L’article 4 de l’IA Act est probablement la disposition la plus mal comprise du règlement européen sur l’intelligence artificielle : la plus large dans son périmètre, la plus courte dans son texte, et la plus facile à traiter correctement, à condition de savoir ce qu’elle demande réellement. Cet article fait le point : qui est concerné, ce qu’il faut mettre en place, ce que le Digital Omnibus a changé cet été, et surtout comment démontrer que vous l’avez fait.
Ce que dit le texte
L’article 4 du règlement (UE) 2024/1689 tient en une phrase. Il impose aux fournisseurs et aux déployeurs de systèmes d’IA de prendre des mesures pour que leur personnel, et les personnes qui utilisent ces systèmes pour leur compte, disposent d’un niveau suffisant de maîtrise de l’IA. Le terme officiel en anglais est AI literacy, souvent rendu en français par « littératie IA ».
Le texte précise que ces mesures doivent tenir compte de quatre paramètres : les connaissances techniques des personnes concernées, leur expérience et leur formation, le contexte dans lequel les systèmes sont utilisés, et les personnes ou groupes sur lesquels ils sont utilisés.
Ce qui n’y figure pas est tout aussi important : aucune durée minimale, aucun programme imposé, aucune certification obligatoire, aucun organisme agréé. Le législateur a délibérément laissé la main aux organisations pour calibrer leur dispositif.
Qui est concerné, concrètement
La confusion la plus fréquente porte sur le mot « déployeur ». Beaucoup d’entreprises se croient hors périmètre parce qu’elles ne développent aucun modèle. C’est une lecture erronée.
Un fournisseur développe un système d’IA ou le met sur le marché sous son nom. Un déployeur utilise un système d’IA sous sa propre autorité, dans le cadre d’une activité professionnelle. Autrement dit :
- une agence dont l’équipe utilise ChatGPT pour rédiger est déployeur ;
- un cabinet comptable dont le logiciel intègre une fonction de catégorisation automatique est déployeur ;
- une PME industrielle qui utilise Copilot dans sa suite bureautique est déployeur ;
- une collectivité qui utilise un outil de synthèse de réunions est déployeur.
Il n’existe ni seuil d’effectif, ni exemption pour les PME. La seule chose qui varie est l’intensité des mesures attendues, qui doit rester proportionnée. Une TPE de dix personnes n’est pas tenue au même dispositif qu’un groupe de cinq mille salariés, mais elle n’est pas dispensée pour autant.
Les dates qui comptent
| Date | Ce qui se passe |
|---|---|
| 1er août 2024 | Entrée en vigueur du règlement (UE) 2024/1689 |
| 2 février 2025 | Application de l’article 4 et de l’interdiction des pratiques prohibées |
| 2 août 2025 | Gouvernance, modèles à usage général, régime de sanctions |
| 27 juillet 2026 | Entrée en vigueur du Digital Omnibus, règlement (UE) 2026/1744 |
| Août 2026 | Compétence des autorités nationales de surveillance du marché sur l’article 4 |
| 2 décembre 2027 | Obligations reportées pour les systèmes à haut risque de l’annexe III |
| 2 août 2028 | Obligations reportées pour les systèmes à haut risque de l’annexe I |
Le point souvent manqué : l’article 4 s’applique déjà depuis février 2025. Les entreprises qui attendaient « la date d’entrée en vigueur de l’IA Act » pour agir se sont trompées de calendrier ; la disposition qui les concerne le plus est l’une des premières à être entrée en application.
Ce que le Digital Omnibus a changé cet été
Le règlement (UE) 2026/1744, dit Digital Omnibus, est entré en vigueur le 27 juillet 2026. Il a beaucoup fait parler, parce qu’il reporte les obligations relatives aux systèmes à haut risque : décembre 2027 pour l’annexe III, août 2028 pour l’annexe I.
Concernant l’article 4, deux choses à retenir :
- Il n’a pas été supprimé. La date d’application, février 2025, est inchangée.
- Sa formulation a été assouplie. On est passé d’une logique où fournisseurs et déployeurs devaient garantir un niveau suffisant de maîtrise de l’IA à une logique de mesures soutenant le développement de cette maîtrise, avec un rôle accru de la Commission et des États membres dans l’accompagnement.
Traduit en termes opérationnels : vous n’avez pas à certifier le niveau individuel de chaque salarié, mais vous devez pouvoir montrer que vous avez fait quelque chose de sérieux et d’adapté. C’est une obligation de moyens, pas de résultat. Ce qui ne veut pas dire qu’elle est facultative.
Les sanctions : ce qu’on vous raconte et ce qui est écrit
Vous lirez beaucoup d’articles annonçant des amendes de 15 ou 35 millions d’euros pour non-respect de l’article 4. C’est inexact, et ce type d’argument nuit surtout à la crédibilité de ceux qui l’emploient.
Les plafonds les plus élevés du règlement, prévus à l’article 99, visent d’abord les pratiques interdites de l’article 5, puis les obligations attachées aux fournisseurs, importateurs, distributeurs et déployeurs de systèmes à haut risque, ainsi que les obligations de transparence. L’article 4 ne figure pas dans cette énumération.
Cela ne signifie pas qu’il est sans effet. Trois éléments à garder en tête :
- Les autorités nationales de surveillance du marché sont compétentes pour contrôler son application depuis août 2026, et chaque État membre fixe son propre régime de sanctions pour les dispositions non couvertes par les plafonds européens.
