Article 4 AI Act et plan de formation : ce que toute organisation doit avoir mis en place avant le 2 août 2026

L’article 4 de l’AI Act, consacré à la maîtrise de l’IA, a été réécrit pendant l’été. Depuis le 27 juillet 2026, il ne demande plus aux organisations de garantir un « niveau suffisant » de littératie IA chez leur personnel : il leur demande de prendre des mesures pour la développer. L’obligation existe toujours, elle s’applique depuis le 2 février 2025, et les autorités nationales peuvent désormais la contrôler. Ce guide fait le point sur le texte en vigueur, sur ce qu’il faut pouvoir montrer, sur la méthode en cinq étapes pour bâtir un plan de formation utile, sur les sanctions et sur le calendrier après la réforme dite « omnibus numérique ».

Cet article complète notre guide sur l’IA en formation professionnelle. Il s’articule avec trois sujets voisins : la conformité Qualiopi des organismes qui forment à l’IA, le financement OPCO d’une formation IA et la certification RS6776.

En bref

L’article 4 de l’AI Act s’applique depuis le 2 février 2025 à tous les fournisseurs et déployeurs de systèmes d’IA, sans seuil d’effectif.
Sa rédaction a changé le 27 juillet 2026 : il faut « prendre des mesures pour favoriser le développement de la maîtrise de l’IA », sans avoir à garantir un niveau précis pour chaque personne.
Selon la Commission européenne, les règles de surveillance et de sanction s’appliquent depuis le 3 août 2026, et le contrôle revient aux autorités nationales.
Le texte n’impose ni programme type, ni durée, ni certificat. La Commission recommande de garder un registre interne des formations et des autres actions menées.
Les obligations des systèmes à haut risque sont reportées au 2 décembre 2027 et au 2 août 2028. L’article 4, lui, n’a bénéficié d’aucun report.
Un plan en trois profils (occasionnel, régulier, référent) suffit à la plupart des organisations pour répondre au texte et encadrer les usages réels.

Article 4 AI Act : ce que dit le texte depuis juillet 2026

Le texte de référence est le règlement (UE) 2024/1689 du 13 juin 2024, dit AI Act ou règlement sur l’intelligence artificielle. Son article 4, intitulé « Maîtrise de l’IA », a été remplacé par le règlement (UE) 2026/1744 du 8 juillet 2026, publié au Journal officiel de l’Union européenne le 24 juillet et entré en vigueur trois jours plus tard.

Le premier paragraphe se lit désormais ainsi :

« Les fournisseurs et les déployeurs de systèmes d’IA prennent des mesures pour favoriser le développement de la maîtrise de l’IA par leur personnel et les autres personnes s’occupant du fonctionnement et de l’utilisation des systèmes d’IA pour leur compte, en prenant en considération leurs connaissances techniques, leur expérience, leur éducation et leur formation, ainsi que le contexte dans lequel les systèmes d’IA sont destinés à être utilisés […]. Cette obligation ne contraint pas les fournisseurs ou les déployeurs à garantir un niveau spécifique de maîtrise de l’IA par un individu. »

Deux paragraphes s’ajoutent. La Commission et les États membres doivent soutenir les efforts des organisations, en particulier des PME, et la Commission publie des exemples pratiques sur une plateforme d’information unique. Le Comité IA adopte des recommandations qui tiennent compte des cadres européens de compétences.

	Avant le 27 juillet 2026	Depuis le 27 juillet 2026
Ce qui est demandé	Garantir, dans toute la mesure du possible, un niveau suffisant de maîtrise de l’IA	Prendre des mesures pour favoriser le développement de la maîtrise de l’IA
Résultat individuel	Un niveau « suffisant » pour chaque personne	Aucun niveau précis à garantir pour un individu
Aide publique	Non prévue dans l’article	Exemples pratiques publiés par la Commission, recommandations du Comité IA
Personnes visées	Le personnel et les personnes agissant pour le compte de l’organisation	Inchangé

Ce changement déplace la question. On ne vous demandera pas de prouver que chaque collaborateur a atteint un niveau donné. On vous demandera ce que vous avez mis en place, pour qui, et pourquoi ces mesures conviennent à vos usages. Les questions-réponses de la Commission européenne sur la maîtrise de l’IA vont dans ce sens : la maîtrise de l’IA reste une obligation, mais aucun niveau particulier n’est imposé.

