Article 4 IA Act : ce que dit vraiment le texte
Une dirigeante de PME découvre l'obligation en lisant une lettre d'information juridique. Son équipe utilise ChatGPT pour préparer des réponses, un CRM qui propose des actions commerciales et un outil de tri de CV. Elle appelle son DPO externalisé avec une question simple : « Qu'est-ce que je dois prouver exactement ? »
L'article 4 du règlement européen sur l'intelligence artificielle, souvent appelé AI Act, répond en quelques lignes. Il ne fixe pourtant ni programme de formation standard, ni examen unique, ni certificat obligatoire. C'est précisément ce qui rend son application délicate. Il faut comprendre ce que le texte impose, ce qu'il laisse à l'appréciation de l'organisation et comment constituer une preuve cohérente.
Table des matières
- L'obligation qui prend tout le monde de court
- Que dit le texte de l'article 4
- Fournisseur, déployeur ou les deux
- Mesures adaptées plutôt que seuil chiffré
- Deux cas concrets côté terrain
- Les marges de manœuvre laissées par l'article 4
- Construire une preuve de conformité
- Aller plus loin sans se perdre
L'obligation qui prend tout le monde de court
Le cas de cette PME n'a rien d'exceptionnel. Beaucoup d'organisations ont introduit des outils d'intelligence artificielle au fil des besoins, sans recenser précisément qui les utilise, pour quelles tâches et avec quelles précautions. L'obligation de littératie IA, c'est-à-dire la capacité à comprendre l'outil, ses limites, ses risques et son usage approprié, arrive donc après les premières habitudes de travail.
L'article 4 ne demande pas seulement de choisir un outil conforme. Il s'intéresse aux personnes qui le sélectionnent, le paramètrent, l'utilisent ou prennent des décisions à partir de ses résultats. Un salarié qui demande à un assistant génératif de reformuler un courriel n'est pas exposé de la même manière qu'une personne qui exploite un outil de recrutement ou qui contrôle un système intégré dans un service client.
Règle pratique : la question n'est pas seulement « quelle IA utilisez-vous ? », mais aussi « qui fait quoi avec cette IA ? ».
L'obligation s'applique aux fournisseurs et aux déployeurs de systèmes d'IA. Elle concerne donc les entreprises qui développent ou commercialisent un système, mais aussi celles qui utilisent un outil dans leur activité professionnelle. Les indépendants, cabinets de conseil, professions libérales, prestataires et DPO externalisés peuvent être concernés lorsqu'ils opèrent des outils pour leur propre compte ou pour celui d'un client. La sensibilisation à l'IA expliquée simplement permet de distinguer cette compétence humaine de la simple prise en main technique d'un logiciel.
En France, l'obligation de maîtrise de l'IA s'applique depuis le 2 février 2025, selon la page officielle consacrée à l'article 4 de l'AI Act. Le contrôle et les sanctions entrent dans une phase pleinement applicable au 2 août 2026, d'après les informations disponibles sur le calendrier français présenté par IA Entrepreneur. Il reste donc utile de construire une trace exploitable avant qu'un contrôle ne transforme une sensibilisation informelle en difficulté de justification.
Que dit le texte de l'article 4
Le texte commence par les acteurs concernés. L'obligation vise les fournisseurs et les déployeurs de systèmes d'IA. Un usage purement personnel et non professionnel est exclu. En clair, l'organisation doit regarder ses usages professionnels, pas les essais privés réalisés hors de son activité.
La deuxième idée est une obligation d'action. Les acteurs concernés doivent prendre des mesures appropriées pour garantir, « dans la mesure du possible », un niveau suffisant de maîtrise de l'IA pour leur personnel et les personnes qui utilisent ou font fonctionner les systèmes en leur nom. Cela peut inclure des salariés, mais aussi des prestataires, sous-traitants ou consultants lorsqu'ils agissent pour l'organisation.
