Article 4 de l'AI Act : ce que former ses salariés à l'IA veut dire

L'article 4 de l'AI Act demande à toute entreprise qui utilise l'IA de prendre des mesures soutenant la littératie IA des personnes qui s'en servent. C'est une obligation de moyens, pas de résultat : personne n'a à démontrer la compétence individuelle de chaque salarié. Ce qu'une entreprise doit pouvoir montrer, c'est un programme de formation et de sensibilisation documenté. Voici ce que cela contient réellement.

Ce que dit l'article 4 de l'AI Act sur la littératie IA, dans sa version en vigueur

Le texte initial du règlement (UE) 2024/1689 demandait aux fournisseurs et aux déployeurs de systèmes d'IA d'« assurer un niveau suffisant de littératie IA » de leur personnel. Le terme officiel du texte français est « maîtrise de l'IA » ; « littératie IA » est l'usage courant, et les deux désignent la même obligation. Le Digital Omnibus sur l'IA, entré en vigueur le 27 juillet 2026, a reformulé l'obligation : il s'agit désormais de « prendre des mesures soutenant le développement de la littératie IA ».

Ce n'est pas un détail de style. « Assurer un niveau suffisant » se rapproche d'une obligation de résultat, avec la question insoluble de savoir qui juge du niveau. « Prendre des mesures soutenant le développement » est une obligation de moyens : ce qui est examiné, c'est la démarche de l'entreprise, pas la performance de chaque personne.

L'article 4 est applicable depuis le 2 février 2025. Il n'a jamais été reporté, contrairement aux obligations des systèmes à haut risque. Sa supervision et son application par les autorités nationales entrent en fonction à partir du 2 août 2026.

La littératie IA, en langage courant, c'est la capacité à comprendre ce qu'un système d'IA fait et ce qu'il ne sait pas faire. S'y ajoute la compréhension des risques que son usage crée dans un contexte professionnel donné. Savoir qu'un assistant conversationnel peut produire une réponse fausse avec un ton assuré fait partie de la littératie. Savoir que les données saisies dans un compte grand public ne restent pas nécessairement dans l'entreprise en fait partie aussi.

Qui est couvert par l'obligation

Le périmètre est plus large que « les salariés qui utilisent ChatGPT ».

• Les salariés qui manipulent l'outil, quel que soit leur niveau hiérarchique et même s'ils l'utilisent occasionnellement.
• Les prestataires, intérimaires et indépendants qui utilisent des systèmes d'IA pour le compte de l'entreprise. Le lien contractuel n'efface pas la responsabilité du déployeur.
• Les personnes qui subissent l'usage sans le piloter. Un manager dont les plannings sont générés par un outil. Un commercial dont les leads sont priorisés par un score. Un candidat évalué en partie par un système. Comprendre ce qui se joue relève aussi de la littératie.

Les dirigeants ne sont pas hors champ. Un comité de direction qui valide l'achat d'un outil d'IA sans comprendre ce que l'outil fait des données de l'entreprise est précisément le cas que l'obligation vise à éviter.

Une exigence qui s'apprécie selon le contexte

L'article 4 ne fixe ni durée minimale, ni programme type, ni fréquence. L'exigence s'apprécie au regard de deux paramètres : le contexte d'usage et la complexité technique du système.

Une PME de services dont les équipes se servent d'un assistant pour reformuler des courriers a un besoin limité. Une entreprise qui laisse un outil d'IA préparer des décisions sur des personnes est dans un tout autre cas. Dans le premier cas, une sensibilisation solide sur les limites du modèle, les données interdites en saisie et la relecture humaine couvre l'essentiel. Dans le second, il faut aller nettement plus loin, et l'exigence de compétence des déployeurs de systèmes à haut risque s'y ajoute, au titre de l'article 26(2) du règlement.

C'est une bonne nouvelle pour une PME : le règlement ne demande pas de reproduire le dispositif de formation d'un grand groupe. Il demande une réponse proportionnée à ce que vous faites réellement. Encore faut-il savoir ce que vous faites réellement, ce qui suppose un recensement des usages.

Ce qui compte comme preuve, et ce qui ne suffit pas

C'est la partie que les entreprises négligent, et c'est la seule qui compte le jour où la question est posée.

Ce qui constitue une preuve utilisable :

1. Le contenu du programme. Les supports, le plan de la session, les sujets couverts. Un document daté, même simple, vaut mieux qu'un souvenir.
2. Les dates. Quand la sensibilisation a eu lieu, et quand elle est prévue à nouveau.
3. Les participants. Qui a suivi quoi, avec une liste nominative ou un émargement, physique ou électronique.
4. La trace du message interne. La note de service ou le courriel qui a annoncé les règles d'usage et la session.
5. Une évaluation, même légère. Un questionnaire de quelques questions en fin de session montre que le message a été reçu, pas seulement diffusé.
6. L'attestation de suivi remise à chaque participant. Elle documente la participation. Elle ne prétend rien d'autre.

Ce qui ne suffit pas : une réunion orale dont il ne reste rien, ou un message d'équipe effacé depuis. Une politique interne rédigée mais jamais diffusée ne suffit pas davantage. Ni une formation suivie par la direction seule, alors que l'usage est réparti dans toute l'entreprise. Une charte signée est un excellent complément, mais elle ne remplace pas la sensibilisation : elle énonce des règles, elle n'explique pas les risques.