Un point de vocabulaire. Le texte français parle de « maîtrise de l’IA » ; « littératie IA » traduit l’anglais AI literacy et désigne la même chose. Nous employons les deux.

Qui est concerné par l’obligation de maîtrise de l’IA

Les déployeurs autant que les fournisseurs. Un déployeur est une organisation qui utilise un système d’IA dans son activité professionnelle. Cela couvre l’usage de ChatGPT, Claude, Copilot, Gemini ou Vibe, mais aussi les fonctions d’IA intégrées dans un logiciel métier, qu’il s’agisse d’un outil de relation client, de gestion ou de ressources humaines. La Commission répond explicitement au cas le plus courant : une entreprise dont les salariés utilisent ChatGPT doit les informer des risques propres à cet usage, par exemple les hallucinations.

Aucun seuil d’effectif. Une structure de cinq personnes qui utilise un assistant d’IA chaque jour entre dans le périmètre, comme une multinationale. La proportionnalité joue sur le contenu des mesures, pas sur l’existence de l’obligation.

Le personnel, et au-delà. L’article vise aussi « les autres personnes » qui utilisent les systèmes pour le compte de l’organisation. La Commission cite un sous-traitant, un prestataire ou un client. Si un indépendant produit vos contenus avec vos outils d’IA, il fait partie du périmètre.

Les organisations établies hors de l’Union. Le règlement s’applique dès que le système est mis sur le marché de l’Union, utilisé dans l’Union, ou que son usage produit des effets sur des personnes qui s’y trouvent.

💡 À ne pas confondre avec un agent IA : cet article traite des assistants qui répondent à une demande et que l’utilisateur relit. Un agent IA enchaîne des actions dans vos outils avec une part d’autonomie, ce qui demande une supervision et une formation spécifiques. Ce sujet relève de notre formation aux agents IA.

Ce que l’article 4 demande, et ce qu’il ne demande pas

L’article 4 pose une obligation sans prescrire de méthode. Les questions-réponses de la Commission donnent toutefois une trame.

Quatre points à couvrir au minimum, d’après la Commission :

Une compréhension générale de l’IA dans l’organisation : ce que c’est, comment cela fonctionne, quels outils sont utilisés.
Le rôle de l’organisation : fournisseur ou déployeur.
Le niveau de risque des systèmes utilisés : ce que le personnel doit savoir pour s’en servir.
Des actions adaptées aux différences de connaissances entre les personnes et au contexte d’usage.

Ce que le texte ne demande pas. Aucun programme standard, aucune durée minimale, aucun examen. La Commission est nette sur deux points souvent mal compris : un certificat n’est pas nécessaire, et aucune structure de gouvernance particulière n’est imposée, donc pas de « délégué à l’IA » obligatoire.

Ce qui ne suffit pas. Se contenter de transmettre la notice d’utilisation d’un outil, ou de demander au personnel de la lire, risque d’être inefficace, toujours selon la Commission. Une note diffusée par courriel ne constitue pas à elle seule une mesure sérieuse.

Ce qu’il faut garder. La Commission recommande de tenir un registre interne des formations et des autres actions d’accompagnement. C’est la seule trace qu’elle mentionne. Elle tient aussi un recueil vivant d’initiatives menées par des organisations, en précisant que s’en inspirer ne vaut pas présomption de conformité.

Ce qu’une autorité regardera. La cohérence entre votre activité réelle et les mesures prises. Vos équipes utilisent Copilot dans Microsoft 365 : ont-elles été formées à ses limites et à ses réglages de confidentialité ? Vos commerciaux préparent leurs rendez-vous avec ChatGPT : savent-ils quelles données ne pas y saisir ? Un support de sensibilisation soigné ne répond pas à ces questions si personne ne l’a suivi.

Bâtir un plan de formation à l’IA en cinq étapes

Sans recette officielle, il faut une démarche. Voici celle que nous proposons. Elle se déroule en quelques semaines pour une organisation de taille moyenne.

