Former ses équipes à l’IA : ce que la loi oblige vraiment

C’est l’obligation de l’AI Act la plus ancienne et la moins connue. Pendant que les entreprises suivaient le calendrier des systèmes à haut risque, l’article 4 du règlement européen sur l’intelligence artificielle — règlement (UE) 2024/1689 — était applicable depuis le 2 février 2025. Il ne vise ni une technologie, ni un secteur, ni une taille d’entreprise : il vise le fait de déployer un système d’IA et de le mettre entre les mains de personnes.

Et il a été réécrit cet été. Le « Digital Omnibus » sur l’IA — règlement (UE) 2026/1744, publié au Journal officiel de l’Union le 24 juillet 2026 et en vigueur depuis le 27 juillet — n’a pas seulement reporté les obligations des systèmes à haut risque, ce que la plupart des commentaires ont retenu : il a remplacé l’article 4 dans son intégralité. Le texte en vigueur n’est plus celui que citent les notes de conformité rédigées en 2025.

De l’obligation de résultat à l’obligation de moyens

La version d’origine demandait aux fournisseurs et aux déployeurs de prendre des mesures pour « assurer, dans toute la mesure du possible, un niveau suffisant de maîtrise de l’IA » chez leur personnel et chez les autres personnes qui utilisent ces systèmes pour leur compte. Un niveau à atteindre, donc.

La version issue du Digital Omnibus demande, en substance, de prendre des mesures pour soutenir le développement de la maîtrise de l’IA de ces mêmes personnes, en précisant que cela n’impose pas de garantir un niveau déterminé pour une personne donnée. Un second paragraphe charge la Commission et les États membres de faciliter ces efforts, en particulier pour les PME, et de publier des exemples pratiques de mise en conformité.

Le glissement est net : on passe d’une obligation de résultat à une obligation de moyens. Un employeur n’a plus à démontrer qu’un salarié donné a atteint un niveau ; il doit démontrer qu’il a mis en place des mesures pour que la compétence se développe. Ce n’est pas une dispense — c’est un déplacement de la preuve, de la tête du salarié vers le dispositif de l’entreprise.

Qui est concerné, exactement

Le périmètre est plus large que ce que supposent la plupart des entreprises. Ni seuil d’effectif, ni exemption pour les PME — la nouvelle rédaction leur promet un soutien, pas une exonération — et aucune dépendance au niveau de risque du système : un assistant généraliste utilisé pour rédiger des comptes rendus n’est pas un système à haut risque au sens de l’annexe III, il relève quand même de l’article 4. Le report du haut risque au 2 décembre 2027 ne déplace donc rien ici.

Le texte ne parle pas non plus des seuls salariés, mais du personnel « et des autres personnes » qui s’occupent du fonctionnement et de l’utilisation des systèmes pour le compte de l’entreprise. Prestataires, intérimaires, alternants, équipes d’un partenaire qui opère un outil pour vous entrent dans le périmètre — souvent la population la moins accompagnée.

Une limite en revanche : l’article 4 ne concerne pas les clients, usagers ou candidats sur lesquels le système est utilisé. Leur information relève de l’article 50 sur la transparence, applicable depuis le 2 août 2026 et lui non plus non reporté.

Y a-t-il une échéance en 2026 ?

Non — et c’est le malentendu le plus fréquent. Aucune date de 2026 ne déclenche l’obligation de formation des salariés à l’IA : elle court depuis le 2 février 2025. Une entreprise qui se prépare à « l’échéance 2026 » ne prend pas de l’avance, elle rattrape un retard de plus d’un an.

Trois dates de 2026 comptent malgré tout. Le 27 juillet, la nouvelle rédaction de l’article 4 est entrée en vigueur : c’est elle qui s’applique aujourd’hui. Le 2 août, l’obligation de transparence de l’article 50 et le dispositif de surveillance du marché sont devenus applicables. Le 2 décembre clôt le délai de grâce accordé pour le marquage technique des contenus générés. Aucune des trois ne repousse la formation ; la seule échéance reportée, celle des systèmes à haut risque, ne concerne pas l’article 4.

Ce que cela change pour une PME

Une PME est soumise à l’article 4 au même titre qu’un groupe : le texte ne prévoit ni seuil d’effectif ni régime allégé. Ce que le Digital Omnibus a ajouté, c’est une mission confiée à la Commission et aux États membres — faciliter ces efforts, en particulier pour les PME, et publier des exemples pratiques. Un soutien annoncé, pas une dispense, et pas davantage un motif d’attendre sa parution.

