Formation IA : ce que la loi exige vraiment

L'article 4 du règlement européen sur l'intelligence artificielle impose à toute entreprise qui fournit ou utilise un système d'IA de prendre des mesures pour soutenir le développement de la maîtrise de l'IA chez les personnes qui s'en servent en son nom. C'est une obligation de moyens, pas de résultat.

Cette formulation est neuve. Elle date du 24 juillet 2026, et elle est nettement moins exigeante que celle qu'elle remplace. Si vous vous êtes fait vendre un plan de formation obligatoire ces derniers mois, la suite va vous intéresser.

Qu'est-ce que l'article 4 impose exactement ?

Le texte tient en une phrase, et elle mérite d'être lue mot pour mot plutôt que résumée. Selon la version française publiée au Journal officiel de l'Union européenne :

« Les fournisseurs et les déployeurs de systèmes d'IA prennent des mesures pour soutenir le développement de la maîtrise de l'IA de la part de leur personnel et des autres personnes chargées de l'exploitation et de l'utilisation des systèmes d'IA en leur nom. »

Trois mots portent tout le poids. « Prennent des mesures » : on attend une action, pas un niveau atteint. « Soutenir le développement » : on accompagne une montée en compétence, on ne la certifie pas. « En leur nom » : le périmètre déborde le contrat de travail et couvre aussi, par exemple, un prestataire qui utilise un outil pour vous.

Le mot « déployeur » est celui qui surprend le plus les dirigeants. Il ne désigne pas un éditeur de logiciel. Il désigne toute organisation qui utilise un système d'IA dans le cadre de son activité professionnelle. Une PME qui a branché un assistant sur sa boîte mail est un déployeur. Autrement dit, l'article 4 concerne bien plus d'entreprises que le reste du règlement.

Qu'est-ce qui a changé le 24 juillet 2026 ?

Le règlement (UE) 2026/1744, publié au Journal officiel de l'Union européenne le 24 juillet 2026 et entré en vigueur le troisième jour suivant, ne se contente pas de retoucher l'article 4 : il le remplace intégralement. La comparaison des deux textes sur EUR-Lex se fait en quelques minutes, et le glissement saute aux yeux.

— Version d'origine, applicable depuis le 2 février 2025 selon le calendrier publié par la Commission européenne : les fournisseurs et déployeurs devaient garantir un niveau suffisant de maîtrise de l'IA au sein de leurs équipes.
— Version en vigueur depuis fin juillet 2026 : ils prennent des mesures pour soutenir le développement de cette maîtrise.
— Le même règlement charge la Commission et les États membres d'appuyer cet effort, en visant nommément les petites et moyennes entreprises, et prévoit des recommandations du comité IA.

On passe donc d'un résultat à démontrer à une démarche à engager. Pour une PME, la différence est considérable : il n'y a plus à prouver qu'un salarié a atteint un niveau, il y a à montrer qu'on a fait quelque chose de sérieux et de proportionné.

Le même règlement a aussi décalé les échéances des systèmes à haut risque. C'est un autre sujet, traité ailleurs sur ce blog : ce qui s'applique vraiment depuis le 2 août 2026, y compris sur le régime de sanction, que je ne chiffre pas ici faute d'avoir relu le texte sur ce point précis.

Faut-il faire certifier vos salariés ?

Non. Rien dans l'article 4 n'exige un certificat, un organisme agréé, un référentiel ni un examen. Le marché de la formation s'est pourtant emparé du sujet avec un enthousiasme qui mérite d'être regardé de près, et une partie des offres « mise en conformité AI Act » vendues depuis un an s'appuient sur une lecture du texte qui n'est plus la bonne, quand elle l'a été.

Ce que le texte demande, c'est de tenir compte du contexte. Les besoins d'un comptable qui fait résumer des courriers et ceux d'un développeur qui intègre un modèle dans un produit n'ont rien à voir. Une formation générique achetée au catalogue coche une case sans réduire un seul risque réel. Une heure passée à décrire les trois usages qui existent déjà chez vous, et à écrire ce qu'on en fait, vaut mieux.

Par où commencer si vous n'avez rien fait ?

L'ordre compte plus que le volume. Dans une TPE ou une PME, la séquence suivante tient en une demi-journée et couvre l'essentiel de ce que l'article 4 attend :

— Recensez les usages réels, pas ceux que vous imaginez. Demandez à chacun ce qu'il utilise déjà. La réponse est presque toujours plus riche que prévu, et c'est le vrai point de départ.
— Pour chaque usage, nommez ce qui peut mal tourner : une donnée qui sort, une réponse fausse reprise sans vérification, une décision prise sans relecture humaine.
— Écrivez deux ou trois règles courtes. Ce qu'on peut envoyer à un outil, ce qu'on n'envoie jamais, et qui relit avant que ça parte au client.
— Réunissez l'équipe une heure pour en parler, et gardez une trace datée de cette réunion. C'est votre mesure, au sens du texte.
— Refaites le tour dans six mois. Les usages auront changé, et une note qui ne suit pas les usages ne protège plus personne.

