Audit IA externe et article 4 : les 4 livrables qui structurent votre démarche

Vous avez fait signer les attestations de formation. Peut-être avez-vous organisé une session interne, ou souscrit à un module e-learning sur l'IA. Vos collaborateurs ont cliqué sur "J'ai lu et j'accepte la charte d'usage". Vous avez noté quelque part que c'était fait.

Reste la question que se pose tout dirigeant de PME : est-ce que ça suffit ?

La réponse a changé cet été, et pas dans le sens que le marché commente. Tout le monde a retenu le report des obligations « haut risque » à décembre 2027. Presque personne n'a vu que le texte de l'article 4 lui-même a été réécrit — et que cette réécriture change la nature de ce qu'on vous demande.

Ce que l'article 4 demande réellement depuis sa réécriture

La règle a changé, pas seulement l'échéance

Le règlement (UE) 2026/1744 du 8 juillet 2026 (« Digital Omnibus on AI »), publié au Journal officiel de l'Union européenne le 24 juillet 2026 et entré en vigueur le 27 juillet 2026, remplace intégralement l'article 4 de l'AI Act.

Les fournisseurs et déployeurs de systèmes d'IA doivent « prendre des mesures pour soutenir le développement de la littératie IA » de leur personnel et des autres personnes qui utilisent ces systèmes pour leur compte, en tenant compte de leurs connaissances techniques, de leur expérience, de leur formation et du contexte d'utilisation. Et le texte ajoute explicitement : « cette obligation n'impose pas de garantir un niveau spécifique de littératie IA pour un individu ».

>

*Article 4 de l'AI Act tel que modifié par le [règlement (UE) 2026/1744](https://eur-lex.europa.eu/eli/reg/2026/1744/oj/eng) (EUR-Lex)*

Trois conséquences, dans cet ordre d'importance.

1. C'est une obligation de moyens, et le texte le dit lui-même. L'ancienne rédaction demandait de prendre des mesures pour « assurer, dans toute la mesure du possible, un niveau suffisant de maîtrise de l'IA ». La nouvelle demande de soutenir le développement de cette maîtrise, et exclut expressément toute exigence de niveau garanti par individu. Personne n'a à démontrer qu'un collaborateur a « atteint le niveau ».

2. La date, elle, n'a pas bougé. L'article 4 s'applique depuis le 2 février 2025. Ce n'est pas un report. C'est la substance de l'obligation qui s'allège — la distinction est essentielle, et un article qui vous dit « c'est repoussé » se trompe dans l'autre sens.

3. La Commission doit vous accompagner, et les PME sont explicitement visées. Le texte prévoit que la Commission et les États membres soutiennent et facilitent les efforts des fournisseurs et déployeurs, en particulier les PME, et que la Commission publiera des exemples pratiques de conformité. C'est un devoir d'accompagnement, pas seulement un allègement.

Ce que cela retire, et ce que cela ne retire pas

Ce qui tombe : l'idée qu'il faudrait constituer un dossier de preuve opposable, produire des pièces à valeur probante, ou démontrer qu'un niveau de littératie a été atteint poste par poste. Rien de tout cela n'est exigé par le texte.

Ce qui reste entier : l'obligation de *prendre des mesures*, et de les prendre en tenant compte des connaissances, de l'expérience et de la formation des personnes concernées ainsi que du contexte d'utilisation des systèmes. Une entreprise qui n'a rien fait du tout ne répond pas à l'article 4. Une entreprise qui a fait quelque chose de proportionné à ses usages y répond.

Et surtout : la question utile n'est plus juridique, elle est opérationnelle. Si le droit ne vous demande plus de prouver un niveau, il reste que vos équipes utilisent des outils d'IA tous les jours et que vous ne savez probablement pas précisément lesquels, comment, ni avec quels angles morts. C'est ce problème-là que les quatre livrables décrits plus bas traitent.

À quoi ressemble une démarche proportionnée

Le texte ne fournit aucune liste de pièces. Ce qui suit n'est donc pas une exigence réglementaire : c'est ce qui constitue, en pratique, une démarche cohérente pour une PME qui veut que ses mesures servent à quelque chose.

