Obligation de formation IA : ce que demande l'article 4

L'obligation de formation IA de l'AI Act tient dans son article 4. Si vos collaborateurs utilisent un outil d'IA, votre entreprise doit prendre des mesures pour favoriser leur maîtrise de l'IA : informer, guider, former vos équipes à l'IA. Le texte n'impose ni durée, ni certificat, ni niveau à atteindre.

Vous avez sans doute lu « formation IA obligatoire » dans une publicité ou un e-mail. Reste à savoir ce que le texte exige vraiment, depuis quand, et ce que vous auriez à montrer si la question vous était posée.

Cet article s'en tient au texte officiel.^*

Que dit l'article 4 de l'AI Act depuis le 27 juillet 2026 ?

L'AI Act, c'est le règlement (UE) 2024/1689. Il a été modifié par le règlement (UE) 2026/1744 du 8 juillet 2026, publié au Journal officiel de l'Union européenne le 24 juillet 2026 et entré en vigueur le 27 juillet 2026. Son point 5 remplace l'article 4 en entier.

Le paragraphe 1, celui qui vous vise, se lit ainsi dans la version en vigueur.

« Les fournisseurs et les déployeurs de systèmes d'IA prennent des mesures pour favoriser le développement de la maîtrise de l'IA par leur personnel et les autres personnes s'occupant du fonctionnement et de l'utilisation des systèmes d'IA pour leur compte, en prenant en considération leurs connaissances techniques, leur expérience, leur éducation et leur formation, ainsi que le contexte dans lequel les systèmes d'IA sont destinés à être utilisés, et en tenant compte des personnes ou des groupes de personnes à l'égard desquels les systèmes d'IA sont destinés à être utilisés. Cette obligation ne contraint pas les fournisseurs ou les déployeurs à garantir un niveau spécifique de maîtrise de l'IA par un individu. »

Les paragraphes 2 et 3 engagent la Commission et les États membres à soutenir les entreprises, en particulier les PME, par des exemples pratiques publiés par la Commission et par des recommandations du Comité IA.

^*

Maîtrise de l'IA ou littératie IA : quelle différence ?

Aucune.

« Littératie IA » est le calque de l'anglais AI literacy, que vous lirez dans les documents de la Commission. La version française du règlement dit « maîtrise de l'IA ».

Son article 3, point 56, la définit comme les compétences, les connaissances et la compréhension qui permettent un déploiement des systèmes d'IA « en toute connaissance de cause », ainsi que la conscience des possibilités et des risques de l'IA et des préjudices qu'elle peut causer.

Ce que la réécriture de 2026 a changé

La date d'application, elle, n'a pas bougé.

L'article 4 fait partie du chapitre I du règlement, applicable depuis le 2 février 2025, et la réécriture porte sur la force du verbe.

La rédaction de 2024 demandait des mesures « pour garantir, dans toute la mesure du possible, un niveau suffisant de maîtrise de l'IA ». Celle de 2026 demande des mesures « pour favoriser le développement » de cette maîtrise, et précise qu'aucun niveau spécifique n'a à être garanti pour une personne donnée.

Le considérant 8 du règlement modificatif donne le motif. Des obligations strictes ne convenaient pas à tous les fournisseurs et déployeurs, et elles créaient une charge de mise en conformité supplémentaire, « en particulier pour les petites entreprises ».

Le verbe a changé, l'obligation est restée.

La Commission européenne le dit dans ses questions-réponses sur la maîtrise de l'IA, mises à jour le 20 octobre 2026. Assurer la maîtrise de l'IA reste une obligation des fournisseurs et des déployeurs, simplement sans niveau « suffisant » imposé.

Qui est concerné par l'obligation de formation IA ?

Le texte vise deux catégories : les fournisseurs, qui développent ou mettent sur le marché un système d'IA, et les déployeurs, qui l'utilisent.

Une entreprise dont les salariés utilisent ChatGPT relève de la seconde.

