Article 4 AI Act : former ses équipes à la maîtrise de l'IA, en pratique

L'essentiel en 30 secondes

• L'Article 4 du règlement (UE) 2024/1689 demande aux fournisseurs et aux déployeurs de prendre des mesures pour favoriser la maîtrise de l'IA de leur personnel et des personnes qui utilisent des systèmes d'IA pour leur compte. Il s'applique depuis le 2 février 2025.
• Il vise tous les systèmes d'IA utilisés par la PME, pas seulement ceux à haut risque, et n'exige pas de garantir un niveau donné pour chaque personne.
• Aucun format, aucune durée et aucune certification ne sont imposés : les mesures s'adaptent au rôle (fournisseur ou déployeur), aux risques des systèmes et aux profils concernés. Selon la Commission, se limiter à la notice d'utilisation est souvent peu efficace.
• Les autorités nationales de surveillance du marché supervisent l'Article 4 à partir du 2 août 2026. Il ne figure pas dans les plafonds de l'Article 99(3) à (5) : les sanctions relèvent du droit national (Art. 99(1)).
• Garder une trace (diagnostic, plan, registre des actions) permet de documenter la démarche : la Commission précise qu'aucun certificat n'est nécessaire.

L'Article 4 de l'AI Act oblige les fournisseurs et les déployeurs à prendre des mesures pour favoriser la maîtrise de l'IA de leur personnel, depuis le 2 février 2025. Il ne fixe ni format, ni durée, ni certification : les mesures sont adaptées aux rôles, aux outils utilisés et aux risques. Une PME peut s'appuyer sur l'inventaire de ses outils d'IA, une charte d'usage, des sessions ciblées et un registre simple.

1. Comprendre les obligations de l'Article 4 de l'AI Act

L'Article 4 du Règlement (UE) 2024/1689 est court. Il demande aux fournisseurs et aux déployeurs de systèmes d'IA de prendre des mesures pour favoriser la maîtrise de l'IA de leur personnel et des autres personnes qui s'occupent du fonctionnement et de l'utilisation de ces systèmes pour leur compte. Le règlement (UE) 2026/1744 (« Omnibus IA ») a reformulé l'article : l'obligation n'exige pas de garantir un niveau donné de maîtrise de l'IA pour chaque personne.

Le texte précise les critères à prendre en compte : connaissances techniques, expérience, éducation et formation des personnes concernées, contexte d'utilisation des systèmes, et personnes ou groupes à l'égard desquels ces systèmes sont utilisés.

La « maîtrise de l'IA » est définie à l'Article 3, point 56. Elle couvre les compétences, connaissances et compréhension nécessaires pour déployer l'IA en connaissance de cause, et pour prendre conscience de ses possibilités, de ses risques et des préjudices qu'elle peut causer.

Les États membres et la Commission soutiennent les efforts des fournisseurs et des déployeurs, en particulier des PME. La Commission doit publier des exemples pratiques de mise en conformité sur la plateforme d'information unique (Art. 4(2)), et le Comité IA adopte des recommandations (Art. 4(3)).

Qui est concerné

Une PME qui utilise un chatbot client, un outil de tri de CV, un assistant de rédaction ou un modèle de scoring est un déployeur au sens de l'Article 3, point 4. Elle entre dans le champ de l'Article 4, quel que soit le niveau de risque du système. Les « autres personnes » visées par le texte ne sont pas seulement des salariés : la Commission cite par exemple des prestataires placés sous la responsabilité de l'organisation. Le guide AI Act PME France détaille la qualification de déployeur.

Trois dates à distinguer

Date	Ce qui change	Base juridique
2 février 2025	Entrée en application de l'Article 4 (et de l'Article 5, pratiques interdites)	Art. 113, point a
2 août 2026	Les autorités nationales de surveillance du marché supervisent et appliquent les règles, dont l'Article 4	Questions-réponses de la Commission européenne sur la maîtrise de l'IA
2 décembre 2027	Obligations relatives aux systèmes à haut risque de l'Annexe III (report par le règlement (UE) 2026/1744)	Art. 113 modifié

L'obligation de prendre des mesures s'applique depuis février 2025. Depuis août 2026, elle est assortie d'un contrôle par les autorités nationales de surveillance du marché. Une PME qui n'a rien documenté a intérêt à commencer par un diagnostic. Le calendrier de l'AI Act récapitule toutes les échéances.

