La littératie IA dans une PME de 15 personnes

Le règlement européen demande de prendre des mesures qui soutiennent le développement de la littératie IA. Il ne dit pas lesquelles. Pour une entreprise de quinze personnes, sans DSI, sans service juridique et sans budget de conformité, la question devient très concrète : qu’est-ce qu’on fait, exactement ?

Ce que le texte demande — et ne demande pas

Il demande des mesures adaptées au contexte : au niveau technique des personnes, à leur expérience, à leur formation, à l’usage qui est fait des systèmes, et aux personnes sur lesquelles ces systèmes sont utilisés.

Il ne demande ni certificat, ni programme imposé, ni durée minimale, ni niveau garanti pour qui que ce soit. C’est explicite depuis la réécriture du 27 juillet 2026.

Ce qui, en creux, écarte deux réflexes courants. Acheter un e-learning générique et le distribuer à tout le monde ne correspond à rien de ce que le texte décrit — ce n’est adapté à aucun contexte. Et à l’inverse, croire qu’il faut certifier chacun est une lecture que le texte contredit lui-même.

Les quatre choses qui comptent vraiment

Dans une PME, la littératie IA utile tient en quatre acquis. Ils ne sont pas réglementaires, ils sont pratiques — mais ce sont eux qui font qu’il ne se passe rien de fâcheux.

1. Savoir ce que l’outil fait, et surtout ce qu’il ne fait pas

Un assistant génératif produit du texte plausible. Plausible n’est pas vrai, et la différence n’est pas visible dans le résultat : une référence inventée a exactement la même allure qu’une référence exacte. Comprendre ça une fois change la manière de relire.

2. Savoir quelles données peuvent y aller

C’est le point qui coûte cher quand il est raté. La question se décompose : quel outil, sous quel compte, avec quels réglages d’entreprise, pour quel type de donnée. Un dossier client, un bulletin de paie, un contrat en cours de négociation n’ont pas le même statut qu’un brouillon de courriel commercial.

La réponse dépend de votre configuration réelle, pas d’un principe général — c’est pour ça qu’une formation générique ne peut pas y répondre.

3. Savoir vérifier ce qui sort

Un geste, pas une théorie : sur quoi porte le doute, comment on le lève, et quand on renonce à utiliser le résultat. Les gens vérifient naturellement dans leur domaine d’expertise ; le piège est le sujet voisin, celui où l’on ne sait pas assez pour repérer l’erreur mais assez pour trouver la réponse crédible.

4. Garder une trace

C’est la partie proprement réglementaire, et c’est la plus simple : une date, un contenu, une liste de participants, et le support remis. Si un contrôle survient, ce qui sera demandé n’est pas un niveau atteint, c’est ce que vous avez mis en place.

Un exemple de dispositif réaliste

Pour quinze personnes, un dispositif proportionné ressemble à ceci :

• Une demi-journée pour tout le monde, sur les usages réels de l’entreprise. Pas un tour d’horizon de l’IA : les deux ou trois tâches que ces quinze personnes font vraiment.
• Une note d’une page qui dit quels outils sont autorisés, sous quels comptes, et ce qui ne doit jamais y être collé. Une page, lisible, pas une charte de douze pages que personne n’ouvre.
• Un point à six mois, court, pour reprendre ce qui a changé — parce que ça change.
• Un dossier avec les dates, les présents et les supports.

Ça ne coûte pas un budget de conformité, et ça correspond à ce que le texte décrit bien mieux qu’un certificat individuel.

Le vrai déclencheur n’est pas le règlement

Dans les entreprises que je vois, les équipes utilisent déjà des assistants depuis un moment, souvent sur des comptes personnels, sans que quiconque ait tranché ce qui pouvait y être collé. Le règlement n’a pas créé ce risque : il l’a rendu visible et daté.

C’est la bonne nouvelle, d’ailleurs. Ce qui est demandé recoupe très exactement ce qu’il faudrait faire de toute façon.

---

Pour le cadre juridique précis, voir l’article sur l’obligation de formation. Cet article décrit une pratique, pas un conseil juridique.