Article 4 AI Act : former ses équipes à la maîtrise de l'IA, en pratique

TL;DR — L'essentiel en 30 secondes

• L'Article 4 du Règlement (UE) 2024/1689 impose aux fournisseurs et déployeurs un « niveau suffisant de maîtrise de l'IA » pour leur personnel. L'obligation s'applique depuis le 2 février 2025.
• Depuis le 2 août 2026, les autorités nationales disposent des pouvoirs de surveillance et de sanction prévus par le règlement.
• L'obligation vise tous les systèmes d'IA utilisés par la PME, pas seulement ceux classés à haut risque.
• Le règlement ne fixe ni format, ni durée, ni certification obligatoire : la mesure doit être proportionnée au contexte d'usage.
• L'Article 99 ne prévoit pas d'amende dédiée à l'Article 4 ; les sanctions relèvent du régime national, et le risque indirect (RGPD, responsabilité civile) reste réel.
• La CNIL, le service desk européen de l'AI Act et la norme ISO/IEC 42001:2023 fournissent des repères exploitables sans budget de conseil.

1. Comprendre les obligations de l'Article 4 de l'AI Act

L'Article 4 du Règlement (UE) 2024/1689 est court. Il demande aux fournisseurs et aux déployeurs de systèmes d'IA de prendre des mesures pour garantir, « dans toute la mesure du possible », un « niveau suffisant de maîtrise de l'IA » à leur personnel et aux personnes qui utilisent l'IA pour leur compte.

Le texte précise les critères à prendre en compte : connaissances techniques, expérience, éducation et formation des personnes concernées, contexte d'utilisation des systèmes, et personnes ou groupes à l'égard desquels ces systèmes sont utilisés.

La « maîtrise de l'IA » est définie à l'Article 3, point 56. Elle couvre les compétences, connaissances et compréhension nécessaires pour déployer l'IA en connaissance de cause, et pour prendre conscience de ses possibilités, de ses risques et des préjudices qu'elle peut causer.

Qui est concerné

Une PME qui utilise un chatbot client, un outil de tri de CV, un assistant de rédaction ou un modèle de scoring est un déployeur au sens de l'Article 3, point 4. Elle entre dans le champ de l'Article 4, quel que soit le niveau de risque du système. Le pillar AI Act PME France détaille cette qualification.

Deux dates à distinguer

Date	Ce qui change	Base juridique
2 février 2025	Entrée en application de l'Article 4 (et de l'Article 5, pratiques interdites)	Art. 113, point a
2 août 2026	Entrée en application du chapitre gouvernance et de l'Article 99 sur les sanctions	Art. 113
2 décembre 2027	Obligations relatives aux systèmes à haut risque de l'Annexe III (report par le Digital Omnibus)	Art. 113 modifié

L'obligation de formation existe donc depuis février 2025. Depuis août 2026, elle est assortie d'un dispositif de contrôle opérationnel. Une PME qui n'a rien documenté est en retard, pas en avance.

Ce que le texte n'impose pas

Le règlement ne fixe aucun format de formation, aucune durée minimale, aucune certification. Le service desk de la Commission européenne l'a confirmé dans ses questions-réponses sur la maîtrise de l'IA : l'organisation choisit ses moyens, à condition qu'ils soient adaptés au contexte. La contrepartie de cette souplesse est la charge de la preuve : c'est à la PME de démontrer que ses mesures sont « suffisantes ».

2. Évaluer les compétences actuelles de l'équipe

La formation doit partir d'un état des lieux. Sans diagnostic, une PME forme soit trop (coût inutile), soit à côté (risque non couvert).

Inventorier les systèmes d'IA en usage

Commencez par le périmètre technique. Listez chaque outil intégrant de l'IA, y compris ceux adoptés sans validation de la direction : générateurs de texte, extensions de navigateur, fonctions IA intégrées aux suites bureautiques, outils RH, CRM avec scoring automatique.

