Article 4 de l'AI Act : la maîtrise de l'IA (AI literacy) en entreprise — construire, prouver et gouverner en 2026
En résumé
L'article 4 de l'AI Act impose depuis le 2 février 2025 à tout fournisseur et à tout déployeur de systèmes d'IA de veiller à un niveau suffisant de maîtrise de l'IA (AI literacy) de son personnel et des personnes qui utilisent l'IA pour son compte. Le Digital Omnibus (Règlement (UE) 2026/1744), publié au Journal officiel de l'Union européenne le 24 juillet 2026 et entré en vigueur le 27 juillet 2026, a assoupli la formulation : l'obligation de garantir un niveau suffisant devient une obligation de soutenir le développement de cette maîtrise, soit une obligation de moyens.
Mais l'obligation n'a pas été reportée. Le 2 août 2026, les autorités nationales de surveillance du marché acquièrent leurs pouvoirs de supervision. Le vrai enjeu n'est pas une amende autonome, qui sera rare, mais le fait qu'une lacune de maîtrise documentée est traitée comme une circonstance aggravante dès qu'un régulateur enquête sur une autre obligation.
Or on ne peut pas prouver la maîtrise sans savoir quels systèmes d'IA le personnel utilise vraiment. La maîtrise de l'IA est donc d'abord un problème d'inventaire, de rôles et de preuve, pas de catalogue de formation.
Qu'est-ce que la maîtrise de l'IA au sens de l'article 4 ?
La maîtrise de l'IA désigne, selon l'article 3(56) de l'AI Act, « les compétences, les connaissances et la compréhension qui permettent aux fournisseurs, aux déployeurs et aux personnes concernées (…) de procéder à un déploiement éclairé des systèmes d'IA, ainsi que de prendre conscience des possibilités et des risques que présente l'IA et des préjudices éventuels qu'elle peut causer ». Ce n'est ni un diplôme, ni un format imposé : c'est un niveau de compréhension adapté au rôle de chaque personne et au contexte d'utilisation du système.
L'article 4 en tire l'obligation : les fournisseurs et déployeurs « prennent des mesures pour assurer, dans la mesure du possible, un niveau suffisant de maîtrise de l'IA de leur personnel et des autres personnes s'occupant du fonctionnement et de l'utilisation des systèmes d'IA pour leur compte, en tenant compte de leurs connaissances techniques, de leur expérience, de leur éducation et de leur formation, ainsi que du contexte dans lequel les systèmes d'IA sont destinés à être utilisés ».
Deux points sont décisifs pour une entreprise française. D'abord, l'obligation s'applique à tous les systèmes d'IA, pas seulement aux systèmes à haut risque : un chatbot de support, un assistant de rédaction, un outil de tri de CV, une brique d'IA embarquée dans un logiciel métier sont tous concernés. Ensuite, elle vise le personnel et les tiers agissant pour votre compte : prestataires, intérimaires, sous-traitants qui manipulent vos systèmes d'IA entrent dans le périmètre.
Ce que le Digital Omnibus a changé, et ce qu'il n'a pas changé
Le paquet de simplification « Digital Omnibus », devenu le Règlement (UE) 2026/1744, publié au Journal officiel de l'Union européenne le 24 juillet 2026 et entré en vigueur trois jours plus tard, le 27 juillet 2026, a modifié l'article 4 sur un point précis : le standard. On passe d'une obligation de résultat (« assurer un niveau suffisant ») à une obligation de moyens (« soutenir le développement » de la maîtrise par des mesures proportionnées). La pression de sanction directe et autonome sur l'article 4 est allégée.
Ce que le Digital Omnibus n'a pas fait, et c'est le contresens le plus coûteux du moment : il n'a pas reporté l'article 4. La date d'applicabilité, le 2 février 2025, est inchangée. Et surtout, le 2 août 2026, les autorités nationales de surveillance du marché obtiennent leurs pouvoirs formels de supervision. À la même date, l'article 50 sur la transparence devient pleinement applicable et sert de porte d'entrée naturelle à un contrôle qui vérifiera, au passage, l'existence de mesures de maîtrise.
L'assouplissement est donc une fausse bonne nouvelle si on le lit comme une dispense. Il change la nature du risque, pas son existence.
Le vrai risque : la circonstance aggravante, pas l'amende autonome
Le Bureau de l'IA a indiqué que les sanctions autonomes au titre du seul article 4 seront rares. L'exposition réelle est ailleurs. Lorsqu'une autorité enquête sur une autre obligation — un système à haut risque mal documenté, une transparence défaillante au titre de l'article 50, une décision automatisée contestée sur le fondement de l'article 22 du RGPD, un contrôle CNIL sur le recrutement — une lacune de maîtrise documentée est retenue comme facteur aggravant.
Autrement dit, l'absence de plan de formation IA ne vous coûtera probablement pas une amende à elle seule ; elle alourdira chaque autre grief.
Cette mécanique inverse la logique de conformité habituelle. Le point n'est pas de cocher la case formation. Le point est de pouvoir démontrer, le jour d'un contrôle, que l'entreprise a pris des mesures proportionnées, adaptées aux rôles, mises à jour et tracées. Une obligation de moyens se prouve par la documentation du moyen : plan, contenus, attestations, feuilles d'émargement, calendrier de mise à jour. La pratique de place converge vers une conservation de cinq ans.
Pourquoi vous ne pouvez pas prouver la maîtrise sans inventaire des usages
Voici le point que le marché de la formation occulte. Pour bâtir un plan de maîtrise adapté aux rôles et au contexte, il faut d'abord répondre à trois questions que la plupart des organisations ne savent pas trancher.
