AI Act en entreprise : obligations concrètes 2026-2027

Le compte à rebours réglementaire

De l’innovation rapide à la responsabilité organisée

L’intelligence artificielle n’est plus seulement un sujet d’expérimentation porté par quelques équipes data ou innovation. Elle devient un objet de gouvernance, de contrôle interne, d’audit et de responsabilité dirigeante. Le texte de référence est désormais le Règlement UE 2024/1689 sur l’intelligence artificielle, qui fixe un cadre commun pour concevoir, déployer, acheter et utiliser des systèmes d’IA dans l’Union européenne (EUR-Lex).

Pour un comité de direction, le changement de perspective est majeur. La question n’est plus seulement: « Quel outil d’IA peut améliorer notre productivité ? » Elle devient: « Qui valide l’usage, qui en maîtrise les risques, qui documente les décisions, qui répond en cas d’incident ? » Ce déplacement impose de traiter l’AI Act comme un programme d’entreprise, au même titre qu’un chantier cybersécurité, conformité ou protection des données.

Pourquoi le calendrier doit déjà structurer vos décisions

Le règlement a été publié au Journal officiel de l’Union européenne le 12 juillet 2024, ce qui a ouvert une phase de préparation pour les organisations concernées (EUR-Lex). Son entrée en vigueur le 1er août 2024 marque le point de départ juridique du compte à rebours, même si les obligations s’appliquent progressivement selon les catégories d’usages et d’acteurs (EUR-Lex).

Concrètement, les décisions prises entre 2026 et 2027 devront être fondées sur une cartographie déjà solide: quels outils sont utilisés, par quels métiers, avec quelles données, pour quelles décisions, et sous quelle responsabilité contractuelle. Attendre la dernière ligne droite reviendrait à découvrir trop tard des usages dispersés: copilotes bureautiques, assistants métiers, solutions RH augmentées, scoring commercial, automatisation documentaire, outils de support client ou moteurs de recommandation internes.

Un programme transverse, pas un dossier juridique isolé

La conformité AI Act ne peut pas être confiée à un seul service. Le juridique interprète les obligations, mais il ne voit pas toujours les usages réels. La DSI sécurise l’architecture, mais ne décide pas seule des impacts métier. Les achats négocient les clauses, les RH encadrent les usages internes, la conformité structure la preuve, et la direction générale arbitre le niveau de risque acceptable.

Périmètre	Responsabilité attendue	Décision concrète à préparer
Direction générale	Fixer l’appétence au risque et les priorités de mise en conformité	Valider une gouvernance IA et des règles d’escalade
Juridique et conformité	Qualifier les obligations et organiser la traçabilité	Créer un registre des usages et des preuves associées
DSI et sécurité	Contrôler les accès, les données et l’intégration technique	Encadrer les outils autorisés et les solutions non maîtrisées
Métiers, achats et RH	Identifier les cas d’usage réels et les impacts opérationnels	Adapter contrats, procédures et formation des équipes

Les utilisateurs d’IA sont aussi concernés

Une erreur fréquente consiste à croire que l’AI Act vise uniquement les éditeurs de modèles, les laboratoires ou les fournisseurs de plateformes. En pratique, une entreprise utilisatrice peut être exposée dès lors qu’elle déploie un système d’IA dans ses processus internes ou dans une relation client, fournisseur, collaborateur ou candidat. L’enjeu n’est donc pas seulement de savoir qui a développé l’outil, mais comment vous l’utilisez, avec quels contrôles et dans quel contexte décisionnel.

Imaginez une direction des ressources humaines qui teste un assistant pour préqualifier des candidatures volumineuses. Le gain opérationnel paraît immédiat, mais l’arbitrage porte vite sur la transparence, les critères utilisés, la supervision humaine et la conservation des traces. Si le projet avance sans validation juridique ni contrôle DSI, la conséquence n’est pas seulement technique: l’entreprise crée un risque de conformité et de réputation sur un processus sensible.

Ce guide va donc traduire le règlement en décisions opérationnelles: organiser la gouvernance, classer les usages, sécuriser les contrats, documenter les contrôles et former les équipes. Pour les dirigeants qui explorent déjà les assistants internes, le sujet rejoint directement les architectures de type RAG et assistants internes: comprendre sans coder, où la valeur métier dépend autant de la qualité des données que du cadre de déploiement.

