AI Act article 4 : formation obligatoire à l'IA, ce que l'entreprise doit faire

Que dit exactement l'article 4 ?

Dans sa version en vigueur depuis le 27 juillet 2026, l'article 4, intitulé « Maîtrise de l'IA », comporte trois paragraphes. Le premier, seul à viser les entreprises, dispose que les fournisseurs et les déployeurs de systèmes d'IA « prennent des mesures pour favoriser le développement de la maîtrise de l'IA par leur personnel et les autres personnes s'occupant du fonctionnement et de l'utilisation des systèmes d'IA pour leur compte ». Ces mesures tiennent compte des connaissances techniques, de l'expérience, de l'éducation et de la formation des personnes, du contexte d'utilisation et des personnes sur lesquelles les systèmes sont utilisés.

Le même paragraphe précise : « Cette obligation ne contraint pas les fournisseurs ou les déployeurs à garantir un niveau spécifique de maîtrise de l'IA par un individu. » Les paragraphes 2 et 3 s'adressent à la Commission, aux États membres et au Comité européen de l'IA, chargés de soutenir les entreprises (en particulier les PME) et de publier des exemples pratiques.

Qu'a changé l'omnibus numérique de 2026 ?

La version initiale de 2024 demandait de prendre des mesures pour « garantir, dans toute la mesure du possible, un niveau suffisant de maîtrise de l'IA ». La Commission européenne a proposé une simplification le 19 novembre 2025 (« omnibus numérique sur l'IA »). Sa proposition confiait la promotion de la maîtrise de l'IA à la Commission et aux États membres. Le texte finalement adopté maintient une obligation à la charge des entreprises, mais la reformule.

	Version initiale (2 février 2025 au 26 juillet 2026)	Version modifiée (depuis le 27 juillet 2026)
Formule	Mesures pour « garantir […] un niveau suffisant » de maîtrise	Mesures pour « favoriser le développement » de la maîtrise
Nature	Obligation proche d'une obligation de résultat	Obligation de moyens
Niveau individuel	Niveau « suffisant », non défini	Aucun niveau spécifique exigé
Soutien public	Non prévu par l'article	Commission et États membres, priorité aux PME

Le règlement (UE) 2026/1744, signé le 8 juillet 2026, a été publié au Journal officiel le 24 juillet 2026. Son considérant 8 justifie la modification par la charge que des obligations strictes faisaient peser sur les petites entreprises.

Qui est concerné ?

L'article 4 vise deux catégories définies à l'article 3 du règlement. Le fournisseur est celui qui développe ou fait développer un système ou un modèle d'IA et le met sur le marché sous son nom. Le déployeur est toute personne physique ou morale, autorité publique ou organisme « utilisant sous sa propre autorité un système d'IA », sauf usage personnel non professionnel.

Une entreprise dont les salariés utilisent un assistant conversationnel, un outil de traduction ou une fonction d'IA intégrée à un logiciel métier est donc déployeur. Le règlement ne prévoit aucun seuil de taille ou de secteur. La Commission européenne confirme dans son questions-réponses qu'une entreprise dont les salariés utilisent ChatGPT doit respecter l'article 4, ne serait-ce qu'en les informant des risques comme les hallucinations.

Les « autres personnes » couvrent les personnes qui agissent sous la responsabilité de l'organisation sans être salariées, par exemple un prestataire ou un sous-traitant, selon la même source.

Que veut dire « maîtrise de l'IA » ?

L'article 3, point 56, définit la maîtrise de l'IA comme « les compétences, les connaissances et la compréhension » qui permettent de déployer des systèmes d'IA en connaissance de cause et de prendre conscience de leurs possibilités, de leurs risques et des préjudices qu'ils peuvent causer.

L'expression « niveau suffisant », au cœur des débats en 2025, n'a jamais été chiffrée par le texte et ne figure plus à l'article 4. Le questions-réponses de la Commission propose une démarche en quatre points plutôt qu'un seuil :

1. assurer une compréhension générale de l'IA dans l'organisation (qu'est-ce que l'IA, comment fonctionne-t-elle, quels outils sont utilisés) ;
2. tenir compte du rôle de l'organisation (fournisseur ou déployeur) ;
3. tenir compte des risques des systèmes utilisés et de ce que le personnel doit savoir pour y faire face ;
4. adapter les actions au niveau de connaissance des personnes et au contexte d'usage, y compris les aspects juridiques et éthiques.

