AI Act : ce que la formation à l’IA vous oblige vraiment à faire

Accueil › Blog › AI Act : ce que la formation à l’IA vous oblige vraiment à faire

Depuis février 2025, l’article 4 du règlement européen sur l’intelligence artificielle impose aux entreprises qui utilisent des systèmes d’IA de se préoccuper de la maîtrise de l’IA de leurs équipes. Depuis juillet 2026, cet article n’a plus la même rédaction : le paquet Digital Omnibus l’a assoupli. La quasi totalité des contenus français en ligne cite encore l’ancienne version et annonce des sanctions qui n’existent pas. Voici le texte applicable et ce qu’il demande réellement.

Le texte applicable aujourd’hui, dans sa version de juillet 2026

L’article 4 du règlement (UE) 2024/1689, dit AI Act, a été remplacé par le règlement (UE) 2026/1744 du 8 juillet 2026, qui fait partie du paquet Digital Omnibus. Le règlement modificatif est entré en vigueur le troisième jour suivant sa publication au Journal officiel de l’Union européenne, en juillet 2026. C’est donc cette nouvelle rédaction qui s’applique aux entreprises françaises, et non celle que l’on trouve encore dans la plupart des articles, des livres blancs et des argumentaires commerciaux publiés depuis 2024.

Voici le paragraphe 1 dans sa rédaction française officielle : « Les fournisseurs et les déployeurs de systèmes d’IA prennent des mesures pour favoriser le développement de la maîtrise de l’IA par leur personnel et les autres personnes s’occupant du fonctionnement et de l’utilisation des systèmes d’IA pour leur compte, en prenant en considération leurs connaissances techniques, leur expérience, leur éducation et leur formation, ainsi que le contexte dans lequel les systèmes d’IA sont destinés à être utilisés, et en tenant compte des personnes ou des groupes de personnes à l’égard desquels les systèmes d’IA sont destinés à être utilisés. Cette obligation ne contraint pas les fournisseurs ou les déployeurs à garantir un niveau spécifique de maîtrise de l’IA par un individu. »

Deux passages méritent d’être relus lentement. Le premier impose de « prendre des mesures pour favoriser le développement » de la maîtrise de l’IA. Le second précise explicitement que l’obligation ne contraint pas à « garantir un niveau spécifique » pour une personne donnée. Le législateur européen a donc pris soin d’écrire lui-même que l’on se situe dans une obligation de moyens et non de résultat. Ce n’est pas une interprétation d’avocat, c’est la lettre du texte.

Ce que disait l’ancienne version, et pourquoi elle a changé

La rédaction d’origine, en vigueur du 2 février 2025 jusqu’à l’entrée en vigueur du règlement modificatif en juillet 2026, demandait aux fournisseurs et aux déployeurs de prendre des mesures pour garantir, dans toute la mesure du possible, un niveau suffisant de maîtrise de l’IA. La différence de formulation paraît mince, elle ne l’est pas. Garantir un niveau suffisant place l’entreprise devant un objectif dont elle ne connaît ni le seuil ni le juge. Favoriser le développement décrit une démarche que l’on peut documenter.

Le considérant 8 du règlement modificatif explique ce choix sans détour : l’ancienne formulation, qui imposait de garantir un niveau suffisant, créait une charge de conformité excessive, notamment pour les petites entreprises. L’Union a donc corrigé une obligation qu’elle jugeait elle-même disproportionnée au regard de ce qu’elle voulait obtenir. C’est une information utile à faire remonter à une direction juridique qui aurait budgété un dispositif de certification lourd sur la base de l’ancien texte, ou à un comité de direction que l’on a inquiété inutilement.

Le règlement modificatif a par ailleurs ajouté deux paragraphes à l’article 4. Ils confient à la Commission et aux États membres un rôle de soutien envers les fournisseurs et les déployeurs, en particulier les petites et moyennes entreprises, et prévoient la publication d’exemples pratiques de conformité. Ils chargent également le Comité européen de l’IA d’adopter des recommandations en s’appuyant sur les cadres de compétences existants. Autrement dit, le texte reconnaît que les entreprises ont besoin d’aide pour appliquer l’article, ce qui confirme la lecture souple.

Depuis quand l’obligation s’applique : février 2025, pas août 2026

C’est l’erreur la plus répandue dans les contenus commerciaux français. Plusieurs pages bien positionnées annoncent une entrée en vigueur de l’article 4, voire des sanctions, à partir du 2 août 2026. C’est inexact. L’article 4 appartient au chapitre I du règlement, qui est applicable depuis le 2 février 2025. Une entreprise qui utilise aujourd’hui un assistant conversationnel, un outil de tri de candidatures ou un copilote de rédaction est donc déjà dans le champ, et l’est depuis plus d’un an et demi.

La date du 2 août 2026 existe bien, mais elle porte sur d’autres dispositions, notamment les obligations de transparence de l’article 50. D’autres échéances suivent, dont l’application des règles aux systèmes à haut risque listés à l’annexe III, repoussée par le Digital Omnibus. Confondre ces calendriers conduit à deux erreurs symétriques : croire que l’on a encore du temps alors que l’obligation court déjà, ou se croire exposé à des sanctions qui ne concernent pas l’article 4.

