Résumé dirigeant
Depuis le 2 février 2025, l’article 4 de l’AI Act concerne les fournisseurs et les déployeurs de systèmes d’IA. Sa rédaction actuelle leur demande de prendre des mesures pour soutenir le développement de la maîtrise de l’IA des personnes utilisant ces systèmes pour leur compte, en tenant compte de leur expérience, de leur formation, du contexte d’utilisation et des personnes affectées.
Le texte ne fixe ni durée universelle, ni certification particulière, ni cursus identique pour chaque salarié. Il faut en revanche pouvoir expliquer pourquoi les mesures choisies sont adaptées aux usages réels. Pour une PME, la démarche raisonnable est donc : inventorier, qualifier, poser des règles, accompagner proportionnellement, conserver des traces et réviser.
La règle actuelle, sans raccourci commercial
L’article 4 demande aux fournisseurs et déployeurs de prendre des mesures pour soutenir la maîtrise de l’IA de leur personnel et des autres personnes qui utilisent ou exploitent ces systèmes pour leur compte. Depuis la modification entrée en vigueur le 27 juillet 2026, ils n’ont pas à garantir un niveau déterminé chez chaque individu.
L’obligation reste réelle, mais elle est contextualisée. Une sensibilisation de base peut être pertinente pour certains usages ; un accompagnement métier, une supervision et une documentation plus fortes seront nécessaires lorsque les conséquences augmentent.
Ne partez pas d’un catalogue de formation. Partez de la liste des outils, des tâches, des personnes et des conséquences possibles. Le parcours de maîtrise doit suivre cette cartographie.
Ce que l’article 4 ne prévoit pas à lui seul
- un nombre minimal d’heures ;
- un examen ou une certification normalisés ;
- un organisme de formation imposé ;
- un cursus annuel identique pour toute l’entreprise ;
- la garantie que chaque personne atteigne le même niveau ;
- une conformité automatique obtenue par l’achat d’une formation standard.
Une formation peut être une mesure utile et facile à documenter. Elle n’épuise pourtant pas le sujet : les règles d’usage, le choix des outils, la supervision et les retours d’incident participent aussi à la maîtrise de l’IA.
Qui est concerné dans une PME ?
Une entreprise peut être « déployeur » sans construire son propre modèle. Utiliser professionnellement un assistant de rédaction, un outil de tri, un système de recommandation ou un logiciel intégrant de l’IA suffit à devoir examiner son rôle et ses responsabilités.
Socle commun
Pour les personnes exposées à l’IA : fonctionnement général, erreurs plausibles, confidentialité, données autorisées et responsabilité humaine.
Utilisateurs réguliers
Pour les métiers qui produisent avec l’IA : méthodes de vérification, sources, cas interdits, limites propres à leur activité et signalement des erreurs.
Responsables de processus
Pour les managers, RH et responsables métier : critères d’acceptation, supervision, exceptions, mesure de l’usage et conséquences sur le travail.
Concepteurs et administrateurs
Pour l’IT, la data et les porteurs de solutions : tests, sécurité, permissions, documentation, journalisation et maîtrise des changements.
Un collaborateur qui reformule un e-mail n’a donc pas les mêmes besoins qu’un recruteur utilisant un système influençant une sélection, ni qu’une équipe qui construit un assistant connecté aux données internes.
Quelles mesures mettre en place ?
| Dimension | Question opérationnelle | Mesure possible |
|---|---|---|
| Inventaire | Quels systèmes sont réellement utilisés ? | Registre simple des outils officiels et des usages non encadrés connus. |
| Personnes | Qui utilise quoi, pour quelle tâche ? | Cartographie par population et contexte de travail. |
| Données | Quelles informations peuvent entrer dans chaque outil ? | Règles de confidentialité et classification des données. |
| Fiabilité | Comment une sortie est-elle vérifiée ? | Sources visibles, relecture, contrôles déterministes ou double validation. |
| Décision | Qu’est-ce qui reste sous responsabilité humaine ? | Seuils d’escalade, cas interdits et responsable nommé. |
| Compétence | Que faut-il comprendre pour utiliser correctement le système ? | Socle commun, exercices métier et accompagnement en situation. |
| Évolution | Que se passe-t-il lorsque l’outil ou le processus change ? | Revue périodique et revue déclenchée par événement. |
Le bon enchaînement relie toujours usage → risque → population → mesure → preuve. Une feuille de présence isolée montre qu’une session a eu lieu ; elle ne démontre pas que les règles correspondent aux usages réels.