Ce que l’AI Act encadre vraiment

Un règlement fondé sur le risque, pas sur la technologie seule

L’AI Act n’interdit pas l’intelligence artificielle en entreprise. Il organise son usage selon le niveau de risque créé pour les personnes, les droits fondamentaux, la sécurité et la qualité des décisions. Autrement dit, le règlement ne regarde pas seulement l’outil utilisé, mais le contexte d’usage: un même modèle peut être peu sensible pour résumer une note interne et beaucoup plus encadré s’il influence un recrutement, un accès au crédit ou une décision RH.

La définition juridique d’un système d’intelligence artificielle figure à l’article 3 du règlement: elle vise des systèmes capables de produire des sorties telles que prédictions, contenus, recommandations ou décisions influençant des environnements physiques ou virtuels (EUR-Lex). Pour un décideur, cette définition large impose une cartographie réaliste: assistants conversationnels, moteurs de scoring, agents IA, outils d’analyse documentaire ou solutions de cybersécurité peuvent entrer dans le périmètre.

Catégorie de risque	Logique réglementaire	Exemples d’entreprise
Interdit	Usages jugés incompatibles avec les droits fondamentaux ou présentant des dérives majeures.	Manipulation comportementale, exploitation de vulnérabilités, certaines formes de notation sociale.
Haut risque	Usages autorisés mais fortement encadrés, car ils peuvent influencer des décisions sensibles.	Recrutement automatisé, évaluation de salariés, scoring d’accès à un service essentiel.
Transparence spécifique	Usages nécessitant une information claire des personnes exposées à l’IA.	Agent conversationnel client, génération de contenus, assistant vocal ou textuel.
Risque minimal	Usages peu sensibles, avec obligations limitées mais bonnes pratiques attendues.	Résumé de documents non sensibles, aide à la rédaction, automatisation bureautique interne.

Pour lire le règlement de façon opérationnelle, les entreprises retiennent généralement quatre niveaux de risque: interdit, haut risque, transparence spécifique et risque minimal (Commission européenne et EUR-Lex).

Les rôles à clarifier avant de parler conformité

La première erreur consiste à croire que l’obligation pèse toujours sur l’éditeur de l’outil. L’AI Act distingue plusieurs rôles. Votre entreprise peut être simple utilisatrice d’une solution du marché, mais aussi déployeur lorsqu’elle l’intègre dans un processus métier, voire fournisseur si elle développe ou met à disposition un système d’IA pour d’autres entités.

Rôle	Responsabilité pratique
Fournisseur	Conçoit, développe ou fait développer un système d’IA mis sur le marché ou en service.
Déployeur	Utilise un système d’IA sous sa propre autorité, dans un processus opérationnel.
Importateur	Introduit sur le marché européen un système provenant d’un acteur établi hors Union européenne.
Distributeur	Met à disposition une solution sans nécessairement la concevoir ni l’exploiter directement.
Mandataire	Représente un fournisseur selon un mandat défini, notamment pour certaines obligations réglementaires.
Utilisateur professionnel	Emploie l’outil dans son activité quotidienne, avec un devoir de compréhension et d’usage approprié.

L’article 4 du règlement introduit une obligation de maîtrise de l’IA pour les fournisseurs et les déployeurs, ce qui implique de former les équipes au fonctionnement, aux limites et aux risques des systèmes utilisés (EUR-Lex). Cette exigence concerne autant la direction juridique que les métiers, les achats, les ressources humaines, les équipes data et les chefs de projet.

Ce que cela change dans vos cas d’usage métier

Dans le recrutement, l’enjeu n’est pas seulement de savoir si un outil trie des CV plus vite. Il faut comprendre s’il influence l’accès à un entretien, s’il produit un classement, quels biais peuvent apparaître et qui conserve la décision finale. En relation client, un agent conversationnel devra être présenté comme tel lorsque l’interlocuteur peut croire échanger avec une personne. En automatisation documentaire, le risque dépendra fortement de la sensibilité des données injectées et de l’usage fait du résultat.

