Introduction : votre PME est déjà sous obligation article 4
L'article 4 de l'AI Act (Règlement UE 2024/1689) est opposable depuis le 2 février 2025. Si votre PME utilise ChatGPT Entreprise, Microsoft Copilot, Google Gemini, un chatbot IA ou un agent IA métier, vous êtes déjà soumis à l'obligation de formation IA, depuis février 2025. Ce qui change au 2 août 2026 : l'entrée en vigueur des régimes nationaux de sanction. Au Luxembourg, la CNPD est désignée autorité de référence par le projet de loi n° 8476. L'obligation ne commence pas à cette date, elle devient sanctionnable. Le report des systèmes à haut risque décidé en juillet 2026 par le règlement (UE) 2026/1744 ne touche pas l'article 4 : ni son opposabilité depuis février 2025, ni la date d'ouverture des sanctions.
Objectif : une checklist en 4 semaines, un template en 3 piliers, trois situations concrètes, cinq erreurs à éviter. Pour un panorama complet, voir notre checklist AI Act pour PME luxembourgeoises et le lexique juridique IA.
1. Ce que l'article 4 dit exactement, et ce qu'il ne dit pas
L'article 4 impose aux fournisseurs et aux déployeurs de systèmes d'IA (providers et deployers dans le texte anglais) d'assurer un niveau suffisant d'AI literacy (maîtrise de l'IA) de leur personnel et des autres personnes qui opèrent ces systèmes en leur nom (source : artificialintelligenceact.eu). Le périmètre « other persons » inclut sous-traitants, prestataires externes, collaborateurs intérimaires et, dans certains cas, les clients (AI Act Service Desk).
Ce que l'article 4 ne dit pas : aucun nombre d'heures, aucun niveau chiffré, aucun schéma de certification UE normé. La Commission insiste sur une approche « no one-size-fits-all », flexible et proportionnée (Commission Digital Strategy).
Jusqu'à l'ouverture des sanctions nationales le 2 août 2026, le risque n'était pas administratif mais civil. À compter de cette date, les deux se cumulent. Les cabinets DLA Piper et Mayer Brown rappellent que la responsabilité civile classique s'engage si un collaborateur non formé cause un dommage à un tiers.
💡 Bon à savoir : aucun schéma de certification AI literacy UE n'est normé à ce jour. Les prestataires sérieux parlent d'attestation de formation, pas de certification officielle.
2. Qui dans votre PME est concerné : le périmètre précis
Quatre catégories (sources : Commission Digital Strategy, AI Act Service Desk) :
- (1) Tous les collaborateurs qui utilisent un outil IA, pas seulement la DSI. Un commercial sous CRM augmenté IA, un comptable sous rapprochement IA, une assistante sous Copilot sont dans le périmètre.
- (2) Les managers et dirigeants qui décident des usages IA ou valident un outil. Obligation centrée sur compréhension des risques et rôles, pas sur maîtrise technique.
- (3) Les sous-traitants et prestataires externes qui opèrent un système IA pour votre compte : freelance sous ChatGPT pour vos contenus, agence qui pilote votre chatbot, infogérant qui administre votre LLM privé.
- (4) Les clients, dans certains cas d'usage : chatbot frontal visiteurs, agent téléphonique IA, le périmètre peut englober l'utilisateur final (transparence, identification IA).
Concrètement, une PME de 30 collaborateurs avec 3 sous-traitants IA peut devoir documenter la literacy d'une quarantaine de personnes.
