AI literacy : enjeux et plan d’action pour les PME

ParJohan Lemarchand

En France, 21,9 % des adultes de 16 à 65 ans avaient en 2012 des compétences en littératie faibles ou très faibles, contre 17,5 % en moyenne dans les pays de l'OCDE participant à PIAAC, et 17,8 % étaient au niveau 1 ou en dessous en numératie, selon la Banque mondiale à partir des données OCDE. Cette base compte, parce qu'elle rappelle que l’AI literacy ne commence pas sur un terrain vierge. Elle s'ajoute à des écarts déjà présents dans la compréhension, la vérification et le jugement, qui pèsent directement sur l'usage professionnel de l'IA générative.

Table des matières

Table des matières

Pourquoi l'AI literacy est devenue urgente en 2025

L'IA générative s'installe plus vite que la compréhension qu'en ont les équipes. Microsoft a mesuré en 2025 une adoption mondiale de 16,3 % de la population, contre 15,1 % au premier semestre 2025, soit 1,2 point de plus en quelques mois, ce qui traduit une diffusion rapide dans les usages quotidiens (rapport Microsoft sur l'adoption mondiale de l'IA générative en 2025). En parallèle, dans 25 pays, 34 % des adultes disent avoir entendu ou lu « beaucoup » sur l'IA, 47 % « un peu », et 14 % rien du tout, ce qui montre que la compréhension sociale progresse plus lentement que l'adoption technique.

Infographie montrant l'urgence de l'alphabétisation à l'intelligence artificielle en 2025 face à son adoption massive et rapide.

Cette asymétrie change tout pour une PME. Un commercial peut très bien produire un texte propre avec un assistant d'IA sans savoir repérer une erreur factuelle, une fuite d'information ou un biais de formulation. Un dirigeant peut aussi laisser l'outil se diffuser dans l'équipe sans tracer qui l'utilise, pour quoi faire, et avec quelles règles.

Règle pratique. Plus l'usage devient courant, plus la formation doit devenir concrète, courte et vérifiable.

Depuis février 2025, l'article 4 de l'AI Act a rendu le sujet plus qu'utile, il l'a rendu organisable. La question n'est plus seulement « faut-il former ? », mais « peut-on démontrer que les personnes qui utilisent ou déploient l'IA ont reçu un niveau de sensibilisation adapté à leur contexte ? ». Pour un cabinet ou un DPO externalisé, c'est un basculement de posture, on passe d'une logique d'information générale à une logique de preuve.

Ce que recouvre vraiment l'AI literacy

L'AI literacy n'est pas une simple aisance avec un chatbot. La littérature récente la définit comme un socle de compétences qui combine connaissances factuelles, évaluation critique, compréhension des mécanismes, et prise en compte des enjeux éthiques et juridiques (cadre académique sur l'AI literacy et l'IA générative). En pratique, cela veut dire qu'une personne formée doit savoir ce que l'outil fait, où il se trompe, et quand il faut interrompre son usage.

Le cadre de mesure SAIL4ALL va dans le même sens. Il distingue des connaissances factuelles sur l'IA, la capacité à évaluer critiquement les technologies, à comprendre leurs mécanismes et à reconnaître leurs implications éthiques, avec deux formats complémentaires, un vrai/faux pour vérifier l'exactitude factuelle et une échelle de Likert en 5 points pour capter aussi le niveau de confiance (SAIL4ALL dans Nature). C'est utile, parce qu'une autoévaluation vague ne suffit pas à documenter une progression.

Les dimensions à observer dans une équipe

Une revue systématique sur les échelles d'AI literacy fait ressortir des capacités très concrètes, reconnaître, savoir et comprendre, utiliser et appliquer, évaluer, créer et agir de manière éthique (revue systématique des échelles d'AI literacy). Cette structuration est précieuse pour les PME, parce qu'elle permet de transformer une notion abstraite en comportements observables.

  • Reconnaître. Identifier quand un outil produit du contenu généré par IA, ou quand un cas d'usage dépasse son périmètre.
  • Comprendre. Expliquer simplement pourquoi une réponse peut être plausible sans être juste.
  • Appliquer. Utiliser des instructions claires, puis relire et corriger avant diffusion.
  • Évaluer. Vérifier la qualité, les limites et la cohérence avec le contexte métier.
  • Agir éthiquement. Éviter les usages qui exposent des données sensibles ou trompent un client.

