AI Act formation : obligation de maîtrise de l'IA, article 4

L'obligation de maîtrise de l'IA de l'article 4 de l'AI Act s'adresse aux fournisseurs et aux déployeurs de systèmes d'IA. Ils doivent prendre des mesures pour développer les compétences de leur personnel. Elle s'applique depuis le 2 février 2025. Depuis l'été 2026, son contrôle relève des autorités nationales, et le texte a été assoupli : il demande des mesures, pas un niveau garanti.

Voici ce que dit l'article 4, qui est concerné, ce que la Commission européenne précise et comment former sans empiler les modules.

Que dit l'article 4 de l'AI Act ?

L'article 4 du règlement (UE) 2024/1689 porte sur la maîtrise de l'IA. Elle désigne les compétences et les connaissances nécessaires pour utiliser l'IA en connaissance de cause. Il est applicable depuis le 2 février 2025, comme les premières dispositions du règlement.

Dans sa rédaction d'origine, il demandait de prendre des mesures pour garantir, dans toute la mesure du possible, un niveau suffisant de maîtrise de l'IA du personnel. Le règlement (UE) 2026/1744, dit « omnibus numérique » sur l'IA, l'a modifié en juillet 2026.

Selon la Commission européenne, l'obligation subsiste pour les fournisseurs et les déployeurs. Elle n'impose pas de garantir un niveau précis de maîtrise de l'IA à chaque individu. Les États membres et la Commission doivent soutenir ces efforts, et le Comité européen de l'intelligence artificielle adopte des recommandations.

Qui est concerné ?

Deux catégories d'acteurs sont visés. Le fournisseur développe un système d'IA ou le met sur le marché. Le déployeur l'utilise sous sa propre autorité, dans un cadre professionnel.

La plupart des entreprises sont déployeurs dès que leurs équipes utilisent un assistant génératif, un outil de tri de candidatures ou un système de notation. Les personnes visées sont le personnel et les autres personnes qui utilisent l'IA pour le compte de l'organisation, comme des prestataires ou des sous-traitants.

• Un service client qui rédige ses réponses avec un assistant génératif.
• Des RH qui utilisent un outil de présélection de candidatures.
• Une équipe juridique qui résume des contrats avec un modèle de langage.
• Une direction informatique qui intègre un composant d'IA dans un produit.

Que faut-il faire concrètement ?

La Commission européenne précise dans ses questions-réponses qu'aucun certificat n'est requis. L'obligation ne demande pas non plus de mesurer les connaissances de chaque salarié. Aucune structure particulière n'est imposée, comme un responsable de l'IA ou un comité de gouvernance.

La formation n'est pas strictement obligatoire, mais s'en tenir aux notices d'utilisation est généralement insuffisant. Les déployeurs de systèmes à haut risque doivent en outre s'assurer que le personnel chargé du contrôle humain est formé.

Les organisations peuvent conserver des traces internes de leurs actions de formation. C'est la meilleure défense en cas de questions d'une autorité.

Qui contrôle, et à partir de quand ?

La Commission indique que la supervision et le contrôle de l'article 4 s'appliquent depuis le 2 août 2026. Ils relèvent des autorités nationales de surveillance du marché, pas du Bureau européen de l'IA.

Les sanctions dépendent du droit national. Le contrôle est proportionné : l'autorité tient compte de la nature et de la gravité du manquement, et de son caractère intentionnel ou non. L'AI Act ne crée pas d'infraction pénale ni de droit à indemnisation propre.

Ce que l'assouplissement change, et ce qu'il ne change pas

La modification de 2026 retire l'idée d'un niveau « suffisant » à garantir. Elle ne retire pas l'obligation d'agir. Une organisation qui n'a rien entrepris pour son personnel serait mal placée pour répondre à une autorité.

Concrètement, la question devient : qu'avez-vous fait, pour qui, et pourquoi ces mesures étaient-elles adaptées à vos usages ? Trois éléments suffisent à structurer la réponse.

1. Un inventaire des usages d'IA : quels outils, quels métiers, quelles données.
2. Des mesures proportionnées : formation, politique d'usage, consignes, accompagnement.
3. Une trace : dates, publics, contenus, retours des participants.

Un programme construit ainsi reste utile si le cadre change encore, car il repose sur vos usages et non sur le libellé d'un article. Les autres obligations de formation relèvent de la même logique, comme le montre notre article sur la preuve de formation.

Comment former à la maîtrise de l'IA ?