3. Checklist en 4 semaines pour la conformité article 4
Quatre semaines, quatre objectifs, quatre livrables archivables avec votre dossier AI Act.
|
Semaine |
Objectif |
Action concrète |
Livrable documenté |
|---|---|---|---|
|
S1 |
Cartographier les usages IA |
Inventaire outil, finalité, service, données, hébergeur, sous-traitant. Une ligne par outil. |
Registre des systèmes IA daté |
|
S2 |
Identifier les populations |
Croiser registre IA, organigramme, contrats sous-traitants. Distinguer utilisateurs, managers, prestataires. |
Tableau populations avec niveau cible |
|
S3 |
Rédiger le plan AI literacy |
Formaliser les 3 piliers Commission (compréhension, rôles, risques) selon le template ci-après. |
Plan 2 à 4 pages, signé dirigeant |
|
S4 |
Déployer et documenter |
Session 2 h utilisateurs, 1 h managers, charte sous-traitants. |
Preuve de formation (présence, attestation) |
La démarche est éligible au SME Package AI : jusqu'à 70 % de remboursement sur un projet entre 3 000 € et 25 000 € HT (source : guichet.public.lu). Instruction via House of Entrepreneurship ou eHandwierk. Pour le coût global d'une IA privée, voir notre analyse coût IA privée PME.
Demander un audit IA gratuit si votre registre des systèmes IA n'est pas encore ouvert.
4. Template : le plan AI literacy minimum en 3 piliers
Un document interne de 2 à 4 pages structuré selon les minima retenus par la Commission européenne (synthèse Travers Smith). Ces trois piliers sont ce que vous pouvez présenter à un auditeur ou à la CNPD.
|
Pilier |
Contenu attendu |
Durée |
Preuve |
|---|---|---|---|
|
1. Compréhension générale |
Système IA, IA générative vs classique, LLM, 4 catégories de risque AI Act. |
1 à 2 h par personne |
Présence, support daté |
|
2. Rôles : fournisseur ou déployeur ? |
Fournisseur ou déployeur au sens des articles 3, 25 et 26 du règlement UE 2024/1689 ? Qui valide un outil IA ? Qui tient le registre ? |
1 h managers et dirigeants |
Organigramme IA, charte |
|
3. Risques et mitigations |
Fuite de données sur LLM grand public, hallucinations, biais, dépendance fournisseur, mitigations. |
1 h par population |
Matrice risques, charte signée |
Sur le pilier 3, une IA privée par construction simplifie la matrice risques (hébergement UE, humain dans la boucle, données non partagées). Voir notre cas d'usage protéger vos données via une IA privée.
5. Trois situations concrètes de PME luxembourgeoises
Situation 1 : fiduciaire 15 salariés sous Microsoft Copilot
Copilot sur les postes comptables, prestataire externe sur la paie. L'article 4 couvre les 15 salariés et le prestataire. Pilier 3 : transferts de données vers un fournisseur américain. Voir notre comparatif RGPD, AI Act, Cloud Act et la page solutions comptables-fiduciaires.
Situation 2 : PME commerce 25 salariés avec chatbot IA
Chatbot FAQ sur site e-commerce piloté par une agence web externe. L'article 4 couvre commerciaux, SAV et l'agence (other person). Pilier 3 : protection des données clients et transparence visiteurs. Voir notre analyse chatbot IA et données en Europe.
Situation 3 : PME industrie 60 salariés avec agent IA qualification prospects
Agent IA qualifie les leads, hébergement Europe souverain. L'article 4 couvre commerciaux, manager commercial (pilier 2 : décision humaine finale) et responsable marketing (pilier 3 : biais). Voir qualification prospects par agent IA.
💡 Bon à savoir : le pilier 3 varie d'un cas à l'autre. Les piliers 1 et 2 se mutualisent facilement.
6. Cinq erreurs fréquentes à éviter dans votre plan AI literacy
- Erreur 1 : confondre sensibilisation et AI literacy. Un email « attention à ChatGPT » ne vaut pas une session sur les 3 piliers. Un rappel shadow IT est un point de départ, pas un livrable article 4.
- Erreur 2 : ne former que la DSI. L'article 4 couvre tous les utilisateurs IA. Un commercial qui copie-colle un contrat dans ChatGPT est dans le périmètre.
- Erreur 3 : exclure les sous-traitants. Le périmètre « other persons » inclut freelances, agences et infogérants. Ajoutez une clause AI literacy dans vos contrats de prestation.
- Erreur 4 : sur-documenter. Une PME de 15 salariés n'a pas besoin d'un dispositif d'ETI de 500. L'approche reste proportionnée.