Quelles preuves raisonnables conserver ?
L’article 4 ne fournit pas une liste universelle de documents obligatoires. Une organisation peut néanmoins constituer un faisceau de traces cohérent :
- inventaire daté des systèmes et usages connus ;
- cartographie des populations concernées ;
- qualification des usages sensibles et des personnes affectées ;
- charte ou règles d’utilisation des outils ;
- supports, exercices et preuves de participation lorsqu’une formation est retenue ;
- guides adaptés aux tâches réellement réalisées ;
- comptes rendus des arbitrages et responsables désignés ;
- registre des erreurs, incidents et retours utilisateurs ;
- historique des mises à jour du dispositif.
Documenter la logique est plus utile qu’accumuler des pièces : quel usage a conduit à quelle mesure, pour quelle population, avec quel contrôle et quelle date de révision ?
L’article 4 n’agit pas seul
RGPD et confidentialité
Lorsqu’un système traite des données personnelles, le RGPD continue de s’appliquer. Il faut notamment déterminer la finalité, les responsabilités, la base juridique, les données nécessaires, les destinataires et les garanties de sécurité. La prudence est encore plus forte avec des données clients, salariés ou partenaires.
Adaptation au poste et dialogue social
Lorsque l’IA transforme réellement le travail, l’entreprise doit aussi examiner ses obligations d’adaptation des salariés et, selon sa situation, les règles d’information et de consultation du CSE relatives aux nouvelles technologies et aux changements importants dans l’organisation ou les conditions de travail.
Usages sensibles ou potentiellement à haut risque
La sélection, l’évaluation ou la surveillance de personnes ne sont pas de bons premiers terrains d’expérimentation. La maîtrise de l’IA devient alors une composante d’un dispositif beaucoup plus large : qualification juridique, gouvernance, données, documentation, supervision et recours.
Plus une sortie influence les droits, l’emploi, la sécurité, l’accès à un service ou une décision difficilement réversible, moins une formation générale peut suffire à elle seule.
Sanctions : éviter la peur comme argument de vente
Il est imprécis de présenter une amende automatique de 15 millions d’euros ou 3 % du chiffre d’affaires comme la sanction spécifique d’une absence de « formation article 4 ». Le risque de non-conformité existe, mais il doit être expliqué avec le texte applicable et avec les autres régimes éventuellement concernés, notamment le RGPD ou les règles relatives aux systèmes à haut risque.
Ce que vous pouvez faire lundi matin
- Demandez aux responsables d’équipe quels outils IA sont utilisés, y compris sans déploiement officiel.
- Reliez chaque outil à une tâche et à une personne responsable du résultat.
- Identifiez les données introduites et les personnes susceptibles d’être affectées.
- Classez les usages : assistance faible enjeu, usage métier régulier, décision sensible, conception ou administration.
- Écrivez trois règles immédiates : données interdites, validation humaine attendue et canal de signalement.
- Choisissez un socle commun, puis des exercices propres aux usages réguliers.
- Conservez la date, les participants, les supports, les décisions et la prochaine revue.
PASSER DU TEXTE À VOTRE SITUATION
Quels usages devez-vous réellement encadrer ?
Le diagnostic COLNEM part de vos outils, de vos tâches et des personnes concernées. Le dossier restera indiqué comme point de départ, mais vous garderez la main sur chaque réponse.
Demander un échangeSources primaires et date de vérification
- EUR-Lex — texte modificatif, article 4
- Commission européenne — AI talent, skills and literacy
- Commission européenne — questions et réponses sur la maîtrise de l’IA
- CNIL — IA : professionnels, comment se mettre en conformité ?
- Legifrance — Code du travail, article L6321-1
- Legifrance — Code du travail, article L2312-8
Sources vérifiées le 23 septembre 2026. Ce dossier fournit une information générale et une méthode de travail ; il ne constitue pas un conseil juridique adapté à une situation particulière.