AI Act : quelles obligations de maîtrise de l’IA pour vos salariés en 2026 ?

L’AI Act impose déjà aux fournisseurs et déployeurs de systèmes d’IA de prendre des mesures de maîtrise de l’IA. Voici comment transformer ce principe en plan d’action concret.

La réponse directe

Depuis le 2 février 2025, l’article 4 du règlement européen sur l’intelligence artificielle demande aux fournisseurs et aux déployeurs de systèmes d’IA de prendre des mesures pour garantir, autant que possible, un niveau suffisant de maîtrise de l’IA chez les personnes qui utilisent ces systèmes en leur nom. Le texte ne fixe ni un programme type, ni un nombre d’heures, ni l’obligation d’acheter une formation externe. Il demande une démarche adaptée, justifiable et documentée.

Selon la foire aux questions publiée par la Commission européenne, les règles de surveillance et d’exécution associées s’appliquent depuis le 3 août 2026. Autrement dit, le principe est en vigueur depuis 2025 et le contrôle s’organise désormais. Une entreprise qui utilise des outils d’IA générative dans son travail quotidien a donc intérêt à structurer sa démarche plutôt qu’à attendre une hypothétique liste officielle de formations.

Qui est concerné dans l’entreprise

L’obligation vise deux rôles : le fournisseur, qui met un système d’IA sur le marché, et le déployeur, qui l’utilise sous sa propre autorité dans un cadre professionnel. La très grande majorité des TPE et PME sont des déployeurs : elles ne développent pas de modèle, elles utilisent des assistants conversationnels, des générateurs de contenu, des outils de tri de candidatures ou des fonctions d’IA intégrées à leurs logiciels métiers.

Les personnes concernées ne sont pas uniquement les équipes techniques. Sont visés les collaborateurs qui utilisent l’outil, ceux qui décident de l’acheter, ceux qui interprètent ses résultats et ceux qui en assument les conséquences. Un commercial qui rédige une proposition avec un assistant, une assistante RH qui résume des candidatures, un dirigeant qui arbitre sur un budget : tous manipulent des sorties d’IA et doivent en comprendre les limites.

Ce que dit réellement l’article 4

Le texte demande un niveau de maîtrise « suffisant », apprécié en tenant compte des connaissances techniques, de l’expérience, de la formation initiale des personnes, du contexte d’utilisation du système et des personnes ou groupes sur lesquels ce système est utilisé. Cette formulation est importante : elle rend l’exigence proportionnée. Un usage bureautique léger n’appelle pas le même effort qu’un usage qui influence une décision touchant des personnes.

La Commission rappelle par ailleurs qu’aucun niveau unique ni aucune certification obligatoire ne sont imposés, et qu’une formation externe standardisée n’est pas exigée en tant que telle. La responsabilité reste celle de l’organisation : elle doit décider ce qui est suffisant pour ses usages, le mettre en place et pouvoir l’expliquer.

Obligation de démarche documentée, pas obligation d’achat

Beaucoup de dirigeants traduisent l’article 4 par « il faut faire suivre une formation IA à tout le monde ». C’est une lecture réductrice, et parfois coûteuse. Ce qui compte, c’est la cohérence entre les usages réels et les compétences des utilisateurs. Une session collective sans lien avec les outils réellement déployés ne prouve pas grand-chose ; une note interne claire, des consignes appliquées et des ateliers pratiques sur les outils réellement utilisés valent souvent mieux.

La formation garde tout son intérêt lorsqu’elle est ciblée : elle accélère la montée en compétence, elle donne un cadre commun et elle laisse des traces exploitables. Mais elle est un moyen, pas la finalité.

Étape 1 : cartographier les outils et les usages réels

Commencez par un inventaire honnête. La question n’est pas « quels outils avons-nous achetés ? » mais « que font réellement les équipes ? ». Les usages informels, avec des comptes personnels, sont fréquents et représentent l’essentiel du risque.

• Lister les outils d’IA utilisés, y compris ceux intégrés à des logiciels existants
• Noter qui les utilise, pour quelles tâches et à quelle fréquence
• Repérer les usages qui touchent des données personnelles ou confidentielles
• Identifier les usages qui influencent une décision concernant une personne

Étape 2 : segmenter les publics

Trois profils suffisent souvent. Les utilisateurs occasionnels ont besoin de comprendre ce qu’est un modèle de langage, pourquoi il peut se tromper et ce qu’il ne faut pas lui confier. Les utilisateurs intensifs ont besoin de méthode : formuler une demande, contrôler une sortie, structurer un livrable. Les décideurs et les référents ont besoin de comprendre les rôles réglementaires, les critères de choix d’un outil et les points de vigilance contractuels.

Étape 3 : un socle commun pour tous

Le socle commun tient en quelques heures et doit rester concret : ce qu’un système d’IA générative fait et ne fait pas, la notion d’hallucination, la question des sources, la confidentialité des données saisies, la propriété et la relecture des contenus produits, et la règle interne de vérification humaine. Ce socle est le même pour tous les métiers, ce qui facilite son organisation et son suivi.

Étape 4 : des modules par métier

Au-delà du socle, la valeur vient des cas concrets. En administration des ventes, on travaille la rédaction de relances et la synthèse de comptes rendus. En marketing, la production de contenus et leur vérification factuelle. En comptabilité et gestion, l’aide à la préparation d’analyses, jamais la substitution au contrôle. Chaque module se termine idéalement par une consigne écrite, réutilisable et affichable.

Règles de données et vérification humaine

Deux règles internes règlent une grande partie des situations à risque. La première précise ce qui peut ou non être saisi dans un outil d’IA : données personnelles, données clients identifiables, informations couvertes par un accord de confidentialité, éléments stratégiques. La seconde impose qu’une sortie d’IA soit relue et validée par une personne compétente avant tout usage externe ou toute décision. Ces règles doivent être écrites, courtes et connues.

Les preuves à conserver

En cas de question d’un client, d’un partenaire ou d’une autorité, l’entreprise doit pouvoir montrer sa démarche. Conservez la cartographie des usages, la note de règles internes, les supports utilisés, la liste des personnes formées avec les dates, et la trace des mises à jour. Ce dossier n’a pas besoin d’être volumineux : il doit être cohérent et daté.

Un plan 30 / 60 / 90 jours

• 30 jours : inventaire des usages, désignation d’un référent, note de règles internes diffusée
• 60 jours : socle commun déployé auprès des utilisateurs, premiers ateliers métiers, correction des usages à risque
• 90 jours : modules par métier, revue des outils, constitution du dossier de preuves et point d’étape en comité de direction

Les erreurs à éviter

Trois erreurs reviennent souvent. Croire qu’un règlement interne suffit sans jamais expliquer les outils. Former tout le monde de la même façon, sans lien avec les usages réels, puis considérer le sujet clos. Enfin, sous-traiter la responsabilité à un prestataire : la démarche reste celle de l’entreprise, même quand la formation est externalisée.

En résumé

L’article 4 s’applique depuis le 2 février 2025 et les règles de surveillance depuis le 3 août 2026. Il demande une maîtrise de l’IA proportionnée aux usages, sans imposer un niveau unique ni une formation externe standardisée. La bonne méthode consiste à cartographier les usages, segmenter les publics, poser un socle commun, ajouter des modules métiers, écrire deux règles simples sur les données et la vérification humaine, puis conserver les preuves de la démarche.