Étape 1 : cartographier les usages réels. Listez où l’IA intervient déjà : quels outils, quels services, quelles personnes, pour quoi faire. L’exercice révèle souvent une réalité plus dense que ce que la direction imagine. Dans une enquête Salesforce menée avec YouGov en octobre 2023 auprès de plus de 14 000 salariés dans quatorze pays, dont la France, plus de la moitié des personnes qui utilisaient l’IA générative au travail le faisaient sans accord formel de leur employeur. L’enquête date, mais le constat tient toujours dans les organisations que nous rencontrons. Notre article sur le shadow IA détaille comment repérer ces usages sans les bloquer.

Étape 2 : répartir les personnes par profil. Trois catégories couvrent la plupart des cas. L’utilisateur occasionnel se sert d’un outil d’IA quelques fois par semaine pour des tâches simples. L’utilisateur régulier en a fait un outil de travail quotidien. Le référent ou décideur choisit les outils, les paramètre pour les autres ou arbitre les usages.

Étape 3 : fixer les acquis visés par profil. Partez de ce que la personne doit savoir faire, pas d’un volume horaire. Un utilisateur occasionnel doit repérer une réponse inventée, savoir quelles données ne pas saisir et connaître la charte interne. Un utilisateur régulier doit en plus rédiger une consigne précise, connaître les limites des modèles et vérifier une réponse avant de la diffuser. Un référent doit savoir évaluer les risques d’un usage et suivre les règles applicables.

Étape 4 : choisir les formats et garder les traces. Une sensibilisation courte pour le premier profil, une formation outillée pour le deuxième, un parcours approfondi pour le troisième. Les traces se constituent en même temps : programme, liste de présence, supports, évaluation des acquis.

Étape 5 : prévoir la mise à jour. Les outils changent vite. Une revue annuelle ajuste la cartographie, met à jour les contenus et organise la formation des nouveaux arrivants. Intégrée au cycle habituel de gestion des compétences, elle évite que le plan vieillisse dans un tiroir.

Cette graduation est notre proposition. Le texte n’impose aucun format : il demande de tenir compte des connaissances, de l’expérience et du contexte d’usage, ce que les trois profils traduisent en pratique.

Le registre de conformité : cinq documents à réunir

La Commission ne mentionne qu’un registre interne. En pratique, cinq pièces le composent utilement.

La cartographie des personnes concernées. Une liste qui croise les fonctions, les outils d’IA utilisés et le profil retenu. Elle se met à jour à chaque arrivée, départ ou changement de poste.

Le plan de formation. Une page suffit : les actions prévues par profil, les intervenants, le budget, le calendrier. Pour le volet financier, voyez notre guide sur le financement OPCO d’une formation IA.

Les listes de présence et les attestations. Pour chaque personne formée, conservez la date, la durée, le contenu et l’organisme. Un organisme de formation certifié Qualiopi remet ces pièces à l’issue de chaque action.

Les supports. Gardez une version archivée de ce qui a été présenté. C’est ce qui montre que la formation portait bien sur l’usage de l’IA, ses limites et ses risques.

La charte d’usage de l’IA. Un document interne qui dit ce que les collaborateurs peuvent faire avec l’IA, ce qu’ils doivent faire valider et ce qu’ils ne doivent jamais faire, en particulier avec les données personnelles et les informations confidentielles. Notre modèle de charte IA en entreprise peut servir de base. La formation vient l’ancrer dans la pratique.

L’ensemble tient dans un dossier partagé. C’est lui qui transforme une intention en élément vérifiable.

Exemple : une PME de 25 salariés dans les services

Le cas qui suit est une illustration construite pour montrer la méthode, pas le récit d’une mission. Prenons une PME de 25 personnes dans le conseil. Elle utilise Microsoft 365 avec Copilot, ChatGPT en version gratuite côté commercial et un logiciel métier doté d’un assistant IA. Aucune formation structurée n’a eu lieu.

La cartographie. L’enquête interne montre que 18 personnes sur 25 utilisent au moins un outil d’IA chaque semaine. Onze s’en servent de temps en temps pour reformuler un courriel ou résumer un document. Cinq en ont fait un outil quotidien pour produire du contenu ou préparer des rendez-vous. Deux, le responsable informatique et l’associé dirigeant, règlent Copilot et arbitrent le choix des outils.