L'objectif n'est pas de transformer tout le monde en spécialiste. L'objectif est que chacun sache utiliser l'outil sans perdre le contrôle du résultat.

L'obligation légale de l'article 4 de l'AI Act

L'article 4 de l'AI Act est entré en application le 2 février 2025. Il impose aux fournisseurs et aux déployeurs de systèmes d'IA de prendre des mesures pour garantir un niveau suffisant d’AI literacy parmi les personnes qui mettent en œuvre ou utilisent ces systèmes, en tenant compte de leur formation, de leur expérience et du contexte d'usage (résumé opérationnel de l'obligation d'AI literacy). Ce point est central, car il ne s'agit pas d'un seuil uniforme, mais d'une obligation de moyens adaptée au risque.

Le texte crée donc une attente de conformité concrète, pas une simple recommandation de bon sens. Une PME doit pouvoir montrer qui utilise l'IA, sur quels usages, avec quels garde-fous, et avec quel niveau de compétence attendu. C'est aussi là qu'intervient la lecture pratique de l'AI Act, car l'article 4 s'inscrit dans une logique de gouvernance, de preuve et de proportionnalité.

Autrement dit, l'organisation n'a pas à prouver qu'elle a appliqué le même dispositif à tous. Elle doit montrer qu'elle a évalué les usages, identifié les profils concernés, fixé un niveau d'exigence réaliste, puis documenté les actions mises en place. La Commission européenne a d'ailleurs précisé qu'il n'existe pas de certification chiffrée unique, ce qui laisse une responsabilité d'adaptation réelle aux structures elles-mêmes.

Ce que cela change pour une PME ou un cabinet

Pour une PME, le sujet ne se limite pas à l'équipe technique. Dès qu'un collaborateur utilise l'IA pour rédiger, résumer, classer, conseiller ou analyser, l'entreprise doit pouvoir justifier un cadre d'usage cohérent. Cela suppose des règles simples, un circuit de validation clair et des traces exploitables en cas de contrôle ou d'audit interne.

Pour un cabinet de conseil, un DPO externalisé ou un prestataire qui accompagne plusieurs clients, cette obligation devient aussi un sujet de méthode. Il faut pouvoir prouver que l'accompagnement couvre bien la sensibilisation aux risques, aux limites et aux bons usages, mais aussi que les livrables, les échanges et les recommandations laissent une trace utile. Sans documentation probante, la conformité reste déclarative.

La bonne question n'est pas « avons-nous formé tout le monde ? ». La bonne question est « pouvons-nous le démontrer de manière crédible, par public, par usage et par niveau de risque ? ».

Dans ce cadre, l'article 4 ne demande pas une usine à gaz. Il demande un dispositif proportionné, lisible et traçable, avec des preuves simples à produire, comme une politique d'usage, des supports de formation, des attestations de sensibilisation ou des comptes rendus de revue. Les organisations qui s'en sortent le mieux sont celles qui intègrent l'AI literacy dans leurs pratiques existantes, politique interne, onboarding, revues périodiques, plutôt que de lancer une formation isolée sans suivi ni trace durable.

Les niveaux de compétence selon votre rôle

L'AI literacy ne se décline pas de la même manière selon les fonctions. Un utilisateur quotidien doit savoir rédiger une consigne claire, relire la sortie et éviter de verser des données confidentielles dans un outil non autorisé. Un manager doit, en plus, apprécier si le cas d'usage apporte une valeur réelle, encadrer les pratiques de son équipe et vérifier que les validations humaines sont bien faites. Un dirigeant, un DPO ou un référent conformité doit aller jusqu'à la gouvernance, avec des règles écrites, des arbitrages de risque et des preuves conservées de façon exploitable.

Un bon repère consiste à relier ces attentes à la capacité réelle de la personne, pas à un intitulé de poste. Pour structurer cette lecture, les compétences IA par rôle donnent une base utile, à condition de les traduire ensuite en exigences internes, en preuves de formation et en contrôles adaptés au niveau de risque. Une PME n'a pas intérêt à viser un modèle théorique. Elle doit surtout pouvoir montrer qui sait faire quoi, sur quels usages, et avec quelles limites.

