Formation IA obligatoire ? Ce que l'article 4 de l'AI Act impose

L'article 4 du règlement européen sur l'intelligence artificielle demande aux entreprises qui utilisent des systèmes d'IA de développer la maîtrise de l'IA des personnes qui s'en servent. Ce n'est pas une obligation de suivre une formation : ni format, ni durée, ni certification ne sont imposés. Le manquement peut en revanche être sanctionné par les autorités nationales, et l'entreprise doit pouvoir montrer ce qu'elle a mis en place.

L'obligation de formation à l'IA se découvre rarement dans le texte du règlement. Elle arrive par un client dont le questionnaire fournisseur comporte une ligne sur la conformité à l'AI Act, par un cabinet qui propose un audit, ou par un délégué à la protection des données qui pose la question en réunion. La première réaction consiste à chercher le montant de l'amende. Le règlement ne fixe aucun montant d'amende harmonisé spécifiquement pour cet article, ce qui ne veut pas dire qu'un manquement reste sans conséquence.

Ce que l'article 4 demande exactement

L'article 4 du règlement (UE) 2024/1689, l'AI Act, s'applique depuis le 2 février 2025, soit avant les pans du texte qui encadrent les systèmes à haut risque. Dans sa rédaction en vigueur, il demande aux fournisseurs et aux déployeurs de systèmes d'IA de prendre des mesures pour favoriser le développement de la maîtrise de l'IA chez leur personnel et chez les autres personnes qui s'occupent pour leur compte du fonctionnement et de l'utilisation de ces systèmes. Ces mesures prennent en considération les connaissances techniques des personnes, leur expérience, leur éducation et leur formation, ainsi que le contexte d'utilisation. Le même paragraphe précise que l'obligation ne contraint ni le fournisseur ni le déployeur à garantir un niveau de maîtrise précis chez un individu donné. Le texte parle de mesures, pas de stage : une formation en est la modalité la plus courante, pas la seule. Le texte se lit dans la version consolidée du règlement, au Journal officiel de l'Union européenne.

La maîtrise de l'IA, que les documents européens appellent aussi AI literacy, est définie par l'article 3 du règlement comme les compétences, les connaissances et la compréhension qui permettent un déploiement éclairé des systèmes, avec une conscience des possibilités qu'ils offrent, des risques qu'ils présentent et des préjudices qu'ils peuvent causer. La définition vise donc un jugement, pas la manipulation d'un outil.

Le règlement (UE) 2026/1744, publié au Journal officiel le 24 juillet 2026, a retouché l'article sans le vider : l'obligation subsiste et se lit comme une obligation de moyens, tandis que la Commission et les États membres sont chargés de soutenir les organisations, en particulier les petites et moyennes entreprises, et que la Commission publie des exemples pratiques de mise en œuvre.

Fournisseur ou déployeur, et pourquoi presque tout le monde est concerné

Le règlement distingue deux rôles, et l'obligation pèse sur les deux.

Un fournisseur développe un système d'IA, ou le fait développer, puis le met en service ou sur le marché. Une entreprise qui intègre un système d'IA dans son produit et le met sur le marché sous son propre nom ou sa marque peut ainsi devenir fournisseur, même si elle s'appuie sur une technologie tierce.

Un déployeur utilise un système sous sa propre autorité dans un cadre professionnel. Distribuer des comptes d'assistant à ses équipes suffit à entrer dans cette catégorie, et c'est la situation de toute entreprise qui utilise l'IA sans en produire.

Les personnes couvertes dépassent les salariés. Le texte vise aussi celles qui utilisent le système pour le compte de l'organisation : intérimaires, alternants, prestataires qui travaillent dans vos outils. Une entreprise qui a formé ses équipes internes et laissé ses prestataires se débrouiller a traité une partie du sujet.

