Maîtrise de l’IA et AI Act : ce que l’article 4 demande aux employeurs depuis juillet 2026

Si votre entreprise met un outil d’IA entre les mains de ses salariés, le règlement européen sur l’IA (AI Act) attend de vous que vous les aidiez à le comprendre. Cette obligation figure à l’article 4. Elle s’applique depuis le 2 février 2025, et l’Union l’a réécrite en juillet 2026. Certaines équipes ont lu le nouveau texte comme la fin de l’obligation. Ce n’est pas le cas. Elle est plus légère, et elle est toujours là.

Ce que disait le texte avant

L’article 4 d’origine demandait aux fournisseurs et aux déployeurs de systèmes d’IA de prendre des mesures pour garantir, dans toute la mesure du possible, un niveau suffisant de maîtrise de l’IA à leur personnel et aux autres personnes qui utilisent ces systèmes pour leur compte. Un déployeur, c’est toute organisation qui utilise un système d’IA sous sa propre autorité. Une entreprise qui déploie Microsoft 365 Copilot ou un assistant conversationnel auprès de ses salariés est un déployeur.

Le mot qui inquiétait les juristes, c’était « garantir ». Il ressemblait à une obligation de résultat : atteindre un niveau, et pouvoir le prouver.

Ce qui a changé en juillet 2026

L’omnibus numérique sur l’IA, publié sous la forme du règlement (UE) 2026/1744 le 24 juillet 2026 et en vigueur depuis le 27 juillet, a remplacé l’article 4 en entier. Trois points comptent pour un employeur.

1. L’obligation est désormais de soutenir, plus de garantir. Fournisseurs et déployeurs doivent prendre des mesures pour soutenir le développement de la maîtrise de l’IA de leur personnel et des personnes qui utilisent les systèmes pour leur compte. Ces mesures doivent toujours tenir compte des connaissances techniques, de l’expérience, de l’éducation et de la formation de chacun, du contexte d’utilisation et des personnes sur qui les systèmes sont utilisés.
2. Aucun niveau n’est imposé. Le nouveau texte précise que l’obligation n’impose à personne de garantir un niveau donné de maîtrise de l’IA pour un individu. Vous n’avez pas à certifier chaque salarié.
3. Les pouvoirs publics ont aussi un rôle. La Commission et les États membres doivent soutenir les efforts des entreprises, en particulier des PME, et publier des exemples concrets de mise en conformité. Le Comité européen de l’IA adoptera des recommandations sur des objectifs communs.

Le même règlement a repoussé la plupart des obligations sur l’IA à haut risque à décembre 2027 et août 2028. L’article 4 n’a pas été repoussé. Il s’applique aujourd’hui à toute organisation qui déploie de l’IA, quel que soit le niveau de risque du système.

Ce qui n’a pas changé

Il faut toujours agir, et pouvoir montrer ce qui a été fait. « Prendre des mesures » est une obligation de moyens. Si une autorité, un CSE ou un juge demande comment vos équipes ont été préparées à utiliser l’outil, « nous avons acheté des licences » n’est pas une réponse.

Le périmètre reste le même. L’obligation couvre les salariés, mais aussi les prestataires, les intérimaires et toute personne qui utilise le système pour votre compte. Elle couvre tous les systèmes d’IA que vous déployez, pas seulement ceux à haut risque.

Un point souvent oublié : l’article 99 de l’AI Act, qui fixe les amendes, ne cite pas l’article 4 parmi les obligations assorties d’une amende propre. Ce n’est pas une raison pour l’ignorer. Un manque de maîtrise se paie ailleurs, par exemple lors d’un incident de données au titre du RGPD, ou d’un litige sur l’usage d’un résultat d’IA dans une décision concernant une personne.

Un plan qui tient

Le texte demande des mesures adaptées aux personnes et au contexte. Un module d’e-learning unique pour tout le monde ne suffit donc pas. Voici ce que je mettrais en place pour un déploiement de Copilot ou de ChatGPT.

1. Cartographier qui utilise quoi. Listez les systèmes d’IA en service et les métiers qui s’en servent. Un acheteur qui rédige des contrats avec Copilot et une chargée RH qui trie des CV avec un outil d’IA n’ont pas besoin de la même formation.
2. Écrire les règles en langage simple. Une page par outil : quelles données peuvent y entrer, ce qu’il faut vérifier avant d’utiliser un résultat, à qui poser ses questions. Si un non-spécialiste ne peut pas l’appliquer un mardi après-midi, réécrivez-la.
3. Former sur de vraies tâches. Des sessions courtes, construites sur le travail réel, avec les limites montrées en direct : une réponse fausse, une source inventée, un résumé qui oublie l’essentiel.
4. Garder de l’aide à portée de main après le lancement. Les questions arrivent entre la deuxième et la sixième semaine, quand les vrais cas apparaissent. Un réseau de collègues qui y répondent vaut mieux qu’une deuxième formation. J’ai écrit sur pourquoi les pilotes s’enlisent sans lui.
5. Tenir un registre. Qui a été formé, sur quoi, quand, et quelles règles ont été remises. Des dates et des feuilles de présence suffisent. C’est votre preuve.
6. Revoir deux fois par an. Les outils changent chaque trimestre. Les usages aussi.

Maîtriser n’est pas adopter

L’article 4 parle de compréhension : savoir ce que fait l’outil, où il se trompe, et de quoi on reste responsable. Il ne dit rien de l’usage réel, ni du gain. Ces deux questions sont votre retour sur investissement, et la loi n’y répondra pas à votre place. Un registre de formation prouve que vous êtes en règle. Il ne prouve pas que les licences sont rentables. Pour cela, il faut mesurer l’usage, pas les licences.

Bien menées, les deux vont ensemble. Les sessions qui rendent les équipes autonomes sont aussi celles qui leur montrent où l’outil fait gagner du temps. C’est la partie sur laquelle je travaille avec les équipes.

Sources : règlement (UE) 2024/1689 (AI Act), articles 3, 4 et 99 ; règlement (UE) 2026/1744 (omnibus numérique sur l’IA), article 1. Cet article est une information générale, pas un conseil juridique.