- En cas d’incident, l’absence totale de mesures de formation est un élément à charge : fuite de données personnelles dans un prompt, contenu généré erroné diffusé à un client, décision RH assistée par IA contestée.
- Les donneurs d’ordre le demandent déjà. Nous voyons apparaître des questions sur la politique IA et la formation des équipes dans les questionnaires fournisseurs et les appels d’offres, bien avant tout contrôle administratif.
Le vrai moteur de mise en conformité, en 2026, est commercial autant que réglementaire.
À quoi former, précisément
Le règlement ne fixe pas de programme. L’expérience de nos sessions fait ressortir six sujets qui couvrent l’essentiel du besoin pour un collaborateur non technique :
- Reconnaître un système d’IA, y compris quand il est intégré discrètement à un outil existant. Beaucoup de collaborateurs utilisent de l’IA sans le savoir.
- Comprendre pourquoi un modèle se trompe avec assurance. La mécanique de l’hallucination, expliquée sans mathématiques, est ce qui change le plus durablement les comportements.
- Savoir ce qui ne se met jamais dans un prompt : données personnelles, données de santé, secrets d’affaires, éléments sous NDA, code propriétaire.
- Appliquer la relecture humaine sur les usages à enjeu, et savoir identifier lesquels le sont.
- Distinguer l’interdit de l’encadré : notation sociale, reconnaissance des émotions au travail et catégorisation biométrique relèvent des pratiques prohibées, pas d’un simple encadrement.
- Savoir à qui remonter un doute, avec un circuit identifié et connu de tous.
Une demi-journée bien construite couvre ces six points pour la très grande majorité des effectifs. Les profils qui conçoivent, intègrent ou paramètrent des systèmes à enjeu relèvent d’un approfondissement distinct.
Comment prouver que vous l’avez fait
C’est le point qui fait la différence entre une organisation qui a formé ses équipes et une organisation qui peut le démontrer. Une obligation de moyens ne vaut que par ses traces. Constituez un dossier qui contienne :
- le programme daté de la session et le nom de l’intervenant ;
- la feuille d’émargement et les attestations de participation nominatives ;
- les résultats d’un quiz d’évaluation, qui objectivent la compréhension au-delà de la simple présence ;
- votre charte d’usage IA, diffusée et idéalement signée : nous en proposons un modèle Word à télécharger ;
- un registre des usages IA listant les outils déployés, leur finalité et leur responsable ;
- le dispositif prévu pour les nouveaux arrivants, car un dispositif ponctuel se périme avec le turnover.
Rien de tout cela n’est complexe. Ce qui pèche, dans la plupart des organisations que nous rencontrons, n’est pas le contenu de la formation : c’est l’absence de trace exploitable six mois plus tard.
Les erreurs les plus fréquentes
Ne former que le DPO et les juristes. C’est l’erreur structurelle du marché : l’offre disponible cible massivement les fonctions conformité, alors que l’article 4 vise l’ensemble du personnel qui utilise des systèmes d’IA. Former trois personnes sur trois cents ne couvre pas l’obligation.
Confondre IA Act et RGPD. Les deux textes se croisent en permanence, mais ils ne traitent pas du même objet. Une sensibilisation RGPD, même récente, ne vaut pas mesure au titre de l’article 4.
Diffuser un e-learning sans évaluation. Un module vu à 30 % dans un onglet ouvert pendant une réunion ne démontre pas grand-chose. Si vous choisissez le distanciel asynchrone, prévoyez au minimum une évaluation et un suivi de complétion.
Rédiger la charte sans les équipes. Une charte descendue par le juridique est lue une fois. Une charte co-construite en séance par ceux qui vont l’appliquer est appliquée. La différence de résultat est spectaculaire, et elle ne coûte rien. Nous détaillons la méthode et fournissons un modèle dans notre article sur la charte IA en entreprise.
Attendre une norme. La norme ISO/IEC 42001 et les travaux de normalisation européens structureront le sujet, mais l’obligation, elle, est déjà en application. Attendre revient à accumuler du retard sur une échéance déjà passée.
Par où commencer
Si vous partez de zéro, trois actions suffisent à sortir de la zone rouge en quelques semaines :
- Faites l’inventaire de vos usages IA réels, y compris le « shadow AI » sur comptes personnels. Un simple tour des équipes suffit à révéler l’essentiel, et le résultat surprend presque toujours la direction.
- Organisez une session pour tous les collaborateurs concernés. Une demi-journée, en présentiel ou en distanciel, avec évaluation et attestation.
- Sortez de la session avec une charte d’usage et un circuit de remontée d’incident. Diffusez-les, puis planifiez la reconduction pour les nouveaux arrivants.
C’est exactement le déroulé de notre formation IA Act, conçue pour couvrir l’obligation de l’article 4 en une demi-journée auprès de l’ensemble de vos équipes, avec les livrables de preuve associés. Si votre enjeu est d’abord de créer un socle commun de compréhension avant de parler conformité, l’acculturation IA en entreprise est le meilleur point de départ.
Cet article présente une lecture opérationnelle du règlement à la date de sa publication. Il ne constitue pas un conseil juridique : pour l’analyse de votre exposition propre, en particulier si vous concevez ou intégrez des systèmes à haut risque, rapprochez-vous de votre conseil habituel.
