Non, l'AI Act n'impose pas de nommer un référent IA : aucun article du règlement UE 2024/1689 ne crée l'équivalent du délégué à la protection des données. Trois obligations bien réelles supposent pourtant que quelqu'un en réponde nommément.
Lire le guide complet
AI Act 2026 : le guide de conformité complet pour PME et associations
Répondez à quelques questions et obtenez un diagnostic personnalisé avec des recommandations adaptées à votre secteur.
Évaluer ma maturité IAArticles liés
Approfondissez le sujet avec ces articles complémentaires.
L'AI Act (règlement UE 2024/1689) s'applique à votre PME ou association dès que vous utilisez un outil d'IA, même un simple abonnement ChatGPT. Depuis février 2025, vous devez former vos équipes ; le 2 août 2026, les obligations de transparence et le régime de sanctions entrent en application.
Non, l'AI Act n'impose pas de nommer un référent IA. Aucun article du règlement UE 2024/1689 ne crée l'équivalent du délégué à la protection des données prévu par le RGPD. En revanche, trois obligations bien réelles supposent que quelqu'un, nommément, en réponde. La vraie question n'est donc pas de savoir si le poste est obligatoire, mais de savoir qui porte ces trois obligations chez vous aujourd'hui.
Cette confusion entre obligation de nomination et besoin de gouvernance produit deux erreurs symétriques. Certaines PME créent un poste inutile par peur d'une sanction inexistante. D'autres, plus nombreuses, laissent l'IA se diffuser dans tous les services sans qu'aucune personne identifiée ne sache combien d'outils sont en circulation. Si vous partez de zéro sur le sujet, le guide de conformité AI Act pour PME et associations pose le cadre général ; cet article traite uniquement de la question du rôle et de son mandat.
Le règlement UE 2024/1689 ne mentionne nulle part la désignation d'un responsable IA interne. C'est une différence de fond avec le RGPD, dont l'article 37 impose un délégué à la protection des données dans trois cas précis : autorité publique, suivi systématique à grande échelle, traitement à grande échelle de données sensibles. Rien de comparable dans l'AI Act.
Le règlement raisonne par rôle économique, pas par organigramme. Il distingue le fournisseur, qui développe un système d'IA et le met sur le marché sous son nom, et le déployeur, qui l'utilise sous sa propre autorité dans le cadre professionnel. La quasi-totalité des PME et associations françaises sont déployeurs et rien d'autre. Si vous voulez vérifier votre position exacte, l'article AI Act : qui est concerné ? détaille les quatre rôles du règlement.
Conséquence pratique : personne ne viendra vous reprocher l'absence d'un référent IA. On viendra vous reprocher, le cas échéant, un manquement aux obligations ci-dessous, et la question suivante sera immanquablement « qui en était chargé ? ».
Trois dispositions du règlement créent une responsabilité qui ne peut pas rester collective.
La première est l'article 4, applicable depuis le 2 février 2025. Il impose aux fournisseurs comme aux déployeurs de prendre des mesures pour garantir un niveau suffisant de maîtrise de l'IA chez leur personnel, en tenant compte des connaissances techniques, de l'expérience et du contexte d'utilisation. L'obligation porte sur un résultat, pas sur un format : ni durée, ni programme, ni organisme imposé. Reste que quelqu'un doit décider qui forme qui, sur quoi, et conserver la trace de ce qui a été fait. Le sujet est développé dans Article 4 AI Act : la formation IA est-elle obligatoire ?.
La deuxième est l'article 26, paragraphe 2, applicable au 2 août 2026 pour les systèmes à haut risque de l'annexe III. Il exige des déployeurs qu'ils confient le contrôle humain de ces systèmes à des personnes physiques disposant de la compétence, de la formation et de l'autorité nécessaires, ainsi que du soutien requis. Le texte parle bien de personnes identifiées, avec autorité. Encore faut-il savoir si vous exploitez un système concerné : le tri des CV, la notation de candidats, l'évaluation de salariés ou les décisions d'accès au crédit entrent dans le champ, comme le précise Article 6 AI Act : systèmes IA à haut risque.
La troisième est l'article 26, paragraphe 7. Avant de mettre en service un système d'IA à haut risque sur le lieu de travail, l'employeur déployeur doit informer les représentants du personnel et les travailleurs concernés. Une obligation d'information suppose un émetteur désigné et un calendrier tenu. Le croisement avec le droit social et le RGPD est traité dans AI Act et données salariés.
