Formation IA obligatoire : ce que dit vraiment l’article 4
Une collaboratrice reprend un devis client dans un chatbot public pour le reformuler. Elle ne sait pas quelles données sont transmises ni quelles règles internes s'appliquent. Dans une autre équipe, un développeur accepte des suggestions produites par un assistant de code sans vérifier leur pertinence ou les conditions d'utilisation associées.
Ces situations ne sont pas exceptionnelles. L'IA s'installe dans les tâches quotidiennes avant que les entreprises aient défini leurs garde-fous. La formation IA obligatoire ne consiste pourtant pas à inscrire tout le monde à un programme identique. L'enjeu est de démontrer une maîtrise adaptée aux rôles, aux outils et aux risques.
Table des matières
- Pourquoi la formation IA obligatoire s'impose à votre organisation
- Ce que dit réellement l'article 4 de l'AI Act
- Qui est concerné par l'obligation d'alphabétisation IA
- Comment traduire l'obligation en plan d'action opérationnel
- Quels profils former en priorité selon les risques d'usage
- Construire un registre de preuve durable et opposable
- Synthèse et pas suivant pour aller plus loin
Pourquoi la formation IA obligatoire s'impose à votre organisation
Une entreprise peut découvrir qu'un salarié utilise une fonction d'IA intégrée à son logiciel sans que cette pratique figure dans aucun inventaire. La question devient alors très concrète : cette personne sait-elle ce que l'outil produit, ce qu'il ne garantit pas et les précautions adaptées à son travail ?
L'obligation d'alphabétisation IA, aussi appelée AI literacy, vise cette compréhension pratique. Elle ne demande pas à chaque salarié de devenir spécialiste de la science des données. Un commercial qui fait reformuler une relance par ChatGPT doit connaître les règles de confidentialité, de vérification et de relecture. Une équipe RH qui analyse des candidatures avec une fonction automatisée doit aussi comprendre les risques liés aux données personnelles et aux décisions assistées.
Règle pratique : le niveau de formation se détermine par la combinaison entre l'outil, le rôle occupé et les conséquences possibles d'une erreur.
Cette approche change la manière de construire le dispositif. Une formation unique diffusée à toute l'entreprise peut laisser de côté des usages discrets, comme un assistant de rédaction, un outil de traduction ou une option automatisée du logiciel de gestion. La preuve attendue doit donc relier chaque population aux outils qu'elle utilise et aux règles qui lui ont été transmises.
Pour un dirigeant, le premier travail consiste souvent à recenser les usages réels, pas seulement les licences achetées. Pour une consultante conformité ou un DPO, l'enjeu est de proposer une méthode proportionnée à plusieurs clients, puis de conserver des éléments cohérents sans recréer un parcours complet pour chaque organisation.
Le cadre général de l'AI Act expliqué simplement aide à situer l'article 4 dans le règlement. L'objectif est ensuite de transformer l'intention, « il faut former les équipes », en preuve documentée : usages recensés, profils concernés, consignes communiquées et vérification de leur compréhension.
Ce que dit réellement l'article 4 de l'AI Act
L'article 4 impose aux fournisseurs et aux déployeurs de systèmes d'IA de prendre des mesures pour garantir un niveau suffisant de maîtrise de l'IA parmi leur personnel et les personnes agissant sous leur autorité. En clair, l'organisation doit vérifier que les personnes concernées comprennent assez les outils utilisés pour prendre des décisions et adopter des pratiques éclairées.
La Commission européenne indique que cette maîtrise dépend des connaissances techniques, de l'expérience, de l'éducation, de la formation et du contexte d'utilisation. Ces critères sont précisés dans sa foire aux questions sur l'alphabétisation IA. Le niveau attendu varie donc selon les fonctions. Une personne qui utilise ponctuellement un assistant de rédaction n'a pas besoin des mêmes repères qu'une personne qui configure un système ou supervise une décision assistée.
Une obligation de moyens adaptée au poste
L'article 4 fonctionne comme une consigne de sécurité dans un atelier. Elle ne se limite pas à transmettre une règle générale. Elle doit correspondre à l'activité exercée, aux outils manipulés et aux erreurs susceptibles de se produire.
