Formation IA : ce que la loi exige vraiment

L'article 4 du règlement européen sur l'intelligence artificielle impose aux fournisseurs et aux déployeurs de prendre des mesures pour favoriser le développement de la maîtrise de l'IA chez les personnes qui s'en servent pour leur compte. C'est une obligation de moyens. Le texte le dit désormais noir sur blanc : elle ne contraint pas à garantir un niveau spécifique de maîtrise par un individu.

Cette phrase a été ajoutée le 27 juillet 2026, quand le règlement (UE) 2026/1744 a remplacé l'article 4 en entier. Si vous vous êtes fait vendre un plan de formation obligatoire ces derniers mois, la suite va vous intéresser.

Qu'est-ce que l'article 4 impose exactement ?

Le cœur du paragraphe 1 tient en deux phrases, et elles méritent d'être lues mot pour mot plutôt que résumées. Selon la version française consolidée publiée sur EUR-Lex :

« Les fournisseurs et les déployeurs de systèmes d'IA prennent des mesures pour favoriser le développement de la maîtrise de l'IA par leur personnel et les autres personnes s'occupant du fonctionnement et de l'utilisation des systèmes d'IA pour leur compte […]. Cette obligation ne contraint pas les fournisseurs ou les déployeurs à garantir un niveau spécifique de maîtrise de l'IA par un individu. »

Trois morceaux portent tout le poids. « Prennent des mesures » : on attend une action, pas un niveau atteint. « Favoriser le développement » : on accompagne une montée en compétence, on ne la certifie pas. « Pour leur compte » : le périmètre déborde le contrat de travail et couvre aussi, par exemple, un prestataire qui utilise un outil pour vous. La dernière phrase, elle, clôt le débat que le marché de la formation a ouvert : aucun niveau individuel n'est à garantir.

Le mot « déployeur » est celui qui surprend le plus les dirigeants. Il ne désigne pas un éditeur de logiciel. Il désigne toute organisation qui utilise un système d'IA dans le cadre de son activité professionnelle. Une PME qui a branché un assistant sur sa boîte mail est un déployeur. Autrement dit, l'article 4 concerne bien plus d'entreprises que le reste du règlement.

Qu'est-ce qui a changé le 27 juillet 2026 ?

Le règlement (UE) 2026/1744 a été adopté le 8 juillet 2026, publié au Journal officiel le 24 juillet, et est entré en vigueur le troisième jour suivant : le 27 juillet 2026. Il ne retouche pas l'article 4 : il le remplace. La comparaison des deux textes sur EUR-Lex se fait en quelques minutes, et le glissement saute aux yeux.

Version d'origine, applicable du 2 février 2025 au 26 juillet 2026 : les fournisseurs et déployeurs prenaient des mesures pour « garantir, dans toute la mesure du possible, un niveau suffisant de maîtrise de l'IA ».
Version en vigueur depuis le 27 juillet 2026 : ils prennent des mesures pour « favoriser le développement » de cette maîtrise, et le texte ajoute qu'aucun niveau spécifique n'est à garantir pour un individu.
L'article, qui tenait en un alinéa, en compte désormais trois. Le paragraphe 2 charge la Commission et les États membres de soutenir cet effort, en visant nommément les PME, et prévoit la publication d'exemples pratiques. Le paragraphe 3 charge le comité IA d'adopter des recommandations.

On passe donc d'un résultat à démontrer à une démarche à engager. Pour une PME, la différence est considérable : il n'y a plus à prouver qu'un salarié a atteint un niveau, il y a à montrer qu'on a fait quelque chose de sérieux et de proportionné. L'obligation, elle, n'est pas nouvelle : l'article 4 est au chapitre I du règlement, applicable depuis le 2 février 2025. Seule sa formulation a changé le 27 juillet.

Le même règlement a aussi décalé les échéances des systèmes à haut risque. C'est un autre sujet, traité ailleurs sur ce blog : ce qui s'applique vraiment depuis le 2 août 2026, Sur l'article 4 lui-même, une précision que beaucoup d'articles passent sous silence : l'article 99 du règlement, qui fixe les plafonds d'amende européens, n'y fait pas référence. Il n'y a pas d'amende européenne dédiée à la maîtrise de l'IA. Les États membres peuvent prévoir des mesures nationales ; la France n'a pas encore désigné ses autorités de surveillance du marché à la date de cette relecture.

Faut-il faire certifier vos salariés ?

Non. Rien dans l'article 4 n'exige un certificat, un organisme agréé, un référentiel ni un examen. Le marché de la formation s'est pourtant emparé du sujet avec un enthousiasme qui mérite d'être regardé de près, et une partie des offres « mise en conformité AI Act » vendues depuis un an s'appuient sur une lecture du texte qui n'est plus la bonne, quand elle l'a été.

Ce que le texte demande, c'est de tenir compte du contexte. Les besoins d'un comptable qui fait résumer des courriers et ceux d'un développeur qui intègre un modèle dans un produit n'ont rien à voir. Une formation générique achetée au catalogue coche une case sans réduire un seul risque réel. Une heure passée à décrire les trois usages qui existent déjà chez vous, et à écrire ce qu'on en fait, vaut mieux.

Par où commencer si vous n'avez rien fait ?

