Article 4 de l'IA Act : ce que l'obligation de formation à l'IA exige vraiment

Depuis le 2 février 2025, toute entreprise qui utilise un système d'IA a une obligation de formation envers ses équipes. Elle est inscrite à l'article 4 de l'IA Act, le règlement européen sur l'intelligence artificielle, et elle a été réécrite le 27 juillet 2026 par le Digital Omnibus. Entre-temps, le marché s'est rempli d'offres de « certification IA Act » et de formations présentées comme obligatoires, au point qu'il devient difficile de distinguer ce que le texte exige de ce qu'on cherche à vous vendre.

Cet article traite exclusivement de cette obligation. Pour le contexte général (niveaux de risque, calendrier, transparence, sanctions), reportez-vous à notre guide complet de l'IA Act. Ici, une seule question : que devez-vous réellement mettre en place si vos équipes utilisent ChatGPT, Copilot ou Claude tous les jours ?

Ce que dit l'article 4, version en vigueur depuis le 27 juillet 2026

Maîtrise de l'IA, AI literacy, littératie IA, formation IA obligatoire : les termes circulent indifféremment, mais ils ne recouvrent pas tout à fait la même chose.

• Maîtrise de l'IA, c'est le terme officiel de la version française du règlement : les compétences, connaissances et la compréhension qui permettent d'utiliser un système d'IA en connaissance de cause, en mesurant ses possibilités, ses risques et les préjudices qu'il peut causer (article 3, point 56).
• AI literacy, c'est le même concept dans la version anglaise du texte, et le terme que vous croiserez dans les publications de la Commission européenne.
• Littératie IA, c'est la traduction littérale de l'anglais, courante dans la presse et chez les formateurs, sans valeur juridique propre.
• Formation IA obligatoire, c'est un raccourci commercial : le texte parle de mesures pour développer une maîtrise, dont la formation n'est qu'un moyen parmi d'autres.

L'article 4 fait partie du chapitre I du règlement (UE) 2024/1689, dont l'application a devancé le reste du calendrier. L'obligation n'est donc pas « à venir » : elle s'applique depuis le 2 février 2025. Le règlement (UE) 2026/1744 du 8 juillet 2026, dit Digital Omnibus, publié au Journal officiel le 24 juillet et entré en vigueur le 27 juillet 2026, en a remplacé la rédaction sans en reporter l'application.

De l'obligation de résultat à l'obligation de moyens

La version initiale demandait aux fournisseurs et aux déployeurs de prendre des mesures pour « garantir, dans toute la mesure du possible, un niveau suffisant de maîtrise de l'IA » chez leur personnel. La version actuelle leur demande de « prendre des mesures pour favoriser le développement » de cette maîtrise, et ajoute que cette obligation ne les contraint pas « à garantir un niveau spécifique » de maîtrise pour chaque individu.

La bascule est réelle, mais la frontière reste plus nuancée qu'une simple opposition. L'ancienne formule comportait déjà un « dans toute la mesure du possible », et la nouvelle conserve les critères qui rendent l'effort mesurable : les connaissances techniques, l'expérience, l'éducation et la formation des personnes, le contexte d'utilisation des systèmes et les personnes à l'égard desquelles ils sont utilisés. Une mesure symbolique, déconnectée des usages réels, ne suffit pas davantage qu'avant.

Qui est concerné : fournisseurs, déployeurs et « autres personnes »

Le fournisseur développe un système d'IA ou le met sur le marché sous son nom. Le déployeur utilise un système d'IA sous sa propre autorité, sauf pour un usage personnel non professionnel. C'est ce second statut qui concerne l'immense majorité des entreprises : dès que vos collaborateurs utilisent un assistant conversationnel, un outil de transcription ou une fonction d'IA intégrée à votre CRM dans le cadre de leur travail, votre entreprise est déployeur.

La foire aux questions de la Commission sur la maîtrise de l'IA le confirme sur un exemple très courant : une entreprise dont les salariés utilisent ChatGPT pour rédiger des textes publicitaires doit au minimum les informer des risques propres à l'outil, comme les hallucinations. Le texte vise aussi les autres personnes qui font fonctionner ou utilisent les systèmes pour le compte de l'entreprise : prestataires, intérimaires, sous-traitants.