Ce que le texte n'impose pas

Le règlement ne fixe aucun format de formation, aucune durée minimale, aucune certification. Dans ses questions-réponses sur la maîtrise de l'IA, la Commission européenne précise qu'aucun certificat n'est nécessaire, qu'aucune structure de gouvernance n'est imposée et qu'il n'existe pas d'obligation de mesurer le niveau de connaissance des salariés. Elle note aussi que se limiter à la notice d'utilisation est souvent peu efficace. Les mesures doivent donc être adaptées au contexte, et il est utile de garder une trace interne des actions menées.

2. Évaluer les compétences actuelles de l'équipe

La formation doit partir d'un état des lieux. Sans diagnostic, une PME forme soit trop (coût inutile), soit à côté (risque non couvert).

Inventorier les systèmes d'IA en usage

Commencez par le périmètre technique. Listez chaque outil intégrant de l'IA, y compris ceux adoptés sans validation de la direction : générateurs de texte, extensions de navigateur, fonctions IA intégrées aux suites bureautiques, outils RH, CRM avec scoring automatique.

Pour chaque outil, notez :

• la finalité d'usage ;
• les personnes qui l'utilisent ;
• les données traitées (personnelles, sensibles, confidentielles) ;
• la nature des décisions influencées (recrutement, crédit, relation client, production).

Cartographier les niveaux de compétence

Croisez cet inventaire avec les profils concernés. Trois niveaux suffisent en général pour une PME de 10 à 250 salariés.

Niveau	Profil type	Compétences attendues
Utilisateur	Commercial, assistant, chargé de clientèle utilisant un outil IA	Comprendre les limites de l'outil, repérer une erreur, savoir quand ne pas l'utiliser, protéger les données saisies
Responsable d'usage	Manager métier, chef de projet, DPO	Qualifier le risque, définir les règles d'usage, superviser les sorties, gérer un incident
Décideur	Dirigeant, DSI, RSSI, IA Lead	Connaître les obligations AI Act et RGPD, arbitrer l'achat d'un système, engager la responsabilité de l'entreprise

Identifier les écarts

Un questionnaire d'auto-évaluation de dix à quinze questions par niveau suffit pour un premier passage. Il permet de repérer des lacunes, par exemple la confusion entre « outil qui fonctionne » et « outil fiable », ou l'ignorance des règles de saisie de données personnelles dans les outils grand public. Ces points relèvent de l'Article 4 et du RGPD.

Priorisez ensuite selon le risque. Une équipe RH qui utilise un outil de présélection de candidatures passe avant l'équipe marketing qui génère des visuels.

3. Concevoir un plan de formation adapté

Fixer des objectifs pédagogiques vérifiables

Un objectif du type « sensibiliser à l'IA » ne se mesure pas. Un objectif du type « chaque utilisateur sait identifier les trois catégories de données qu'il ne doit jamais saisir dans un outil IA externe » se mesure.

Alignez chaque objectif sur une exigence du règlement ou du RGPD :

1. Connaître les pratiques interdites de l'Article 5 (en vigueur depuis le 2 février 2025) et savoir les reconnaître.
2. Appliquer les obligations de transparence de l'Article 50, en vigueur depuis le 2 août 2026, pour les chatbots et contenus générés.
3. Appliquer les règles de traitement des données personnelles issues des fiches pratiques IA de la CNIL.
4. Savoir remonter un incident ou un comportement anormal du système.

Choisir les formats

Format	Avantages	Limites	Adapté pour
Présentiel court (2 h)	Interaction, cas concrets de l'entreprise	Mobilisation simultanée, coût d'animation	Responsables d'usage, décideurs
Module en ligne asynchrone	Traçabilité automatique, déploiement rapide	Faible engagement si trop générique	Utilisateurs, socle commun
Atelier pratique sur les outils réels	Ancrage immédiat, détection des mauvaises pratiques	Nécessite un animateur qui connaît l'outil	Équipes métier à risque (RH, finance, service client)
Mixte	Combine socle en ligne et approfondissement ciblé	Coordination à organiser	PME de 50 à 250 salariés

Intégrer les trois familles de risque

Le contenu doit couvrir, à des degrés variables selon le niveau :

• Risques techniques : erreurs factuelles, biais des données d'entraînement, dérive des performances, dépendance à un fournisseur.
• Risques juridiques : AI Act (Art. 4, Art. 5, Art. 50), RGPD (base légale, minimisation, droits des personnes), propriété intellectuelle, secret des affaires.
• Risques éthiques et humains : discrimination, surveillance des salariés, perte de supervision humaine, effet d'automatisation.