Rôle Compétences clés Exemples concrets
Utilisateur quotidien Formuler une demande claire, vérifier les réponses, protéger les données Relire un texte généré avant envoi, ne pas coller un contrat client dans un outil public, demander une reformulation plutôt qu'une décision
Manager ou responsable métier Évaluer l'intérêt réel d'un cas d'usage, encadrer les pratiques d'équipe, repérer les risques Décider si l'IA peut aider sur les comptes rendus, imposer une validation humaine, interdire certains usages sur données sensibles
Dirigeant, DPO ou référent conformité Définir la politique d'usage, documenter les preuves, arbitrer le niveau de contrôle Tenir un registre de preuve, faire valider les règles internes, intégrer la formation aux contrats d'accompagnement annuels

Pour les équipes terrain, l'attendu doit rester concret. Si un collaborateur ne sait pas expliquer pourquoi une réponse d'IA peut être erronée, la compétence n'est pas encore acquise. S'il ne sait pas reconnaître une donnée sensible ou un document interdit dans l'outil, le risque de fuite reste présent. La maîtrise se voit dans des gestes simples, répétés sans assistance.

Pour les managers, la question change de niveau. Il ne s'agit plus seulement de bien utiliser l'outil, mais de décider dans quels cas il est acceptable, qui valide, et quelles situations doivent être exclues. Un responsable qui laisse chacun tester librement sans règle commune crée un écart de pratique difficile à défendre en cas de contrôle. À l'inverse, un encadrement léger mais écrit, avec quelques cas d'usage autorisés et des exclusions claires, se documente beaucoup mieux.

Les fonctions de pilotage ont un autre angle de travail. Elles doivent pouvoir démontrer que la compétence est organisée, suivie et reliée aux usages réels, pas seulement rappelée dans une note interne. C'est là que les DPO externalisés et les consultants conformité apportent une valeur concrète, en structurant les exigences, les preuves et les revues périodiques. Ils aident aussi à distinguer ce qui relève de la sensibilisation générale, de la formation ciblée et du contrôle de conformité attendu selon le rôle.

Cette gradation évite deux erreurs fréquentes. La première consiste à proposer la même formation à tout le monde, alors que les responsabilités ne sont pas les mêmes. La seconde consiste à former sans laisser de trace utile, ce qui fragilise ensuite la démonstration. Pour une PME accompagnée par un DPO externalisé, la bonne approche consiste à associer chaque niveau de compétence à un usage, à un support de preuve et à un responsable de validation identifiable.

Comment mesurer et documenter la progression

Une progression utile se mesure par des preuves, pas par des impressions. Un questionnaire vrai/faux vérifie la compréhension factuelle. Une échelle de Likert permet de mesurer le niveau de confiance perçu. Un exercice pratique, lui, montre si la personne sait vraiment relire une sortie d'IA, détecter une faiblesse ou refuser un usage inadapté.

Une infographie montrant les méthodes pratiques pour mesurer et documenter la littératie en intelligence artificielle.

Les preuves qui tiennent en audit

Pour constituer un registre de preuve défendable, mieux vaut documenter des résultats observables que des déclarations générales. Une personne peut dire qu'elle « comprend l'IA », mais il est plus solide de montrer qu'elle a réussi un test de compréhension, un cas pratique et une validation managériale.

  • Questionnaires factuels. Vérifier que la personne sait distinguer une réponse plausible d'une réponse fiable.
  • Cas pratiques. Demander une analyse d'une sortie d'IA sur un dossier réel ou simulé.
  • Validation humaine. Noter que la réponse finale a été revue avant diffusion ou décision.
  • Contrôles de sécurité. Vérifier que les données sensibles ne sont pas saisies dans un outil non autorisé.

La logique est simple. Si vous ne pouvez pas montrer ce qui a été testé, quand, et selon quel critère, vous aurez du mal à défendre la conformité en audit interne ou face à un client. Les DPO externalisés ont intérêt à standardiser ces preuves dès le départ, car la documentation devient vite ingérable si chaque client fonctionne différemment.

Construire un plan d'amélioration réaliste

Un bon plan ne commence pas par un module théorique. Il commence par les usages réels de l'équipe, les outils déjà en circulation, et les situations où le risque est le plus élevé. C'est là qu'une PME gagne du temps, parce qu'elle évite de former tout le monde de la même façon sur des cas qu'elle n'utilise jamais.