Ce qui change au 2 août 2026 côté supervision

L'obligation ne naît pas ce jour-là, elle existe depuis février 2025. Ce qui entre en fonction à partir du 2 août 2026, c'est la supervision et l'application par les autorités nationales de surveillance.

En pratique, cela déplace la question du terrain moral au terrain de la preuve. Jusqu'ici, une entreprise pouvait considérer l'article 4 comme une recommandation. À partir de cette date, l'écart entre une entreprise qui a un dossier et une entreprise qui n'a rien devient visible.

Le sujet dépasse d'ailleurs le régulateur. Les questions viennent aussi des clients grands comptes dans leurs questionnaires fournisseurs, des donneurs d'ordre publics dans leurs appels d'offres, et des assureurs. Dans tous ces cas, la demande est la même : montrez ce que vous avez mis en place. Le cadre général des obligations réellement dues par une PME est détaillé dans l'article de référence sur ce que l'AI Act impose vraiment à une PME.

À quoi ressemble un plan minimum viable pour une PME de 20 personnes

Voici une trame réaliste, tenable sans budget de formation dédié et sans intervenant externe.

Étape 1, recenser avant de former. Deux semaines calendaires, dont environ une demi-journée de travail effectif. Cinq questions à chaque salarié : quel outil, pour quelle tâche, quelles données saisies, quel compte, à quelle fréquence. Sans recensement, vous formez à l'aveugle.

Étape 2, construire le programme. Le découpage par profil, le contenu de chaque module et la durée réaliste de chacun sont traités dans le plan de formation IA des salariés.

Étape 3, la trace et la répétition. Un dossier unique qui contient le support, les dates, les listes de participants, le questionnaire et la charte signée. Un rappel annuel, plus une session courte à chaque arrivée dans l'entreprise.

Compté honnêtement, la mise en ordre complète représente trois à cinq journées de travail cumulées la première année, puis une à deux journées par an. Le volet formation décrit ici n'en occupe qu'une partie.

Questions fréquentes

Faut-il faire appel à un organisme de formation externe ?

Non, le règlement n'impose aucun format ni aucun intervenant particulier. Une sensibilisation interne bien construite et documentée répond à l'obligation de moyens. Un intervenant externe peut faire gagner du temps ou apporter de la crédibilité en interne, mais ce n'est pas une exigence du texte.

Une formation à l'IA peut-elle être validée par un organisme officiel ?

Il n'existe pas de schéma officiel prévu par le règlement pour valider la littératie IA des salariés d'une entreprise. Ce que vous produisez est une attestation de suivi interne, qui documente la participation et le contenu. C'est précisément ce que l'obligation de moyens attend, et il n'y a rien à chercher au-delà.

Que faire des salariés qui n'utilisent pas l'IA du tout ?

Une sensibilisation courte reste utile, pour deux raisons. Ils peuvent être exposés à des systèmes qu'ils ne pilotent pas. Et ils commenceront probablement à utiliser ces outils sans le déclarer si personne ne leur a dit ce qui est autorisé. Une session commune règle les deux sujets en même temps.

L'article 4 s'applique-t-il si l'entreprise utilise seulement ChatGPT ?

Oui. Une entreprise qui utilise un assistant conversationnel dans son activité est déployeur au sens du règlement, et l'article 4 vise tous les déployeurs, quel que soit leur effectif. Que l'outil soit grand public ou gratuit ne change rien. La réponse attendue reste proportionnée : pour un usage de rédaction, une sensibilisation courte et bien ciblée couvre l'essentiel.

L'article 4 impose-t-il un registre des usages ou une évaluation des risques ?

Non. L'article 4 porte uniquement sur la maîtrise de l'IA des personnes qui utilisent les systèmes. Il n'impose ni registre, ni évaluation des risques, ni documentation technique : ces exigences existent ailleurs dans le règlement, pour certains systèmes seulement. Recenser vos usages reste la façon la plus simple de proportionner la formation, mais c'est un choix de méthode, pas une exigence de l'article 4.

Quelle sanction pour une entreprise qui ne fait rien ?

L'article 4 ne figure pas dans la liste des manquements que l'article 99 du règlement assortit d'une amende. Les autorités nationales peuvent en contrôler l'application depuis le 2 août 2026, et le règlement laisse aux États membres le soin de prévoir d'autres mesures ; à la mi-septembre 2026, aucun texte français n'en fixe. Le risque concret vient d'ailleurs : un client qui pose la question dans un questionnaire fournisseur, ou un incident dans lequel l'absence de toute sensibilisation pèsera.

Faut-il refaire la formation chaque année ?

Le texte ne fixe aucune fréquence. Un rappel annuel et une session courte à chaque arrivée sont une pratique raisonnable, parce que les outils et les usages changent vite. Ce qui compte est de pouvoir montrer que la démarche se poursuit, pas qu'une session a eu lieu une fois.

Où en est votre entreprise ?

L'audit de maturité IA de Klaveta évalue vos usages, votre exposition et vos priorités de formation. Gratuit en 5 min.

Lancer l'audit de maturité IA