Ce qui compte comme mesure prise

La Commission européenne a publié une foire aux questions sur la maîtrise de l'IA qui répond à la question que tout le monde pose. Il n'existe pas de programme unique, aucune certification n'est exigée, et l'article 4 n'impose pas d'évaluer les connaissances des salariés. Aucun certificat n'est nécessaire, et une organisation peut conserver un registre interne de ses formations et de ses autres initiatives : c'est le moyen le plus simple de démontrer ce qu'elle a fait, pas une forme imposée. Les mesures s'adaptent au rôle de chacun et au risque des systèmes utilisés. Elle tient par ailleurs un recueil de pratiques auquel les organisations versent ce qu'elles ont mis en place.

Une entreprise dont les usages restent simples peut donc s'en tenir à un dispositif léger, proportionné à ce qu'elle fait réellement de ces outils, à condition qu'il existe et qu'on puisse le dater.

Certaines pratiques comptent mal à elles seules. La licence distribuée à tout un service, le courriel qui annonce la politique d'usage, la vidéo de démonstration du fournisseur : chacune peut faire partie du dispositif, aucune ne dit qui a compris quoi, ni quand, et une entreprise qui s'en tient là aura du mal à montrer autre chose qu'une intention.

Un socle utilisable couvre ce qu'un modèle produit et pourquoi il se trompe avec aplomb, les données qui n'ont pas le droit de sortir de l'entreprise, la relecture attendue avant qu'une production parte à l'extérieur, l'obligation de dire qu'un contenu a été généré quand la situation l'exige, et les biais qui se glissent dans une décision concernant une personne. Au-delà de ce socle, le contenu se spécialise selon la fonction, parce que le risque n'est pas le même au service recrutement et au service marketing.

C'est le contenu d'une journée d'initiation à l'intelligence artificielle, qui a l'avantage d'être datée, suivie par des personnes nommées et attestée : le dispositif et sa preuve arrivent ensemble.

Ce que risque une entreprise qui n'a rien fait

L'article 99 demande aux États membres de prévoir des sanctions effectives, proportionnées et dissuasives pour les manquements au règlement commis par les opérateurs. L'article 4 entre dans ce cadre général, et la Commission l'écrit sans détour : les autorités nationales de surveillance du marché peuvent sanctionner une infraction à cet article, et elles supervisent son application depuis le 2 août 2026. La sanction s'apprécie au cas par cas, selon la nature et la gravité du manquement et selon son caractère intentionnel ou négligent.

Ce que l'article 4 n'a pas, c'est un plafond européen. Les montants inscrits dans le règlement visent d'autres obligations : les pratiques interdites d'un côté, les obligations des fournisseurs, des déployeurs de systèmes à haut risque et la transparence de l'autre. Pour la maîtrise de l'IA, le régime relève du droit national de chaque État membre.

La compétence des personnes devient par ailleurs une obligation chiffrée dès qu'un système à haut risque entre en jeu. L'article 26 impose au déployeur de confier la supervision humaine à des personnes qui disposent de la compétence, de la formation et de l'autorité nécessaires, et son manquement relève du plafond de quinze millions d'euros ou trois pour cent du chiffre d'affaires mondial. Le tri de candidatures, l'aide à l'évaluation des salariés et l'affectation de tâches figurent dans l'annexe III : ces obligations s'appliqueront le 2 décembre 2027, le règlement omnibus ayant repoussé cette échéance. Une entreprise qui outille son recrutement aujourd'hui prépare donc une situation où plus personne ne pourra ignorer ce que classe l'outil, ni sur quoi.

Le règlement n'est pas non plus le seul texte en jeu. Le RGPD s'applique dès qu'une donnée personnelle entre dans un assistant, et un contentieux prud'homal se nourrit d'une décision prise sur une production automatique que personne n'a relue. La question se pose aussi plus tôt que le contrôle, quand un client demande à un fournisseur ce qu'il a mis en place avant de lui confier des données.

Ce qu'une entreprise doit pouvoir montrer

La preuve la plus simple est modeste : la liste datée de ce qui a été fait, avec les personnes concernées, la durée, le contenu couvert et l'intervenant. Une session suivie chez un organisme certifié produit cette pièce sans travail supplémentaire, puisque la convention, le programme et les attestations existent déjà et portent une date.

