Culture IA et AI Act : par où commencer dans une TPE-PME ?

L’article 4 du règlement (UE) 2024/1689, modifié par le règlement (UE) 2026/1744, vise les fournisseurs et les déployeurs de systèmes d’IA. Un déployeur est une organisation qui utilise un système d’IA sous sa propre autorité dans un cadre professionnel. Il doit prendre des mesures pour favoriser le développement de la maîtrise de l’IA de son personnel et des autres personnes qui utilisent ces systèmes pour son compte.

Le texte prévoit une approche adaptée au contexte : connaissances techniques, expérience, éducation, formation, usage envisagé et personnes concernées. Il précise que l’organisation n’a pas à garantir un niveau individuel spécifique de maîtrise de l’IA. Il ne fixe pas non plus un nombre unique d’heures de formation ni un certificat standard à obtenir. L’entreprise doit pouvoir expliquer les mesures choisies au regard de ses usages et de leur contexte.

Une politique utile part des pratiques existantes, y compris des comptes gratuits utilisés individuellement. L’inventaire doit rester lisible : quel outil, pour quelle tâche, avec quelles données, quel résultat et quelle personne responsable de la vérification ?

La personne qui rédige une première version de publication n’a pas les mêmes besoins que celle qui utilise un outil pour trier des candidatures, analyser des performances ou conseiller un client. Le contenu de la formation doit donc varier selon le rôle et les conséquences possibles.

Un socle commun peut couvrir le fonctionnement général d’un système d’IA, ses limites, la vérification des résultats, la protection des données, les biais et les règles internes. Des modules plus ciblés peuvent ensuite traiter les outils, les situations et les contrôles propres à chaque métier.

Le règlement IA classe les usages selon leurs risques et prévoit des obligations différentes. Au 4 octobre 2026, certaines obligations relatives aux systèmes à haut risque suivent encore un calendrier d’application progressif : leur applicabilité doit être vérifiée pour chaque cas d’usage. La CNIL rappelle que le RGPD demeure applicable dès qu’un traitement de données personnelles intervient dans le développement ou l’utilisation d’un système d’IA.

Une organisation doit donc éviter deux raccourcis : croire qu’un outil grand public est automatiquement conforme, ou penser qu’une règle interne sur l’IA remplace les obligations de protection des données. Il faut aussi conserver les exigences propres au secteur, aux contrats et au droit du travail.

Pour une TPE-PME, un ensemble court, maintenu à jour et réellement utilisé peut structurer la démarche. Ces outils ne constituent pas à eux seuls une preuve automatique de conformité : ils doivent refléter les usages réels, les risques identifiés et les mesures effectivement appliquées. Le document le plus sophistiqué n’est pas le plus utile s’il n’est pas compris par les équipes.