Un utilisateur occasionnel doit par exemple connaître les risques liés aux données confidentielles, aux réponses inexactes et à l'absence de vérification. Un référent qui paramètre un outil ou encadre des décisions assistées doit comprendre plus précisément ses limites, ses réglages et les contrôles à prévoir.
L'article 4 ne fixe pas :
- Une durée minimale, puisqu'aucune durée réglementaire uniforme n'est imposée.
- Un programme unique, car les usages et les risques diffèrent selon les entreprises.
- Une certification obligatoire, le règlement ne créant pas de diplôme commun à obtenir.
Cette souplesse laisse à chaque organisation le choix de son dispositif. Elle ne dispense pas de pouvoir expliquer les mesures retenues. Un courriel général envoyé à toute l'entreprise apportera rarement cette démonstration à lui seul. Le dossier doit relier les publics formés, les outils utilisés, les consignes transmises et les modalités de vérification.
Une obligation déjà applicable
En France, l'article 4 s'applique depuis le 2 février 2025, sans seuil de taille, de secteur ou de budget, selon l'analyse consacrée à la formation obligatoire au titre de l'AI Act. Une TPE utilisant régulièrement un assistant génératif est donc concernée, comme un grand groupe, par le principe de l'obligation.
L'entreprise doit mettre en place une démarche proportionnée et conserver les éléments qui permettent de la comprendre. La preuve ne repose pas uniquement sur la présence à une session. Elle repose sur un ensemble cohérent, adapté aux rôles, aux outils et aux risques concrets.
Qui est concerné par l'obligation d'alphabétisation IA
L’Insee indique qu'en 2025, 18 % des entreprises implantées en France utilisent au moins une technologie d'IA. Cette progression ne crée pas une règle réservée aux grandes organisations. Une petite entreprise peut être concernée dès qu'un système d'IA intervient dans son activité professionnelle.
L'article 4 vise d'abord les fournisseurs, c'est-à-dire les organisations qui mettent des systèmes d'IA sur le marché. Il concerne aussi les déployeurs, autrement dit les structures qui utilisent ces systèmes dans leur travail quotidien. Le terme peut sembler technique, mais la situation est simple : une entreprise qui intègre un outil d'IA dans ses processus doit identifier les personnes exposées à son fonctionnement et à ses risques.
Plusieurs usages peuvent suffire :
- Un assistant génératif, comme ChatGPT ou Microsoft Copilot, utilisé pour rédiger, résumer ou analyser.
- Une fonction intégrée, par exemple une aide automatisée dans un logiciel métier.
- Un système interne, conçu ou paramétré pour répondre à un besoin précis.
- Un outil utilisé par un prestataire, lorsque celui-ci intervient dans les processus de l'entreprise.
Le périmètre humain est tout aussi large. L'organisation doit examiner les usages des salariés, mais aussi ceux des stagiaires, des freelances encadrés et des sous-traitants intégrés aux opérations. Le contrat ne suffit donc pas à déterminer qui former. Le critère à retenir est le lien entre la personne, l'usage professionnel du système et l'autorité exercée par l'organisation.
La taille de l'entreprise ne change pas le principe
Une TPE ne bénéficie pas d'une dispense automatique. Son dispositif peut rester simple, mais il doit correspondre aux outils réellement utilisés, aux rôles concernés et aux risques rencontrés. Elle doit aussi conserver une trace de ses choix, afin de montrer pourquoi certaines personnes ont été formées et sur quels usages.
L'obligation ne transforme pas toutes les entreprises en spécialistes de l'IA. Elle demande plutôt une démarche documentée : repérer les personnes qui utilisent ou encadrent ces systèmes, puis relier la sensibilisation aux pratiques observées. La taille réduit parfois l'ampleur du dispositif, pas la nécessité de pouvoir l'expliquer.
Comment traduire l'obligation en plan d'action opérationnel
Une politique sérieuse commence par les usages réels, pas par le catalogue d'une entreprise de formation. Le fait d'avoir acheté une licence ne prouve pas que l'outil est utilisé. À l'inverse, l'absence de licence centralisée ne prouve pas qu'aucun salarié ne recourt à l'IA.