Un bon programme part des usages réels, pas d'un cours général sur l'intelligence artificielle. La Commission demande de tenir compte des connaissances techniques, de l'expérience et de la formation des personnes, ainsi que du contexte d'utilisation.

Quatre niveaux, quatre contenus

1. Tous les utilisateurs : ce que fait un modèle, ses limites, les erreurs plausibles, les données à ne pas saisir.
2. Les métiers exposés : RH, juridique, relation client, finance, avec leurs cas d'usage et leurs risques propres.
3. Les managers : décider ce qui peut être automatisé, relire le travail assisté, répondre aux questions de l'équipe.
4. Les équipes techniques : choix des systèmes, documentation, suivi des incidents.

Nos articles sur la formation des managers à l'IA et sur la formation RGPD des salariés relient ces contenus à la protection des données.

Un exemple de séquence sur trois mois

Un formateur peut échelonner l'effort plutôt que de tout concentrer sur une journée. Le mois un sert à l'inventaire des usages et à une courte sensibilisation commune. Le mois deux propose des mises en situation par métier, sur les cas d'usage listés. Le mois trois ajoute une session de rappel avec les managers, qui relisent les erreurs observées.

Cette progression suit la façon dont les gestes se fixent : on les voit, on les essaie, on y revient. Elle donne aussi des traces à des dates différentes, ce qui montre une démarche suivie plutôt qu'un exercice ponctuel.

Elle s'accorde avec ce que dit la Commission : l'organisation adapte les mesures au contexte, aux connaissances de départ et aux risques de chaque métier.

La pratique plutôt que la lecture

Savoir qu'un modèle peut se tromper ne suffit pas. Le bon réflexe est de relire, de vérifier une source, de refuser de transmettre une donnée sensible. Il se construit en faisant, avec un retour sur ce qui a été fait.

Imaginons un conseiller qui reçoit d'un collègue un texte généré par un assistant, contenant une référence réglementaire inventée. Il doit la contrôler avant de l'envoyer au client, et expliquer pourquoi :

• « Je vérifie la référence dans la source officielle avant de répondre au client. »
• « Je ne colle pas les données d'un dossier dans un outil non validé par l'entreprise. »
• « Ce texte est une proposition. Je le relis et c'est moi qui signe. »

Face Up permet aux formateurs de créer ce type de jeu de rôle à partir de leurs cas réels. L'apprenant parle, à la voix ou en vidéo, avec un persona joué par une IA. Il reçoit ensuite un débriefing : points forts, points à améliorer, plan d'action, citations de ce qu'il a dit. Il peut rejouer. Voir la page des jeux de rôle.

Les erreurs fréquentes

• Un module unique pour tous. Le texte demande de tenir compte du contexte et du rôle.
• Croire que l'assouplissement supprime l'obligation. Elle subsiste, sous forme de mesures à prendre.
• Ne rien conserver. Sans trace, impossible de montrer ses efforts à une autorité.
• Former sans cadrer les usages. Une politique d'usage claire fait partie de la maîtrise.
• Oublier les prestataires. Le texte vise aussi les personnes qui utilisent l'IA pour le compte de l'organisation.

Questions fréquentes

L'article 4 est-il toujours en vigueur après l'omnibus numérique ?

Oui. Il reste applicable aux fournisseurs et aux déployeurs. Il demande désormais des mesures de soutien à la maîtrise de l'IA, sans garantie d'un niveau donné pour chaque personne.

Faut-il délivrer un certificat aux salariés ?

Non. La Commission européenne indique qu'aucun certificat n'est requis. Une trace interne des actions de formation suffit comme preuve des efforts réalisés.

Mon entreprise est-elle concernée si elle ne fait qu'utiliser un assistant d'IA ?

Oui, en tant que déployeur, dès lors que l'outil est utilisé dans un cadre professionnel. L'ampleur des mesures dépend des usages et des risques.

Quel lien avec les autres formations obligatoires ?

Les heures de formation sont limitées. Intégrer la maîtrise de l'IA à des mises en situation sur la conformité, comme le RGPD ou la déontologie, évite de multiplier les modules. Nous le détaillons dans notre panorama des formations obligatoires.

Pour démarrer, listez vos usages d'IA par métier, puis choisissez deux ou trois situations à faire pratiquer. L'article sur la différence entre complétion et compétence aide à choisir les bons indicateurs. Pour voir un jeu de rôle sur un de vos usages, réservez une démonstration.