Article 4 AI Act et plan de formation : ce que toute organisation doit avoir mis en place avant le 2 août 2026

L’article 4 du règlement européen sur l’intelligence artificielle impose à toute organisation utilisant des systèmes d’IA d’assurer un niveau suffisant de littératie IA à son personnel. Le texte est en application depuis le 2 février 2025, les contrôles nationaux démarrent le 2 août 2026. Concrètement, il vous reste quelques semaines pour mettre en place ce que vous n’avez pas encore fait, et l’enjeu n’est pas seulement réglementaire. Selon le rapport Salesforce « AI at Work » de septembre 2024, 49 % des salariés utilisent déjà des outils d’IA non approuvés par leur employeur : la conformité à l’article 4 traite donc autant un risque juridique qu’une réalité d’usage qui se déploie sans cadre. Ce guide passe en revue ce que dit le texte, ce qu’il faut avoir documenté, la méthode en cinq étapes pour bâtir un plan de formation à la fois conforme et utile, les sanctions encourues, et les évolutions liées à l’Omnibus Numérique.

Cet article complète notre guide pilier sur l’IA en formation professionnelle et s’articule avec les trois sujets qui en découlent côté organisations utilisatrices : la conformité Qualiopi pour les organismes qui forment à l’IA, le financement OPCO d’une formation IA et la certification RS6776 sur l’usage responsable de l’IA générative.

En bref

• L’article 4 AI Act est en vigueur depuis le 2 février 2025 et impose une obligation de littératie IA à tous les déployeurs de systèmes d’IA, sans seuil d’effectif.
• Les sanctions nationales s’appliquent à partir du 2 août 2026 : ce sont les autorités de chaque État membre (la CNIL en France) qui contrôleront.
• 49 % des salariés utilisent déjà des outils d’IA non approuvés par leur employeur (Salesforce, sept. 2024) : la conformité formelle rejoint un enjeu de maîtrise des usages réels.
• Le texte ne prescrit aucun programme standard mais pose un principe de proportionnalité : le plan doit s’adapter au rôle, aux outils utilisés et au risque associé.
• Trois profils structurent un plan opérationnel : utilisateur occasionnel (sensibilisation), utilisateur métier régulier (formation outillée), super-utilisateur ou décisionnaire (parcours certifiant comme la RS6776).
• L’absence directe de sanction propre à l’article 4 ne signifie pas l’absence de risque : son respect sera vérifié par défaut lors de tout contrôle lié à un incident IA.
• Pour outiller votre démarche, découvrez notre audit de la littératie IA de vos équipes.

Notre équipe accompagne des organisations sur la mise en conformité AI Act depuis début 2025, en lien avec les conseils RH et juridiques. La méthode ci-dessous est issue de ces accompagnements, audits et plans déployés à l’appui.

L’article 4 en clair : qui est concerné, pour quoi

Le texte de référence est le règlement (UE) 2024/1689 du 13 juin 2024, dit AI Act. Son article 4, intitulé « Maîtrise de l’IA », tient en quelques lignes que plusieurs analyses juridiques déclinent en obligations pratiques. Il dispose en substance que les fournisseurs et les déployeurs de systèmes d’IA prennent des mesures pour assurer, dans toute la mesure du possible, un niveau suffisant de maîtrise de l’IA chez leur personnel et chez toute autre personne s’occupant du fonctionnement et de l’utilisation des systèmes d’IA en leur nom.

Qui est déployeur ? Toute organisation qui intègre un système d’IA dans son activité. Cela couvre l’usage de ChatGPT, Claude, Copilot, Gemini, Mistral, Midjourney, mais aussi des fonctionnalités intégrées dans des logiciels métier (CRM, ERP, outils RH). Comme le précise l’analyse d’une cabinet spécialisé, beaucoup de dirigeants pensent que l’AI Act vise les grands groupes seulement, ce qui est inexact. Le texte couvre les déployeurs d’IA, c’est-à-dire toute organisation qui intègre un système d’IA dans son activité.

Aucun seuil d’effectif n’exonère. Une structure de cinq personnes utilisant ChatGPT au quotidien entre dans le périmètre, comme une multinationale. Le principe de proportionnalité s’applique au contenu du plan, pas à l’obligation elle-même.

