AI Act, article 4 : l'obligation de maîtrise de l'IA pour votre personnel
En bref
L'article 4 de l'AI Act s'applique depuis le 2 février 2025 à toute organisation qui fournit ou utilise un système d'IA, y compris ChatGPT ou Copilot. Depuis sa modification entrée en vigueur le 27 juillet 2026, il impose de prendre des mesures pour favoriser la maîtrise de l'IA du personnel, sans exiger un niveau précis par personne. Aucune certification n'est requise : un plan de formation proportionné et une trace interne suffisent.
À retenir
- Toute entreprise qui utilise l'IA dans un cadre professionnel est un « déployeur » au sens de l'AI Act.
- L'obligation s'applique depuis le 2 février 2025 ; la surveillance par les autorités depuis le 2 août 2026.
- Le règlement (UE) 2026/1744 a assoupli le texte : agir, sans garantir un niveau « suffisant » par personne.
- La Commission précise qu'aucun certificat n'est nécessaire : une trace interne des actions suffit.
- Les mesures se calibrent selon les outils utilisés, les risques et le profil des personnes.
L'article 4 de l'AI Act en une phrase
L'article 4 de l'AI Act oblige toute organisation qui fournit ou utilise un système d'IA à prendre des mesures pour développer la maîtrise de l'IA de son personnel. Il s'applique depuis le 2 février 2025, et son texte a été assoupli par un règlement entré en vigueur le 27 juillet 2026.
Cet article complète notre guide pratique formation IA en entreprise : par où commencer ?. Ici, nous nous concentrons sur l'obligation légale : ce que dit le texte, qui est concerné et comment s'y conformer simplement.
Que dit exactement le texte ?
Le texte actuel demande d'agir pour favoriser la maîtrise de l'IA, en l'adaptant aux personnes et aux usages, sans garantir un niveau précis par individu. Il a connu deux versions.
La version d'origine (règlement (UE) 2024/1689, applicable depuis le 2 février 2025) demandait aux fournisseurs et aux déployeurs de garantir, « dans toute la mesure du possible, un niveau suffisant de maîtrise de l'IA » pour leur personnel.
La version en vigueur a été introduite par le règlement (UE) 2026/1744, dit « omnibus numérique sur l'IA », publié au Journal officiel le 24 juillet 2026. L'article 4 compte désormais trois paragraphes :
- Les fournisseurs et les déployeurs prennent des mesures pour favoriser le développement de la maîtrise de l'IA par leur personnel et les autres personnes qui utilisent des systèmes d'IA pour leur compte. Ils tiennent compte de leurs connaissances, de leur expérience, de leur formation, du contexte d'utilisation et des personnes concernées. Cette obligation ne les contraint pas à garantir un niveau spécifique de maîtrise par un individu.
- La Commission et les États membres soutiennent ces efforts, en particulier ceux des PME. La Commission publie des exemples pratiques de mise en conformité.
- Le Comité IA adopte des recommandations, notamment des objectifs communs.
Qu'est-ce que la « maîtrise de l'IA » ?
C'est l'ensemble des compétences, connaissances et compréhension qui permettent d'utiliser l'IA en connaissance de cause, en mesurant ses possibilités, ses risques et ses préjudices potentiels. Cette définition figure à l'article 3, point 56, de l'AI Act.
En pratique, pour un collaborateur, cela signifie savoir ce qu'un outil d'IA fait bien, quand il peut se tromper, quelles données ne jamais lui confier et comment vérifier ses réponses.
Qui est concerné ?
Presque toutes les entreprises : il suffit que vos équipes utilisent un système d'IA dans leur travail. L'AI Act distingue deux rôles principaux :
- le fournisseur, qui développe un système d'IA ou le met sur le marché sous son nom ;
- le déployeur, toute personne ou organisation qui utilise un système d'IA sous sa propre autorité, sauf usage personnel non professionnel.
Une fiduciaire dont les comptables utilisent Copilot, une agence immobilière qui rédige ses annonces avec ChatGPT, un service client équipé d'un chatbot IA : tous sont des déployeurs. La FAQ de la Commission européenne sur la maîtrise de l'IA cite précisément le cas d'employés qui utilisent ChatGPT pour rédiger ou traduire : ils doivent notamment être informés des risques, comme les réponses inventées.
Depuis quand, et qui contrôle ?
L'obligation s'applique depuis le 2 février 2025 ; les règles de surveillance et de contrôle s'appliquent depuis le 2 août 2026. C'est ce que rappelle la Commission européenne dans sa FAQ. Les autorités nationales de surveillance du marché sont chargées de veiller au respect du règlement.
Côté sanctions, l'AI Act ne fixe pas d'amende chiffrée propre à l'article 4. Son article 99 laisse aux États membres le soin de déterminer le régime de sanctions et d'autres mesures d'exécution, qui peuvent inclure des avertissements, en tenant compte des intérêts des PME.