La Commission précise que se contenter de la notice d'utilisation d'un outil ne suffit pas. Pour les systèmes à haut risque, l'article 26, paragraphe 2, reste plus exigeant : le contrôle humain doit être confié à des personnes disposant « des compétences, de la formation et de l'autorité nécessaires ».

Faut-il un nombre minimal d'heures de formation ?

Non. Ni le règlement ni la Commission ne fixent de durée, de programme type ou de certification. Le questions-réponses indique qu'aucune formation obligatoire ni exigence stricte n'est imposée, qu'il n'existe pas de solution unique et que l'article 4 n'oblige pas à mesurer les connaissances des salariés. Les grilles du type « deux heures pour tous, six heures pour les utilisateurs réguliers » qui circulent ne proviennent ni du texte ni de la Commission.

La formation reste la mesure la plus évidente, mais d'autres moyens répondent aussi à l'article 4 : guides d'usage, accompagnement au poste, sessions courtes lors du déploiement d'un nouvel outil.

Comment documenter et prouver les mesures prises ?

La loi n'impose aucun format de preuve. La Commission indique que l'organisation peut tenir un registre interne des formations et autres actions d'accompagnement, et qu'aucun certificat n'est nécessaire. En pratique, un dossier lisible par un tiers repose souvent sur les éléments suivants (bonnes pratiques, non exigences légales) :

• un inventaire des systèmes d'IA utilisés, par service et par usage ;
• l'identification des populations concernées, y compris les prestataires ;
• les mesures retenues pour chaque population et leur justification au regard des risques ;
• la trace des actions réalisées : dates, contenus, participants, supports ;
• des règles d'usage internes (outils autorisés, données à ne pas saisir, vérification humaine des sorties) ;
• une révision périodique, notamment lors de l'arrivée d'un nouvel outil.

La Commission tient un répertoire public de pratiques d'entreprises en matière de maîtrise de l'IA. Elle précise que reproduire ces pratiques ne vaut pas présomption de conformité.

En droit français, deux règles s'ajoutent sans relever de l'AI Act. L'article L6321-1 du Code du travail oblige l'employeur à maintenir la capacité des salariés à occuper un emploi au regard de l'évolution des technologies. Dans les entreprises d'au moins 50 salariés, l'article L2312-8 prévoit l'information et la consultation du CSE sur l'introduction de nouvelles technologies.

Qui contrôle et que risque l'entreprise ?

Le contrôle de l'article 4 relève des autorités nationales de surveillance du marché, et non du Bureau européen de l'IA. Selon la Commission, elles exercent leurs pouvoirs de surveillance et d'exécution à partir du 2 août 2026.

Le montant des sanctions n'est pas fixé au niveau européen pour l'article 4. L'article 99 renvoie aux États membres le soin de définir des sanctions « effectives, proportionnées et dissuasives ». Les plafonds de 15 millions d'euros ou 3 % du chiffre d'affaires mondial (article 99, paragraphe 4) visent une liste d'obligations dont l'article 4 ne fait pas partie. La Commission rappelle aussi que l'AI Act ne crée ni infraction pénale ni droit à indemnisation.

En France, au 10 octobre 2026, les autorités compétentes ne sont pas encore désignées par la loi. Le projet de loi portant diverses dispositions d'adaptation au droit de l'Union européenne, adopté par le Sénat le 18 février 2026, répartit ces missions entre plusieurs autorités, dont la DGCCRF, la CNIL, l'Arcom et l'ACPR. Il est en première lecture à l'Assemblée nationale.

Quel est le calendrier de l'AI Act ?

Date	Ce qui s'applique
1er août 2024	Entrée en vigueur du règlement
2 février 2025	Chapitres I et II : maîtrise de l'IA (article 4) et pratiques interdites (article 5)
2 août 2025	Modèles d'IA à usage général, gouvernance, régime de sanctions
27 juillet 2026	Entrée en vigueur de l'omnibus (règlement (UE) 2026/1744) et nouvelle rédaction de l'article 4
2 août 2026	Application générale, dont les obligations de transparence de l'article 50 ; début de la surveillance nationale
2 décembre 2026	Nouvelles interdictions ajoutées par l'omnibus ; marquage des contenus générés pour les systèmes mis sur le marché avant le 2 août 2026
2 décembre 2027	Systèmes à haut risque de l'annexe III (dont recrutement, gestion du personnel, éducation et formation professionnelle)
2 août 2028	Systèmes à haut risque intégrés à des produits réglementés (annexe I)