Oui, une obligation existe, et elle s'applique déjà. Depuis le 2 février 2025, l'article 4 du règlement européen sur l'intelligence artificielle impose aux entreprises qui utilisent des systèmes d'IA d'assurer un niveau suffisant de maîtrise de l'IA à leurs équipes. Le texte ne réclame ni certificat, ni examen, ni format de formation imposé. La formation reste le moyen le plus courant d'y répondre.
Le sujet a fait débat, y compris chez les juristes. Beaucoup ont réagi en agitant la menace d'amendes colossales, d'autres en balayant l'obligation comme un simple vœu pieux. La réalité est entre les deux : une obligation réelle, entrée en application, mais assortie d'un cadre volontairement souple. Reprenons le texte, la position officielle du Bureau de l'IA de la Commission européenne, et ce que ça change concrètement pour une PME.
Que dit exactement l'article 4 de l'AI Act ?
L'article 4, intitulé « Maîtrise de l'IA » (AI literacy dans la version anglaise), tient en une phrase. Les fournisseurs et les déployeurs de systèmes d'IA « prennent des mesures pour assurer, dans la mesure du possible, un niveau suffisant de maîtrise de l'IA à leur personnel et aux autres personnes chargées du fonctionnement et de l'utilisation des systèmes d'IA en leur nom ». Le niveau attendu s'apprécie au regard des connaissances techniques, de l'expérience, de la formation des personnes concernées, et du contexte d'usage.
La définition de la « maîtrise de l'IA » est donnée à l'article 3, point 56 : les compétences, connaissances et la compréhension qui permettent de déployer les systèmes d'IA en connaissance de cause et de prendre conscience des opportunités, des risques et des préjudices possibles.
Cette obligation est entrée en application le 2 février 2025, en vertu de l'article 113, point a) du règlement. Elle est donc en vigueur aujourd'hui, sans période de grâce. Une entreprise qui n'a encore rien mis en place est déjà censée s'y conformer.
Qui est concerné, les PME aussi ?
Oui, sans seuil de taille. L'article 4 vise les fournisseurs (ceux qui développent un système d'IA) et les déployeurs (ceux qui l'utilisent dans un cadre professionnel). La quasi-totalité des entreprises françaises entrent dans la seconde catégorie dès qu'un salarié utilise un outil d'IA au travail. Aucune exemption pour les TPE, les PME ou les associations.
L'obligation couvre le personnel salarié, mais aussi les « autres personnes » qui font fonctionner l'IA pour le compte de l'organisation : prestataires, sous-traitants, parfois clients. Le critère est fonctionnel : toute personne sous la responsabilité organisationnelle qui manipule le système est dans le périmètre.
Le Bureau de l'IA a tranché un cas très fréquent. Une entreprise dont les salariés utilisent ChatGPT pour rédiger une publicité ou traduire un texte doit se conformer à l'article 4 : ces salariés doivent être informés des risques propres à l'outil, à commencer par les hallucinations. Autrement dit, l'usage banalisé d'un outil grand public suffit à déclencher l'obligation.
Dernier point, souvent mal compris : la portée est extraterritoriale. Le cadre s'applique aussi à une entreprise établie hors de l'Union, dès lors que son système d'IA est mis sur le marché de l'Union, utilisé dans l'Union, ou que son usage a un impact sur des personnes situées dans l'Union.
La formation est-elle vraiment obligatoire ?
C'est là que le texte est plus souple qu'on ne le dit. Le Bureau de l'IA a publié une foire aux questions officielle qui cadre précisément le niveau d'exigence. Trois enseignements en ressortent.
D'abord, aucune formation certifiante n'est imposée. Le Bureau écrit noir sur blanc qu'il n'entend pas fixer d'exigences strictes ni de formation obligatoire uniforme. Il n'existe pas de format type. Une organisation peut combiner sensibilisation, guides internes et sessions ciblées selon les profils.
