec un délai de grâce jusqu'au 2 décembre 2026 pour le marquage technique des contenus déjà commercialisés. Pour une PME qui pensait avoir jusqu'à cet été pour se mettre en règle, la nuance compte : l'obligation qui la concerne le plus directement, former les salariés qui utilisent l'IA, est en vigueur depuis dix-huit mois, pas depuis quelques semaines.
Quatre niveaux de risque, une seule question à se poser
L'AI Act ne réglemente pas une technologie mais des usages. Il classe les systèmes d'intelligence artificielle en quatre niveaux de risque, et l'essentiel des obligations d'une entreprise dépend de la case où tombe son usage, pas de l'outil qu'elle emploie. Un même modèle peut ainsi relever de deux régimes différents selon ce qu'on lui fait faire.
| Niveau de risque | Exemples concrets | Ce que cela implique |
|---|---|---|
| Inacceptable | Notation sociale, manipulation subliminale, reconnaissance d'émotion au travail, identification biométrique en temps réel dans l'espace public | Interdiction totale depuis le 2 février 2025 |
| Haut risque | Recrutement, évaluation de crédit, justice, éducation, dispositifs médicaux | Documentation technique, gestion des risques, contrôle humain, évaluation avant mise sur le marché |
| Limité | Chatbots, deepfakes, contenus générés par IA | Informer les utilisateurs qu'ils interagissent avec une IA (article 50) |
| Minimal | Correcteur orthographique, générateur d'images marketing, filtre anti-spam | Aucune obligation spécifique, code de conduite volontaire encouragé |
La grande majorité des usages professionnels courants, rédaction, synthèse, génération de visuels, relève du risque minimal ou limité. C'est justement pour ces usages, les plus répandus en PME, que l'obligation de littératie de l'article 4 s'applique sans attendre le régime haut risque.
Fournisseur ou déployeur : le rôle qui change tout pour une PME
Le règlement distingue deux rôles. Le fournisseur construit le système d'IA et porte l'essentiel des obligations techniques : documentation, gestion des risques, marquage. C'est le rôle d'un éditeur qui entraîne ou intègre un modèle dans son propre produit. Le déployeur utilise l'IA dans son activité, comme un outil, sans le construire ni le revendre. La très grande majorité des PME françaises tombent dans ce second rôle, avec des obligations plus légères que celles du fournisseur, mais bien réelles : informer les personnes concernées quand elles interagissent avec un système à risque limité, et s'assurer que les équipes qui pilotent ces outils ont reçu une formation suffisante au regard du contexte d'usage. Comme pour le RGPD, la portée du texte est mondiale et s'applique dès que les effets touchent le marché européen, indépendamment du siège de l'entreprise qui fournit l'outil.
Le calendrier complet, entre échéances déjà passées et un report ciblé
| Date | Ce qui s'applique | Statut |
|---|---|---|
| 1er août 2024 | Entrée en vigueur formelle du règlement | Passé |
| 2 février 2025 | Interdiction des pratiques inacceptables et obligation de littératie IA (article 4) | En vigueur |
| 2 août 2025 | Régime spécifique pour les fournisseurs de grands modèles de langage (GPT, Claude, Gemini) | En vigueur |
| 2 août 2026 | Obligations de transparence de l'article 50 (étiquetage des contenus IA), délai de grâce jusqu'au 2 décembre 2026 pour le marquage technique | En vigueur |
| 2 décembre 2027 | Régime haut risque pour les systèmes autonomes de l'annexe III (recrutement, crédit, éducation) | Reporté |
| 2 août 2028 | Extension du régime haut risque aux produits déjà réglementés (dispositifs médicaux, machines) | À venir |
Les deux dernières échéances ont bougé au cours de l'été 2026. Un accord politique est intervenu le 7 mai 2026 entre le Conseil et le Parlement pour reporter le régime haut risque, initialement prévu au 2 août 2026, au 2 décembre 2027. Le texte dit Digital Omnibus a ensuite été adopté par le Conseil de l'Union européenne fin juin 2026 avant son entrée en vigueur fin juillet 2026. Ce report ne concerne donc que le régime haut risque de l'annexe III, pas l'ensemble du texte, et encore moins l'obligation de littératie de l'article 4, en vigueur depuis février 2025 et non affectée par ce report.