L’obligation est par ailleurs permanente et indépendante du niveau de risque des systèmes utilisés. Il ne s’agit pas d’une formalité à accomplir une fois pour toutes. Les outils changent, les usages se déplacent, les effectifs se renouvellent. Une entreprise qui aurait organisé une session unique au printemps 2025 et qui n’a rien fait depuis n’est pas dans une situation très différente de celle qui n’a jamais rien fait, du moins si l’on regarde ce que ses équipes savent réellement faire aujourd’hui.

Les sanctions : ce que le règlement prévoit et ce qu’il ne prévoit pas

Il faut le dire clairement parce que presque personne ne le dit : l’article 4 ne figure pas dans la liste des dispositions expressément assorties d’une amende à l’article 99 du règlement. Il n’existe donc pas d’amende spécifiquement attachée à un défaut de maîtrise de l’IA. Les montants impressionnants qui circulent dans les argumentaires commerciaux correspondent à d’autres manquements, notamment aux pratiques interdites de l’article 5 et aux obligations applicables aux systèmes à haut risque.

Cela ne signifie pas que l’article 4 est sans portée. Un manquement peut être pris en compte dans l’appréciation d’autres violations et peser sur le montant d’une sanction prononcée à un autre titre. Il peut surtout être opposé à l’entreprise sur un terrain différent du règlement européen : contentieux prud’homal après une décision préparée avec l’aide d’un outil d’IA, discussion avec les représentants du personnel, incident de sécurité provoqué par un usage non encadré, ou simple question d’un client sur vos pratiques lors d’un appel d’offres.

Le bon raisonnement n’est donc pas celui de la peur de l’amende, il est celui de la charge de la preuve. Puisque l’obligation est de moyens, ce qui sera examiné en cas de litige est la démarche. Avez-vous identifié les populations concernées, leur avez-vous proposé quelque chose d’adapté à leur niveau et à leurs usages réels, pouvez-vous le prouver, et l’avez-vous refait depuis. Ces quatre questions sont beaucoup plus utiles qu’un barème.

Qui est concerné, et ce que le texte appelle maîtrise de l’IA

Le règlement vise les fournisseurs et les déployeurs. Le fournisseur développe ou fait développer un système d’IA et le met sur le marché sous son nom. Le déployeur utilise un système d’IA sous sa propre autorité, dans le cadre d’une activité professionnelle. La très grande majorité des entreprises françaises relèvent de la seconde catégorie. Il suffit d’utiliser un outil d’intelligence artificielle dans un cadre professionnel pour être déployeur, sans avoir développé quoi que ce soit et sans aucun seuil d’effectif ou de chiffre d’affaires.

La maîtrise de l’IA est définie à l’article 3 du règlement comme l’ensemble des compétences, des connaissances et de la compréhension permettant un déploiement éclairé des systèmes d’IA, ainsi que la prise de conscience des opportunités, des risques et des préjudices éventuels. La définition est large et volontairement non technique. Elle ne demande à personne de savoir entraîner un modèle. Elle demande que les personnes qui utilisent l’outil comprennent ce qu’il fait, ce qu’il ne fait pas et ce qu’un mauvais usage peut coûter.

Cette obligation rencontre une réalité que les enquêtes françaises documentent bien. Selon l’Observatoire de l’IA responsable 2026, réalisé par ViaVoice pour Impact AI auprès de mille salariés du secteur privé en février 2026, 47 % des salariés utilisent l’IA générative au travail mais seuls 23 % ont été formés à un usage responsable, dont 6 % de façon approfondie. Dans le même échantillon, 61 % des utilisateurs passent par des outils publics externes plutôt que par un outil interne à leur entreprise.

Ce qu’une obligation de moyens demande réellement

Une obligation de moyens ne se satisfait pas d’un document. C’est le contresens le plus fréquent : rédiger une charte d’usage de l’IA, la diffuser par courriel, archiver le courriel et considérer le sujet traité. Le même Observatoire indique que seuls 10 % des salariés déclarent l’existence d’une charte IA ou d’un comité d’éthique dans leur organisation. Le chiffre ne dit pas seulement que peu d’entreprises en ont une. Il dit aussi que, là où elle existe, une partie des salariés en ignore l’existence.

Ce que le texte demande est à la fois plus simple et plus exigeant. Il faut tenir compte des connaissances techniques, de l’expérience, de l’éducation et de la formation des personnes concernées, ainsi que du contexte d’utilisation. Concrètement, cela signifie qu’une session unique et identique pour tout le monde est une réponse faible. Les usages d’un juriste, d’un développeur, d’un commercial et d’un agent d’accueil ne posent ni les mêmes questions ni les mêmes risques. Le texte demande de la proportionnalité, pas de l’uniformité.

La preuve attendue est donc une démarche datée et documentée : population identifiée, contenu adapté, date, liste des participants, attestation, et réitération lorsque les outils changent. Une session courte, animée et tracée répond exactement à ce cahier des charges. Elle répond aussi à une seconde question que l’AI Act ne pose pas mais que l’entreprise doit se poser : est-ce que mes équipes savent quoi faire différemment lundi matin. Le document coché ne vaut pas la compétence acquise.

Questions fréquentes