IA Act article 4 : ce que la formation obligatoire des équipes signifie concrètement

Un texte que peu d'entreprises ont vu venir

L'AI Act est souvent résumé à ses obligations les plus visibles : classification des systèmes à haut risque, interdiction de certaines pratiques, gouvernance des modèles de fondation. Son article 4, lui, passe largement sous les radars alors qu'il concerne, en pratique, bien plus d'organisations que les articles sur le haut risque. Il impose une obligation de littératie IA : garantir que le personnel qui utilise ou déploie un système d'intelligence artificielle en comprend le fonctionnement, les apports, les limites et les risques.

Concrètement, dès qu'une équipe utilise ChatGPT, Copilot, Claude ou tout autre outil d'IA générative dans son activité professionnelle, l'entreprise entre dans le champ de cet article — indépendamment de sa taille ou de son secteur.

Ce que dit vraiment l'article 4

Le texte ne fixe pas de programme de formation type ni de nombre d'heures obligatoire. Il pose une obligation de résultat : les personnes qui utilisent l'IA pour le compte de l'organisation doivent disposer d'un niveau de compréhension suffisant pour un usage responsable, adapté à leurs connaissances techniques, leur expérience, leur formation initiale et le contexte d'utilisation du système concerné.

Cette formulation volontairement souple a un revers : elle laisse à chaque entreprise la charge de démontrer, en cas de contrôle, que son dispositif de formation était réellement adapté à ses usages de l'IA. Un plan de formation générique, non documenté ou non actualisé, expose davantage qu'une absence totale de plan visible — parce qu'il donne l'illusion d'une conformité qui ne résiste pas à l'examen.

Depuis quand, et jusqu'à quand attendre

L'obligation de littératie IA est entrée en vigueur le 2 février 2025 : elle s'applique déjà. Les sanctions nationales, elles, deviennent pleinement applicables à partir du 2 août 2026 — en France, sous le contrôle de la CNIL. Le règlement prévoit des amendes pouvant atteindre 15 millions d'euros ou 3 % du chiffre d'affaires mondial annuel pour un manquement aux obligations générales, et jusqu'à 35 millions d'euros ou 7 % du CA pour les pratiques interdites.

Qui est concerné : l'absence de seuil change tout

L'article 4 ne prévoit aucun seuil d'effectif ni exemption pour les PME. Toute organisation qui déploie ou utilise un système d'IA est concernée, dès le premier usage professionnel d'un assistant d'IA générative. En pratique, cela recouvre des profils très différents dans une même entreprise :

• Utilisateurs occasionnels — collaborateurs qui s'appuient ponctuellement sur un assistant IA pour rédiger, résumer ou traduire. Une sensibilisation courte aux risques (confidentialité des données saisies, fiabilité des réponses, biais) suffit généralement.
• Utilisateurs métier réguliers — équipes commerciales, marketing, RH ou support qui intègrent l'IA à des processus récurrents. Ils ont besoin d'une formation outillée sur les cas d'usage propres à leur fonction et sur les limites du système utilisé.
• Décideurs et super-utilisateurs — managers qui arbitrent l'adoption d'outils IA, DPO, acheteurs de solutions IA. Un parcours plus approfondi est nécessaire pour évaluer les risques avant le déploiement d'un nouvel outil, pas seulement pour l'utiliser une fois en place.

Traiter ces trois profils de manière identique est l'une des erreurs les plus fréquentes constatées sur le terrain : une sensibilisation généraliste ne couvre pas les besoins d'un décideur qui doit évaluer un fournisseur d'IA, tout comme un parcours technique approfondi est disproportionné pour un usage occasionnel.

Bâtir un plan de formation qui tient en cas de contrôle

Se mettre en conformité avec l'article 4 ne se résume pas à programmer une session de sensibilisation ponctuelle. Un dispositif défendable repose sur quelques éléments concrets :

1. Cartographier les usages réels de l'IA dans l'organisation — pas les usages autorisés sur le papier, mais ceux effectivement pratiqués, y compris les outils adoptés spontanément par les équipes (« shadow IA »).
2. Adapter le contenu au profil et à l'outil concerné, plutôt qu'une formation générique sur « l'intelligence artificielle » déconnectée des systèmes réellement utilisés.
3. Documenter la démarche : dates, contenus, participants, mise à jour périodique. C'est ce document, plus que la formation elle-même, qui permet de répondre à un contrôle.
4. Réévaluer régulièrement : un nouvel outil d'IA déployé, un nouveau cas d'usage identifié, doit déclencher une mise à jour du plan, pas seulement une session annuelle figée.

Le pont avec les autres obligations réglementaires

L'article 4 ne s'applique pas dans un vide juridique. Une entreprise qui utilise l'IA pour traiter des données personnelles reste soumise au RGPD en parallèle — la littératie IA n'exonère de rien sur ce terrain. Et pour les organisations déjà mobilisées par la mise en conformité NIS2, la bonne nouvelle est méthodologique : la même logique de cartographie des usages, de formation adaptée par profil et de documentation s'applique aux deux textes. Traiter les deux chantiers ensemble, plutôt qu'en silos, évite de dupliquer l'effort.

Ce qu'il faut retenir

L'article 4 de l'AI Act est une obligation en vigueur depuis février 2025, sans seuil d'effectif, qui concerne toute entreprise utilisant l'IA — y compris via un simple assistant de rédaction. L'échéance du 2 août 2026 marque le début des sanctions applicables en France, pas le point de départ de l'obligation elle-même. D'ici là, le plus sûr est de cartographier les usages réels de l'IA en interne, d'adapter la formation à chaque profil d'utilisateur, et de documenter la démarche : c'est ce dossier, plus que la seule session de formation, qui fera la différence en cas de contrôle.