Encore faut-il savoir où l'IA est utilisée. Dans beaucoup d'organisations, une partie des usages passe par des comptes personnels, ce qu'on appelle le Shadow AI. On ne forme pas des équipes à des usages qu'on ignore : la cartographie vient toujours en premier.

Ce que l'article 4 n'impose pas

Pas de certification, pas de durée minimale, pas de programme officiel

Le texte ne fixe ni nombre d'heures, ni contenu type, ni diplôme. La FAQ de la Commission est explicite sur trois points que le marché de la formation laisse souvent dans l'ombre :

• Pas d'obligation de mesurer : l'article 4 n'impose pas de tester le niveau de connaissance des salariés.
• Pas de certificat : un registre interne des formations et des actions d'accompagnement suffit.
• Pas de gouvernance imposée : aucune structure spécifique n'est exigée, ni référent IA désigné, ni comité dédié.

Une « certification article 4 » n'a donc aucune valeur réglementaire particulière. Une formation certifiante peut avoir d'autres intérêts (reconnaissance, financement, montée en compétence durable), mais elle ne vous rend pas plus conforme qu'un dispositif interne bien conçu et bien documenté. Le nouvel article 4 prévoit d'ailleurs que la Commission publie des exemples pratiques de mise en conformité, pour aider en particulier les PME.

Pas d'amende autonome, mais un facteur aggravant

L'article 99, qui fixe les plafonds d'amendes, ne mentionne pas l'article 4 : ses paliers visent les pratiques interdites, une liste d'obligations des opérateurs dont la transparence, et les informations inexactes fournies aux autorités. Il n'existe donc pas de plafond européen propre au défaut de formation.

Cela ne veut pas dire que le sujet est sans conséquence. Selon la Commission, les autorités nationales de surveillance du marché supervisent l'article 4 depuis le 2 août 2026 et peuvent prendre des sanctions ou d'autres mesures, dans le cadre fixé par chaque État membre. Surtout, lorsqu'un autre manquement est examiné, l'article 99 demande de tenir compte du degré de responsabilité de l'opérateur au regard des mesures techniques et organisationnelles qu'il a mises en œuvre. Un contenu trompeur publié par un salarié jamais informé des risques pèsera plus lourd qu'une erreur survenue malgré un dispositif sérieux.

Les cinq éléments d'un socle de conformité

Puisque le texte n'impose pas de programme, la question devient : qu'est-ce qu'un dispositif « sérieux et adapté » ? En pratique, cinq éléments forment un socle défendable, que vous pouvez dimensionner selon votre taille et vos usages.

Sensibilisation générale

C'est le minimum pour toute personne qui utilise un outil d'IA dans son travail : comprendre comment fonctionne un modèle de langage, pourquoi il peut inventer une information avec aplomb, où partent les données saisies, et ce que l'entreprise attend de chacun. Une demi-journée, ancrée dans les outils réellement utilisés et faite d'exercices pratiques, couvre l'essentiel. C'est précisément l'objet du format IA Acculturation.

Sur le terrain, l'ordre compte autant que le contenu. Une responsable formation d'une PME du secteur de la santé nous expliquait vouloir commencer par ses cadres dirigeants, pour qu'ils soient convaincus avant de porter le sujet auprès des équipes, plutôt que de tout lancer en même temps au risque de disperser les efforts. C'est souvent le bon réflexe : une sensibilisation qui arrive sans signal de la direction est vite oubliée.

Charte d'usage ou règles internes

La charte transforme la sensibilisation en règles opposables. Une à deux pages suffisent si elles répondent clairement à quatre questions : quels outils sont autorisés (et avec quel type de compte), quels usages sont exclus, quand une relecture humaine est obligatoire, et à qui s'adresser en cas de doute. Une charte rangée dans un intranet que personne n'ouvre ne vaut rien : elle doit être présentée, expliquée, et sa version datée.

Consignes données personnelles et confidentialité

C'est le point où l'article 4 rejoint le RGPD et le secret des affaires. Les consignes doivent être concrètes : pas de données clients nominatives dans un outil grand public, pas de documents contractuels ou financiers sans outil validé, pas de données de santé, et une règle claire sur les comptes personnels. Le dirigeant d'un cabinet de conseil financier le résumait ainsi lors d'un échange avec nos équipes : « Nous, on traite quand même des données ultra confidentielles pour nos clients. » Pour ce type d'activité, les consignes données ne sont pas un chapitre de la charte, elles en sont le cœur.