- Erreur 5 : croire à une certification UE officielle. Aucun schéma de certification UE n'est normé. Méfiez-vous des offres qui promettent une certification officielle inexistante.
7. Par où commencer cette semaine
Obligation opposable depuis le 2 février 2025, sanctions nationales activables au 2 août 2026. La bascule sanctionnable est imminente : si votre registre des systèmes IA n'est pas ouvert, la semaine qui vient est le bon moment.
Aujourd'hui : ouvrez un tableur et amorcez le registre des systèmes IA (30 minutes). Cette semaine : désignez un pilote interne (dirigeant, DRH, DPO, conformité). Ensuite : articulez l'AI literacy avec un cadrage stratégique IA cohérent avec votre cartographie AI Act.
Registre amorcé, pilote désigné, plan à bâtir ? Nous cadrons les 3 piliers et articulons votre démarche avec le SME Package AI. Voir pourquoi choisir LetzAgents.
📞 Discuter de votre cas d'usage
FAQ : Vos questions sur l'article 4 de l'AI Act
1. Depuis quand l'article 4 de l'AI Act est-il opposable au Luxembourg ?
Depuis le 2 février 2025 (Règlement UE 2024/1689). L'application des sanctions nationales s'active le 2 août 2026 : l'obligation existe déjà, elle devient seulement sanctionnable. La CNPD est désignée autorité de référence par le projet de loi n° 8476.
2. Quelles sanctions pour défaut d'AI literacy dans une PME luxembourgeoise ?
Aucune sanction administrative UE directe à ce stade (AI Act Service Desk). Les sanctions nationales s'activent au 2 août 2026 via le droit luxembourgeois. Avant cette date, le risque principal est civil : responsabilité classique si un collaborateur non AI-literate cause un dommage tiers (DLA Piper, Mayer Brown).
3. Qui dois-je former à l'IA dans mon entreprise ?
Quatre catégories : utilisateurs d'outils IA (tous postes), managers qui décident des usages, sous-traitants qui opèrent vos systèmes IA, et dans certains cas les clients finaux (chatbot frontal, agent téléphonique). Une PME de 30 salariés avec 3 sous-traitants couvre environ 40 personnes.
4. Comment prouver que mes collaborateurs sont AI-literate ?
Trois preuves suffisent : un plan AI literacy signé par le dirigeant (2 à 4 pages, 3 piliers), des feuilles de présence par session, une charte d'usage IA signée par chaque collaborateur. Archivez avec le registre des systèmes IA. La Commission accepte une approche flexible.
5. Quel niveau de formation IA minimum pour une PME au Luxembourg ?
Aucun minimum chiffré : la Commission insiste sur « no one-size-fits-all ». En pratique, 3 à 4 h par utilisateur (piliers 1 et 3) plus 1 h managers (pilier 2) couvrent une PME standard. Le SME Package AI rembourse jusqu'à 70 % d'un projet entre 3 000 € et 25 000 € HT (guichet.public.lu).
6. Le report des systèmes à haut risque change-t-il l'obligation de formation ?
Non. Le règlement (UE) 2026/1744, publié au Journal officiel de l'Union européenne en juillet 2026, reporte les obligations des systèmes à haut risque de l'annexe III au 2 décembre 2027 et celles de l'annexe I au 2 août 2028. L'article 4 sur l'AI literacy n'est pas concerné : il est opposable depuis le 2 février 2025 à tout fournisseur comme à tout déployeur, sans seuil de taille, et quel que soit le niveau de risque de vos systèmes. Un chatbot de service client relève du risque limité et déclenche quand même l'obligation de formation.
À propos de l'auteur
LetzAgents, IA souveraine pour PME et organisations régulées au Luxembourg. Conformité AI Act, LLM privé, coaching IA.
Sources : article 4 du Règlement UE 2024/1689, Commission Digital Strategy, AI Act Service Desk, DLA Piper, Mayer Brown, Travers Smith, CNPD, guichet.public.lu.