Des amendes calibrées, mais pas absentes pour les petites structures
| Type d'infraction | Plafond de l'amende |
|---|---|
| Pratiques interdites (article 5) | 35 millions d'euros ou 7 % du chiffre d'affaires mondial |
| Autres manquements, dont la transparence | 15 millions d'euros ou 3 % du chiffre d'affaires mondial |
| Informations trompeuses transmises aux autorités | 7,5 millions d'euros ou 1 % du chiffre d'affaires mondial |
Ces montants ont de quoi inquiéter une petite structure lue hors contexte. Un détail change pourtant concrètement l'exposition d'une PME : le règlement retient, pour les PME et les startups, le montant le plus bas entre les deux seuils prévus (le pourcentage ou la somme fixe), et non le plus élevé comme pour les grandes entreprises. Ce mécanisme calibre le risque à la taille de l'entreprise plutôt que de traiter une structure de dix salariés comme une multinationale qui construit ses propres modèles. Reste que qui contrôle concrètement ces obligations en France est encore en cours de structuration : un projet de loi distribue la supervision entre autorités existantes selon le secteur (la CNIL pour les données et la biométrie, l'Arcom pour les contenus, l'ACPR pour la finance, la DGCCRF en coordination d'ensemble), mais ce texte, adopté par le Sénat en février 2026, doit encore être examiné par l'Assemblée nationale. Aucun guichet unique ne s'est donc encore imposé.
Comment structurer la formation sans se croire hors sujet
La conformité réglementaire ne devrait pas être le seul moteur de cette transformation. Une formation utile permet aux collaborateurs de savoir dans quels cas utiliser l'IA, quelles informations peuvent être partagées en toute sécurité, comment évaluer la fiabilité des résultats générés et comment intégrer ces outils dans les processus existants sans les dénaturer. Sur ce dernier point, certains outils facilitent la partie technique du sujet : Moon AI, plateforme française qui donne accès à plus de 70 modèles (GPT, Claude, Gemini, Mistral, DeepSeek, Llama, Grok, Qwen, ainsi que son modèle maison Moon 6) sous un abonnement unique, applique un mécanisme nommé Moon Blur qui remplace les données personnelles par des jetons avant leur envoi aux modèles tiers, puis les rétablit au retour. Ce procédé, réversible, relève de la pseudonymisation au sens de l'article 4-5 du RGPD, pas d'une anonymisation : les requêtes partent bien vers les fournisseurs des modèles sollicités une fois ce traitement effectué. L'application et le stockage, eux, sont hébergés chez OVHcloud, à Strasbourg et à Roubaix.
Côté financement, le Compte Personnel de Formation finance les parcours IA éligibles, à condition que l'organisme détienne la certification Qualiopi, obligatoire pour mobiliser les fonds publics. Les Opérateurs de Compétences (Atlas, Afdas, Opco Mobilités) complètent ce financement pour les entreprises qui structurent un plan de développement des compétences, et Bpifrance Université propose des parcours dédiés aux dirigeants de PME et ETI. Le plan national Osez l'IA, piloté par la Direction générale des Entreprises depuis juillet 2025, vise l'accélération de la diffusion de l'IA dans les TPE et PME, en complément du programme IA Booster France 2030 et de dispositifs régionaux comme CAP'TN dans les Hauts-de-France ou le Pass Cyber Investissement dans le Grand Est.
Sur le format, le distanciel convient aux modules courts de sensibilisation, à l'image des formats de cinq à six minutes proposés par France Num, tandis que le présentiel reste supérieur pour les ateliers pratiques où les participants manipulent l'outil sous supervision. Une enquête Ipsos menée pour Google souligne un écart persistant entre les entreprises qui forment massivement leurs équipes et celles qui se contentent d'un accès aux outils sans accompagnement, un écart de productivité qui se creuse à mesure que les usages se complexifient. Un organisme comme Certif-ia, qui indique avoir accompagné plus de 1 000 organisations et 50 000 professionnels depuis sa création en 2024, structure par exemple son approche en trois temps : former, déployer, industrialiser, avec un réseau de formateurs spécialisés par secteur.
Questions fréquentes
Mon entreprise doit-elle prouver qu'elle a formé ses salariés à l'IA ?
En tant que déployeur, une entreprise doit s'assurer que les personnes qui utilisent un système d'IA disposent d'un niveau de maîtrise suffisant au regard du contexte d'usage. Documenter les actions de formation menées (contenu, dates, participants) constitue une précaution utile en cas de contrôle, même si le guichet de supervision n'est pas encore stabilisé en France.
Qui contrôle le respect de cette obligation en France ?
La gouvernance nationale reste en cours de structuration. Un projet de loi prévoit une répartition sectorielle entre la CNIL, l'Arcom, l'ACPR et la DGCCRF, mais ce texte, adopté par le Sénat en février 2026, doit encore passer devant l'Assemblée nationale. Aucun guichet unique n'existe à ce stade.
Le report du régime haut risque à 2027 change-t-il l'obligation de formation ?
Non. Le report décidé via le Digital Omnibus ne concerne que le régime haut risque de l'annexe III (recrutement, crédit, éducation). L'obligation de littératie de l'article 4 est en vigueur depuis le 2 février 2025 et n'a pas été reportée.
Quelles amendes risque une PME qui n'a pas formé ses équipes ?
Un manquement à l'article 4 relève de la catégorie « autres manquements », plafonnée à 15 millions d'euros ou 3 % du chiffre d'affaires mondial. Pour une PME ou une startup, c'est le montant le plus bas entre les deux seuils qui s'applique, ce qui réduit fortement l'exposition réelle par rapport à une grande entreprise.