Les profils. Onze personnes en profil A, cinq en profil B, deux en profil C. Les sept autres n’utilisent pas l’IA : elles reçoivent la charte et une information courte.

Le plan. Une sensibilisation collective pour le profil A. Une formation en petit groupe pour le profil B, étalée sur deux semaines pour limiter l’effet sur l’activité. Un parcours plus long pour le profil C, qui peut déboucher sur une certification. Le budget dépend des tarifs des organismes retenus et de la prise en charge accordée par l’OPCO de la branche : il se chiffre sur devis, pas sur une moyenne.

Les documents. La cartographie devient la première pièce du registre. Le plan, signé par la direction, la deuxième. Les attestations arrivent au fil des sessions. La charte est rédigée par le responsable informatique et validée par le dirigeant ; elle tient en une page et couvre les outils autorisés, les données interdites et la marche à suivre en cas de doute.

Le temps. Comptez quelques semaines entre la décision et la dernière session, puis une revue par an. Le pilotage repose sur deux personnes et ne demande pas de recrutement.

L’exemple montre l’essentiel : répondre à l’article 4 relève d’un chantier de formation ordinaire, à la portée d’une petite structure.

Contrôles et sanctions : ce que vous risquez

Qui contrôle

Selon la Commission, les règles de surveillance et de sanction s’appliquent à partir du 3 août 2026, et ce sont les autorités nationales de surveillance du marché qui contrôlent le respect de l’article 4, pas le Bureau européen de l’IA.

En France, la désignation de ces autorités passe par le projet de loi portant diverses dispositions d’adaptation au droit de l’Union européenne. Le Sénat l’a adopté en première lecture le 18 février 2026 : la CNIL y tient le rôle central, la DGCCRF et la DGE assurent la coordination, et une quinzaine d’autorités sectorielles interviennent dans leur domaine, la DGCCRF étant chargée de la formation professionnelle, selon la Banque des Territoires. Fin octobre 2026, le texte était encore en commission à l’Assemblée nationale. Tant qu’il n’est pas promulgué, les autorités françaises ne disposent pas de tous les pouvoirs prévus par le règlement : vérifiez l’état du texte avant de citer une autorité dans un document interne.

Quelles sanctions

L’article 99 du règlement fixe trois plafonds d’amende :

Manquement	Plafond
Pratiques interdites (article 5)	35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial
Obligations énumérées par l’article 99, dont celles des déployeurs de systèmes à haut risque et les obligations de transparence	15 millions d’euros ou 3 %
Informations inexactes fournies aux autorités	7,5 millions d’euros ou 1 %

L’article 4 ne figure pas dans la liste des obligations assorties du plafond de 15 millions d’euros. Sa sanction relève donc des règles que chaque État membre adopte. La Commission précise que les autorités nationales peuvent prononcer des sanctions et d’autres mesures en cas de manquement à l’article 4, en tenant compte de la nature et de la gravité des faits.

Le risque le plus probable

Dans les faits, trois situations exposent une organisation.

L’incident. Une fuite de données, une décision contestée ou un contenu erroné diffusé à un client. L’absence de toute mesure de formation sera l’un des premiers éléments relevés, par l’autorité comme par l’assureur ou le client.

La responsabilité civile. La Commission rappelle qu’en cas de dommage, la responsabilité peut être recherchée selon le droit national.

Le droit du travail. L’article L. 6321-1 du Code du travail impose déjà à l’employeur d’assurer l’adaptation des salariés à leur poste de travail. Laisser une équipe utiliser des outils d’IA sans cadre ni formation fragilise l’employeur le jour où une erreur est reprochée à un salarié.

Le calendrier de l’AI Act après l’omnibus numérique

Le règlement (UE) 2026/1744, souvent appelé « omnibus numérique » ou « omnibus IA », a modifié plusieurs échéances. Le détail figure dans notre calendrier de l’AI Act.

Ce qui a été reporté. Les obligations des systèmes d’IA à haut risque de l’annexe III, qui devaient s’appliquer le 2 août 2026, sont repoussées au 2 décembre 2027. Celles des systèmes intégrés à des produits réglementés (annexe I) passent au 2 août 2028. Pour le marquage des contenus générés par IA, les fournisseurs dont le système était déjà sur le marché avant le 2 août 2026 ont jusqu’au 2 décembre 2026.