La troisième idée concerne le contenu de cette maîtrise. Il ne suffit pas de savoir ouvrir une interface. Les personnes doivent comprendre les capacités et les limites de l'outil, repérer les risques pertinents et utiliser ses résultats avec un jugement adapté. La clarification de la Commission européenne sur la littératie IA rappelle que le règlement ne fixe pas un niveau minimal chiffré identique pour chaque individu.
L'article 4 doit donc se lire comme une obligation de gouvernance des compétences. L'organisation choisit des mesures proportionnées au rôle, au contexte d'usage et aux personnes concernées. Elle doit ensuite pouvoir expliquer pourquoi ces mesures étaient adaptées.
Le texte ne prescrit ni durée minimale, ni certification obligatoire, ni examen uniforme. Cette souplesse aide une petite structure à éviter une formation disproportionnée. Elle crée aussi un risque de preuve, car une attestation générale ne montre pas forcément que les bons publics ont été formés sur les bons usages.
Fournisseur, déployeur ou les deux
La distinction dépend de la position de l'organisation dans la chaîne de l'IA. Un fournisseur développe ou fait développer un système et le met à disposition sous son nom ou sa marque. Un déployeur utilise un système sous sa responsabilité professionnelle.
Un éditeur SaaS qui commercialise un outil d'analyse de CV peut être fournisseur. Le cabinet de recrutement qui utilise cet outil pour traiter des candidatures est, lui, déployeur. Le fait que l'outil soit gratuit ou accessible en ligne ne change pas automatiquement cette analyse.
| Critère | Fournisseur | Déployeur |
|---|---|---|
| Rôle principal | Mettre un système d'IA sur le marché ou en service sous son nom | Utiliser un système d'IA dans une activité professionnelle |
| Exemple | Éditeur qui intègre une fonction d'analyse de CV dans son logiciel | Cabinet RH qui se sert de cette fonction pour ses missions |
| Public à former | Équipes qui conçoivent, testent, documentent ou exploitent le système | Personnes qui utilisent, supervisent ou interprètent les résultats |
| Point de vigilance | Comprendre le fonctionnement, les limites et les obligations liées au produit | Comprendre l'usage autorisé, les erreurs possibles et les contrôles humains |
Certaines structures cumulent les deux rôles. Un cabinet de conseil peut intégrer un modèle génératif dans son propre produit, puis déployer ce produit chez ses clients. Il doit alors former ses équipes internes et organiser la maîtrise de l'IA chez les personnes qui utilisent le système dans le cadre prévu.
Un arbre de décision aide à commencer :
- Développez-vous ou faites-vous développer un système sous votre nom ? Vous devez examiner le rôle de fournisseur.
- Mettez-vous ce système à disposition d'autres organisations ? Vous devez documenter les responsabilités associées à cette mise à disposition.
- Utilisez-vous un système dans votre activité ? Vous devez examiner le rôle de déployeur.
La qualification précise dépend du système et du contexte. Elle mérite une validation juridique lorsque les responsabilités se chevauchent.
Mesures adaptées plutôt que seuil chiffré
L'expression « mesures appropriées » ne doit pas rester abstraite. Une petite organisation peut la traduire en éléments vérifiables, sans prétendre qu'une liste interne remplace l'analyse juridique du contexte.
Commencez par cartographier les outils réellement utilisés. Interrogez les équipes sur les assistants génératifs, les fonctions intelligentes des logiciels métier, les outils de transcription, les solutions de recrutement et les applications intégrées aux processus existants.
Évaluez ensuite l'exposition selon les fonctions. Une personne qui corrige une formulation n'a pas le même besoin qu'un manager qui valide une décision influencée par une sortie automatisée. Le format doit suivre ce besoin :
- Atelier pratique, pour travailler sur les usages réels de l'équipe.
- Module court, pour transmettre les règles communes et les réflexes de confidentialité.
- Mentorat ou accompagnement, pour les personnes qui configurent ou supervisent les outils.
- Évaluation, pour vérifier que les participants savent reconnaître une limite ou une situation sensible.