Commencer par un diagnostic honnête
Interrogez les équipes et les responsables de service. Cherchez les usages de ChatGPT, Copilot, les outils de transcription, les fonctions d'analyse intégrées aux logiciels métiers et les modèles internes. Demandez aussi quelles données sont saisies, qui relit les résultats et quelles décisions dépendent des sorties produites.
Le diagnostic doit identifier les pratiques déclarées et les pratiques informelles. Une conversation confidentielle avec les équipes peut révéler des usages que les achats, la DSI ou la direction n'ont jamais recensés.
Relier les profils aux besoins
Un développeur qui intègre un modèle d'IA doit comprendre les paramètres techniques, les limites du système et les contrôles à prévoir. Un commercial a plutôt besoin de règles sur les données client, la vérification des contenus et la responsabilité de la réponse envoyée.
Classez ensuite les personnes selon leur rôle réel :
- Utilisateurs occasionnels, qui emploient l'IA pour des tâches ponctuelles.
- Utilisateurs réguliers, dont plusieurs activités quotidiennes dépendent d'un assistant.
- Superviseurs et décideurs, qui valident les usages, les outils ou les résultats.
- Profils techniques, qui conçoivent, intègrent ou paramètrent les systèmes.
Hiérarchiser les risques
Trois questions permettent de prioriser sans créer un dispositif disproportionné :
- Les données traitées sont-elles sensibles, personnelles, juridiques ou médicales ?
- L'IA produit-elle seulement une suggestion, ou agit-elle avec une autonomie importante ?
- Quelles seraient les conséquences d'une erreur non détectée ?
Un atelier pratique convient aux cas sensibles. Un module d'apprentissage en ligne peut répondre aux usages courants. Les dirigeants et managers ont besoin d'un format plus court, centré sur les arbitrages, la gouvernance et la validation des outils.
Une formation identique pour tous peut donner l'impression que l'entreprise a agi, sans démontrer que le contenu répond aux risques réels. La méthode de formation IA par profils et usages peut servir de point de comparaison pour organiser cette démarche.
Quels profils former en priorité selon les risques d'usage
La priorité ne dépend pas uniquement du nombre de fois où une personne ouvre un outil. Il faut croiser l'exposition à l'IA avec la criticité des décisions assistées. Un utilisateur quotidien qui prépare des brouillons ne présente pas le même profil qu'une personne qui valide une recommandation influençant un salarié ou un client.
Le tableau suivant aide à organiser une première segmentation. Il ne remplace pas l'analyse du contexte, mais il évite de traiter tous les métiers de manière uniforme.
| Profil | Niveau de risque | Format adapté | Preuve attendue |
|---|---|---|---|
| Fonctions RH, finance, juridique ou santé manipulant des données sensibles | Élevé, en raison des données et des conséquences possibles d'une erreur | Atelier métier, règles internes et exercices de vérification | Liste nominative, contenu suivi, validation des acquis et règles applicables |
| Utilisateurs intensifs, quel que soit leur métier | Intermédiaire à élevé, car l'usage est fréquent et peut devenir automatique | Parcours pratique lié aux tâches réelles | Participation, modules suivis, évaluation et rappels documentés |
| Dirigeants et managers | Variable, avec un risque lié aux décisions de gouvernance et au choix des outils | Brief de pilotage, arbitrages et responsabilités | Support présenté, participants, décisions prises et validation interne |
| Profils techniques qui conçoivent ou intègrent les solutions | Élevé lorsque la configuration influence les accès, les données ou l'autonomie | Formation technique et revue des contrôles | Programme détaillé, exercices, validation par la fonction compétente |
Pourquoi les profils techniques ne doivent pas être oubliés
Un outil peut sembler correctement protégé côté utilisateur alors qu'une mauvaise intégration élargit les accès ou modifie le comportement attendu. Les personnes qui développent, paramètrent ou connectent un système doivent donc comprendre les limites de la solution et les contrôles associés.
Donner un socle commun sans uniformiser
Tous les collaborateurs peuvent recevoir des règles communes sur la confidentialité, la vérification des réponses, la remontée d'un incident et l'interdiction de certaines pratiques internes. Ce socle ne suffit pas toujours à lui seul. Les métiers exposés ont besoin d'exemples directement liés à leurs décisions et à leurs données.