• Un inventaire des systèmes d'IA effectivement utilisés dans l'entreprise (par service, par poste, par usage)
• Un rattachement du niveau d'accompagnement au contexte réel d'utilisation et au profil de risque du poste
• Une trace de ce qui a été fait : qui a été formé ou sensibilisé, quand, sur quel contenu
• Une politique interne d'usage de l'IA formalisée et communiquée
• Les écarts identifiés et les actions prévues pour les combler

C'est une démarche structurée, pas un classeur d'attestations. La ligne de partage n'est plus « conforme / non conforme » : elle sépare une action qui produit un effet d'une case cochée.

Pourquoi une attestation ne vous apprend rien

Ce qu'une attestation dit, et ce qu'elle ne dit pas

Précisons-le d'emblée, puisque c'est l'inverse de ce qu'on lit encore un peu partout : une attestation de formation n'est pas « insuffisante » au regard du droit. L'article 4 ne réclame aucune pièce justificative particulière. Le problème de l'attestation n'est pas juridique, il est managérial.

Une attestation prouve qu'une session a eu lieu et qu'une personne y a participé. Elle ne vous dit pas :

• Si le contenu correspondait aux outils que cette personne utilise réellement
• Si les risques spécifiques des systèmes déployés chez vous ont été couverts
• Si la personne sait désormais repérer une erreur du modèle sur son propre poste
• Si vous savez seulement quels usages de l'IA existent dans votre entreprise

Une attestation sans cartographie préalable des usages, c'est une réponse sans question. Le texte demande de prendre des mesures en tenant compte du contexte d'utilisation : encore faut-il connaître ce contexte.

Le calendrier des autres obligations, pour éviter la confusion

L'article 4 est régulièrement confondu avec les obligations « haut risque » de l'AI Act, qui sont d'une tout autre nature. Le règlement (UE) 2026/1744 en a décalé l'application :

• 2 décembre 2027 — systèmes à haut risque de l'annexe III (systèmes autonomes : biométrie, infrastructures critiques, éducation, emploi et RH, accès aux services essentiels, répression, migration, justice). C'est de là que relèvent le tri de CV et la présélection automatisée.
• 2 août 2028 — systèmes à haut risque intégrés à des produits (annexe I : machines, jouets, ascenseurs…).

Ce qui s'applique bien au 2 août 2026 : la gouvernance et les pouvoirs d'exécution (le Bureau de l'IA et les autorités nationales deviennent responsables de la mise en œuvre et de la surveillance), les obligations de transparence de l'article 50 — avec une période transitoire de quatre mois pour les systèmes mis sur le marché avant cette date — et la surveillance du marché.

Autrement dit : si vous utilisez un outil de scoring de CV, vous avez un sujet réel, mais son échéance est décembre 2027 et il ne relève pas de l'article 4.

Le besoin réel diffère selon le poste

C'est la nuance que les approches génériques ratent systématiquement, et elle survit intacte à la réécriture : l'article 4 demande de tenir compte du contexte d'utilisation et des personnes concernées. Un dispositif uniforme sur tous les postes passe à côté.

Deux exemples concrets pour ancrer la différence :

Un comptable qui utilise Microsoft Copilot pour rédiger des commentaires de bilan ou reformuler des tableaux : usage quotidien, risque limité (sortie relue par un humain avant tout usage externe). Ce dont il a besoin : comprendre pourquoi un modèle de langage invente des chiffres plausibles, et savoir quoi vérifier systématiquement.

Un chargé de recrutement qui utilise un outil de scoring automatisé de CV : l'usage produit des décisions qui affectent directement des candidats. Le risque est d'une autre nature (biais, discrimination algorithmique, impact sur des tiers), et l'outil relève par ailleurs des obligations « haut risque » applicables en décembre 2027. Ce dont il a besoin : connaître les biais du système, savoir quand un score doit être écarté, et documenter les décisions.

Appliquer le même module de sensibilisation à ces deux postes, c'est dépenser un budget de formation sans traiter le seul risque qui comptait.

Pour aller plus loin sur les différents profils d'usage, l'article [Checklist Article 4 AI Act pour les PME : les 5 livrables à produire en interne](/blog/checklist-article-4-ai-act-pme-aout-2026) détaille la démarche par catégorie de risque.