Les définitions des termes employés sont regroupées dans le glossaire regulia, utile comme support de formation pour les profils non techniques.

Pour un système à haut risque, l'Article 26(2) ajoute une exigence : la supervision humaine est confiée à des personnes disposant de la compétence, de la formation et de l'autorité nécessaires. Voir l'Article 14 et la supervision humaine et les obligations du déployeur de l'Article 26.

4. S'inspirer des ressources disponibles

Une PME n'a pas besoin de concevoir ses contenus à partir de zéro. Plusieurs sources publiques ou normatives couvrent l'essentiel.

Les fiches pratiques IA de la CNIL

La CNIL publie des fiches pratiques consacrées au développement et à l'usage de l'IA dans le respect du RGPD. Elles abordent notamment la finalité, la base légale, la minimisation des données, l'information des personnes et l'exercice des droits. Elles constituent un support utilisable pour la partie « données personnelles » d'une formation Article 4.

Les ressources de la Commission européenne

La Commission européenne publie des questions-réponses sur la maîtrise de l'IA (Art. 4) : étapes minimales à envisager, absence de certificat obligatoire, tenue d'un registre interne des actions. L'AI Office tient aussi un répertoire de pratiques de maîtrise de l'IA ; reproduire ces pratiques ne vaut pas présomption de conformité. Le service desk de l'AI Act (ai-act-service-desk.ec.europa.eu) est le point d'entrée pour les questions d'application.

La norme ISO/IEC 42001:2023

ISO/IEC 42001:2023 définit un système de management de l'IA. Ses clauses 7.2 (compétence) et 7.3 (sensibilisation) portent sur le personnel. C'est une norme volontaire : elle ne donne pas de présomption de conformité à l'AI Act, mais peut servir de trame pour organiser la preuve et préparer un éventuel projet de certification. La norme est payante.

Ressource	Coût	Couvre	Usage recommandé
Fiches pratiques IA CNIL	Gratuit	RGPD appliqué à l'IA	Module « données personnelles »
Questions-réponses de la Commission sur la maîtrise de l'IA	Gratuit	Étapes minimales, documentation, application de l'Article 4	Cadrer le plan et la preuve
Service desk AI Act (Commission)	Gratuit	Information officielle sur l'application du règlement	Réponses aux questions juridiques internes
ISO/IEC 42001:2023	Payant (achat de la norme)	Gouvernance, compétence, sensibilisation	Structuration du plan et de la preuve

Les références utilisées sont regroupées sur la page Sources.

5. Implémenter et suivre la formation

Cadencer les sessions

Une session unique ne suffit pas. Les outils changent, les usages se déplacent, les personnes arrivent et partent. Un rythme possible pour une PME :

1. Socle initial : module commun à tout le personnel exposé à l'IA, dans les trois mois suivant le diagnostic.
2. Approfondissement ciblé : ateliers par équipe à risque dans les six mois.
3. Intégration des nouveaux entrants : module socle dans le parcours d'onboarding.
4. Rafraîchissement annuel : mise à jour réglementaire et retour sur les incidents de l'année.

Évaluer les acquis

L'évaluation des acquis n'est pas exigée par le règlement, mais une évaluation simple aide à vérifier que les mesures produisent un effet. Trois méthodes sont compatibles avec les moyens d'une PME :

• Quiz de fin de module : dix questions, seuil de réussite fixé à l'avance, résultats archivés.
• Mise en situation : présenter une sortie d'IA erronée ou un cas de saisie de données interdites ; observer la réaction.
• Revue de pratique : vérifier sur un échantillon d'usages réels que les règles enseignées sont appliquées.

Suivre dans la durée

Désignez un responsable du suivi. Dans une PME, cela peut être le DPO, le RSSI ou l'IA Lead. Sa mission : tenir le registre, déclencher les rafraîchissements, faire remonter les écarts constatés à la direction.

6. Documenter et prouver la formation

L'Article 4 ne prescrit pas de document type. Mais en cas de contrôle, de litige ou de question d'un client, la PME gagne à pouvoir démontrer qu'elle a pris des mesures adaptées à son contexte. Sans trace, cette démonstration est impossible.

Le registre de formation

Le registre doit permettre de répondre, pour chaque personne exposée à l'IA, aux questions : quoi, quand, par qui, avec quel résultat.