L'article 3, point 4, définit le déployeur comme une personne physique ou morale utilisant sous sa propre autorité un système d'IA, sauf lorsque ce système est utilisé dans le cadre d'une activité personnelle à caractère non professionnel. Le critère est donc l'usage dans le travail, quel que soit celui qui paie l'abonnement.

La Commission a tranché un cas précis dans ses questions-réponses. Une entreprise dont les salariés utilisent ChatGPT pour rédiger des textes publicitaires ou traduire doit respecter l'article 4, et ces salariés doivent être informés des risques propres à l'outil, l'hallucination étant l'exemple cité.

Le périmètre dépasse vos salariés.

Les « autres personnes » du texte sont, pour la Commission, des personnes placées dans votre sphère d'organisation sans être vos employés : un prestataire, un sous-traitant, parfois un client. Un indépendant qui rédige pour vous avec un outil d'IA peut donc entrer dans le champ.

Une obligation de moyens, sans durée ni certificat

Reste la question pratique, celle de ce qu'il faut faire. Le règlement n'emploie pas l'expression « obligation de moyens », mais sa rédaction en a les traits. Il impose d'agir, pas d'atteindre un niveau mesuré, et ni lui ni la Commission ne fixent de nombre d'heures, de programme type ou de format.

Les questions-réponses de la Commission sont explicites sur quatre points. Aucune formation obligatoire ni exigence stricte n'est imposée, rien n'oblige à mesurer les connaissances des salariés, aucun certificat n'est requis, et aucune structure de gouvernance, comme un responsable IA, n'est exigée.

Une limite à cette souplesse, pourtant. La Commission estime que, dans bien des cas, se contenter de la notice d'utilisation de l'outil, ou demander aux salariés de la lire, risque d'être inefficace. Une note de service seule a donc peu de chances de suffire.

Le cas des systèmes à haut risque est à part.

L'article 26 impose à leurs déployeurs de confier le contrôle humain à des personnes physiques qui disposent des compétences, de la formation et de l'autorité nécessaires. Pour les systèmes de l'annexe III, comme le tri de candidatures, ces obligations s'appliqueront le 2 décembre 2027.

Comment documenter votre démarche ?

Puisqu'aucun certificat n'est demandé, la preuve tient dans ce que vous pouvez montrer.

La Commission indique qu'une organisation peut tenir un registre interne des formations et des autres actions d'accompagnement.

Son format est libre.

Les étapes minimales qu'elle propose tiennent en quatre questions, à suivre dans l'ordre.

1. Vous assurez une compréhension générale de l'IA dans l'entreprise : ce que sont les outils utilisés chez vous, comment ils fonctionnent, ce qu'ils permettent et ce qu'ils risquent.
2. Vous situez votre rôle, le plus souvent celui de déployeur, puisque vous utilisez des outils développés par d'autres.
3. Vous regardez le risque de chaque outil, et ce que vos collaborateurs doivent savoir pour s'en servir sans dommage.
4. Vous construisez les actions à partir de cette analyse, en tenant compte du niveau de chacun et du contexte d'usage.

Concrètement, le registre peut tenir dans un tableau, avec une ligne par action. Vous y notez la date, les personnes concernées, l'outil visé, la forme de l'action et ce qu'elle a traité, par exemple vérifier une source citée par ChatGPT ou ne jamais coller un contrat client dans un outil grand public. Avant de le classer, vous vérifiez que chaque outil de votre état des lieux a au moins une action en face.

Vous pouvez nommer un référent qui tient ce registre à jour, même si le texte ne l'impose pas.

Faire passer ces usages de quelques personnes à toute l'équipe relève de l'acculturation IA des collaborateurs, que nous détaillons dans un article à part. Quand l'action choisie est une formation, vous pouvez aussi financer la formation par votre OPCO, selon le barème de votre branche.

Quelle erreur éviter en rédigeant la note interne ?