Pour chaque outil, notez :

• la finalité d'usage ;
• les personnes qui l'utilisent ;
• les données traitées (personnelles, sensibles, confidentielles) ;
• la nature des décisions influencées (recrutement, crédit, relation client, production).

Cartographier les niveaux de compétence

Croisez cet inventaire avec les profils concernés. Trois niveaux suffisent en général pour une PME de 10 à 250 salariés.

Niveau	Profil type	Compétences attendues
Utilisateur	Commercial, assistant, chargé de clientèle utilisant un outil IA	Comprendre les limites de l'outil, repérer une erreur, savoir quand ne pas l'utiliser, protéger les données saisies
Responsable d'usage	Manager métier, chef de projet, DPO	Qualifier le risque, définir les règles d'usage, superviser les sorties, gérer un incident
Décideur	Dirigeant, DSI, RSSI, IA Lead	Connaître les obligations AI Act et RGPD, arbitrer l'achat d'un système, engager la responsabilité de l'entreprise

Identifier les écarts

Un questionnaire d'auto-évaluation de dix à quinze questions par niveau suffit pour un premier passage. Il révèle en général deux lacunes récurrentes : la confusion entre « outil qui fonctionne » et « outil fiable », et l'ignorance des règles de saisie de données personnelles dans les outils grand public. Ces deux points relèvent directement de l'Article 4 et du RGPD.

Priorisez ensuite selon le risque. Une équipe RH qui utilise un outil de présélection de candidatures passe avant l'équipe marketing qui génère des visuels.

3. Concevoir un plan de formation adapté

Fixer des objectifs pédagogiques vérifiables

Un objectif du type « sensibiliser à l'IA » ne se mesure pas. Un objectif du type « chaque utilisateur sait identifier les trois catégories de données qu'il ne doit jamais saisir dans un outil IA externe » se mesure.

Alignez chaque objectif sur une exigence du règlement ou du RGPD :

1. Connaître les pratiques interdites de l'Article 5 (en vigueur depuis le 2 février 2025) et savoir les reconnaître.
2. Appliquer les obligations de transparence de l'Article 50, en vigueur depuis le 2 août 2026, pour les chatbots et contenus générés.
3. Appliquer les règles de traitement des données personnelles issues des fiches pratiques IA de la CNIL.
4. Savoir remonter un incident ou un comportement anormal du système.

Choisir les formats

Format	Avantages	Limites	Adapté pour
Présentiel court (2 h)	Interaction, cas concrets de l'entreprise	Mobilisation simultanée, coût d'animation	Responsables d'usage, décideurs
Module en ligne asynchrone	Traçabilité automatique, déploiement rapide	Faible engagement si trop générique	Utilisateurs, socle commun
Atelier pratique sur les outils réels	Ancrage immédiat, détection des mauvaises pratiques	Nécessite un animateur qui connaît l'outil	Équipes métier à risque (RH, finance, service client)
Mixte	Combine socle en ligne et approfondissement ciblé	Coordination à organiser	PME de 50 à 250 salariés

Intégrer les trois familles de risque

Le contenu doit couvrir, à des degrés variables selon le niveau :

• Risques techniques : erreurs factuelles, biais des données d'entraînement, dérive des performances, dépendance à un fournisseur.
• Risques juridiques : AI Act (Art. 4, Art. 5, Art. 50), RGPD (base légale, minimisation, droits des personnes), propriété intellectuelle, secret des affaires.
• Risques éthiques et humains : discrimination, surveillance des salariés, perte de supervision humaine, effet d'automatisation.

Les définitions des termes employés sont regroupées dans le glossaire regulia, utile comme support de formation pour les profils non techniques.

4. S'inspirer des ressources disponibles

Une PME n'a pas besoin de concevoir ses contenus à partir de zéro. Trois sources publiques ou normatives couvrent l'essentiel.