Rien là-dedans ne demande un budget. Ce qui demande un peu de méthode, c'est la première étape, parce qu'un recensement honnête suppose que personne ne craigne d'avouer ce qu'il utilise en douce.

Si ce tour d'horizon vous paraît clair mais que vous n'avez ni le temps ni le recul pour l'animer, c'est exactement ce que couvre un cadrage. Et si vous préférez en parler de vive voix avant de vous engager, le studio est installé dans la métropole lilloise : consultant IA pour TPE et PME, avec un premier échange possible sur place à Lille. Les cabinets et les professions réglementées sont souvent les plus exposés sur ce sujet, parce qu'ils manipulent des données sensibles au quotidien : ce que ça donne pour un cabinet.

Que retenir ?

L'obligation existe, elle vous concerne probablement, et elle est beaucoup plus légère qu'on ne vous l'a dit. Le risque n'est pas de sous-traiter une formation trop courte. Il est de ne rien faire en attendant d'y voir clair, alors que le texte est désormais stable et lisible.

Lisez l'article 4 vous-même. Il fait une phrase, il est en français, et il est en accès libre. C'est probablement le seul texte de conformité de l'année dont on puisse dire ça.

Sources

Vos questions

Une entreprise de cinq personnes est-elle concernée ?

Oui. L'article 4 vise les fournisseurs et les déployeurs de systèmes d'IA, sans plancher d'effectif, sans seuil de chiffre d'affaires et sans exception sectorielle. Un cabinet de trois personnes qui fait relire ses courriers par un assistant conversationnel est un déployeur au sens du règlement, au même titre qu'un groupe de mille salariés. Ce qui change avec la taille, ce n'est pas l'assujettissement, c'est la proportion de l'effort attendu. Le texte demande de tenir compte des connaissances, de l'expérience, de la formation et du contexte d'utilisation des personnes concernées. Pour une équipe de cinq, cela peut se résumer à une discussion sérieuse d'une heure et à deux règles écrites noir sur blanc. Ce qui ne passe pas, en revanche, c'est de n'avoir rien fait du tout et de considérer que la petite taille dispense.

Un assistant conversationnel grand public compte-t-il comme un système d'IA ?

Dans l'immense majorité des cas, oui, et c'est précisément le point que les dirigeants ratent. Beaucoup raisonnent comme si l'AI Act ne concernait que les entreprises qui construisent des modèles ou qui déploient un outil complexe. La réalité est plus banale : dès lors que vos équipes utilisent un assistant fourni par un tiers dans le cadre de leur travail, vous en êtes le déployeur, et l'obligation de soutenir la maîtrise de l'IA vous incombe. Ce n'est pas une mauvaise nouvelle. C'est souvent le cas le plus facile à traiter, parce que les risques réels sont peu nombreux et bien connus : ce qu'on a le droit d'y coller, ce qu'on ne doit jamais y coller, et le fait qu'une réponse plausible n'est pas une réponse vérifiée.

Que faut-il conserver comme preuve ?

Je préfère vous dire ce que je ne sais pas plutôt que de vous rassurer à tort. Le texte de l'article 4, dans sa rédaction issue du règlement du 24 juillet 2026, n'impose aucun formalisme de preuve : ni registre, ni attestation, ni feuille d'émargement, ni certificat. Vous trouverez pourtant beaucoup d'articles qui affirment le contraire et qui listent des documents obligatoires. Ces listes ne sortent pas du règlement, et je n'ai trouvé aucune source officielle qui les fonde. Ce que je peux dire, c'est qu'une obligation de moyens se démontre par des traces de moyens. Une note interne datée, un support de session, une règle d'usage diffusée par écrit : cela coûte une heure et cela existe. Une obligation qui n'a laissé aucune trace ressemble beaucoup à une obligation qui n'a pas été remplie.

Cette obligation remplace-t-elle le RGPD ?

Non, les deux se cumulent et ne traitent pas du même risque. L'AI Act encadre la mise sur le marché et l'utilisation des systèmes d'IA, avec une logique de sécurité produit. Le RGPD encadre le traitement des données à caractère personnel, quel que soit l'outil qui le réalise. Un usage d'IA parfaitement conforme à l'article 4, parce que vos équipes ont été formées et savent ce qu'elles font, peut rester illicite au regard du RGPD si les données envoyées à l'outil ne devaient pas y aller. L'inverse est vrai aussi. En pratique, les deux sujets se traitent dans le même geste de cadrage, parce qu'ils portent sur les mêmes usages et les mêmes équipes. C'est ce qu'on regarde dans un cadrage : quels usages existent déjà, quelles données y circulent, et lesquels demandent une règle.