Formation renforcée pour les métiers exposés

Le texte demande de tenir compte du contexte d'utilisation et des personnes concernées. Certaines fonctions appellent donc davantage qu'une sensibilisation : les RH (recrutement, évaluation), le juridique, la finance, la relation client, le marketing qui publie des contenus générés. Les usages RH méritent une attention particulière, puisque l'IA appliquée au recrutement relève du haut risque, dont les obligations arrivent en décembre 2027. Sur ce volet, notre article consacré à la formation IA pour les RH détaille les erreurs à éviter et les formats qui fonctionnent.

Preuve documentée des actions

Puisque l'obligation porte sur des mesures, c'est leur traçabilité qui fait la différence en cas de question. Un tableur suffit : qui a été sensibilisé ou formé, quand, avec quel contenu, quelle version de la charte a été diffusée et à quelle date. Aucun test de connaissances n'est exigé, mais un court questionnaire en fin de session reste un bon indicateur pour ajuster le dispositif. Pensez enfin à prévoir une date de revue : chaque nouvel outil déployé est une occasion de mettre le registre à jour.

Comment dimensionner la formation selon la taille de l'entreprise

Le principe de proportionnalité est l'esprit même de la réécriture : le considérant qui l'accompagne explique que des obligations rigides alourdiraient la charge, notamment pour les petites entreprises. Une TPE de cinq personnes et un groupe de 500 salariés n'ont pas le même dispositif à mettre en place, et c'est normal.

TPE et PME : le format proportionné

Pour une petite structure, le socle tient en peu de choses : une session de sensibilisation commune, une charte d'une page avec la liste des outils autorisés, des consignes données explicites, et un tableau de suivi. Le dirigeant porte le sujet lui-même. La formation renforcée se concentre sur les une ou deux personnes dont l'usage de l'IA a un impact direct sur les clients ou sur des décisions. L'ensemble peut se mettre en place en quelques semaines, sans structure dédiée.

ETI et grands groupes : gouvernance et rôles

Au-delà de 250 collaborateurs, la difficulté n'est plus le contenu mais la coordination. Les usages diffèrent selon les directions, les outils se multiplient, et la formation doit s'intégrer au plan de développement des compétences. Aucune structure n'est imposée, mais un trio RH, DSI et délégué à la protection des données, avec des relais dans chaque direction, évite que le sujet reste orphelin. Les parcours se construisent alors par métier et par niveau d'exposition, avec un registre centralisé.

Par où commencer : plan d'action en quatre semaines

Quatre semaines suffisent pour passer d'une situation floue à un socle documenté. L'ordre compte : chaque étape s'appuie sur la précédente.

• Semaine 1, cartographier : listez les outils d'IA utilisés, par qui et pour quoi faire, y compris les comptes personnels. Si vous partez de zéro, le format Starter IA part de cet état des lieux, en atelier d'une demi-journée, pour prioriser vos cas d'usage.
• Semaine 2, cadrer : rédigez la charte d'usage et les consignes données à partir de cette cartographie, puis validez-les avec la direction.
• Semaine 3, former : déployez la sensibilisation générale, puis la formation renforcée des métiers exposés identifiés en semaine 1.
• Semaine 4, documenter : consolidez le registre, archivez les versions et fixez une date de revue, idéalement à chaque nouveau déploiement d'outil.

Pour la première étape, la vidéo ci-dessous montre comment construire un registre de vos usages d'IA en une demi-heure, avec les questions à se poser pour chaque ligne.

Se faire accompagner par Alegria.group

Une session de sensibilisation ne suffit pas à enclencher un changement durable, et l'article 4 ne demande d'ailleurs pas une case cochée, mais une maîtrise qui progresse. Alegria.group accompagne les entreprises avec une approche qui combine conseil, formation et exécution : plus de 600 entreprises accompagnées et plus de 14 700 personnes formées à l'IA, au NoCode et aux automatisations. Notre formation IA en entreprise couvre l'ensemble du socle, de la sensibilisation aux parcours par métier, et chaque session vient alimenter votre registre.

Vos équipes utilisent déjà l'IA et vous voulez un dispositif proportionné, documenté et utile ? Découvrez nos formations IA pour les entreprises.

Et si vous souhaitez vous former à titre individuel, pour prendre de l'avance dans votre poste ou porter le sujet dans votre entreprise, les formations IA d'Alegria.academy sont accessibles aux particuliers.