Mini-scénario: votre direction commerciale veut connecter un assistant IA au CRM pour préparer les réponses aux appels d’offres. L’arbitrage porte sur les données accessibles: historiques clients, marges, clauses contractuelles, informations personnelles. Si le cadrage est insuffisant, vous gagnez du temps à court terme mais créez un risque de divulgation, de réponse erronée ou d’usage non conforme; un premier réflexe consiste à définir ce qui peut ou non entrer dans un prompt, sujet détaillé dans Données confidentielles et IA: quoi mettre dans un prompt ?.

Le pilotage projet et la cybersécurité suivent la même logique. Un assistant interne qui reformule des comptes rendus n’appelle pas les mêmes contrôles qu’un agent IA capable de déclencher des actions, prioriser des alertes ou recommander des arbitrages budgétaires. Pour le décideur, la bonne entrée n’est donc pas “avons-nous de l’IA ?”, mais “où l’IA influence-t-elle une décision, une personne, un accès, une sécurité ou une donnée sensible ?”.

Pourquoi 2026 change la donne

De la veille réglementaire à la conformité industrialisée

Jusqu'ici, beaucoup d'entreprises ont traité l'AI Act comme un sujet de veille juridique: une note interne, quelques ateliers de sensibilisation, parfois un inventaire partiel des outils d'intelligence artificielle utilisés par les équipes. Le basculement intervient lorsque la conformité ne peut plus rester au niveau du commentaire: elle doit être intégrée aux achats, aux projets, aux politiques de données, aux contrôles internes et à la formation des managers.

Échéance réglementaire	Ce que cela change pour l'entreprise	Lecture décideur
Interdictions de certains usages IA applicables depuis le 2 février 2025 (EUR-Lex)	Les usages jugés incompatibles avec le cadre européen ne relèvent plus d'un simple débat éthique.	Vous devez savoir quels cas d'usage sont exclus avant même d'arbitrer un budget ou un fournisseur.
Règles relatives aux modèles d'IA à usage général applicables à partir du 2 août 2025 (EUR-Lex)	Les modèles génériques utilisés dans des produits métiers deviennent un sujet de gouvernance à part entière.	La dépendance à un éditeur ou à une API doit être documentée, pas seulement validée par l'IT.
Obligations principales sur les systèmes à haut risque applicables à partir du 2 août 2026 (EUR-Lex)	Les systèmes sensibles exigent une maîtrise plus formelle des risques, des preuves et du suivi.	La conformité devient un processus opérationnel, comparable à la qualité ou à la cybersécurité.

Un arbitrage nouveau pour les comités de direction

Le sujet n'est pas de freiner l'innovation, mais de la rendre pilotable. Un décideur doit désormais arbitrer entre la vitesse de déploiement d'un assistant génératif, la maîtrise des données injectées, la capacité à expliquer les résultats produits et l'acceptabilité par les métiers. Cette tension est particulièrement forte dans les directions commerciales, RH, juridiques ou support client, où les gains de productivité sont visibles mais les risques de biais, d'erreur ou de confidentialité le sont moins.

Imaginez une direction des achats qui souhaite équiper les équipes commerciales d'un outil de synthèse automatique des appels clients. Le fournisseur promet un déploiement rapide, mais ne fournit qu'une documentation limitée sur l'entraînement du modèle et la localisation des données. Le comité décide alors de différer le lancement pilote pour obtenir des preuves contractuelles plus solides; conséquence directe: le projet avance moins vite, mais il devient défendable devant le juridique, la DSI et les représentants métiers.

Les achats IA deviennent un point de contrôle stratégique

La conformité IA se joue largement avant la signature du contrat. Les clauses doivent couvrir les conditions d'usage, la traçabilité des traitements, les responsabilités en cas d'erreur, les garanties sur les données et les éléments de preuve fournis par l'éditeur. Une fiche produit séduisante ne suffit plus: il faut demander ce qui est journalisé, ce qui est conservé, ce qui est réutilisé pour entraîner le modèle, où les données transitent et comment l'entreprise peut auditer ou suspendre l'usage.