Conservez le contenu diffusé, le public visé, la date et le mode d'évaluation. Une attestation nominative peut compléter le dossier, à condition de décrire réellement le parcours suivi. L'article 4 n'impose pas la conservation pendant cinq ans, ni une mise à jour annuelle obligatoire. Ces choix peuvent toutefois être retenus dans une politique interne si la durée et la fréquence sont justifiées par le contexte.
Enfin, reliez ce dispositif aux actions de sensibilisation déjà menées au titre de la protection des données. Le texte de référence utilisé pour expliquer l'obligation insiste sur la prise en compte des connaissances techniques, de l'expérience, de la formation et du contexte d'usage.
Deux cas concrets côté terrain
Une PME de services B2B découvre que son équipe utilise depuis plusieurs mois un outil de transcription alimenté par l'IA. Les collaborateurs l'emploient pour transformer des réunions en comptes rendus, mais personne n'a formalisé les données qui peuvent y être envoyées, les vérifications nécessaires ou les personnes responsables de la relecture.
La PME peut traiter le sujet comme un projet interne. Elle recense l'outil, définit les usages autorisés, organise des sessions adaptées aux rôles et conserve la liste des participants. Le résultat attendu n'est pas une promesse de perfection. C'est un ensemble cohérent entre l'usage, la formation et la preuve.
Un cabinet de conseil indépendant se trouve dans une situation différente. L'associé utilise plusieurs modèles génératifs pendant ses missions. Il peut intégrer une note de cadrage à ses livrables, préciser les limites de l'assistance automatisée, prévoir une vérification humaine et conserver la preuve que les personnes concernées ont reçu ces consignes.
| Critère | PME de services | Cabinet conseil indépendant |
|---|---|---|
| Organisation | Projet porté par la direction, les ressources humaines et les responsables métiers | Processus intégré aux documents de mission |
| Usage à examiner | Outil de transcription et usages connexes | Modèles génératifs utilisés pour produire ou analyser des livrables |
| Preuve utile | Registre des outils, participants, contenu et date de révision | Note de cadrage, consignes transmises et validation liée à la mission |
| Mise à jour | Relecture lors d'un changement d'outil ou de processus | Révision à chaque évolution importante du cadre de mission |
Une attestation PME peut indiquer : identité du participant, rôle, outil concerné, thèmes abordés, date, mode d'évaluation et personne responsable du parcours. Pour le cabinet, la fiche peut ajouter la mission, le périmètre de l'usage et les contrôles humains prévus.
Dans les deux cas, la trace doit permettre de répondre à trois questions : qui a été formé, sur quoi et pour quel usage. Le contenu varie. La logique documentaire reste comparable.
Les marges de manœuvre laissées par l'article 4
L'article 4 laisse une marge d'appréciation sur le format, la durée et le support des mesures de littératie. La Commission européenne précise qu'aucun niveau minimal chiffré ne s'applique à chaque individu. L'organisation choisit donc un parcours cohérent avec les fonctions exercées, plutôt qu'un volume d'heures, un score universel ou une certification imposée à tous.
Le texte laisse aussi le choix du formateur et du support. Une formation interne, un atelier, un accompagnement au poste ou une combinaison de ces formats peuvent convenir. Le point à documenter est le raisonnement qui relie ce choix aux systèmes utilisés et aux risques rencontrés.
| Exigence à satisfaire | Choix laissés à l'organisation |
|---|---|
| Prendre des mesures adaptées | La durée et le nombre d'heures |
| Tenir compte des connaissances, de l'expérience, de la formation et du contexte | Le recours ou non à une certification |
| Viser un niveau suffisant de maîtrise | Le support et le format pédagogique |
| Former les personnes concernées par l'usage professionnel | Un parcours différent selon les rôles |
La proportionnalité guide la conception. Une personne chargée de reformuler des textes peut recevoir des consignes ciblées sur la vérification et la confidentialité. Une équipe qui supervise un système influençant un processus sensible aura besoin d'un parcours plus approfondi, lié à ses décisions et à ses contrôles. Les systèmes à haut risque peuvent aussi relever d'exigences spécifiques, indépendantes de la souplesse offerte par l'article 4.