Construire un registre de preuve durable et opposable
La conformité à l'article 4 se démontre, elle ne se présume pas. Un registre de preuve est une documentation qui relie les personnes formées, le contenu suivi, les usages concernés et les résultats obtenus. L'AI Act ne fixe pas de format unique, mais l'entreprise doit pouvoir expliquer sa démarche.
Un enregistrement utile devrait préciser, pour chaque personne concernée :
- La date de formation, avec l'identité ou le groupe de rattachement.
- Le contenu exact, notamment les thèmes, le module suivi et les usages visés.
- Le format utilisé, par exemple présentiel, distanciel, atelier ou apprentissage en ligne.
- L'évaluation des acquis, avec le résultat disponible et la validation obtenue.
Relier la preuve à l'usage réel
Une formation sur ChatGPT ne suffit pas nécessairement si l'équipe utilise ensuite un outil interne qui traite d'autres données ou fonctionne selon d'autres règles. Le registre doit montrer pourquoi le contenu sélectionné correspond au système effectivement déployé.
La preuve doit également distinguer la formation initiale des actions continues. Une nouvelle fonctionnalité, un agent automatisé ou une modification du processus peut créer un besoin supplémentaire. L'entreprise doit alors noter ce qui a changé, quelles personnes sont concernées et quelle actualisation a été réalisée.
Point de contrôle : un registre convaincant répond à trois questions. Qui a été formé ? Sur quel usage précis ? Avec quelle validation de l'adéquation entre le contenu et le risque ?
Organiser la validation et la conservation
Un DPO, un responsable conformité, un responsable de la sécurité des systèmes d'information ou un consultant mandaté peut vérifier que le parcours correspond aux risques recensés. Cette validation ne transforme pas automatiquement le dispositif en certification. Elle apporte une trace de l'analyse professionnelle qui soutient le choix des contenus.
Le registre doit rester conservable pendant la durée du déploiement des outils concernés et pouvoir être exporté si l'entreprise doit répondre à une demande de contrôle. Le cadre pratique d'une IA de confiance aide aussi à relier formation, confidentialité, vérification humaine et règles internes.
Synthèse et pas suivant pour aller plus loin
Si une équipe utilise un outil d'IA sans que la DSI en ait connaissance, l'entreprise peut croire sa formation suffisante alors qu'un usage important échappe au dispositif. L'article 4 impose donc une maîtrise de l'IA proportionnée aux rôles, aux outils et au contexte d'utilisation. Il ne prévoit ni durée minimale, ni certification unique, ni programme identique. Une TPE et un grand groupe suivent le même principe, avec des mesures adaptées à leurs risques.
La démarche doit produire une preuve documentée, plutôt que diffuser un module uniforme :
- Recenser les usages réels, y compris ceux qui ne passent pas par les achats ou la DSI.
- Identifier les profils exposés, comme les utilisateurs intensifs, les décideurs et les fonctions traitant des données sensibles.
- Adapter les contenus aux conséquences possibles d'une erreur.
- Conserver les preuves, afin de relier chaque personne, chaque usage, chaque contenu et chaque validation.
Cette obligation s'articule avec le RGPD, les recommandations de la CNIL et les règles sectorielles applicables. Elle ne les remplace pas. Une sensibilisation à l'AI Act ne répond pas, à elle seule, aux questions de base légale, de sécurité des données ou d'information des personnes.
Cet article propose un cadre pédagogique général, pas un conseil juridique individualisé. Avant un déploiement sensible, faites relire l'analyse par un DPO, un avocat ou un professionnel compétent, surtout si l'IA traite des données personnelles ou intervient dans des décisions importantes.
Commencez par harmoniser le vocabulaire interne avec le glossaire IA d'IATOLL. Listez ensuite les outils utilisés, les équipes concernées et les preuves disponibles. Cette photographie indique si l'action prioritaire concerne la cartographie, la formation, la validation juridique ou le suivi.
IATOLL fournit une plateforme d'alphabétisation IA et de suivi de conformité à l'article 4, distribuée en marque blanche aux consultants en conformité et aux DPO externalisés. Elle propose des parcours prêts à l'emploi et génère un registre de preuve personnalisé pour chaque entreprise cliente. Consultez la démarche sur notre site pour préparer un accompagnement documenté avec votre consultant ou DPO.