Que veut dire « niveau suffisant » ? Le texte n’impose ni programme standard ni certification obligatoire. Il pose une obligation de résultat : chaque collaborateur utilisant l’IA doit être en mesure de le faire de manière informée, sécurisée, et conforme aux usages déclarés. Une organisation doit donc démontrer que ses collaborateurs disposent des compétences, des connaissances et d’une compréhension suffisantes pour utiliser ces systèmes de façon responsable.

Le calendrier : entrée en vigueur de l’article 4 le 2 février 2025, sanctions nationales applicables le 2 août 2026. Ce délai initialement large s’est transformé en compte à rebours pour les organisations qui n’ont rien démarré.

Ce que l’AI Act demande concrètement (et ce qu’il ne demande pas)

L’article 4 a une particularité qui déstabilise beaucoup de directions : il pose une obligation forte sans prescrire de méthode. Cette flexibilité, lue de manière paresseuse, conduit à attendre des précisions qui ne viendront pas sous cette forme. Mieux vaut prendre acte des contours réels du texte et avancer.

Ce que le texte demande : un niveau suffisant de littératie IA pour toute personne impliquée dans l’usage de systèmes d’IA, proportionné au rôle de chacun, aux outils utilisés et au risque associé. La démonstration se fait par des mesures concrètes : information, sensibilisation, formation, documentation. Plusieurs analyses convergent sur la liste pratique : un guide de sensibilisation interne, une attestation de lecture signée, et une formation adaptée aux fonctions de chaque collaborateur.

Ce que le texte ne demande pas : un programme standard, une durée minimum unique, une certification obligatoire. Le principe de proportionnalité signifie que vous devez réfléchir à votre cas plutôt que d’appliquer une recette générique. Un commercial qui utilise ChatGPT pour reformuler des emails n’a pas besoin du même parcours qu’un développeur qui intègre des modèles dans un produit.

Ce que les autorités vérifieront : pas un dossier rangé pour la forme, mais la cohérence entre votre activité réelle et les mesures prises. Vous utilisez Copilot dans Microsoft 365 ? Vos collaborateurs ont-ils été formés à ses limites et à ses paramètres de confidentialité ? Vous laissez vos commerciaux utiliser ChatGPT pour préparer leurs rendez-vous ? Avez-vous posé un cadre sur les données qu’ils peuvent y transmettre ? Le contrôle vérifiera ce lien, pas la beauté du PowerPoint de sensibilisation.

La nuance sur les sanctions : l’article 4 lui-même ne fixe pas de sanction propre. Comme le souligne une analyse récente du sujet, cette obligation ne fait pas l’objet de sanctions spécifiques, mais elle sera prise en compte par les autorités de contrôle en cas de manquement lié à un mauvais usage de l’IA. Le risque est donc indirect mais réel : le jour où un incident survient (fuite de données, biais discriminatoire, décision automatisée contestée), l’absence de plan de formation se retournera contre l’organisation. Et le régime général de sanctions AI Act prévoit jusqu’à 15 millions d’euros ou 3 % du chiffre d’affaires mondial pour les manquements aux obligations applicables.

La méthode en cinq étapes pour bâtir un plan de formation conforme

Sans recette standard, il faut une démarche. Voici celle que nous appliquons en accompagnement, en cinq étapes qui tiennent en quatre à six semaines pour une organisation de taille moyenne.

Étape 1, cartographier les usages réels. En une demi-journée d’enquête interne, listez où l’IA intervient déjà dans l’organisation : quels outils, quels services, quels collaborateurs, quels usages. L’exercice révèle souvent une réalité plus dense que la perception managériale, en cohérence avec les 49 % de salariés utilisant l’IA sans aval RH selon les chiffres Salesforce cités plus haut. Cette photographie honnête est votre point de départ.

Étape 2, identifier les profils selon leur exposition. Trois grandes catégories couvrent la plupart des cas : l’utilisateur occasionnel (qui se sert d’un outil d’IA quelques fois par semaine pour des tâches simples), l’utilisateur métier régulier (qui en a fait un outil de son quotidien professionnel), le super-utilisateur ou décisionnaire (qui pilote la stratégie IA d’un service ou qui paramètre des systèmes pour les autres). Chaque profil appelle un parcours différent.