Si vous demandez à ChatGPT de rédiger votre note sur l'article 4, vérifiez d'abord la version du texte qu'il cite. Un modèle dont les connaissances s'arrêtent avant juillet 2026 peut vous donner la rédaction de 2024, « garantir un niveau suffisant », avec le même aplomb qu'une réponse à jour. Il peut aussi prêter à l'article 4 une amende chiffrée qu'aucun article ne prévoit.

Le contrôle est simple : vous ouvrez le règlement sur EUR-Lex, vous retrouvez la phrase citée et vous vérifiez qu'elle figure dans la version en vigueur.

Quelles sanctions pour l'article 4 ?

Le sujet mérite d'être posé sans dramatiser, parce que des montants circulent qui ne visent pas l'article 4. L'article 99 fixe trois plafonds d'amende. Ils visent les pratiques interdites de l'article 5, une liste d'obligations qui comprend celles des déployeurs de systèmes à haut risque et la transparence de l'article 50, puis les informations inexactes fournies aux autorités.

L'article 4 ne figure dans aucune de ces listes.

Il relève du paragraphe 1, selon lequel chaque État membre fixe son régime de sanctions et d'autres mesures d'exécution. Ce régime peut comprendre des amendes administratives, des avertissements et des mesures non monétaires, qui doivent être « effectives, proportionnées et dissuasives » et tenir compte des intérêts des PME.^*

Le contrôle revient aux autorités nationales de surveillance du marché, depuis le 2 août 2026 selon la Commission. En France, aucune n'est juridiquement désignée au 29 octobre 2026. La liste tenue par la Commission, mise à jour le 7 septembre 2026, porte la DGCCRF comme point de contact, avec la mention d'une décision nationale en attente d'adoption définitive.

La Commission ajoute deux précisions. Toute sanction doit être proportionnée au cas, et elle devient plus probable si un incident est dû à un manque de formation ou d'accompagnement des personnes. L'AI Act ne crée par ailleurs ni infraction pénale ni droit à réparation, une action en dommages relevant du droit national.

Les plafonds des autres manquements sont détaillés dans notre article sur les obligations de l'AI Act pour une entreprise.

Ce que l'article 4 ne vous dit pas

Le texte laisse des blancs, et il vaut mieux les connaître que les combler par supposition.

Il ne dit pas combien d'heures prévoir, quel contenu retenir, ni qui former en premier.

Au 20 octobre 2026, la Commission indique qu'elle publiera des exemples de mise en conformité sur sa plateforme d'information unique, en s'appuyant sur son répertoire de pratiques d'entreprises. Elle précise que reproduire l'une de ces pratiques ne vaut pas, à ce stade, présomption de conformité.

Cet article décrit le texte et sa lecture par la Commission. Savoir si l'un de vos outils relève du haut risque, le tri de candidatures par exemple, demande l'avis d'un conseil juridique.

Une fois le registre ouvert, quelle est la question suivante ?

L'état des lieux fait et le registre ouvert, la question suivante arrive vite : vos collaborateurs savent-ils vérifier ce que l'outil leur rend, sur leurs propres tâches ?

C'est là qu'une information générale montre sa limite. Repérer une hallucination dans un compte rendu, une formule fausse dans un tableau ou une source inventée s'apprend sur ses propres dossiers, en pratiquant avec quelqu'un qui corrige.

Pour une équipe, notre formation IA pour vos équipes se tient sur deux jours en présentiel, dans vos locaux ou dans les nôtres, en session privatisée à 7 900 € HT. Le contenu part des tâches réelles de vos collaborateurs, et les documents de fin de formation peuvent rejoindre votre registre.

Pour un ou deux collaborateurs, une place en session ouverte dans « Maîtriser l'IA générative dans son quotidien professionnel » coûte 1 650 € TTC, avec huit apprenants au maximum, donc chacun travaille sur ses propres tâches. L'ensemble de nos parcours est présenté sur notre page formation IA.