Ce qui n’a pas bougé. L’article 4 s’applique depuis le 2 février 2025, comme l’interdiction des pratiques de l’article 5. La réforme en a changé la rédaction, pas la date.

Ce qui arrive. Deux séries de documents sont à suivre : les exemples pratiques que la Commission doit publier sur sa plateforme d’information, et les recommandations du Comité IA. Ils ne créeront pas d’obligation nouvelle, mais ils donneront des repères pour juger si vos mesures sont adaptées.

Ce qui concerne les déployeurs de systèmes à haut risque. L’article 26 du règlement leur demandera de confier le contrôle humain à des personnes qui disposent des compétences, de la formation et de l’autorité nécessaires. Si vous utilisez l’IA pour trier des candidatures ou évaluer des salariés, ce niveau d’exigence s’ajoutera à l’article 4 à partir du 2 décembre 2027.

Attendre de nouveaux assouplissements n’a donc pas de sens pour la formation : le texte a déjà été allégé, et il s’applique.

Qualiopi, OPCO, certification : les appuis disponibles

Pour les organismes de formation, l’article 4 joue deux fois. Il s’applique à leur propre équipe, formateurs compris. Et il crée une demande chez leurs clients, qui cherchent des actions adaptées à leurs usages. Attention à la façon de la présenter : depuis le nouveau référentiel Qualiopi du 1er novembre 2026, une communication qui ferait passer une formation pour une obligation de résultat ou pour une certification exigée par l’AI Act expose l’organisme sur l’indicateur 1. Nous détaillons ce point dans notre article sur la formation à l’IA et le nouveau référentiel Qualiopi.

Pour les autres organisations, trois appuis existent.

Un organisme certifié Qualiopi. La certification conditionne l’accès aux fonds publics et mutualisés, donc la prise en charge par un OPCO. Elle garantit aussi que les pièces utiles à votre registre vous seront remises.

Une certification individuelle, si elle a un sens pour le poste. Le texte n’en exige aucune. Pour un référent, elle donne un cadre et une preuve. La certification RS6776, « Création de contenus rédactionnels et visuels par l’usage responsable de l’intelligence artificielle générative », est enregistrée au Répertoire spécifique jusqu’au 1er octobre 2029 et intègre la confidentialité des données, le RGPD et l’AI Act.

Une évaluation de départ. Mesurer ce que les équipes savent déjà évite de former tout le monde à la même chose. Notre article sur l’évaluation des apprenants avec l’IA propose un cadre applicable à un diagnostic interne.

Un parcours de formation à l’IA générative adapté à chaque profil couvre les acquis des profils A et B décrits plus haut.

FAQ : article 4 AI Act et plan de formation

Notre entreprise compte moins de 10 salariés : sommes-nous vraiment concernés par l’article 4 ?

Oui. Le texte ne prévoit aucun seuil d’effectif : il vise tout fournisseur ou déployeur de systèmes d’IA. Une structure de cinq personnes qui utilise ChatGPT ou Copilot chaque jour doit prendre des mesures pour développer la maîtrise de l’IA de son équipe. La taille joue sur l’ampleur des mesures, pas sur le principe. Pour une très petite entreprise, une session de sensibilisation, une charte d’une page et une trace écrite de ce qui a été fait constituent une réponse proportionnée. La réforme de juillet 2026 demande d’ailleurs à la Commission et aux États membres de soutenir en particulier les PME.

Comment prouver que nous avons rempli notre obligation de littératie IA ?

En tenant un registre interne des formations et des autres actions menées : c’est ce que recommande la Commission européenne. Concrètement, conservez la liste des personnes concernées, le programme de chaque session, les listes de présence, les supports et, s’il y en a, les résultats d’évaluation. Un certificat n’est pas nécessaire. Ce que l’on vous demandera de montrer, c’est le lien entre vos usages réels et les mesures prises : qui utilise quoi, et ce que ces personnes ont reçu comme information ou formation. Un organisme certifié Qualiopi vous remet les pièces correspondantes après chaque action.

Faut-il nommer un délégué à l’IA comme pour le RGPD ?