Étape 3, définir le niveau de littératie attendu par profil. Plutôt que de partir d’un volume horaire, partez des compétences observables. Pour un utilisateur occasionnel, savoir reconnaître une hallucination, comprendre les paramètres de confidentialité de base, et respecter une charte interne suffit. Pour un utilisateur métier régulier, ajoutez la maîtrise du prompt engineering, la connaissance des limites des modèles, et la gestion responsable des données. Pour un super-utilisateur, intégrez la stratégie d’implémentation, l’évaluation des risques, et la conformité réglementaire avancée.

Étape 4, construire les modules et formaliser les preuves. Chaque profil reçoit un parcours adapté : une sensibilisation d’une demi-journée pour l’utilisateur occasionnel, une formation de deux jours pour l’utilisateur métier régulier, un parcours certifiant pour le super-utilisateur. Les preuves se constituent en parallèle : feuilles d’émargement, attestations individuelles, supports pédagogiques validés, traces d’évaluation des acquis. La certification RS6776 sur l’usage responsable de l’IA générative constitue un bon repère pour les profils les plus exposés.

Étape 5, mettre en place le suivi annuel. L’IA évolue vite, votre plan aussi. Une revue annuelle ajuste la cartographie, met à jour les modules, intègre les retours, et prévoit la formation des nouveaux arrivants. Cette routine, ajoutée à votre cycle de gestion des compétences classique, transforme une obligation ponctuelle en pratique durable.

Le registre de conformité : cinq documents à constituer dès maintenant

Une obligation se démontre par les pièces qu’elle laisse derrière elle. Pour répondre à l’article 4 sans se faire prendre de court, cinq documents suffisent et peuvent être préparés en parallèle des formations elles-mêmes.

Premier document, la cartographie des collaborateurs concernés. Une liste qui croise les noms, les fonctions, les outils d’IA utilisés et la catégorie de littératie attendue (profil A, B ou C). Cette liste évolue à chaque arrivée, départ ou changement de poste, et constitue le squelette du dispositif.

Deuxième document, le plan de formation annuel. Une page suffit. Elle indique les actions prévues par profil, les organismes choisis, les budgets, le calendrier. Ce plan se met à jour au moins une fois par an, idéalement à chaque revue de budget formation. Pour structurer le financement de ces actions, voyez notre guide sur le financement OPCO d’une formation IA.

Troisième document, les attestations individuelles et émargements. Pour chaque collaborateur formé, le système d’information conserve l’attestation, la durée, le contenu, l’organisme. Si vos formations sont prises en charge par un organisme certifié Qualiopi, ces pièces vous sont fournies automatiquement et constituent une preuve de qualité reconnue par les autorités.

Quatrième document, les supports pédagogiques et résumés. Conservez une version archivée des supports utilisés en sensibilisation et en formation, ainsi qu’une synthèse de leur contenu. C’est la preuve que la formation a porté sur la littératie IA et pas sur autre chose.

Cinquième document, la politique d’usage de l’IA dans l’organisation. Une page interne qui dit ce que vos collaborateurs peuvent faire avec l’IA, ce qu’ils doivent valider, ce qu’ils ne doivent jamais faire (anti-prompts, données personnelles, secrets commerciaux). Cette charte est aussi le repère que vos formations viennent ancrer dans la pratique quotidienne.

L’ensemble tient dans un classeur, physique ou numérique. C’est ce dossier que l’inspection consultera en cas de contrôle, et c’est lui qui transforme une bonne intention en preuve de conformité.

Exemple concret : une PME de 25 salariés en service tertiaire

Pour rendre la méthode opérationnelle, voici comment se déroule la démarche pour une organisation type que nous accompagnons : une PME de 25 collaborateurs dans le service tertiaire (conseil, comptabilité, communication, agence). Elle utilise Microsoft 365 avec Copilot, ChatGPT en version gratuite côté commercial, et un outil sectoriel intégrant un assistant IA. Aucune formation structurée à l’IA n’a été dispensée à ce jour.