Aucune de ces trois obligations ne dit « nommez un référent ». Les trois deviennent ingérables sans lui dès que l'entreprise dépasse quelques dizaines de personnes.
Le bon profil est celui qui a déjà l'accès aux outils et la légitimité pour dire non, pas celui qui connaît le mieux l'IA.
| Profil | Ce qu'il apporte | Angle mort principal |
|---|---|---|
| DPO ou référent RGPD | Réflexe conformité, méthode de registre, habitude des autorités | Tendance à traiter l'IA comme un simple traitement de données ; peu de prise sur les usages métier non déclarés |
| DSI ou responsable informatique | Vision réelle du parc, capacité à bloquer ou autoriser un outil | Angle sécurité et achat ; la qualité des sorties et la formation des équipes lui échappent souvent |
| Dirigeant ou membre du comité de direction | Autorité d'arbitrage immédiate, budget | Disponibilité ; le sujet glisse au bas de la pile dès le premier trimestre chargé |
| Responsable métier moteur sur l'IA | Connaissance fine des usages réels, crédibilité auprès des équipes | Aucune autorité sur les autres services ; risque de se transformer en support technique non rémunéré |
Dans une structure de moins de 50 salariés, la combinaison qui fonctionne le mieux associe un porteur opérationnel issu du métier et un sponsor au comité de direction qui tranche. Le DPO, quand il existe, reste sur son périmètre données et n'hérite pas du sujet par défaut : les deux réglementations poursuivent des objectifs différents, comme le détaille AI Act vs RGPD.
Un point souvent négligé : si votre DPO est externe, il facture au temps passé et n'a aucune autorité hiérarchique interne. Lui confier le rôle revient à externaliser une fonction d'arbitrage, ce qui ne tient pas plus de six mois.
Un référent IA sans mandat écrit est un volontaire, et un volontaire n'arbitre rien. Le document tient sur une page et couvre six points.
Ce mandat se rédige une fois et se greffe naturellement sur la politique IA interne, qui porte les règles d'usage pour l'ensemble des salariés.
Pour une PME de 20 à 100 salariés qui n'exploite aucun système à haut risque, le rôle représente un engagement modéré mais permanent, pas un poste à temps plein.
La charge se répartit en trois blocs distincts. Le lancement concentre l'essentiel de l'effort : recensement des outils utilisés service par service, entretiens avec les équipes, rédaction des premières règles. Comptez plusieurs jours pleins étalés sur six à huit semaines, une seule fois.
Vient ensuite le régime de croisière : mise à jour de l'inventaire, traitement des demandes d'outils nouveaux, réponses aux questions des équipes. Une demi-journée par mois suffit dans la plupart des structures de cette taille, à condition que le circuit de demande soit formalisé.
Le troisième bloc est la formation, qui obéit à sa propre logique et se pilote par vagues plutôt qu'en continu. Si vous devez le chiffrer pour un budget, les ordres de grandeur du marché et les mécanismes de financement sont détaillés dans Prix d'une formation IA en entreprise.
L'équation change si vous exploitez un système à haut risque au sens de l'annexe III. Les obligations de l'article 26 ajoutent la surveillance du fonctionnement, la conservation des journaux et l'information des salariés concernés. Le passage par une évaluation de conformité devient alors le point de départ et non l'aboutissement.
La première est de nommer sans décharger. Ajouter le référent IA à une fiche de poste déjà saturée produit un titre sans contenu. Six mois plus tard, l'inventaire date du premier jour.
La deuxième est de placer le rôle trop bas dans la hiérarchie. Un référent qui ne peut pas dire non à un directeur commercial pressé de déployer un outil de scoring n'est pas un référent, c'est un point de contact. L'article 26 parle explicitement d'autorité nécessaire, et cette exigence n'est pas décorative.
La troisième est de confondre le rôle avec une expertise technique. La personne n'a pas besoin de comprendre le fonctionnement d'un modèle de langage ni les mécanismes d'une hallucination. Elle a besoin de savoir poser trois questions à chaque nouvel outil : quelles données y entrent, qui relit les sorties avant décision, et que se passe-t-il si le résultat est faux. Le reste s'apprend ou se sous-traite.