Ensuite, aucun certificat n'est requis. Pour prouver sa conformité, une entreprise conserve un registre interne de ses actions de formation et de sensibilisation. Pas de label officiel à obtenir, pas d'audit externe imposé, pas de responsable IA à nommer, pas de comité de gouvernance à créer. Le Bureau confirme qu'aucune structure de gouvernance spécifique n'est exigée par l'article 4.
Enfin, il n'y a pas d'obligation de mesurer ou de tester le niveau des salariés. L'article 4 demande d'assurer un niveau suffisant, en tenant compte du profil de chacun, sans imposer d'évaluation formelle.
Une nuance mérite d'être posée. Le Bureau précise que se contenter de renvoyer les salariés vers la notice d'utilisation d'un outil est souvent inefficace et insuffisant. La logique du texte pousse vers de vraies actions d'acculturation, adaptées au rôle et au contexte. Pour un usage à risque élevé (recrutement, évaluation des personnes), l'exigence monte d'un cran, car l'article 26 impose déjà, pour ces systèmes, une formation du personnel assurant la supervision humaine.
Que risque une entreprise qui ne fait rien ?
Là aussi, le débat public a exagéré. L'AI Act ne fixe pas d'amende spécifique attachée à l'article 4. Il renvoie aux États membres, qui définissent les sanctions dans leur droit national (article 99, paragraphe 1), notifiées à la Commission au plus tard le 2 août 2025.
Surtout, l'article 4 ne figure pas dans la liste des manquements passibles du plafond harmonisé de 15 millions d'euros ou 3 % du chiffre d'affaires mondial. Cette liste (article 99, paragraphe 4) vise des obligations précises : celles des fournisseurs (article 16), des mandataires (22), des importateurs (23), des distributeurs (24), des déployeurs de systèmes à haut risque (26), des organismes notifiés (31, 33, 34) et de transparence (50). Le seuil de 35 millions d'euros ou 7 %, lui, est réservé aux pratiques interdites de l'article 5. Les chiffres qui circulent sur une amende directe pour défaut de formation ne reposent donc sur rien de précis dans le texte.
La surveillance et le contrôle de l'article 4 relèvent des autorités nationales de surveillance du marché, à compter du 2 août 2026, une échéance dont nous détaillons les enjeux dans notre article sur ce que l'AI Act change pour les entreprises au 2 août 2026. Le Bureau de l'IA insiste sur une approche proportionnée : toute sanction doit tenir compte de la nature, de la gravité et du caractère intentionnel ou négligent du manquement. Un risque plus concret existe en cas d'incident causé par un défaut de formation : l'absence d'acculturation deviendrait alors une circonstance aggravante. À cela s'ajoute la voie privée : un tiers qui subit un préjudice peut agir en réparation devant le juge national.
L'obligation va-t-elle disparaître avec le Digital Omnibus ?
C'est le point à surveiller. Le 19 novembre 2025, la Commission a présenté un paquet de simplification, le « Digital Omnibus », qui touche l'article 4. Un accord en trilogue a été trouvé le 6 mai 2026, confirmé par le Coreper le 13 mai 2026. L'adoption formelle et la publication au Journal officiel de l'Union européenne sont attendues au cours de l'été 2026.
Sur le fond, la réforme assouplit la formulation de l'article 4. L'obligation d'« assurer un niveau suffisant » de maîtrise de l'IA serait remplacée par une obligation de « prendre des mesures pour soutenir le développement » de cette maîtrise, moins contraignante dans son libellé. Un point reste stable quelle que soit l'issue : pour les systèmes à haut risque, l'obligation de former le personnel à la supervision humaine demeure.
Deux réflexes s'imposent. D'une part, vérifier la date d'entrée en vigueur du texte définitif avant de s'y fier, car le calendrier de l'AI Act a déjà bougé plusieurs fois. D'autre part, ne pas attendre : l'obligation actuelle s'applique tant que la réforme n'est pas publiée, et l'esprit du texte, former ses équipes à un usage lucide de l'IA, ne changera pas avec un ajustement de vocabulaire.