Cartographie en demi-journée. L’enquête interne révèle que 18 collaborateurs sur 25 utilisent au moins un outil d’IA chaque semaine. Trois groupes se dessinent. Onze personnes (commerciaux, assistants, agents de gestion) se servent occasionnellement de ChatGPT pour reformuler des emails ou résumer des documents. Cinq personnes (chefs de projet, marketing, RH) en ont fait un outil quotidien pour produire du contenu, analyser des données, préparer des rendez-vous. Deux personnes (responsable IT et associé dirigeant) configurent les paramètres de Copilot et arbitrent les choix d’outils pour l’équipe.

Identification des profils. Les onze utilisateurs occasionnels relèvent du profil A. Les cinq utilisateurs métier régulier relèvent du profil B. Les deux super-utilisateurs relèvent du profil C. Sept personnes n’utilisent pas l’IA dans leur quotidien et reçoivent un module d’information court sans formation à proprement parler.

Plan de formation construit en une semaine. Pour le profil A, une sensibilisation d’une demi-journée en présentiel collectif, animée par un prestataire externe certifié Qualiopi. Pour le profil B, une formation de deux jours par groupe de cinq, étalée sur deux semaines pour limiter l’impact opérationnel. Pour le profil C, un parcours certifiant de trois jours débouchant sur la certification RS6776, financé via le compte personnel de formation des intéressés et le plan de développement des compétences. Les sept collaborateurs hors périmètre d’usage reçoivent une note d’information signée et un lien vers la charte interne.

Budget mobilisé : environ 12 000 euros de coût pédagogique total, dont 9 000 euros couverts par l’OPCO de branche après dépôt du dossier 30 jours avant le démarrage. Le reste à charge réel pour l’entreprise tourne autour de 3 000 euros plus le temps des collaborateurs en formation. Pour comprendre les leviers de financement et monter le dossier, notre guide sur le financement OPCO d’une formation IA détaille les démarches.

Documentation constituée en parallèle. La cartographie initiale devient le premier document du registre. Le plan de formation, signé par la direction, devient le deuxième. Les attestations individuelles arrivent au fur et à mesure des sessions. Une charte interne d’usage de l’IA est rédigée en une après-midi par le responsable IT et validée par l’associé dirigeant ; elle tient en une page et couvre les outils autorisés, les données interdites, et la procédure de remontée en cas de doute.

Délai global : trois mois entre la décision de lancer le chantier et le dépôt complet du dossier dans le système qualité de l’entreprise. Coût en temps de pilotage interne : environ une demi-journée par semaine pour le responsable IT et l’associé dirigeant sur les six premières semaines, plus une heure par semaine en routine ensuite. C’est un investissement modéré pour une mise en conformité durable, et c’est l’ordre de grandeur typique pour une organisation de cette taille.

L’exercice montre que la conformité à l’article 4 n’est ni une dépense colossale ni un projet de transformation impossible. C’est un chantier RH ordinaire, à condition de le démarrer avant que l’échéance ne se traduise en contrôle.

Les sanctions encourues : un risque indirect mais réel

Le régime de sanctions AI Act distingue plusieurs niveaux selon la nature du manquement. Comme le détaille une analyse récente, les chiffres sont les suivants pour les manquements aux obligations européennes en matière d’IA : 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial pour les pratiques interdites (article 5), 15 millions d’euros ou 3 % du chiffre d’affaires pour le non-respect des obligations applicables aux systèmes à haut risque et aux modèles d’IA à usage général, 7,5 millions d’euros ou 1 % pour la fourniture d’informations incorrectes aux autorités.

Pour l’article 4 lui-même, le texte ne prévoit pas de sanction spécifique. Cela peut paraître rassurant ; ce ne l’est pas. Le risque réel est triple.

Premier risque, l’incident IA. Si une fuite de données, un biais discriminatoire ou une décision automatisée contestée survient dans votre organisation, l’absence de plan de formation est l’un des premiers éléments que l’autorité de contrôle relèvera. Vous serez sanctionné sur le manquement principal, mais l’absence de littératie IA aggravera le dossier.

Deuxième risque, l’audit qualité. Pour les organismes de formation, l’usage de l’IA et la formation interne à l’IA deviennent un attendu Qualiopi en 2026. Nous détaillons ce point dans notre article sur la formation à l’IA et la certification Qualiopi. Pour les autres organisations, le sujet apparaîtra dans les certifications ISO ou les audits clients dès que l’IA touche à des données sensibles.