Cette discipline d'achat concerne aussi les outils déjà présents dans l'organisation. Beaucoup de solutions bureautiques, CRM, support ou ressources humaines intègrent progressivement des fonctions génératives. Le risque n'est donc pas seulement d'acheter une plateforme IA visible; il est aussi d'activer sans gouvernance une fonctionnalité ajoutée dans un logiciel existant. Pour structurer votre lecture du marché, vous pouvez consulter notre panorama officiel des certifications IA en France, utile pour distinguer culture générale, compétences techniques et pilotage de projet.

Former les managers pour éviter la conformité de façade

La montée en compétence devient un levier de contrôle interne. L'APEC observe une demande de formation IA des cadres en hausse de +45 % par rapport à 2023 (APEC), signe que le besoin dépasse les équipes data ou IT. Les managers doivent comprendre les limites des outils génératifs: hallucinations, dépendance au contexte fourni, sensibilité aux données d'entrée, difficulté d'explication et risques liés à l'automatisation de décisions métiers.

Cette formation ne doit pas seulement apprendre à rédiger de meilleurs prompts. Elle doit donner aux décideurs une grille d'analyse: quel usage est acceptable, quel niveau de validation humaine est requis, quelles preuves demander à un éditeur, quelle documentation conserver et quand escalader vers le juridique ou la sécurité. Pour les organisations qui s'appuient sur l'écosystème Microsoft, notre analyse des évolutions d'Azure AI Fundamentals aide à situer les compétences attendues face aux nouveaux usages des agents et services IA.

Votre plan d’action en 7 étapes

Partir du terrain réel, pas de l’organigramme officiel

La première erreur consiste à ne recenser que les outils officiellement achetés par la DSI. Votre cartographie doit aussi couvrir les usages discrets: extensions bureautiques, assistants conversationnels utilisés par une équipe commerciale, générateurs de comptes rendus, automatisations no-code, prototypes montés par les métiers ou connecteurs branchés sur un outil de relation client. C’est souvent là que se concentrent les risques: données personnelles copiées dans un service externe, décision semi-automatisée sans validation claire, fournisseur non évalué.

Dans une entreprise de services, une directrice des opérations découvre qu’une équipe utilise un assistant IA pour préqualifier des réclamations clients avant transmission au support. L’arbitrage n’est pas de couper l’outil du jour au lendemain, car il réduit les délais de traitement, mais de vérifier les données envoyées, les critères de tri et la possibilité de corriger une mauvaise orientation. La conséquence immédiate: l’usage reste autorisé, mais passe sous validation métier et juridique avant généralisation.

Étape	Objectif de décision	Livrable attendu
Inventorier les usages	Identifier les outils IA déclarés, tolérés ou invisibles dans les équipes	Registre des usages, fournisseurs et responsables métiers
Classer les risques	Évaluer le métier concerné, les données traitées, l’impact sur les personnes et le niveau d’automatisation	Matrice de criticité exploitable par la direction
Documenter les décisions	Rendre chaque arbitrage traçable et auditable	Fiche d’usage avec finalité, limites, validation humaine et escalade
Sécuriser les achats	Éviter les contrats IA conclus sans clauses sur données, sous-traitance, sécurité et réversibilité	Questionnaire fournisseur et clauses minimales
Former les équipes	Donner aux métiers les bons réflexes sur confidentialité, biais, prompts et contrôle des résultats	Parcours de formation adapté aux rôles
Tester les sorties critiques	Détecter les erreurs avant qu’elles n’affectent un client, un salarié ou une décision sensible	Jeux de tests, seuils d’alerte et journal des anomalies
Installer une gouvernance	Décider vite, sans créer une usine administrative disproportionnée	Comité IA, règles d’arbitrage et reporting direction

Classer les usages selon le risque et l’impact humain

Le classement ne doit pas être théorique. Un chatbot interne qui aide à retrouver une procédure RH n’a pas le même profil qu’un outil qui priorise des candidatures, attribue un score de risque ou influence une décision d’accès à un service. Le règlement donne un repère structurant: l’Annexe III identifie 8 domaines de systèmes d’IA à haut risque, notamment lorsque les décisions peuvent affecter des personnes de manière significative (EUR-Lex).