Comment se mettre en conformité concrètement ?
Le Bureau de l'IA donne lui-même la trame d'un programme conforme. Une organisation doit d'abord garantir une compréhension générale de l'IA en interne : ce qu'est l'IA, comment elle fonctionne, quels outils sont utilisés, quels risques ils portent. Elle doit ensuite qualifier son rôle (fournisseur ou déployeur), évaluer le niveau de risque des systèmes en usage, puis bâtir ses actions en fonction du niveau réel de connaissance des équipes et du contexte métier.
En clair, une acculturation utile part des usages réels de l'entreprise, pas d'un catalogue théorique. C'est exactement la logique que nous appliquons chez SmartForge : une formation ancrée sur les cas d'usage du client, avec une bibliothèque de prompts métiers et une trace des acquis. Nos formations SmartForge sont certifiées Qualiopi, donc finançables par les OPCO, ce qui règle au passage la question du budget pour beaucoup de PME.
La documentation compte autant que la formation elle-même. Conservez la preuve de vos actions : contenu des sessions, dates, personnes formées, supports diffusés. Ce registre interne suffit à démontrer votre conformité en cas de contrôle, et il se constitue au fil de l'eau, sans lourdeur.
Questions fréquentes sur l'obligation de formation à l'IA
Depuis quand l'obligation s'applique-t-elle ? Depuis le 2 février 2025, date d'entrée en application de l'article 4 (article 113, point a) de l'AI Act). Il n'y a pas de période de transition.
Faut-il un certificat ou une formation certifiante ? Non. Le Bureau de l'IA confirme qu'aucun certificat n'est requis. Un registre interne de vos actions de formation et de sensibilisation suffit.
Une PME ou une association est-elle concernée ? Oui. L'article 4 ne prévoit aucun seuil de taille. Dès qu'un salarié utilise un outil d'IA dans un cadre professionnel, l'organisation est déployeur au sens du règlement.
Utiliser ChatGPT au bureau suffit-il à déclencher l'obligation ? Oui. Le Bureau de l'IA cite l'exemple de salariés qui rédigent une publicité ou traduisent un texte avec ChatGPT : ils doivent être informés des risques, notamment des hallucinations.
Qui contrôle et à partir de quand ? Les autorités nationales de surveillance du marché, à compter du 2 août 2026. L'approche est proportionnée et tient compte de la gravité et du caractère intentionnel du manquement.
Que retenir avant de se lancer ?
L'article 4 n'est ni une bombe à retardement à 35 millions d'euros, ni une formalité qu'on peut ignorer. C'est une obligation en vigueur, souple dans ses moyens, exigeante dans son intention : que vos équipes sachent ce qu'elles font quand elles utilisent l'IA. Une entreprise qui forme ses collaborateurs et garde une trace de ses actions est en règle. Celle qui laisse chacun bricoler avec ChatGPT sans cadre prend un risque, moins réglementaire qu'opérationnel d'ailleurs, le jour où une erreur passe en production.
Pour une PME qui veut se mettre en conformité avec l'article 4 de l'AI Act sans y passer un budget disproportionné, la bonne porte d'entrée est une formation courte, ancrée sur ses propres usages, qui laisse une trace exploitable. SmartForge, agence IA basée à Lille, conçoit des formations IA certifiées Qualiopi et finançables par les OPCO, et accompagne les PME, ETI et associations partout en France, du cadrage des usages à la montée en compétence des équipes. Nous documentons les acquis, ce qui constitue directement la preuve attendue par le texte.
Pour cadrer votre plan de formation et le rattacher à vos cas d'usage réels, découvrez nos formations IA certifiées Qualiopi. Pour aller plus loin sur le volet gouvernance, notre guide de la charte IA en entreprise complète le dispositif, et notre article sur comment former ses équipes à l'IA détaille la marche à suivre.