Non. La Commission européenne l’écrit dans sa foire aux questions : aucune structure de gouvernance particulière n’est imposée pour respecter l’article 4. Rien n’oblige donc à créer une fonction comparable à celle du délégué à la protection des données. Désigner un référent reste une bonne pratique. Dans une grande organisation, il travaille avec la direction informatique, les ressources humaines et le délégué à la protection des données. Dans une PME, une personne de l’équipe de direction suffit. Son rôle : tenir la cartographie des usages, mettre à jour la charte et s’assurer que les nouveaux arrivants sont formés.

Quelles sanctions risquons-nous précisément pour un manquement à l’article 4 ?

L’article 4 ne figure pas parmi les obligations assorties des plafonds européens de 15 millions d’euros ou 3 % du chiffre d’affaires. Sa sanction dépend des règles nationales. La Commission précise que les autorités de surveillance du marché peuvent prononcer des sanctions et d’autres mesures, proportionnées à la nature et à la gravité du manquement, depuis le 3 août 2026. Le risque le plus concret reste indirect : après un incident lié à l’IA, l’absence de toute formation pèsera dans l’appréciation de l’autorité, et la responsabilité de l’organisation peut être recherchée selon le droit national en cas de dommage.

L’utilisation de ChatGPT en mode gratuit nous expose-t-elle plus que Copilot 365 ?

Au regard de l’article 4, non : l’obligation est la même quel que soit l’outil. La Commission cite d’ailleurs ChatGPT en exemple et demande que les salariés soient informés de ses risques, dont les hallucinations. La différence se joue sur la confidentialité des données. Les offres destinées aux entreprises prévoient des engagements contractuels que les versions grand public n’offrent pas, et un compte personnel échappe à tout réglage de l’employeur. Votre formation doit donc traiter ce point : quels outils sont autorisés, avec quels comptes, et quelles données ne doivent jamais y être saisies.

Faut-il refaire la formation tous les ans ?

Le texte ne fixe aucune fréquence. Il demande de tenir compte du contexte dans lequel les systèmes sont utilisés, et ce contexte change : nouveaux outils, nouvelles fonctions, nouveaux arrivants. Une revue annuelle est donc une bonne pratique. Elle consiste à relire la cartographie des usages, à mettre à jour la charte et à prévoir un module court sur ce qui a changé. Les nouveaux collaborateurs suivent la sensibilisation à leur arrivée. Pour les référents, un approfondissement s’impose à chaque changement d’outil ou de règle, par exemple à l’approche des échéances sur les systèmes à haut risque.

Et si nous avons déjà formé nos équipes en 2024, est-ce suffisant ?

Cela dépend de ce que la formation a couvert. Si elle portait sur la prise en main d’un outil sans aborder ses limites, les risques et les règles applicables, elle répond mal aux quatre points que la Commission invite à traiter. Vérifiez aussi qui a été formé : les personnes arrivées depuis, les prestataires qui travaillent pour vous et les utilisateurs de nouveaux outils n’en ont pas bénéficié. Une session complémentaire courte, centrée sur les risques, la confidentialité et la charte interne, suffit le plus souvent à combler l’écart. Pensez à l’inscrire dans votre registre.

Le télétravail et les outils personnels compliquent-ils notre obligation ?

Oui, et c’est l’un des points les plus délicats. Un salarié qui utilise un compte personnel pour une tâche professionnelle agit bien pour le compte de l’organisation, mais hors de tout réglage et de tout contrat négocié par l’employeur. L’interdire sans proposer d’outil ne règle rien. La réponse tient en trois mesures : mettre à disposition un outil autorisé, écrire dans la charte ce qui est permis avec un compte personnel, et expliquer en formation pourquoi la règle existe. L’article 4 demande de tenir compte du contexte d’usage : le travail à distance en fait partie.

Article 4 AI Act : par où commencer

L’article 4 a perdu son seuil du « niveau suffisant », pas sa portée. Il demande des mesures réelles, adaptées aux personnes et aux usages, et il peut être contrôlé. Pour une organisation qui n’a rien fait, l’ordre des opérations est simple : cartographier les usages, écrire une charte d’une page, former par profil, noter ce qui a été fait. Les organisations qui s’y mettent y gagnent sur un autre plan que la conformité : elles reprennent la main sur des usages qui se sont installés sans cadre.