Article 4 de l'AI Act : ce que former ses salariés à l'IA veut dire

L'article 4 de l'AI Act demande à toute entreprise qui utilise l'IA de prendre des mesures soutenant la littératie IA des personnes qui s'en servent. C'est une obligation de moyens, pas de résultat : personne n'a à démontrer la compétence individuelle de chaque salarié. Ce qu'une entreprise doit pouvoir montrer, c'est un programme de formation et de sensibilisation documenté. Voici ce que cela contient réellement.

Ce que dit l'article 4 de l'AI Act sur la littératie IA, dans sa version en vigueur

Le texte initial du règlement (UE) 2024/1689 demandait aux fournisseurs et aux déployeurs de systèmes d'IA d'« assurer un niveau suffisant de littératie IA » de leur personnel. Le Digital Omnibus sur l'IA, entré en vigueur le 27 juillet 2026, a reformulé l'obligation : il s'agit désormais de « prendre des mesures soutenant le développement de la littératie IA ».

Ce n'est pas un détail de style. « Assurer un niveau suffisant » se rapproche d'une obligation de résultat, avec la question insoluble de savoir qui juge du niveau. « Prendre des mesures soutenant le développement » est une obligation de moyens : ce qui est examiné, c'est la démarche de l'entreprise, pas la performance de chaque personne.

L'article 4 est applicable depuis le 2 février 2025. Il n'a jamais été reporté, contrairement aux obligations des systèmes à haut risque. Sa supervision et son application par les autorités nationales entrent en fonction à partir du 2 août 2026.

La littératie IA, en langage courant, c'est la capacité à comprendre ce qu'un système d'IA fait et ce qu'il ne sait pas faire. S'y ajoute la compréhension des risques que son usage crée dans un contexte professionnel donné. Savoir qu'un assistant conversationnel peut produire une réponse fausse avec un ton assuré fait partie de la littératie. Savoir que les données saisies dans un compte grand public ne restent pas nécessairement dans l'entreprise en fait partie aussi.

Qui est couvert par l'obligation

Le périmètre est plus large que « les salariés qui utilisent ChatGPT ».

• Les salariés qui manipulent l'outil, quel que soit leur niveau hiérarchique et même s'ils l'utilisent occasionnellement.
• Les prestataires, intérimaires et indépendants qui utilisent des systèmes d'IA pour le compte de l'entreprise. Le lien contractuel n'efface pas la responsabilité du déployeur.
• Les personnes qui subissent l'usage sans le piloter. Un manager dont les plannings sont générés par un outil. Un commercial dont les leads sont priorisés par un score. Un candidat évalué en partie par un système. Comprendre ce qui se joue relève aussi de la littératie.

Les dirigeants ne sont pas hors champ. Un comité de direction qui valide l'achat d'un outil d'IA sans comprendre ce que l'outil fait des données de l'entreprise est précisément le cas que l'obligation vise à éviter.

Une exigence qui s'apprécie selon le contexte

L'article 4 ne fixe ni durée minimale, ni programme type, ni fréquence. L'exigence s'apprécie au regard de deux paramètres : le contexte d'usage et la complexité technique du système.

Une PME de services dont les équipes se servent d'un assistant pour reformuler des courriers a un besoin limité. Une entreprise qui laisse un outil d'IA préparer des décisions sur des personnes est dans un tout autre cas. Dans le premier cas, une sensibilisation solide sur les limites du modèle, les données interdites en saisie et la relecture humaine couvre l'essentiel. Dans le second, il faut aller nettement plus loin, et l'exigence de compétence des déployeurs de systèmes à haut risque s'y ajoute, au titre de l'article 26(2) du règlement.

C'est une bonne nouvelle pour une PME : le règlement ne demande pas de reproduire le dispositif de formation d'un grand groupe. Il demande une réponse proportionnée à ce que vous faites réellement. Encore faut-il savoir ce que vous faites réellement, ce qui suppose un recensement des usages.

Ce qui compte comme preuve, et ce qui ne suffit pas

C'est la partie que les entreprises négligent, et c'est la seule qui compte le jour où la question est posée.

