La check-list conformité AI Act d'une PME de 30 salariés

Notre mini-test sur l'article 4 tourne depuis des semaines, et son verdict le plus fréquent reste « beaucoup d'idées reçues à corriger ». Un test se referme en deux minutes et s'oublie presque aussi vite. Voici la même matière sous une forme qui reste ouverte sur un bureau : sept points à vérifier, chacun avec sa réponse exacte et sa source, pensés pour une entreprise d'une trentaine de salariés.

Ce qui ne change pas avec votre effectif

Le règlement (UE) 2024/1689 définit son champ d'application par le rôle qu'on y joue, fournisseur, déployeur, importateur, distributeur, et par la localisation géographique. À aucun endroit de l'article 2, il ne fixe de seuil d'effectif ou d'exemption pour les petites structures. Une entreprise de trois personnes qui utilise Microsoft Copilot ou ChatGPT est déployeur d'un système d'IA au même titre qu'un groupe de mille salariés.

L'article 4, qui impose de prendre des mesures pour la maîtrise de l'IA du personnel, s'applique depuis le 2 février 2025, sans condition de taille. Ce qui varie selon l'effectif, ce n'est pas l'existence de l'obligation, c'est son contenu : le texte demande de tenir compte des connaissances techniques, de l'expérience, de l'éducation, de la formation des personnes concernées, et du contexte d'utilisation. C'est un principe de proportionnalité, pas un ticket d'entrée réservé aux grandes structures.

La check-list en sept points

1. Un simple outil du commerce suffit-il à vous rendre concerné ?

Oui. Aucune distinction n'est faite entre une IA développée en interne et un outil grand public utilisé tel quel. Dès qu'un salarié se sert d'un système d'IA pour le compte de l'entreprise, celle-ci en est déployeuse au sens du règlement, qu'il s'agisse d'un assistant intégré à une suite bureautique ou d'un chatbot payé au mois.

2. Avez-vous un inventaire de ce qui est réellement utilisé ?

C'est le point que la plupart des check-lists sautent, alors qu'il conditionne tout le reste : impossible de juger une obligation proportionnée sans savoir ce qu'on utilise, par qui, et pour quoi faire. Un modèle de registre rempli montre à quoi ressemble ce travail une fois fait, plutôt qu'un tableau vide à remplir sans repère.

3. L'un de ces outils sert-il au recrutement ou à l'évaluation des salariés ?

L'annexe III du règlement classe en systèmes à haut risque ceux destinés au recrutement, à la sélection de candidats ou à l'évaluation des performances dans une relation professionnelle. Rédiger une offre d'emploi ou reformuler une fiche de poste avec l'IA reste de la rédaction. Analyser, filtrer ou noter des candidatures entre dans une catégorie différente, aux obligations plus lourdes, dont l'échéance a été reportée au 2 décembre 2027 par le Digital Omnibus. Le report ne dispense pas de savoir si un de vos outils s'en approche.

4. Vos contenus générés respectent-ils la transparence de l'article 50 ?

Trois obligations distinctes coexistent : un chatbot doit signaler qu'on parle à une IA, un contenu de synthèse doit porter un marquage technique posé par qui fournit l'outil, et un hypertrucage ou un texte publié sur un sujet d'intérêt public doit être déclaré par qui l'utilise. Notre article sur l'article 50 détaille qui fait quoi, ce qui compte ici, c'est de vérifier que ces trois cas de figure ont été passés en revue, pas supposés réglés parce que « l'IA, on sait que ça se voit ».

5. Votre formation relève-t-elle d'une obligation de moyens ou de résultat ?

De moyens. Depuis l'entrée en vigueur du règlement (UE) 2026/1744, le Digital Omnibus, l'article 4 demande de prendre des mesures pour « favoriser le développement de la maîtrise de l'IA », et précise noir sur blanc que cette obligation ne contraint pas à garantir un niveau spécifique de maîtrise par un individu. La version antérieure parlait de « garantir, dans toute la mesure du possible, un niveau suffisant », une formulation déjà proche mais plus exposée à une lecture de résultat. Le sens de la réforme va dans une seule direction : moins de contrainte de résultat, pas moins d'obligation d'agir.

6. Une sensibilisation générique d'une heure, pour tout le monde, suffit-elle ?

Probablement pas, et c'est le point le plus souvent raté. Le texte impose de tenir compte du métier, du contexte d'utilisation et du profil des personnes formées. Une session unique identique pour un commercial et un comptable ne reflète aucune de ces variables. Elle peut servir de socle commun, elle ne remplace pas un contenu qui touche réellement à ce que chaque métier fait de l'IA au quotidien.

7. Que devez-vous pouvoir présenter en cas de contrôle ?

La Commission européenne l'a précisé sans ambiguïté : aucun certificat n'est requis, une trace interne des formations et des initiatives d'accompagnement suffit. Ce qui compte, c'est qu'elle existe, qu'elle soit datée, et qu'elle montre un contenu adapté au rôle de chaque personne plutôt qu'un module générique suivi une fois. Un exemple d'attestation donne une idée du niveau de détail qui tient debout face à un contrôle.

Ce que cette check-list ne remplace pas

Sept points de contrôle donnent un point de départ solide, ils ne tranchent pas les cas particuliers de votre entreprise, en particulier si l'un de vos outils touche au recrutement ou à l'évaluation des salariés. Sur ce terrain, un avis juridique reste la seule réponse sérieuse, la check-list sert à savoir quand le demander plutôt qu'à le remplacer.

Pour la partie qui se prépare sans juriste, nos programmes de formation par métier couvrent les usages réels de chaque poste plutôt que des généralités sur l'IA, et le tarif tient en une ligne. La page dédiée à l'AI Act rassemble l'ensemble des obligations qui concernent réellement une entreprise, check-list comprise.