Les 4 livrables qu'un audit IA externe produit pour votre dossier Article 4

Un audit IA externe n'est pas une certification et n'est pas une formation, et il n'est exigé par aucun texte. C'est une intervention structurée qui produit quatre documents qu'une organisation seule produit rarement : parce qu'ils demandent du recul sur ses propres usages, et parce que personne n'a le temps de les faire en interne. Voici ce que chacun apporte.

Livrable 1 : La cartographie des usages IA par poste

C'est la pièce fondatrice du dossier, et c'est celle qui manque dans presque tous les dispositifs conformité que les PME ont constitués à date.

La cartographie répond à une question précise : qui utilise quoi, comment et à quel niveau de risque dans votre organisation ? Elle documente pour chaque poste ou groupe de postes :

• Les systèmes IA effectivement utilisés (IA générative généraliste, outils métiers avec IA embarquée, automatisations, outils d'analyse)
• La fréquence et le degré d'autonomie de l'usage (supervision humaine systématique ou décision assistée ou déléguée)
• L'impact potentiel des décisions produites ou influencées par ces systèmes
• La classification du niveau de risque selon l'Annexe III de l'AI Act pour les systèmes à haut risque

Sans cette cartographie, aucune démarche de formation ne peut être calibrée sur le contexte d'utilisation dont l'article 4 demande de tenir compte. C'est la seule pièce dont l'absence rend tout le reste approximatif : on forme au hasard.

Livrable 2 : Le scoring de maturité par fonction

Une fois les usages cartographiés, l'audit établit pour chaque fonction ou groupe de postes un écart entre le niveau de compétence effective actuel et le niveau requis compte tenu du profil de risque de l'usage.

Ce scoring n'est pas un jugement sur les personnes. C'est ce qui permet d'arrêter d'acheter de la formation générique : vous savez quelle fonction a besoin de quoi, et vous cessez de payer pour ce dont les autres n'ont pas besoin.

Le scoring de maturité par fonction documente :

• Le niveau actuel par dimension (compréhension des risques IA, capacité à détecter les erreurs, pratiques de vérification, connaissance des obligations légales)
• Le niveau requis selon le profil d'usage et le niveau de risque associé
• L'écart entre les deux, qualifié et quantifié
• La priorité de remédiation assignée à chaque gap

Ce document est central : c'est lui qui transforme une intuition (« il faudrait former les gens à l'IA ») en décision budgétaire argumentée.

Livrable 3 : Le plan de remédiation documenté

Un constat sans plan ne change rien. Le plan de remédiation documente :

• Les actions de formation ou de sensibilisation spécifiques pour chaque gap identifié
• Les échéances de mise en œuvre
• Les indicateurs de progression
• Les ressources mobilisées

Une session de formation isolée ne change durablement rien. Ce qui produit un effet, c'est une démarche continue — et l'article 4 parle bien de *soutenir le développement* de la littératie IA, c'est-à-dire d'un mouvement, pas d'un événement.

Ce plan constitue aussi le pilier du suivi dans le temps. Vos usages de l'IA vont changer dans les douze prochains mois ; le niveau de maîtrise utile changera avec eux.

Livrable 4 : Le rapport d'audit externe

Disons-le franchement, puisque c'est ce que beaucoup d'articles laissent entendre à tort : aucun texte n'exige un rapport signé par un tiers, et un tel rapport ne vous « met pas en conformité ». L'article 4 n'impose ni format, ni pièce justificative, ni intervenant externe.

Son intérêt est ailleurs, et il est réel pour deux raisons.

La première est méthodologique : un auditeur externe applique une grille structurée, documentée et reproductible, et il n'a aucun intérêt à ménager l'organisation qu'il examine. Les angles morts d'une entreprise sur ses propres usages sont, par définition, invisibles de l'intérieur.

La seconde est décisionnelle : un rapport externe se présente en comité de direction. Il transforme un sujet diffus (« l'IA, il faudrait qu'on s'en occupe ») en constat daté, chiffré et arbitrable, avec un budget en face.

Ce rapport n'est pas une pièce de conformité. C'est un instrument de décision : il dit où vous en êtes, ce que ça coûte de ne rien faire, et par quoi commencer.