En dessous d'un certain seuil, la nomination formelle n'a pas de sens : c'est le dirigeant qui porte le rôle, et le vrai sujet devient la traçabilité.
Dans une association de dix salariés, personne ne dispose de vingt pour cent de son temps pour une fonction de coordination. Ce qui compte alors tient en trois artefacts : un tableau listant les outils utilisés et les données qui y transitent, une note d'une page sur ce qui est autorisé et ce qui ne l'est pas, et la trace des sessions de sensibilisation. Ces trois documents répondent à l'essentiel de ce qu'un contrôle vérifierait, sans créer de poste.
Le règlement accompagne d'ailleurs cette logique. Son article 99 prévoit que, pour les PME et les jeunes entreprises, le plafond des amendes correspond au plus faible des deux montants applicables, là où les grandes entreprises se voient appliquer le plus élevé. Les seuils et les cas concrets sont détaillés dans Sanctions AI Act : ce que vous risquez en 2026. L'approche proportionnée reste la bonne lecture du texte, à condition de pouvoir la documenter.
Pour les structures associatives, dont les contraintes de financement et de gouvernance diffèrent nettement de celles d'une PME classique, le guide AI Act pour TPE et PME donne des repères adaptés aux petits effectifs.
Le référent IA est-il obligatoire selon l'AI Act ? Non. Le règlement UE 2024/1689 ne prévoit aucune obligation de désigner un responsable IA interne, contrairement au RGPD qui impose un délégué à la protection des données dans trois situations précises. La nomination reste une décision d'organisation, pas une exigence légale.
Le DPO peut-il devenir référent IA ? Oui, et c'est fréquent, mais ce n'est pas automatique. Le DPO apporte une méthode de conformité solide et des réflexes de documentation. Il lui manque souvent la vision des usages métier non déclarés et l'autorité sur les choix d'outils. Si le DPO est externe, la solution tient rarement dans la durée faute d'autorité interne.
Faut-il déclarer ce référent à une autorité ? Non. Aucune déclaration n'est prévue par le règlement, à la différence de la désignation d'un délégué à la protection des données qui se communique à la CNIL. Le mandat reste un document interne.
Quelle formation pour un référent IA ? Il n'existe aucun diplôme ni certification imposés. Les besoins réels portent sur trois axes : le contenu du règlement et ses échéances, les risques propres aux outils utilisés dans l'entreprise, et la conduite du changement auprès des équipes. Une formation IA en entreprise ciblée couvre généralement ces trois axes en deux journées.
Que se passe-t-il si personne n'est nommé ? Rien en soi, puisque l'absence de référent n'est pas un manquement. Mais en cas de contrôle ou d'incident, la responsabilité remonte au dirigeant, qui devra démontrer que les obligations des articles 4 et 26 ont bien été mises en œuvre. Sans personne identifiée, cette démonstration est difficile à produire.
À partir de quelle taille faut-il formaliser le rôle ? Il n'existe pas de seuil légal. En pratique, la formalisation devient utile quand plus d'un service utilise l'IA sans se coordonner, ou dès qu'un système relevant de l'annexe III entre en service, quelle que soit la taille de la structure.
Un prestataire externe peut-il tenir ce rôle ? Sur le volet méthode, inventaire et formation, oui. Sur le volet arbitrage, non : l'article 26 exige une autorité qu'un prestataire n'a pas. Le montage qui fonctionne associe un référent interne avec mandat et un appui externe sur la partie technique et réglementaire.
Organisme de formation certifié Qualiopi, GrowthPerf travaille avec des PME et des associations qui découvrent le sujet sans équipe juridique dédiée. Notre intervention porte sur trois points concrets : l'inventaire des systèmes d'IA réellement utilisés dans vos services, la rédaction du mandat du référent avec le périmètre et le pouvoir d'arbitrage, et la montée en compétence de la personne désignée ainsi que des équipes concernées au titre de l'article 4.
Nos formations sont finançables par les OPCO dans les conditions habituelles de prise en charge, ce qui déplace le sujet du budget vers celui du calendrier.
Si vous ne savez pas encore par quel bout prendre le sujet, l'audit de 30 minutes permet de situer votre niveau d'exposition et de décider si le rôle mérite d'être formalisé chez vous. Pour la vision d'ensemble des obligations et des échéances, revenez au guide de conformité AI Act pour PME et associations.
Réservez votre audit formation IA gratuit (30 minutes).