Pour chaque usage, demandez-vous qui subit l’effet de la décision, quelles données alimentent le système, si une personne peut contester ou corriger le résultat, et quel fournisseur maîtrise réellement le modèle. Cette grille évite deux excès: banaliser un outil parce qu’il est intégré à une suite bureautique, ou bloquer toute expérimentation alors qu’un encadrement proportionné suffit.

Documenter, contrôler et former sans ralentir l’innovation

La documentation doit rester opérationnelle: finalité, fournisseur, catégories de données, responsable métier, validation humaine, limites connues, incidents constatés et règles d’escalade. Pour les systèmes à haut risque, l’Article 9 prévoit un système de gestion des risques formalisé (EUR-Lex). Cette exigence se traduit concrètement par des revues régulières, des tests avant mise en production et une capacité à retirer ou corriger un usage qui dérive.

Le contrôle humain mérite une attention spécifique. L’Article 14 encadre cette logique de supervision pour les systèmes d’IA à haut risque (EUR-Lex). En pratique, le collaborateur ne doit pas seulement cliquer sur “valider”: il doit comprendre ce que l’outil propose, savoir quand s’en écarter et disposer d’un canal d’escalade. Sur ce volet, un parcours tel que Former son équipe à l’IA générative: par où commencer aide à distinguer les usages autonomes, assistés et interdits.

Enfin, les achats IA doivent être traités comme des engagements de conformité, pas comme de simples abonnements logiciels. L’Article 26 précise les obligations des déployeurs de systèmes d’IA à haut risque (EUR-Lex), ce qui impose aux entreprises utilisatrices de garder la maîtrise de l’usage, même lorsque la technologie vient d’un tiers. Pour les assistants avancés et les chaînes d’automatisation, votre comité IA devra aussi suivre les limites décrites dans les agents IA en entreprise: autonomie apparente, erreurs plausibles, dépendance aux données et responsabilité finale du décideur.

Budget, CPF et financement

Construire un budget de maîtrise des risques, pas seulement un budget formation

Pour un décideur, la conformité à l’AI Act ne se résume pas à acheter un outil ou à inscrire quelques collaborateurs à une formation. Le budget utile combine plusieurs lignes: cartographie des usages d’intelligence artificielle, temps juridique, analyse des fournisseurs, choix d’outils maîtrisables, documentation interne, sensibilisation des métiers et conduite du changement. La formation vient sécuriser l’exécution, mais elle ne remplace ni la gouvernance, ni l’analyse de risque, ni les arbitrages de direction.

Imaginez une direction commerciale qui utilise déjà un assistant IA pour rédiger des propositions clients. Le directeur général doit arbitrer entre laisser chaque équipe choisir ses prompts et ses outils, ou financer un cadrage commun avec règles de validation, bibliothèque de cas d’usage et formation des managers. Le premier choix semble moins coûteux à court terme; le second réduit les risques de fuite d’informations, d’erreur contractuelle et de dépendance à des pratiques non documentées.

Identifier les bons leviers de financement

Le Compte personnel de formation peut financer des parcours individuels lorsque la formation est éligible et que le projet professionnel du salarié est cohérent. Le sujet est massif: la France compte 30 millions de comptes CPF actifs et 12 milliards € de soldes cumulés (Caisse des Dépôts 2023-2024). Pour aller plus loin sur les dispositifs mobilisables, vous pouvez consulter notre guide sur les dispositifs pour financer une formation IA ou notre analyse dédiée au fonctionnement d’une formation IA mobilisable via le CPF.

Levier	Usage pertinent	Point de vigilance pour le décideur
CPF individuel	Montée en compétence d’un salarié sur un projet professionnel identifié	Un reste à charge CPF obligatoire de 100 € par formation s’applique depuis le 2 mai 2024, sauf exceptions (Caisse des Dépôts et Centre Inffo).
Abondement employeur	Compléter le financement CPF lorsque l’enjeu sert aussi l’organisation	Formaliser l’accord avec le salarié et relier la formation à des besoins métiers concrets.
Plan de développement des compétences	Former une équipe métier, juridique, RH, achats, projet ou data	Privilégier un cadrage collectif, avec objectifs, livrables et règles internes d’usage.
Financement direct par l’entreprise	Former dirigeants, managers et fonctions exposées aux décisions IA	Intégrer la formation dans un programme de gouvernance, pas comme une action isolée.