Prioriser les bons leviers

Le plus efficace reste souvent un enchaînement simple, formation courte, pratique guidée, puis revue périodique. Les parcours prêts à l'emploi sont utiles quand le temps manque. La conception interne peut fonctionner, mais elle demande une vraie capacité pédagogique et une vigilance juridique que toutes les structures n'ont pas.

Bon réflexe. L'AI literacy doit être liée à un usage métier précis, sinon elle reste théorique et s'oublie vite.

Un plan réaliste inclut aussi des règles de gouvernance. Qui valide les usages ? Qui peut tester de nouveaux outils ? Qui garde la trace des formations et des exercices ? Sans ces réponses, la montée en compétence reste informelle, donc difficile à prouver.

Un rythme simple pour les PME

  • Évaluation initiale. Identifier les usages IA déjà présents et les zones de risque.
  • Parcours ciblés. Former par métier, pas par slogan général.
  • Mise en pratique. Travailler sur les cas d'usage réels de l'entreprise.
  • Revue périodique. Vérifier ce qui a changé dans les usages et les outils.
  • Preuve centralisée. Garder les traces utiles, sans multiplier les fichiers dispersés.

L'enjeu d'inclusion numérique et de confidentialité

Une formation à l'AI literacy n'a de valeur opérationnelle que si elle part du niveau réel des personnes concernées. Un cadre très à l'aise avec les outils numériques ne rencontre pas les mêmes obstacles qu'un indépendant qui utilise l'IA de façon ponctuelle. Les supports utiles sont ceux qui s'appuient sur une littératie numérique concrète, avec des explications claires, parfois multilingues, et des cas liés au métier. Les approches d'inclusion les plus pragmatiques suivent la même logique, elles évitent d'introduire l'IA avant que les usages numériques de base soient maîtrisés.

Dans les professions soumises à une forte confidentialité, le sujet se déplace vers un autre point de contrôle. Un cabinet juridique, un acteur de santé ou une structure financière doit savoir quoi demander à l'IA, mais surtout quoi ne jamais lui confier. La capacité à protéger les données compte autant que la capacité à formuler une requête utile, et cette exigence renvoie directement aux pratiques décrites dans la protection des données en entreprise.

Pour les équipes peu techniques, le risque principal ne tient pas à la rédaction d'un prompt. Il tient au fait de prendre un résultat bien rédigé pour une réponse fiable, réutilisable et partageable sans vérification. La formation doit donc intégrer des réflexes de prudence, de contrôle et de limitation des informations sensibles, sans présumer un niveau d'anglais courant ni une familiarité avec des outils avancés.

Le cadre de protection des données d'IATOLL complète ce point de vue pour les organisations qui travaillent déjà sur la confidentialité. Il apporte une lecture orientée preuve et usage métier, utile pour documenter les consignes, les arbitrages et les limites de traitement dans les PME accompagnées par un DPO externalisé.

Ressources francophones et prochaines étapes

Pour les définitions techniques, le plus simple reste de consulter le glossaire IA et de garder sous la main les entrées sur LLM, RAG et tokens. Si vous cherchez des outils à comparer, l’annuaire d'outils IA classés par conformité RGPD et AI Act aide à distinguer l'usage intéressant du risque évitable. Pour les cas d'usage quotidiens, le guide des prompts par métier reste le bon point d'entrée.

Si vous travaillez sur l'inclusion linguistique, la sélection de ressources de club conversation SpeakMeeters peut aussi aider à penser des formats plus accessibles, surtout quand plusieurs langues ou plusieurs niveaux de départ coexistent dans une même équipe. Ce n'est pas un sujet annexe, c'est souvent ce qui fait la différence entre une formation suivie et une formation abandonnée.

Pour une PME, le prochain pas utile est simple, inventorier les usages IA déjà présents, puis décider quelles preuves doivent exister pour chacun. Pour un consultant ou un DPO externalisé, le bon réflexe est d'intégrer des parcours d'alphabétisation prêts à l'emploi dans le contrat d'accompagnement, avec une trace exploitable et une validation juridique claire.

IATOLL fournit des parcours d'alphabétisation IA et un registre de preuve adaptés à l'article 4, pensés pour les consultants conformité et les DPO externalisés qui accompagnent des PME. Si vous cherchez une manière sérieuse de documenter la montée en compétence sans construire les modules vous-même, visitez IATOLL et voyez comment structurer vos preuves de conformité dès maintenant.

Publications similaires