Champ	Contenu
Identifiant de session	Titre, date, durée, format
Contenu	Objectifs pédagogiques, articles AI Act et RGPD couverts, supports utilisés
Participants	Nom, fonction, niveau (utilisateur, responsable, décideur)
Évaluation	Méthode, seuil, résultat individuel
Formateur	Interne ou externe, qualification
Suivi	Date du prochain rafraîchissement, actions correctives

Les pièces à conserver

• Supports de formation, versionnés et datés.
• Attestations de participation signées ou horodatées par la plateforme.
• Résultats des évaluations.
• Diagnostic initial et cartographie des systèmes d'IA.
• Décision de la direction validant le plan.

Le règlement ne fixe pas de durée de conservation pour ces documents. Une durée de cinq ans, alignée sur la prescription civile de droit commun, est une pratique prudente. Vérifiez la cohérence avec votre politique de conservation RGPD, car le registre contient des données personnelles de salariés.

Se préparer à un contrôle

Selon la Commission, les autorités nationales de surveillance du marché supervisent l'Article 4 à partir du 2 août 2026. En France, la désignation des autorités est à vérifier : la page de la Direction générale des Entreprises du 9 septembre 2025 présente un schéma soumis à l'adoption d'un projet de loi. Pour les traitements de données personnelles, la CNIL reste compétente au titre du RGPD. Un registre à jour, un diagnostic et des supports datés permettent de répondre aux questions d'une autorité ou d'un client.

7. Éviter les pièges courants

Se limiter à une charte ou à la notice d'utilisation

Un courriel de rappel ou une charte signée sans explication est une mesure faible. Le règlement demande des mesures adaptées au contexte : sensibilisation, règles d'usage, formation selon les rôles. La Commission relève que s'en remettre à la notice d'utilisation est souvent peu efficace. Mieux vaut des mesures concrètes et documentées qu'un simple rappel.

Former sans cas pratiques

Une présentation générale de l'AI Act ne modifie pas les comportements. Les formations efficaces partent des outils réellement utilisés dans l'entreprise et des erreurs réellement commises. Un atelier de trente minutes sur « ce que vous avez saisi dans le générateur de texte la semaine dernière » vaut plus qu'une heure de théorie.

Négliger les profils non techniques

Limiter les mesures à l'équipe informatique laisse de côté les équipes qui saisissent les données, interprètent les sorties et prennent les décisions : RH, commerciales, administratives. L'Article 4 vise le personnel et les autres personnes qui s'occupent du fonctionnement et de l'utilisation des systèmes pour le compte de l'entreprise. Le dirigeant lui-même en fait partie.

Ignorer les usages non déclarés

Les outils adoptés individuellement, sans validation, échappent au diagnostic et donc aux mesures. Le plan doit prévoir une procédure simple de déclaration des nouveaux usages et un rappel régulier de cette procédure : voir comment maîtriser la shadow IA.

Sous-estimer le risque indirect

L'absence d'amende dédiée dans l'Article 99 ne signifie pas absence de risque. Une fuite de données via un outil IA, une décision RH discriminatoire ou un contenu trompeur diffusé sans mention de génération peuvent engager la responsabilité de l'entreprise au titre du RGPD, du droit du travail ou du droit de la consommation. Les mesures de l'Article 4 réduisent ces scénarios. Le détail des plafonds de sanction est traité dans l'article consacré aux sanctions AI Act pour les PME.

8. Optimiser le retour sur investissement

Relier les mesures aux objectifs de l'entreprise

Des mesures conçues uniquement comme une contrainte réglementaire produisent un coût. Conçues comme un levier, elles peuvent aussi viser :

• des salariés qui utilisent l'IA de manière plus sûre ;
• moins d'incidents de données et de reprises de travail ;
• des réponses prêtes lorsqu'un client interroge l'entreprise sur sa conformité AI Act ;
• une base pour une démarche ISO/IEC 42001:2023 si le marché l'exige.

Mesurer l'impact

Quelques indicateurs suffisent pour une PME :

Indicateur	Avant les mesures	Après les mesures	Fréquence de mesure
Nombre d'incidents liés à un usage d'IA (données, erreur, réclamation)	À relever	À relever	Trimestrielle
Taux de réussite aux évaluations	Sans objet	Cible fixée	Par session
Part du personnel exposé ayant suivi les mesures	À relever	Cible fixée	Semestrielle
Nombre d'usages IA déclarés	À relever	À relever	Trimestrielle

Mutualiser entre PME

Les fédérations professionnelles, clubs d'entreprises et réseaux de DPO organisent des retours d'expérience. Partager un support de formation ou une grille d'évaluation entre PME d'un même secteur peut réduire le coût et améliorer la pertinence.