Ce qui constitue une preuve utilisable :

1. Le contenu du programme. Les supports, le plan de la session, les sujets couverts. Un document daté, même simple, vaut mieux qu'un souvenir.
2. Les dates. Quand la sensibilisation a eu lieu, et quand elle est prévue à nouveau.
3. Les participants. Qui a suivi quoi, avec une liste nominative ou un émargement, physique ou électronique.
4. La trace du message interne. La note de service ou le courriel qui a annoncé les règles d'usage et la session.
5. Une évaluation, même légère. Un questionnaire de quelques questions en fin de session montre que le message a été reçu, pas seulement diffusé.
6. L'attestation de suivi remise à chaque participant. Elle documente la participation. Elle ne prétend rien d'autre.

Ce qui ne suffit pas : une réunion orale dont il ne reste rien, ou un message d'équipe effacé depuis. Une politique interne rédigée mais jamais diffusée ne suffit pas davantage. Ni une formation suivie par la direction seule, alors que l'usage est réparti dans toute l'entreprise. Une charte signée est un excellent complément, mais elle ne remplace pas la sensibilisation : elle énonce des règles, elle n'explique pas les risques.

Ce qui change au 2 août 2026 côté supervision

L'obligation ne naît pas ce jour-là, elle existe depuis février 2025. Ce qui entre en fonction à partir du 2 août 2026, c'est la supervision et l'application par les autorités nationales de surveillance.

En pratique, cela déplace la question du terrain moral au terrain de la preuve. Jusqu'ici, une entreprise pouvait considérer l'article 4 comme une recommandation. À partir de cette date, l'écart entre une entreprise qui a un dossier et une entreprise qui n'a rien devient visible.

Le sujet dépasse d'ailleurs le régulateur. Les questions viennent aussi des clients grands comptes dans leurs questionnaires fournisseurs, des donneurs d'ordre publics dans leurs appels d'offres, et des assureurs. Dans tous ces cas, la demande est la même : montrez ce que vous avez mis en place. Le cadre général des obligations réellement dues par une PME est détaillé dans l'article de référence sur ce que l'AI Act impose vraiment à une PME.

À quoi ressemble un plan minimum viable pour une PME de 20 personnes

Voici une trame réaliste, tenable sans budget de formation dédié et sans intervenant externe.

Étape 1, recenser avant de former. Deux semaines calendaires, dont environ une demi-journée de travail effectif. Cinq questions à chaque salarié : quel outil, pour quelle tâche, quelles données saisies, quel compte, à quelle fréquence. Sans recensement, vous formez à l'aveugle.

Étape 2, construire le programme. Le découpage par profil, le contenu de chaque module et la durée réaliste de chacun sont traités dans le plan de formation IA des salariés.

Étape 3, la trace et la répétition. Un dossier unique qui contient le support, les dates, les listes de participants, le questionnaire et la charte signée. Un rappel annuel, plus une session courte à chaque arrivée dans l'entreprise.

Compté honnêtement, la mise en ordre complète représente trois à cinq journées de travail cumulées la première année, puis une à deux journées par an. Le volet formation décrit ici n'en occupe qu'une partie.

Questions fréquentes

Faut-il faire appel à un organisme de formation externe ?

Non, le règlement n'impose aucun format ni aucun intervenant particulier. Une sensibilisation interne bien construite et documentée répond à l'obligation de moyens. Un intervenant externe peut faire gagner du temps ou apporter de la crédibilité en interne, mais ce n'est pas une exigence du texte.

Une formation à l'IA peut-elle être validée par un organisme officiel ?

Il n'existe pas de schéma officiel prévu par le règlement pour valider la littératie IA des salariés d'une entreprise. Ce que vous produisez est une attestation de suivi interne, qui documente la participation et le contenu. C'est précisément ce que l'obligation de moyens attend, et il n'y a rien à chercher au-delà.

Que faire des salariés qui n'utilisent pas l'IA du tout ?

Une sensibilisation courte reste utile, pour deux raisons. Ils peuvent être exposés à des systèmes qu'ils ne pilotent pas. Et ils commenceront probablement à utiliser ces outils sans le déclarer si personne ne leur a dit ce qui est autorisé. Une session commune règle les deux sujets en même temps.

Où en est votre entreprise ?

L'audit de maturité IA d'Harmonia évalue vos usages, votre exposition et vos priorités de formation. Gratuit en 5 min.

Lancer l'audit de maturité IA