Ce registre se complète de deux éléments. Une charte d'usage de l'IA écrite, qui dit ce que chacun a le droit de faire et transforme la formation en règle applicable. Une date de revue, parce qu'un dispositif mis en place au moment du déploiement ne couvre pas les personnes arrivées depuis, ni les usages qui se sont ajoutés en cours d'année.

Questions fréquentes sur l'obligation de formation à l'IA

La formation est-elle vraiment obligatoire ?

Pas au sens d'un stage imposé. Le règlement impose de prendre des mesures pour développer la maîtrise de l'IA des personnes concernées, et laisse le choix des moyens. Une session de formation reste la modalité la plus simple à dater, à documenter et à présenter, ce qui explique qu'elle soit devenue la réponse habituelle.

Une TPE est-elle concernée ?

Oui. L'article 4 ne fixe aucun seuil d'effectif ni de chiffre d'affaires : il s'adresse à tout fournisseur et à tout déployeur. Ce qui varie, c'est l'ampleur des mesures, que le texte demande d'adapter aux personnes et au contexte d'utilisation. Une petite structure qui se sert d'un assistant pour de la rédaction courante s'acquitte de l'obligation avec un dispositif proportionné à cet usage.

Utiliser ChatGPT ou Copilot suffit-il à faire de nous un déployeur ?

Oui, dès lors que l'usage est professionnel et se fait sous l'autorité de l'entreprise. Le règlement ne retient que l'usage personnel à caractère non professionnel comme extérieur à cette définition. Le fait de ne pas avoir développé l'outil ne change rien.

Quelle durée de formation le règlement impose-t-il ?

Aucune. Ni durée, ni programme, ni certification : la Commission écrit qu'il n'existe pas de solution unique et que l'article 4 ne demande pas de mesurer les connaissances des salariés. Le niveau attendu dépend du rôle des personnes et du risque des systèmes qu'elles utilisent.

Que faut-il pouvoir montrer en cas de contrôle ?

Un registre interne des actions menées : ce qui a été fait, quand, avec qui, et sur quel contenu. La Commission n'impose aucune forme particulière. Une session suivie chez un organisme de formation laisse cette trace par elle-même, avec sa convention, son programme et ses attestations.

La maîtrise attendue se prend sur vos dossiers

Le règlement demande une compréhension qui permet de décider. Sur une tâche réelle, savoir dire ce qu'on peut confier à un assistant, ce qu'il faut vérifier derrière lui, et ce qui ne doit pas lui être envoyé du tout. Cette capacité ne s'acquiert pas devant une vidéo de présentation d'un outil, parce qu'elle suppose d'avoir essayé, de s'être trompé sur un cas de l'entreprise, et d'avoir vu pourquoi.

C'est le format de nos sessions IA en entreprise, qui se travaillent sur les documents et les procédures des participants. L'initiation à l'intelligence artificielle tient en une journée et vise le niveau de compréhension attendu d'une direction ou d'une équipe qui débute : ce que la technologie sait faire, ce qu'elle rate, et le cadre réglementaire qui s'y applique. IA générative installe la pratique sur trois jours, avec un module consacré à l'usage responsable et aux limites. IA utilisateur avancé s'adresse aux équipes qui branchent l'assistant sur leurs systèmes internes, là où les questions de données se posent pour de bon.

Deux fonctions méritent leur propre session parce que leurs décisions touchent des personnes ou engagent l'entreprise : IA pour les RH traite le recrutement et l'évaluation, terrain des systèmes à haut risque, et IA pour les ventes travaille la relation client et les données de prospection. L'inscription au plan de développement des compétences peut ouvrir droit à une prise en charge par votre opérateur de compétences, selon les règles de votre branche et le budget disponible ; les fonds mutualisés du plan visent en premier lieu les entreprises de moins de cinquante salariés. Le circuit est détaillé dans financer une formation IA avec son OPCO.

Les contenus s'adaptent à vos usages réels, et le calage des dates se fait avec le service formation.