AI Act article 4 : ce que votre entreprise doit avoir mis en place en matière de formation IA
L'article 4 du règlement européen sur l'intelligence artificielle (Règlement UE 2024/1689, dit AI Act) est entré en application le 2 février 2025. Il impose aux fournisseurs et aux déployeurs de systèmes d'IA de prendre les mesures nécessaires pour assurer un niveau suffisant de maîtrise de l'IA parmi leur personnel. Cette obligation s'applique sans seuil de taille : une PME de cinq salariés utilisant ChatGPT dans un cadre professionnel est concernée au même titre qu'un grand groupe industriel. Les autorités nationales, dont la CNIL en France, peuvent contrôler et sanctionner depuis le 2 août 2026.
Qui est concerné ?
Le règlement distingue les fournisseurs (ceux qui développent ou mettent sur le marché des systèmes d'IA) et les déployeurs (ceux qui utilisent des systèmes d'IA dans un contexte professionnel). L'article 4 s'adresse aux deux catégories.
La notion de déployeur est volontairement large. Elle couvre tout usage professionnel d'un système d'IA, y compris l'utilisation d'outils grand public comme Copilot, Claude, ChatGPT ou Gemini dans le cadre du travail. Une agence de communication qui génère des visuels avec un outil d'IA, un cabinet comptable qui utilise un assistant de rédaction, ou un service RH qui utilise un outil de tri de CV alimenté par l'IA entrent tous dans le périmètre.
Il n'existe aucun seuil de taille. La Commission européenne a explicitement confirmé ce point dans sa FAQ officielle sur l'AI literacy, publiée en 2025.
Qu'est-ce que l'obligation de littératie IA implique concrètement ?
Le texte de l'article 4 parle de "mesures appropriées tenant compte du contexte de déploiement". Il ne prescrit pas un format précis de formation ni un nombre d'heures minimum. Ce qui est attendu, c'est une démarche proportionnée au rôle et au risque.
La Commission européenne a publié en septembre 2025 un guide d'orientation qui structure le niveau attendu selon trois profils.
L'utilisateur occasionnel (assistant de rédaction d'e-mails, utilisation ponctuelle d'un chatbot) : une sensibilisation de 1 à 2 heures couvrant les principes de fonctionnement des modèles de langage, la notion d'hallucination, les données à ne pas saisir dans un LLM public, et les règles d'usage de base.
L'utilisateur régulier (production de contenu, automatisation de tâches, analyse de données via IA) : une formation de 4 à 6 heures, différenciée selon le domaine métier, couvrant également les biais algorithmiques, les risques liés aux données personnelles et la supervision humaine des sorties IA.
Le super-utilisateur ou décisionnaire (déploiement d'un système IA, supervision d'un projet IA, décisions basées sur des sorties IA) : un parcours certifiant, avec des modules spécifiques sur la gouvernance IA, la réglementation applicable et les responsabilités juridiques.
Le calendrier de l'AI Act et la situation en septembre 2026
Le règlement suit un calendrier d'application progressif.
Le 1er août 2024 : entrée en vigueur officielle du règlement.
Le 2 février 2025 : application de l'article 4 (littératie IA) et interdiction des pratiques d'IA inacceptables (article 5).
Le 2 août 2025 : les États membres devaient notifier à la Commission les sanctions nationales qu'ils avaient définies pour les manquements.
Le 2 février 2026 : obligations pour les modèles d'IA à usage général (GPAI).
Le 2 août 2026 : les autorités nationales obtiennent leurs pouvoirs complets de contrôle et de sanction. En France, le gouvernement a soumis en février 2026 un amendement désignant la CNIL comme autorité nationale de supervision de l'AI Act. La CNIL a dès lors des pouvoirs de contrôle et de sanction considérablement étendus.
Le 2 août 2027 : obligations complètes pour tous les systèmes d'IA, y compris ceux à haut risque.
Quelles sanctions ?
L'article 4 lui-même ne fixe pas de sanction propre. En revanche, son non-respect est un facteur aggravant lors de tout contrôle lié à un incident IA. Le régime général de sanctions prévu à l'article 99 du règlement prévoit des amendes administratives pouvant atteindre 15 millions d'euros ou 3 % du chiffre d'affaires annuel mondial, le montant le plus élevé s'appliquant.
Ces plafonds sont ajustés à la baisse pour les PME. Les amendes ne sont pas automatiques et tiennent compte de la nature, de la gravité, de la durée du manquement, du caractère intentionnel ou négligent, et des mesures prises pour atténuer le préjudice.
Un élément important noté par plusieurs juristes : un contrôle RGPD de la CNIL peut à présent s'élargir à la vérification de la conformité AI Act. Les preuves de formation IA peuvent être demandées au même titre que les preuves de conformité RGPD.
Ce que la conformité requiert en pratique
Quatre éléments constituent le minimum attendu lors d'un contrôle.
Un inventaire des usages IA dans l'entreprise : qui utilise quoi, pour quelles tâches, sur quelles données. Ce document sert également pour la classification par niveau de risque.
Une charte d'usage interne des outils IA : outils autorisés, données interdites (données personnelles sensibles, secrets clients, données de santé), obligation de vérification humaine avant publication ou décision, procédure de signalement d'un incident.
Des actions de formation différenciées par profil, documentées et tracées : convocations, programmes, émargements ou attestations de complétion.
Un responsable désigné pour le suivi de la conformité AI Act, même dans les structures de petite taille.
Le rôle du CSE
Pour les entreprises d'au moins 50 salariés, la mise en place d'un système d'IA ayant des impacts significatifs sur les conditions de travail ou la gestion des emplois doit faire l'objet d'une consultation du comité social et économique (CSE). Cette consultation est distincte de l'obligation de formation mais en est complémentaire : un projet de déploiement IA documenté et soumis au CSE démontre une gouvernance sérieuse en cas de contrôle.