Les fiches pratiques IA de la CNIL

La CNIL publie une série de fiches pratiques consacrées au développement et à l'usage de l'IA dans le respect du RGPD. Elles traitent de la finalité, de la base légale, de la minimisation des données, de l'information des personnes et de l'exercice des droits. Elles constituent un support directement utilisable pour la partie « données personnelles » d'une formation Article 4.

Le service desk européen de l'AI Act

La Commission européenne a mis en place un service desk dédié au règlement. Il publie des questions-réponses, dont une section consacrée à la maîtrise de l'IA, et un accès au texte consolidé. C'est la source à citer lorsqu'un salarié demande « d'où vient cette obligation ».

La norme ISO/IEC 42001:2023

ISO/IEC 42001:2023 définit un système de management de l'IA. Son annexe A comprend des mesures relatives aux compétences et à la sensibilisation du personnel. Une PME qui structure sa formation sur cette base obtient deux résultats : une preuve organisée pour l'Article 4, et un socle réutilisable si elle vise un jour une certification. La norme est payante, mais les formations « Lead Implementer » proposées par des organismes de certification en reprennent la structure.

Ressource	Coût	Couvre	Usage recommandé
Fiches pratiques IA CNIL	Gratuit	RGPD appliqué à l'IA	Module « données personnelles »
Service desk AI Act (Commission)	Gratuit	Texte, Q&R, maîtrise de l'IA	Référence juridique, réponses aux questions internes
ISO/IEC 42001:2023	Payant (achat de la norme)	Gouvernance, compétences, amélioration continue	Structuration du plan et de la preuve
Guides Cigref (janvier 2025) et Numeum (mars 2025)	Gratuit	Lecture opérationnelle de l'AI Act	Décideurs, DSI

La liste complète des références utilisées par regulia est maintenue sur la page sources.

5. Implémenter et suivre la formation

Cadencer les sessions

Une session unique ne suffit pas. Les outils changent, les usages se déplacent, les personnes arrivent et partent. Un rythme réaliste pour une PME :

1. Socle initial : module commun à tout le personnel exposé à l'IA, dans les trois mois suivant le diagnostic.
2. Approfondissement ciblé : ateliers par équipe à risque dans les six mois.
3. Intégration des nouveaux entrants : module socle dans le parcours d'onboarding.
4. Rafraîchissement annuel : mise à jour réglementaire et retour sur les incidents de l'année.

Évaluer les acquis

Une formation sans évaluation ne prouve rien. Trois méthodes sont compatibles avec les moyens d'une PME :

• Quiz de fin de module : dix questions, seuil de réussite fixé à l'avance, résultats archivés.
• Mise en situation : présenter une sortie d'IA erronée ou un cas de saisie de données interdites ; observer la réaction.
• Revue de pratique : vérifier sur un échantillon d'usages réels que les règles enseignées sont appliquées.

Suivre dans la durée

Désignez un responsable du suivi. Dans une PME, c'est souvent le DPO, le RSSI ou l'IA Lead. Sa mission : tenir le registre, déclencher les rafraîchissements, faire remonter les écarts constatés à la direction.

6. Documenter et prouver la formation

L'Article 4 ne prescrit pas de document type. Mais en cas de contrôle, de litige ou de question d'un client, la PME doit pouvoir démontrer qu'elle a pris des mesures « suffisantes » et « dans toute la mesure du possible ». Sans trace, cette démonstration est impossible.

Le registre de formation

Le registre doit permettre de répondre, pour chaque personne exposée à l'IA, aux questions : quoi, quand, par qui, avec quel résultat.

Champ	Contenu
Identifiant de session	Titre, date, durée, format
Contenu	Objectifs pédagogiques, articles AI Act et RGPD couverts, supports utilisés
Participants	Nom, fonction, niveau (utilisateur, responsable, décideur)
Évaluation	Méthode, seuil, résultat individuel
Formateur	Interne ou externe, qualification
Suivi	Date du prochain rafraîchissement, actions correctives

Les pièces à conserver

• Supports de formation, versionnés et datés.
• Attestations de participation signées ou horodatées par la plateforme.
• Résultats des évaluations.
• Diagnostic initial et cartographie des systèmes d'IA.
• Décision de la direction validant le plan.