Pour comprendre comment sélectionner un partenaire d'audit IA qui produit ces livrables avec la rigueur méthodologique requise, l'article [Comment choisir un partenaire de transformation IA](/blog/agence-ia-comment-choisir-partenaire-transformation) détaille les critères de sélection pertinents pour une PME.

Par où commencer, maintenant que l'urgence réglementaire est retombée

La réalité du délai

Un audit IA structuré, du premier entretien au rapport final, prend entre 3 et 5 jours ouvrés pour une PME de 20 à 200 personnes avec un périmètre ciblé. Ce n'est pas un projet de 3 mois. C'est une intervention courte, à condition d'être bien préparée et menée par une équipe qui connaît le sujet.

Il n'y a plus de compte à rebours sur l'article 4 — il n'y en avait d'ailleurs jamais eu, puisque le texte s'applique depuis février 2025. C'est plutôt une bonne nouvelle : vous pouvez enfin traiter le sujet pour ce qu'il vaut opérationnellement, au lieu de le traiter dans l'urgence pour cocher une case.

Selon l'enquête INSEE TIC Entreprises 2024 (INSEE Première n°2061, octobre 2025) : "10 % des entreprises françaises de 10 salariés ou plus utilisent l'IA, dont 9 % des PME de 10 à 49 salariés." Et selon l'étude Bpifrance Le Lab "L'IA dans les PME et ETI françaises : une révolution tranquille" (juin 2025, 1 200 dirigeants) : "58 % des dirigeants de PME-ETI voient l'IA comme un enjeu de survie à 3-5 ans, mais seuls 32 % l'utilisent effectivement." Ce gap est le vrai sujet : les entreprises qui ont commencé à déployer l'IA sans formaliser leurs usages sont précisément celles qui n'ont aucune visibilité sur ce qui se passe dans leurs équipes.

Hiérarchiser par risque, pas par facilité

Si vous disposez de 5 jours ouvrés, la priorité n'est pas de couvrir tous les usages IA de votre organisation. C'est de couvrir les usages à risque élevé en premier — ceux dont une erreur affecte quelqu'un d'autre que vous.

Ordre de priorité recommandé :

1. 1Recrutement et RH : tri de CV, présélection automatisée, outils d'évaluation (décisions affectant des candidats ; relèvent par ailleurs de l'annexe III, applicable en décembre 2027)
2. 2Service client : chatbots, routage automatisé, analyse de sentiment (décisions qui affectent des tiers, et obligations de transparence de l'article 50)
3. 3Finance et contrôle de gestion : projections assistées, détection d'anomalies, scoring crédit interne
4. 4Production et opérations : automatisations, maintenance prédictive, contrôle qualité assisté (selon le secteur)

Pour les usages d'IA générative généraliste (rédaction, synthèse, reformulation) sans impact direct sur des tiers, une sensibilisation collective suffit généralement. Ils peuvent être traités dans un second temps.

Le périmètre minimal utile et le périmètre complet

Ne laissez pas la perfection bloquer l'action. Une démarche partielle mais structurée vaut infiniment mieux qu'un chantier parfait jamais lancé.

Le périmètre minimal utile comprend :

• La cartographie des usages IA à risque élevé (pas nécessairement tous les usages)
• Le scoring de maturité sur ces usages prioritaires
• Les actions de sensibilisation déjà conduites, tracées
• Un plan de remédiation pour les écarts identifiés

Cela répond à la seule question qui compte vraiment : sur les usages où une erreur d'IA coûterait cher chez nous, est-ce que les gens savent ce qu'ils font ?

L'article 4 n'impose pas de garantir un niveau. Il demande de prendre des mesures. Une entreprise qui a cartographié ses usages, formé en priorité les postes exposés et documenté son plan a pris des mesures — et, accessoirement, elle a réglé un problème réel.

Le périmètre complet (tous les usages, tous les postes, révision de la politique interne, mise à jour des chartes) peut être traité dans les mois suivants, au rythme de vos déploiements.

Questions fréquentes

L'article 4 de l'AI Act impose-t-il de constituer un dossier de conformité ?