Repères de coût pour former les équipes à l’IA

Pour les organisations qui veulent structurer les premiers usages, une formation IA générative éligible CPF permet d’aborder les cas d’usage, les limites opérationnelles et les bonnes pratiques de formulation, sans promettre à elle seule une conformité complète à l’AI Act. Le bon réflexe consiste à relier la formation à vos politiques internes: validation humaine, confidentialité, traçabilité, achats logiciels et gestion des données.

Parcours Elitek	Positionnement	Repères de coût
ChatGPT / IA générative	Acculturation opérationnelle aux usages IA, prompts, cas métiers et limites	1 590 € TTC, examen 190 €, 23 h (table courses vérifiée le 11/07/2026).
Parcours IA Chefs de Projet CPF	Usage de l’IA dans le pilotage, la coordination, la documentation et l’aide à la décision projet	1 890 € TTC et 16 h (table courses_cpf vérifiée le 11/07/2026).

Le budget le plus robuste est donc hybride: une part dédiée à la conformité, une part dédiée aux outils et une part dédiée aux compétences. Cette articulation évite deux écueils fréquents: former sans changer les pratiques, ou acheter des solutions IA sans donner aux équipes les critères pour les utiliser correctement.

L’accompagnement Elitek

Partir des usages réels, pas d’un catalogue théorique

Notre accompagnement démarre par une cartographie pragmatique des usages d’intelligence artificielle déjà présents dans l’entreprise: rédaction assistée, synthèse de réunions, analyse documentaire, aide à la décision, génération de livrables projet ou support client. L’objectif n’est pas de freiner l’innovation, mais de distinguer ce qui relève de l’expérimentation maîtrisée et ce qui entre réellement en production, avec des impacts sur les données, les clients, les collaborateurs ou la conformité.

Cette approche est particulièrement utile aux décideurs, car elle transforme l’AI Act en règles de pilotage compréhensibles: qui peut utiliser quel outil, sur quelles données, avec quelle validation humaine, quelle traçabilité et quelles limites explicites. La formation Elitek IA Chef de Projet Augmenté est proposée à 2 268 € TTC pour 14 h, afin de travailler ces arbitrages sous l’angle opérationnel des projets et de la gouvernance (table courses vérifiée le 11/07/2026).

Situation d’usage	Logique d’accompagnement Elitek	Livrable attendu
Expérimentation interne	Encadrer les tests, limiter les données sensibles, formaliser les apprentissages	Charte d’usage, consignes de prompts, règles de confidentialité
Usage en production	Définir responsabilités, contrôles humains, documentation et critères de validation	Registre de risques, circuit d’approbation, preuves de conformité
Usage transverse métier	Aligner DPO, RSSI, juridique, conformité et directions opérationnelles	Plan de formation, gouvernance IA, rituels de suivi

Des ateliers pratiques pour rendre les règles applicables

Les ateliers Elitek privilégient des cas concrets: prompts professionnels, confidentialité des informations, validation humaine des réponses, documentation des décisions et identification des limites des outils génératifs. Un formateur certifié aide les stagiaires à traduire les contraintes réglementaires en gestes métiers: ne pas saisir de données confidentielles sans cadre, distinguer brouillon et décision, qualifier une sortie IA avant diffusion, conserver une trace lorsque l’outil influence un arbitrage.

Dans un comité de pilotage SI, une directrice de programme constate que plusieurs chefs de projet utilisent des assistants IA pour préparer les comptes rendus et reformuler des risques fournisseurs. L’arbitrage consiste à autoriser l’usage pour la structuration des notes, mais à interdire l’injection de données contractuelles non anonymisées. Conséquence immédiate: le modèle de compte rendu est enrichi d’une mention de validation humaine et le registre des risques intègre une colonne dédiée aux contributions issues d’un outil génératif.

Cette logique rejoint les attentes des métiers projet: la croissance IA pour les métiers PM est estimée à +40 % YoY, ce qui pousse les organisations à professionnaliser rapidement leurs pratiques plutôt qu’à laisser chaque équipe improviser ses propres règles (Gartner 2024).