Le règlement ne fixe pas de durée de conservation pour ces documents. Une durée de cinq ans, alignée sur la prescription civile de droit commun, est une pratique prudente. Vérifiez la cohérence avec votre politique de conservation RGPD, car le registre contient des données personnelles de salariés.

Se préparer à un contrôle

Depuis le 2 août 2026, les autorités nationales de surveillance du marché disposent des pouvoirs prévus par le règlement. Pour les traitements de données personnelles, la CNIL reste compétente au titre du RGPD. Une PME qui présente un registre à jour, un diagnostic et des supports datés répond à l'essentiel des questions avant qu'elles ne soient posées.

7. Éviter les pièges courants

Confondre formation et sensibilisation

Un courriel de rappel ou une charte signée sans explication ne constitue pas une mesure de maîtrise de l'IA. L'Article 4 vise des compétences, pas une information. La sensibilisation est un préalable ; elle ne remplace pas l'acquisition vérifiée de connaissances.

Former sans cas pratiques

Une présentation générale de l'AI Act ne modifie pas les comportements. Les formations efficaces partent des outils réellement utilisés dans l'entreprise et des erreurs réellement commises. Un atelier de trente minutes sur « ce que vous avez saisi dans le générateur de texte la semaine dernière » vaut plus qu'une heure de théorie.

Négliger les profils non techniques

L'erreur la plus fréquente consiste à ne former que l'équipe informatique. Or ce sont les équipes RH, commerciales et administratives qui saisissent les données, interprètent les sorties et prennent les décisions. L'Article 4 vise explicitement « le personnel et les autres personnes s'occupant du fonctionnement et de l'utilisation » des systèmes. Le dirigeant lui-même en fait partie.

Ignorer les usages non déclarés

Les outils adoptés individuellement, sans validation, échappent au diagnostic et donc à la formation. Le plan doit prévoir une procédure simple de déclaration des nouveaux usages et un rappel régulier de cette procédure.

Sous-estimer le risque indirect

L'absence d'amende dédiée dans l'Article 99 ne signifie pas absence de risque. Une fuite de données via un outil IA, une décision RH discriminatoire ou un contenu trompeur diffusé sans mention de génération engagent la responsabilité de l'entreprise au titre du RGPD, du droit du travail ou du droit de la consommation. La formation est le premier rempart contre ces scénarios. Le détail des plafonds de sanction est traité dans l'article consacré aux sanctions AI Act pour les PME.

8. Optimiser le retour sur investissement

Relier la formation aux objectifs de l'entreprise

Une formation Article 4 conçue uniquement comme une contrainte réglementaire produit un coût. Conçue comme un levier, elle produit de la valeur :

• des salariés qui utilisent l'IA de manière plus efficace et moins risquée ;
• une réduction des incidents de données et des reprises de travail ;
• un argument commercial auprès de clients grands comptes qui interrogent leurs fournisseurs sur leur conformité AI Act ;
• une base pour une démarche ISO/IEC 42001:2023 si le marché l'exige.

Mesurer l'impact

Quelques indicateurs suffisent pour une PME :

Indicateur	Avant formation	Après formation	Fréquence de mesure
Nombre d'incidents liés à un usage d'IA (données, erreur, réclamation)	À relever	À relever	Trimestrielle
Taux de réussite aux évaluations	Sans objet	Cible fixée	Par session
Part du personnel exposé formé	0 %	Cible 100 %	Semestrielle
Nombre d'usages IA déclarés	À relever	À relever	Trimestrielle

Mutualiser entre PME

Les fédérations professionnelles, clubs d'entreprises et réseaux de DPO organisent des retours d'expérience. Partager un support de formation ou une grille d'évaluation entre PME d'un même secteur réduit le coût et améliore la pertinence. Les guides Cigref et Numeum sont nés de ce type de démarche.