La proportionnalité, en revanche, joue en sa faveur. Les mesures s’apprécient au regard du contexte d’utilisation et du profil des personnes : dix salariés qui utilisent un assistant généraliste pour rédiger et synthétiser n’appellent pas le dispositif d’un groupe qui automatise des décisions. En pratique, pour une petite structure, l’essentiel tient en peu de pièces : la liste des outils autorisés et de leurs utilisateurs, une consigne d’usage écrite et datée, une prise en main construite sur les tâches réelles, et la trace de qui l’a suivie. Quelques pages tenues à jour valent mieux qu’un plan de formation qui n’existe que sur le papier.

Ce que « sanctionné » veut dire ici

C’est la question posée dans toutes les réunions, et la réponse mérite d’être exacte plutôt que dramatisée. L’article 99 énumère limitativement les manquements passibles de l’amende de 15 millions d’euros ou 3 % du chiffre d’affaires mondial : articles 16, 22, 23, 24, 25 (§ 2 et 4), 26, 31, 33, 34 et 50. L’article 4 n’y figure pas. Il n’existe donc pas d’amende européenne harmonisée sanctionnant, à elle seule, un défaut de formation.

Cela ne veut pas dire qu’il n’y a pas de risque. Le même article 99 impose aux États membres de fixer des sanctions effectives, proportionnées et dissuasives pour les infractions au règlement : le régime national reste à consulter. Et le dispositif de surveillance du marché est applicable depuis le 2 août 2026.

En pratique, le manquement à l’article 4 se paie rarement seul. Il se paie dans un dossier ouvert pour un autre motif — un incident, une plainte, un contrôle — où l’absence de dispositif documenté pèse sur l’appréciation de la diligence de l’entreprise ; ou devant un juge, le jour où un dommage naît d’un usage que personne n’avait cadré.

Une obligation de moyens se documente quand même

Le paradoxe de l’assouplissement est là : quand l’obligation portait sur un niveau, on pouvait imaginer la solder par une attestation. Quand elle porte sur des mesures, c’est le dispositif lui-même qui doit exister et se prouver.

Les critères de proportionnalité, eux, n’ont pas bougé : le texte demande de tenir compte des connaissances techniques, de l’expérience et de la formation des personnes, du contexte d’utilisation prévu, et des personnes sur lesquelles le système est utilisé. Un programme uniforme pour toute l’entreprise n’est donc pas ce que la loi demande — et ce n’est pas non plus ce qui fonctionne.

• La cartographie des usages réels : qui utilise quoi, pour quelles tâches, avec quelle exposition en cas d’erreur.
• Un contenu différencié : un juriste qui relit des contrats et un développeur qui génère du code n’ont ni les mêmes risques ni les mêmes réflexes à acquérir.
• La trace : qui a été formé, à quoi, quand, sur quelle version des consignes d’usage — une liste d’émargement ne dit rien de ce qui a été transmis.
• L’actualisation : les outils changent plus vite qu’un plan de formation annuel, et une consigne périmée ne protège plus.
• Les cas d’usage de l’entreprise comme support : une formation construite sur les documents et les processus réels laisse une compétence, une formation générique laisse une attestation.

Pourquoi l’assouplissement ne change pas le programme

Une entreprise qui avait bâti un dispositif sérieux n’a rien à défaire ; celle qui attendait de savoir quel niveau prouver n’a plus d’excuse, puisqu’il n’y a plus de niveau à prouver, seulement des mesures à prendre.

Surtout, la conformité n’a jamais été la bonne raison de former. Le vrai coût d’un déploiement non accompagné ne se lit pas dans un risque de sanction, il se lit dans les usages : des équipes qui plafonnent sur la reformulation de courriels pendant que le budget file, des données sensibles collées dans des outils personnels faute d’alternative expliquée, des résultats acceptés sans relecture par des gens à qui personne n’a montré comment une IA se trompe. En se déplaçant vers une obligation de moyens, le texte se rapproche de ce qui marche : un accompagnement dans la durée, adossé au travail réel, plutôt qu’un examen passé une fois.

La bonne question n’est donc pas « sommes-nous en règle ? » mais « que saurions-nous montrer si on nous le demandait demain ? ». Dans la plupart des entreprises, la réponse tient en une liste d’inscrits à une session.