Quels systèmes d'IA sont réellement utilisés dans l'entreprise ? Y compris le Shadow AI, ces ChatGPT, Copilot, Gemini et consorts adoptés hors processus informatique, et l'IA embarquée dans des logiciels existants.
Qui les utilise, et pour quoi ? Le niveau de maîtrise exigé d'un juriste qui relit un contrat généré n'est pas celui d'un développeur qui intègre une interface de programmation, ni celui d'un commercial qui utilise un assistant de prospection.
Quel est le niveau de risque de chaque usage ? Un usage à haut risque, recrutement ou scoring, appelle une maîtrise plus approfondie qu'un usage limité.
Sans cet inventaire, un plan de formation IA est un catalogue générique qui ne prouve rien : il ne démontre pas que les bonnes personnes ont reçu la bonne maîtrise pour les bons systèmes. C'est précisément pour cela que la maîtrise de l'IA est l'aval d'un problème amont : l'inventaire des usages d'IA et le registre des systèmes d'IA. On forme ce qu'on a d'abord inventorié.
La méthode en six étapes pour une maîtrise prouvable
Étape 1 — Cartographier les usages d'IA (le périmètre à former)
Recenser tous les systèmes d'IA utilisés : outils officiels, IA embarquée, et Shadow AI. Sans périmètre, pas de plan défendable — commencez par détecter le Shadow AI, la part que personne n'a déclarée.
Étape 2 — Segmenter par rôles et niveaux
Regrouper les collaborateurs par profils d'usage : utilisateurs occasionnels pour la sensibilisation, utilisateurs métiers réguliers pour la maîtrise applicative, concepteurs et intégrateurs pour la maîtrise technique, décideurs, DPO et RSSI pour la gouvernance. Le niveau exigé est proportionné au rôle et au contexte.
Étape 3 — Définir le socle de compétences par niveau
Pour chaque profil : notions de base sur le fonctionnement et les limites de l'IA, risques des IA génératives — biais, hallucinations, fuite de données, dépendance —, cadre juridique applicable, bonnes pratiques d'usage et de vérification humaine.
Étape 4 — Déployer des mesures proportionnées
L'AI Act n'impose aucun format : formation en ligne, ateliers, notes internes, questionnaires, charte d'usage signée, intégration au parcours d'arrivée. Pour la majorité des collaborateurs, un programme de sensibilisation documenté suffit. Les profils techniques et à haut risque appellent des formations approfondies.
Étape 5 — Constituer la preuve
C'est le cœur d'une obligation de moyens. Conserver le plan annuel et son calendrier de mise à jour, les supports pédagogiques, les attestations ou émargements, les évaluations, et le rattachement de chaque personne formée aux systèmes qu'elle utilise. Durée de conservation cible : cinq ans.
Étape 6 — Maintenir et réévaluer
La maîtrise n'est pas un événement, c'est un processus : mise à jour annuelle du plan, intégration des nouveaux arrivants et des nouveaux outils, réévaluation à chaque nouvel usage à risque.
Qui est responsable dans l'entreprise ?
L'article 4 est une obligation de l'organisation, fournisseur ou déployeur, pas d'une personne. En pratique, la maîtrise de l'IA se pilote à plusieurs mains : la direction porte la responsabilité et arbitre les moyens ; le DPO relie l'obligation au RGPD ; le RSSI couvre les risques de sécurité des IA génératives ; le DSI connaît les outils déployés ; les ressources humaines et la formation opérationnalisent le déploiement et la preuve. Un comité IA ou un référent désigné évite la dilution de responsabilité : c'est la brique que décrit notre cadre de gouvernance IA.
Le point commun de tous ces acteurs : ils ont besoin d'une source unique de vérité sur les usages et la couverture de formation.
Sanctions et articulation avec le reste de l'AI Act
Après l'assouplissement, l'article 4 n'est plus assorti d'une sanction directe lourde et autonome. Le régime général de sanctions de l'AI Act, à l'article 99, demeure pour les autres manquements.
Le risque financier réel de l'article 4 transite donc par deux canaux : la circonstance aggravante dans une enquête sur une autre obligation, et le canal RGPD, jusqu'à 4 % du chiffre d'affaires mondial, lorsque la lacune de maîtrise a contribué à un traitement illicite. Un tri de CV par IA mal maîtrisé en est l'illustration, et la CNIL a érigé le recrutement en priorité de contrôle pour 2026 — raison de plus pour former les recruteurs à l'IA en priorité.
La maîtrise de l'IA est ainsi le liant de toute la conformité IA : elle ne se sanctionne presque jamais seule, mais elle protège tout le reste.
Ce qu'il faut retenir
L'article 4 n'est pas une case à cocher, c'est le socle prouvable de votre gouvernance IA. Le Digital Omnibus a allégé le standard mais pas l'échéance : le 2 août 2026 ouvre la supervision. Le risque n'est pas l'amende autonome, c'est l'aggravation de tous vos autres risques et le canal RGPD. Et la preuve de maîtrise est impossible sans un inventaire des usages à jour.
Commencez par savoir ce que vos équipes utilisent réellement. Le plan de formation, les attestations et le registre en découlent.
Passez de « on a fait une formation » à « on peut le prouver, rôle par rôle, outil par outil ». SiyadAI cartographie vos usages d'IA, Shadow AI compris, les relie aux personnes et génère le registre de maîtrise. Réserver 15 minutes de démonstration →
Pour situer votre position en sept questions, sans e-mail : Mon niveau de maîtrise IA est-il défendable ?
---
Sources : Règlement (UE) 2024/1689 (AI Act), articles 3(56), 4, 50 et 99 · Règlement (UE) 2026/1744 (Digital Omnibus) · Bureau de l'IA, registre vivant des pratiques de maîtrise de l'IA · CNIL, contrôles prioritaires 2026 · ANSSI · Commission européenne.