FAQ

Quelles sont les sanctions pour ne pas former ses équipes à l'IA ?

L'Article 99 du Règlement (UE) 2024/1689 fixe trois plafonds : 7 % du chiffre d'affaires mondial pour les pratiques interdites de l'Article 5, 3 % pour une liste d'obligations énumérées au paragraphe 4, et 1,5 % pour la fourniture d'informations inexactes aux autorités. L'Article 4 ne figure pas dans cette liste. Les sanctions applicables relèvent du régime national que chaque État membre fixe en application de l'Art. 99, § 1. Le risque indirect reste réel : un manquement RGPD lié à un usage d'IA expose aux sanctions de la CNIL, et une décision défaillante engage la responsabilité civile de l'entreprise. Le détail est traité dans l'article sanctions AI Act pour les PME.

Dois-je former toute mon équipe ou seulement les responsables techniques ?

L'Article 4 vise le personnel et les autres personnes qui s'occupent du fonctionnement et de l'utilisation des systèmes d'IA pour le compte de l'entreprise. Toute personne qui utilise un outil IA, interprète ses sorties ou décide de son déploiement est concernée. Le niveau attendu varie selon le profil : un utilisateur occasionnel n'a pas besoin des mêmes compétences qu'un DPO ou un dirigeant.

Quelles ressources gratuites puis-je utiliser pour former mon équipe ?

Les fiches pratiques IA de la CNIL couvrent le volet RGPD. Le service desk européen de l'AI Act publie le texte consolidé et des questions-réponses, dont une section sur la maîtrise de l'IA. Les guides Cigref (janvier 2025) et Numeum (mars 2025) proposent une lecture opérationnelle. Le glossaire regulia définit les termes du règlement. La norme ISO/IEC 42001:2023 est payante, mais sa structure est documentée dans de nombreux supports publics.

Combien de temps faut-il pour mettre en place une formation conforme ?

Aucune durée n'est fixée par le règlement. Pour une PME de 50 salariés avec un périmètre d'IA courant (assistants de rédaction, chatbot client, outil RH), un délai de deux à trois mois est réaliste : diagnostic des usages et des compétences le premier mois, conception du plan le deuxième, premières sessions le troisième. Le suivi continu s'organise ensuite sur un rythme annuel.

Comment prouver que ma formation est conforme à l'AI Act ?

Tenez un registre indiquant, pour chaque session : date, format, contenu, articles couverts, participants, méthode et résultats d'évaluation. Conservez les supports datés, les attestations et le diagnostic initial. Le règlement ne fixe pas de durée de conservation ; une durée de cinq ans, cohérente avec la prescription civile de droit commun et votre politique RGPD, constitue une pratique prudente. Le pillar AI Act PME France présente l'articulation avec les autres obligations documentaires.

Sources officielles

• Règlement (UE) 2024/1689 (AI Act), texte officiel sur EUR-Lex : https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX%3A32024R1689 — Article 3 (définitions), Article 4 (maîtrise de l'IA), Article 99 (sanctions), Article 113 (entrée en application).
• Service desk AI Act de la Commission européenne, questions-réponses sur la maîtrise de l'IA : https://ai-act-service-desk.ec.europa.eu
• ISO/IEC 42001:2023, Systèmes de management de l'intelligence artificielle : https://www.iso.org/standard/79168.html
• CNIL, fiches pratiques IA : https://www.cnil.fr/fr/les-fiches-pratiques-ia
• Texte consolidé et outils de lecture : https://artificialintelligenceact.eu
• Références complémentaires utilisées par regulia : page sources

Cet article fournit des informations générales sur l'EU AI Act applicables aux PME françaises. Il ne constitue pas un conseil juridique. Pour toute décision opérationnelle, faites valider votre démarche par votre DPO ou conseil juridique. regulia décline toute responsabilité quant à l'usage qui peut être fait de ces informations.