FAQ

Quelles sont les sanctions pour ne pas former ses équipes à l'IA ?

L'Article 99 du Règlement (UE) 2024/1689 fixe trois plafonds : 7 % du chiffre d'affaires mondial pour les pratiques interdites de l'Article 5, 3 % pour une liste d'obligations énumérées au paragraphe 4, et 1 % pour la fourniture d'informations inexactes aux autorités. L'Article 4 ne figure pas dans cette liste. Selon les questions-réponses de la Commission, les autorités nationales de surveillance du marché peuvent sanctionner un manquement à l'Article 4 sur la base du droit national, que chaque État membre fixe en application de l'Article 99(1) ; toute sanction doit être proportionnée. Le risque indirect existe aussi : un manquement RGPD lié à un usage d'IA expose aux sanctions de la CNIL, et un incident dû à un défaut d'accompagnement des équipes peut engager la responsabilité de l'entreprise. Le détail est traité dans l'article sanctions AI Act pour les PME.

Dois-je former toute mon équipe ou seulement les responsables techniques ?

Les mesures visent le personnel et les autres personnes qui s'occupent du fonctionnement et de l'utilisation des systèmes d'IA pour le compte de l'entreprise (selon la Commission, par exemple des prestataires). Toute personne qui utilise un outil d'IA, interprète ses sorties ou décide de son déploiement est concernée. Les mesures sont adaptées aux connaissances, à l'expérience et à la formation de chaque profil ainsi qu'au contexte d'usage : un utilisateur occasionnel n'a pas besoin des mêmes mesures qu'un DPO ou un dirigeant. Le règlement n'exige pas de garantir un niveau donné pour chaque personne.

Quelles ressources gratuites puis-je utiliser pour former mon équipe ?

Les fiches pratiques IA de la CNIL couvrent le volet RGPD. La Commission européenne publie des questions-réponses sur la maîtrise de l'IA et tient un service desk dédié au règlement. Le glossaire regulia définit les termes du règlement. La norme ISO/IEC 42001:2023 est payante ; elle est volontaire et ne donne pas de présomption de conformité.

Combien de temps faut-il pour mettre en place une formation conforme ?

Aucune durée n'est fixée par le règlement. Le délai dépend de la taille de l'équipe, du nombre d'outils d'IA et du niveau initial. Une séquence possible : diagnostic des usages et des compétences, conception du plan, premières sessions, puis suivi continu sur un rythme annuel.

Comment documenter les mesures prises pour l'Article 4 ?

Tenez un registre indiquant, pour chaque session ou action : date, format, contenu, participants et, le cas échéant, méthode et résultats d'évaluation. Conservez les supports datés et le diagnostic initial. La Commission précise qu'aucun certificat n'est nécessaire et que les organisations peuvent tenir un registre interne des formations ou autres actions. Le règlement ne fixe pas de durée de conservation ; une durée de cinq ans, cohérente avec la prescription civile de droit commun et votre politique RGPD, constitue une pratique prudente. Le guide AI Act PME France présente l'articulation avec les autres obligations documentaires.

Sources officielles

• Règlement (UE) 2026/1744 (« Omnibus IA »), EUR-Lex : https://eur-lex.europa.eu/eli/reg/2026/1744/oj/fra
• Règlement (UE) 2024/1689 (AI Act), texte officiel sur EUR-Lex : https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX%3A32024R1689 — Article 3 (définitions), Article 4 (maîtrise de l'IA), Article 99 (sanctions), Article 113 (entrée en application).
• Service desk AI Act de la Commission européenne : https://ai-act-service-desk.ec.europa.eu
• Commission européenne, questions-réponses sur la maîtrise de l'IA (Article 4) : https://digital-strategy.ec.europa.eu/en/faqs/ai-literacy-questions-answers
• ISO/IEC 42001:2023, Systèmes de management de l'intelligence artificielle (norme payante)
• CNIL, fiches pratiques IA : https://www.cnil.fr/fr/les-fiches-pratiques-ia
• Texte annoté et outils de lecture : https://artificialintelligenceact.eu
• Références complémentaires utilisées par regulia : page sources

Cet article fournit des informations générales sur l'EU AI Act applicables aux PME françaises. Il ne constitue pas un conseil juridique. Pour toute décision opérationnelle, faites valider votre démarche par votre DPO ou conseil juridique. regulia décline toute responsabilité quant à l'usage qui peut être fait de ces informations.