L'ordre compte plus que le volume. Dans une TPE ou une PME, la séquence suivante tient en une demi-journée et couvre l'essentiel de ce que l'article 4 attend :

Recensez les usages réels, pas ceux que vous imaginez. Demandez à chacun ce qu'il utilise déjà. La réponse est presque toujours plus riche que prévu, et c'est le vrai point de départ.
Pour chaque usage, nommez ce qui peut mal tourner : une donnée qui sort, une réponse fausse reprise sans vérification, une décision prise sans relecture humaine.
Écrivez deux ou trois règles courtes. Ce qu'on peut envoyer à un outil, ce qu'on n'envoie jamais, et qui relit avant que ça parte au client.
Réunissez l'équipe une heure pour en parler, et gardez une trace datée de cette réunion. C'est votre mesure, au sens du texte.
Refaites le tour dans six mois. Les usages auront changé, et une note qui ne suit pas les usages ne protège plus personne.

Rien là-dedans ne demande un budget. Ce qui demande un peu de méthode, c'est la première étape, parce qu'un recensement honnête suppose que personne ne craigne d'avouer ce qu'il utilise en douce.

Si ce tour d'horizon vous paraît clair mais que vous n'avez ni le temps ni le recul pour l'animer, c'est exactement ce que couvre un cadrage. Et si vous préférez en parler de vive voix avant de vous engager, le studio est installé dans la métropole lilloise : consultant IA pour TPE et PME, avec un premier échange possible sur place à Lille. Les cabinets et les professions réglementées sont souvent les plus exposés sur ce sujet, parce qu'ils manipulent des données sensibles au quotidien : ce que ça donne pour un cabinet.

Que retenir ?

L'obligation existe, elle vous concerne probablement, et elle est beaucoup plus légère qu'on ne vous l'a dit. Le risque n'est pas de sous-traiter une formation trop courte. Il est de ne rien faire en attendant d'y voir clair, alors que le texte est désormais stable et lisible.

Lisez l'article 4 vous-même. Il tient en trois paragraphes, il est en français, et il est en accès libre sur EUR-Lex. C'est probablement le seul texte de conformité de l'année dont on puisse dire ça.

Sources

Vos questions

Une entreprise de cinq personnes est-elle concernée ?

Oui. L'article 4 vise les fournisseurs et les déployeurs de systèmes d'IA, sans plancher d'effectif, sans seuil de chiffre d'affaires et sans exception sectorielle. Un cabinet de trois personnes qui fait relire ses courriers par un assistant conversationnel est un déployeur au sens du règlement, au même titre qu'un groupe de mille salariés. Ce qui change avec la taille, ce n'est pas l'assujettissement, c'est la proportion de l'effort attendu. Le texte demande de tenir compte des connaissances, de l'expérience, de la formation et du contexte d'utilisation des personnes concernées. Pour une équipe de cinq, cela peut se résumer à une discussion sérieuse d'une heure et à deux règles écrites noir sur blanc. Ce qui ne passe pas, en revanche, c'est de n'avoir rien fait du tout et de considérer que la petite taille dispense.

Un assistant conversationnel grand public compte-t-il comme un système d'IA ?

Dans l'immense majorité des cas, oui, et c'est précisément le point que les dirigeants ratent. Beaucoup raisonnent comme si l'AI Act ne concernait que les entreprises qui construisent des modèles ou qui déploient un outil complexe. La réalité est plus banale : dès lors que vos équipes utilisent un assistant fourni par un tiers dans le cadre de leur travail, vous en êtes le déployeur, et l'obligation de favoriser le développement de la maîtrise de l'IA vous incombe. Ce n'est pas une mauvaise nouvelle. C'est souvent le cas le plus facile à traiter, parce que les risques réels sont peu nombreux et bien connus : ce qu'on a le droit d'y coller, ce qu'on ne doit jamais y coller, et le fait qu'une réponse plausible n'est pas une réponse vérifiée.

Que faut-il conserver comme preuve ?

Je préfère vous dire ce que je ne sais pas plutôt que de vous rassurer à tort. Le texte de l'article 4, dans sa rédaction issue du règlement (UE) 2026/1744 (en vigueur depuis le 27 juillet 2026) n'impose aucun formalisme de preuve : ni registre, ni attestation, ni feuille d'émargement, ni certificat. Vous trouverez pourtant beaucoup d'articles qui affirment le contraire et qui listent des documents obligatoires. Ces listes ne sortent pas du règlement, et je n'ai trouvé aucune source officielle qui les fonde. Ce que je peux dire, c'est qu'une obligation de moyens se démontre par des traces de moyens. Une note interne datée, un support de session, une règle d'usage diffusée par écrit : cela coûte une heure et cela existe. Une obligation qui n'a laissé aucune trace ressemble beaucoup à une obligation qui n'a pas été remplie.

Cette obligation remplace-t-elle le RGPD ?

Non, les deux se cumulent et ne traitent pas du même risque. L'AI Act encadre la mise sur le marché et l'utilisation des systèmes d'IA, avec une logique de sécurité produit. Le RGPD encadre le traitement des données à caractère personnel, quel que soit l'outil qui le réalise. Un usage d'IA parfaitement conforme à l'article 4, parce que vos équipes ont été formées et savent ce qu'elles font, peut rester illicite au regard du RGPD si les données envoyées à l'outil ne devaient pas y aller. L'inverse est vrai aussi. En pratique, les deux sujets se traitent dans le même geste de cadrage, parce qu'ils portent sur les mêmes usages et les mêmes équipes. C'est ce qu'on regarde dans un cadrage : quels usages existent déjà, quelles données y circulent, et lesquels demandent une règle.