Troisième risque, le contentieux social. Un collaborateur qui utilise massivement l’IA sans cadre, sans formation, et qui se retrouve en difficulté professionnelle (erreur, mise à pied, licenciement) a un argument juridique nouveau : l’employeur ne l’a pas formé conformément à une obligation européenne en vigueur. C’est un terrain de contentieux qui va se développer rapidement.

Ces trois risques ne sont pas théoriques. Plusieurs cabinets d’avocats spécialisés en droit social anticipent une hausse des contentieux autour de l’usage de l’IA au travail dès 2027, et la question de la formation préalable y tiendra une place centrale.

Évolutions Omnibus Numérique : ce qui change, ce qui reste

L’actualité récente a vu émerger plusieurs propositions de l’Union européenne sous l’appellation Omnibus Numérique, qui visent à simplifier ou à reporter certaines obligations du règlement. Comme le rappelle une veille spécialisée, ce qui est discuté concerne principalement le report des obligations les plus contraignantes pour les systèmes à haut risque, initialement prévues au 2 août 2026, vers décembre 2027.

Ce qui change : les obligations applicables aux systèmes à haut risque (annexes I et III du règlement) sont en discussion pour un report partiel. Les obligations de marquage des contenus générés par IA (article 50) sont également repoussées de quelques mois selon les versions du texte.

Ce qui ne change pas : l’article 4 sur la littératie IA et l’article 5 sur les pratiques interdites continuent de s’appliquer selon le calendrier initial. Le sujet de la formation à l’IA n’est touché par aucun report, et il n’est pas raisonnable de parier sur un changement de dernière minute. La date du 2 août 2026 reste l’horizon de référence pour les contrôles nationaux liés aux obligations générales du règlement, y compris la prise en compte de la littératie IA.

Ce qu’il faut surveiller : les lignes directrices nationales que les autorités compétentes (CNIL, DGEFP, ministères concernés) publient progressivement. Ces textes ne créent pas d’obligation nouvelle, mais ils précisent la lecture concrète de l’article 4 et facilitent les démarches des organisations.

La position raisonnable est donc claire : avancer sur le plan de formation maintenant, plutôt que d’attendre une simplification hypothétique qui ne touchera pas l’article 4. Les organisations qui prennent l’avance gagneront du temps en cas de contrôle, et elles éviteront la concurrence de calendrier avec les autres obligations qui arriveront ensuite.

La case Qualiopi et le pont vers la certification

Pour les organismes de formation, l’article 4 a une double portée : il s’applique à votre propre organisation (vos formateurs et personnels doivent être formés), et il crée un marché commercial considérable (toutes vos entreprises clientes ont besoin d’être mises en conformité). Nous traitons cette double dimension dans notre article sur la formation à l’IA et la certification Qualiopi.

Pour les autres organisations, deux pistes structurent une démarche solide. Premièrement, choisir des prestataires certifiés Qualiopi pour vos formations, parce que la certification est devenue le standard de preuve attendu par les autorités françaises et facilite la prise en charge OPCO. Deuxièmement, pour vos super-utilisateurs et profils stratégiques, mobiliser une certification individuelle reconnue, dont la certification RS6776 sur l’usage responsable de l’IA générative est la plus alignée sur l’esprit de l’article 4 (intégration éthique, RGPD, AI Act).

Pour financer ces démarches, les leviers OPCO sont nombreux et plus accessibles que ce que beaucoup d’entreprises pensent. Notre article sur le financement OPCO d’une formation IA détaille les dispositifs et les démarches à entamer pour boucler un dossier avant la formation. Pour les organisations qui veulent évaluer la maturité réelle de leurs équipes avant d’investir, notre évaluation des apprenants avec l’IA propose un cadre méthodologique applicable à un audit interne.

L’article 4 de l’AI Act n’est pas un sujet réglementaire de plus à empiler dans la pile RH. C’est l’occasion de mettre du cadre sur des usages qui se sont installés sans demander leur reste, et de transformer un risque diffus en compétence collective. Les organisations qui s’y attaquent maintenant gagnent sur trois plans à la fois : conformité, sécurité opérationnelle, performance. Pour structurer votre démarche en quelques semaines, notre accompagnement pour déployer un plan de formation IA conforme à l’AI Act vous aide à passer de l’intention au dossier complet.

FAQ Article 4 AI Act