Ce qu'il faut faire concrètement
La Commission recommande quatre étapes minimales, que l'on peut suivre avec des moyens proportionnés. Voici comment les traduire dans une PME :
| Étape | Question à se poser | Action concrète |
|---|---|---|
| 1. Comprendre l'IA | Qu'est-ce que l'IA, comment fonctionne-t-elle, quels outils utilisons-nous ? | Inventaire des outils IA utilisés, officiels ou non |
| 2. Situer son rôle | Sommes-nous fournisseur, déployeur, ou les deux ? | Une ligne par outil dans l'inventaire |
| 3. Évaluer les risques | Quels risques selon l'outil, les données et l'usage ? | Classer les usages : faible risque, sensible, interdit |
| 4. Agir selon les profils | Que doit savoir chaque groupe de personnes ? | Sensibilisation générale, ateliers par métier, règles écrites |
Gardez ensuite une trace simple : dates des sessions, participants, contenu, règles d'usage diffusées. La Commission précise qu'aucun certificat n'est nécessaire et qu'un registre interne suffit. Chez Ozapp, chaque participant reçoit une attestation de participation, utile pour ce registre.
Les erreurs à éviter
La plus grande erreur est de ne rien faire parce que le texte a été assoupli. L'obligation d'agir demeure, et les risques concrets aussi : fuites de données, erreurs dans des documents clients, décisions fondées sur des réponses inventées.
Autres erreurs fréquentes :
- une formation unique et générique pour tout le monde, sans lien avec les tâches réelles ;
- ignorer l'IA « fantôme » : les outils utilisés par les équipes sans validation ;
- oublier les prestataires qui utilisent l'IA pour votre compte ;
- ne rien documenter, ce qui rend toute démarche invisible en cas de contrôle.
Pour cadrer les usages quotidiens, notre article ChatGPT en entreprise : règles et risques propose une charte type.
Et les systèmes à haut risque ?
Si vous utilisez un système d'IA classé à haut risque, par exemple pour le recrutement ou l'évaluation de crédit, des obligations plus strictes s'ajoutent. Le déployeur doit notamment confier le contrôle humain à des personnes qui ont la compétence, la formation et l'autorité nécessaires (article 26). Le règlement omnibus fixe l'application de ces règles au 2 décembre 2027 pour les systèmes listés à l'annexe III, dont le recrutement et l'évaluation de crédit.
Notre approche chez Ozapp
Ozapp est une agence IA-First basée en Belgique, qui conçoit des agents IA, des chatbots et des automatisations, et forme les équipes à les utiliser. Notre accompagnement Conseil & formation IA couvre l'inventaire des usages, les règles d'usage et des ateliers par métier, en français, en néerlandais ou en anglais. Pour un premier diagnostic gratuit, essayez notre diagnostic de maturité IA, qui tient compte du RGPD et de l'AI Act.
Cet article est informatif et ne constitue pas un avis juridique.
- Découvrir notre service : Conseil & formation IA
- Demander un devis gratuit : Contact
FAQ — AI Act, article 4
Mon entreprise est-elle concernée par l'article 4 de l'AI Act ?
Oui, si vos collaborateurs utilisent un système d'IA dans leur travail. L'AI Act appelle « déployeur » toute personne ou organisation qui utilise un système d'IA sous sa propre autorité, sauf usage personnel non professionnel. Une PME dont l'équipe utilise ChatGPT pour rédiger ou traduire est concernée, comme l'indique la Commission européenne dans sa FAQ.
Faut-il un certificat ou une formation agréée ?
Non. La Commission européenne précise qu'aucun certificat n'est nécessaire et que les organisations peuvent tenir un registre interne des formations et des autres actions d'accompagnement. Une attestation de participation reste utile comme preuve, mais aucun organisme ni label n'est imposé par l'article 4.
Quelles sanctions en cas de non-respect de l'article 4 ?
L'AI Act ne fixe pas d'amende chiffrée propre à l'article 4 : les montants maximums de l'article 99 visent d'autres obligations. Ce sont les États membres qui déterminent le régime de sanctions et de mesures d'exécution, qui peut inclure des avertissements. Le manque de formation peut aussi peser en cas d'incident causé par un mauvais usage de l'IA.
Qu'est-ce qui a changé avec le règlement omnibus de 2026 ?
Le règlement (UE) 2026/1744 a remplacé le texte de l'article 4. Avant, les entreprises devaient garantir, dans toute la mesure du possible, un niveau suffisant de maîtrise de l'IA. Désormais, elles doivent prendre des mesures pour favoriser cette maîtrise, sans être tenues de garantir un niveau précis par personne. La Commission et les États membres doivent les soutenir, en particulier les PME.
Quelle formation suffit pour une PME ?
Il n'existe pas de format imposé. Pour une PME qui utilise des assistants comme ChatGPT ou Copilot, une sensibilisation pour toute l'équipe, des règles d'usage écrites et un atelier pratique par métier constituent une base solide. Les personnes qui supervisent des systèmes à haut risque ont des obligations de formation plus strictes.