Traduire la conformité en pilotage projet

Pour un décideur, la valeur de l’accompagnement ne tient pas seulement à la compréhension du texte réglementaire. Elle réside dans la capacité à installer des rituels: revue des usages IA en comité projet, qualification des risques, critères d’acceptation sur les livrables générés, journalisation des décisions sensibles et plan de montée en compétence des équipes. Le PMBOK 8 Annexe X3 formalise 3 postures du chef de projet face à l’IA, ce qui confirme le rôle central du pilotage dans l’adoption maîtrisée de ces technologies (PMI.org).

La formation devient alors un levier de gouvernance. Elle ne remplace ni l’analyse juridique, ni le travail du DPO, ni les exigences du RSSI ou de la conformité interne; elle permet aux managers, chefs de projet et responsables métiers de dialoguer avec ces fonctions dans un langage opérationnel. Pour approfondir le format, le financement et le programme, vous pouvez consulter notre article Formation IA générative pour chefs de projet 2026: prix, CPF, programme.

Un dispositif de compétence mesurable et pilotable

Elitek positionne l’IA comme une compétence collective, pas comme une simple maîtrise d’outil. Les stagiaires repartent avec des grilles d’usage, des exemples de prompts contrôlés, des réflexes de documentation et une méthode pour décider quand l’IA peut assister, quand elle doit être vérifiée, et quand elle doit être écartée. La satisfaction IA vérifiée atteint 9,16/10, ce qui reflète l’adéquation entre les ateliers proposés et les besoins concrets des équipes projet (table courses, extraction du 04/06/2026 et ajout IA du 11/07/2026).

Pour les organisations qui souhaitent structurer cette montée en compétence dans un cadre finançable, le parcours IA pour chefs de projet apporte une base opérationnelle pour relier adoption de l’IA, pilotage des risques et gouvernance interne.

FAQ

Quelles entreprises sont concernées par l’AI Act ?

L’AI Act concerne les entreprises qui développent, achètent, intègrent ou utilisent des systèmes d’intelligence artificielle dans l’Union européenne. Une PME qui utilise un assistant IA pour le support client, un grand groupe qui automatise une présélection RH ou une direction projet qui déploie un assistant interne peuvent être concernés, avec des obligations variables selon le niveau de risque. Le point clé n’est pas seulement la taille de l’entreprise, mais l’usage concret de l’IA, les données traitées, l’impact potentiel sur les personnes et le rôle joué dans la chaîne de valeur. Un décideur doit donc commencer par cartographier les usages existants, y compris les usages informels, puis qualifier les responsabilités de l’entreprise.

Que doit faire un décideur dès maintenant pour préparer 2026-2027 ?

La première action consiste à lancer un inventaire opérationnel des usages IA: outils officiels, licences bureautiques, assistants génératifs, automatisations no-code, solutions RH, scoring, relation client, reporting et prototypes métiers. Ensuite, chaque usage doit être classé selon son niveau de risque, son impact, ses données et son degré d’autonomie. Le décideur doit aussi désigner des responsables, formaliser les règles d’usage, encadrer les achats, documenter les validations humaines et former les équipes. L’objectif n’est pas de bloquer l’innovation, mais de rendre les usages explicables, traçables et maîtrisés. Pour les systèmes sensibles, l’entreprise devra associer juridique, DPO, RSSI, métiers et direction générale.

Quelle différence entre fournisseur et déployeur dans l’AI Act ?

Le fournisseur est l’acteur qui développe ou fait développer un système d’IA et le met sur le marché sous son nom ou sa marque. Le déployeur est l’organisation qui utilise un système d’IA sous sa propre autorité, dans un contexte professionnel. Une entreprise peut donc être simple déployeur lorsqu’elle achète une solution IA du marché, mais elle peut se rapprocher du rôle de fournisseur si elle modifie fortement un système, l’intègre dans une offre commerciale ou le met à disposition d’autres entités. Cette distinction est essentielle, car les obligations ne sont pas identiques. Les fournisseurs portent davantage d’exigences techniques et documentaires, tandis que les déployeurs doivent sécuriser l’usage réel, la supervision humaine et les conditions d’exploitation.