Choisir librement le format suppose de pouvoir expliquer ce choix.
L'absence de seuil chiffré appelle donc une appréciation concrète. Un module bref peut répondre à un usage limité, tandis qu'une sensibilisation générale laissera des lacunes si elle ignore les pratiques réelles. La Commission propose enfin un répertoire de pratiques de littératie IA, utile pour comparer des méthodes sans transformer un exemple en modèle obligatoire.
Construire une preuve de conformité
Une preuve utile permet à un tiers de comprendre rapidement qui a été formé, sur quel outil, pour quel usage et avec quelles vérifications. En France, l'obligation de maîtrise de l'IA s'applique depuis le 2 février 2025. Le contrôle et les sanctions entrent dans une phase pleinement applicable au 2 août 2026, selon le calendrier présenté pour les organisations françaises.
Un registre peut rester simple. Il fonctionne comme le carnet d'entretien d'un véhicule, chaque intervention y laisse une trace vérifiable. Une fiche de suivi peut préciser :
- Rôle, fournisseur, déployeur, utilisateur, superviseur ou prestataire.
- Système concerné, avec sa fonction professionnelle.
- Public visé, équipe ou personne concernée.
- Contenu, risques, limites, confidentialité et contrôles humains.
- Date et responsable, personne ayant dispensé ou validé le parcours.
- Évaluation, exercice, échange, quiz ou méthode retenue.
- Révision, motif de la mise à jour et nouveau contenu diffusé.
Joignez à cette fiche la cartographie des rôles, le plan de formation et les attestations. La procédure d'évaluation montre comment la compréhension a été vérifiée. Un registre d'incidents pédagogiques peut aussi documenter une incompréhension récurrente, une mauvaise pratique ou un besoin de rappel.
La méthode d'alphabétisation IA et de traçabilité peut s'intégrer aux documents de gouvernance. Les articles 4, 16 et 26 peuvent engager des responsabilités différentes selon que l'organisation fournit ou déploie un système. Le dossier doit donc identifier précisément le périmètre retenu et le raisonnement qui le justifie.
Une relecture s'impose lorsqu'un outil change, qu'un nouvel usage apparaît ou qu'une équipe accueille de nouvelles personnes. Une relecture annuelle peut servir de règle interne, sans être imposée par l'article 4. La fréquence choisie doit rester cohérente avec les usages et permettre de démontrer que le dispositif est réellement appliqué.
Aller plus loin sans se perdre
L'article 4 s'inscrit dans un ensemble plus large. Les responsabilités des déployeurs, des fournisseurs, la transparence et la gouvernance peuvent appeler d'autres vérifications, notamment autour des articles 16, 26, 50 et 99. La conformité IA expliquée par étapes aide à éviter de réduire l'AI Act à la seule formation.
L'article 4 ne prévoit pas une sanction automatique attachée à chaque incident de formation. Un manquement peut néanmoins attirer l'attention de l'autorité nationale compétente et conduire l'organisation à justifier ses mesures. La conformité se gère donc comme un processus vivant, pas comme un fichier créé une fois pour toutes.
Commencez par six questions :
- Qui utilise un système d'IA ?
- Quelle formation ou consigne existe déjà ?
- Qui vérifie la compréhension ?
- Où les preuves sont-elles conservées ?
- Comment les nouveaux arrivants sont-ils formés ?
- Qui relit le dispositif lorsque les outils ou les usages changent ?
Pour les points sensibles, faites valider votre analyse par un professionnel compétent et consultez les ressources de la Commission européenne, de l'AI Office et de la CNIL.
IATOLL fournit aux consultants en conformité et aux DPO externalisés des parcours d'apprentissage prêts à l'emploi et génère, pour chaque entreprise cliente, un registre de preuve d'alphabétisation personnalisé. Découvrez comment cette plateforme distribuée en marque blanche peut s'intégrer à votre accompagnement sur IATOLL.