Non. Depuis sa réécriture par le règlement (UE) 2026/1744, l'article 4 demande de « prendre des mesures pour soutenir le développement de la littératie IA » et précise que cette obligation « n'impose pas de garantir un niveau spécifique de littératie IA pour un individu ». Aucun format de dossier, aucune pièce justificative et aucun intervenant externe ne sont exigés par le texte.

Quand s'applique l'Article 4 de l'AI Act ?

Depuis le 2 février 2025, et cette date n'a pas changé. Le règlement (UE) 2026/1744 du 8 juillet 2026 a modifié le contenu de l'article 4, pas son calendrier. Ce qui a été reporté, ce sont les obligations « haut risque » : décembre 2027 pour l'annexe III, août 2028 pour l'annexe I.

Une attestation de formation suffit-elle pour être conforme à l'Article 4 ?

Le texte n'exige aucune pièce en particulier, donc la question de la « suffisance » juridique ne se pose pas dans ces termes. La vraie limite d'une attestation est ailleurs : elle atteste d'une présence, pas d'un effet. Elle ne dit pas si le contenu correspondait aux outils réellement utilisés par la personne, ni si vous savez quels usages de l'IA existent dans votre entreprise.

Combien de temps prend un audit IA pour une PME ?

Entre 3 et 5 jours ouvrés pour une PME de 20 à 200 personnes avec un périmètre ciblé sur les usages prioritaires. Ce n'est pas un projet de plusieurs mois : c'est une intervention courte, à condition d'être bien préparée.

Qu'est-ce qui change réellement avec le Digital Omnibus pour une PME ?

Trois choses. L'article 4 devient une obligation de moyens explicite. Les obligations « haut risque » de l'annexe III — dont le recrutement et les RH — passent au 2 décembre 2027. Et la Commission doit publier des exemples pratiques de conformité, en visant explicitement les PME. En revanche, la gouvernance, la surveillance du marché et les obligations de transparence de l'article 50 s'appliquent bien depuis le 2 août 2026.

Un audit IA Express pour savoir où vous en êtes

Si vous dirigez une PME ou une ETI qui utilise des outils IA et que votre visibilité sur ces usages se résume aujourd'hui à quelques attestations de formation, le sujet n'est plus réglementaire : il est opérationnel. Vous ne savez pas qui utilise quoi, ni où une erreur coûterait cher.

L'[Audit IA Express Smart Impulsion](/services/audit) a été conçu pour ce périmètre : 3 jours d'intervention, cadrage sur les usages à risque prioritaire, et les quatre livrables décrits dans cet article — cartographie des usages, scoring de maturité, plan de remédiation, rapport d'audit. Pas un rapport générique : un état des lieux calibré sur votre organisation.

Le compte à rebours réglementaire est retombé. Le besoin, lui, n'a pas bougé d'un pouce.

Pour aller plus loin

L'article 4 s'inscrit dans un cadre réglementaire plus large. Pour une vue d'ensemble :

• [Guide complet de l'audit IA pour les PME](/blog/audit-ia-pme-guide-complet) : méthodologie complète d'un audit IA PME
• [AI Act PME : le guide 2026](/blog/ai-act-pme-guide-2026) : panorama complet des obligations, délais et catégories de risque
• [Checklist Article 4 AI Act : les 5 livrables à produire en interne](/blog/checklist-article-4-ai-act-pme-aout-2026) : le document opérationnel complémentaire à cet article

*Sources citées : Règlement (UE) 2024/1689 (AI Act) ; [Règlement (UE) 2026/1744 du 8 juillet 2026, « Digital Omnibus on AI » — EUR-Lex](https://eur-lex.europa.eu/eli/reg/2026/1744/oj/eng), publié au JOUE le 24 juillet 2026, entré en vigueur le 27 juillet 2026 ; INSEE, Enquête TIC Entreprises 2024, INSEE Première n°2061 (octobre 2025) ; Bpifrance Le Lab, L'IA dans les PME et ETI françaises : une révolution tranquille (juin 2025, 1 200+ dirigeants).*

*Article mis à jour le 8 août 2026 pour tenir compte de la réécriture de l'article 4 par le règlement (UE) 2026/1744.*