Comment savoir si un outil IA est à haut risque ?

Un outil IA doit être analysé selon son domaine d’usage, son impact sur les droits des personnes et son rôle dans une décision importante. Les cas sensibles concernent notamment l’emploi, l’éducation, l’accès à certains services, les infrastructures critiques ou des processus pouvant produire des effets significatifs sur une personne. Un assistant qui reformule des comptes-rendus n’a généralement pas le même niveau de risque qu’un outil qui classe automatiquement des candidats ou attribue un score influençant une décision RH. L’entreprise doit donc documenter la finalité, les données utilisées, les utilisateurs, le niveau d’automatisation et la présence d’un contrôle humain réel. En cas de doute, une analyse juridique et conformité est nécessaire.

Les outils comme ChatGPT, Claude ou Copilot sont-ils interdits en entreprise ?

Non, les outils d’IA générative ne sont pas interdits par principe. Leur usage doit toutefois être encadré, surtout lorsqu’ils traitent des données internes, confidentielles, personnelles ou stratégiques. Une entreprise doit définir ce qui peut être saisi dans un prompt, ce qui doit rester hors outil public, comment vérifier les réponses produites et dans quels cas une validation humaine est obligatoire. Les directions doivent aussi distinguer usage individuel, usage métier contrôlé et intégration dans un processus critique. Le risque principal vient souvent d’un usage non gouverné: copier des données sensibles, produire une décision sans revue, ou réutiliser un résultat non vérifié. La bonne approche combine règles, formation, outils validés et supervision.

Faut-il former tous les salariés à l’AI Act ?

Il n’est pas nécessaire de former tous les salariés au même niveau, mais l’entreprise doit organiser une montée en compétence proportionnée aux usages. Les collaborateurs qui utilisent des outils génératifs au quotidien doivent comprendre les règles de confidentialité, les limites des réponses, les biais possibles et la nécessité de vérifier les résultats. Les managers doivent savoir arbitrer les usages, identifier les risques et documenter les décisions. Les équipes juridiques, DPO, RSSI, achats, RH et métiers sensibles ont besoin d’un niveau plus avancé. Pour un décideur, l’enjeu est de créer une culture IA commune: savoir ce que l’outil peut faire, ce qu’il ne faut pas lui demander et comment garder une responsabilité humaine claire.

Quel lien entre AI Act, RGPD et CNIL ?

L’AI Act ne remplace pas le RGPD. Les deux cadres se complètent. Le RGPD encadre les données personnelles: base légale, information des personnes, minimisation, durée de conservation, droits d’accès, sécurité et analyse d’impact lorsque le traitement présente un risque élevé. L’AI Act encadre le système d’IA lui-même: niveau de risque, transparence, documentation, contrôle humain, robustesse et obligations selon le rôle de l’entreprise. La CNIL reste un acteur central dès qu’un usage IA implique des données personnelles. En pratique, une entreprise doit éviter de traiter ces sujets séparément. Une cartographie IA efficace doit inclure les données, les finalités, les fournisseurs, les risques réglementaires et les mesures de gouvernance.

Comment financer la montée en compétence IA des équipes ?

Le financement dépend du public visé et de l’objectif. Pour un salarié qui souhaite développer ses compétences professionnelles, le CPF peut être mobilisé si la formation est éligible et si le projet est cohérent. Pour une équipe entière, l’entreprise peut passer par le plan de développement des compétences, un abondement employeur ou une stratégie de formation interne. Les décideurs doivent distinguer trois besoins: sensibiliser largement aux bons usages, former les métiers exposés aux risques et professionnaliser les chefs de projet ou référents IA chargés de structurer la gouvernance. Une formation ne remplace pas un audit juridique, mais elle accélère l’adoption de pratiques fiables, documentées et compatibles avec les exigences de conformité.

Se former avec Elitek

Elitek, organisme certifié Qualiopi, propose une formation dédiée à ce sujet, éligible CPF et disponible en distanciel comme en présentiel. Découvrez la formation Elitek correspondante et son accompagnement vers la certification.

Sources

• Project Management Institute
• France Competences
• APEC