AI Act, article 4 : la maîtrise de l’IA en entreprise

L’article 4 du règlement européen sur l’IA (AI Act) oblige toute entreprise qui utilise un système d’IA dans le cadre professionnel à prendre des mesures pour favoriser le développement de la maîtrise de l’IA de son personnel. Depuis le 27 juillet 2026, le texte précise que cette obligation n’impose pas de garantir un niveau précis de maîtrise pour chaque personne.

Cet article cite le texte en vigueur au 5 octobre 2026, avec ses sources. Il ne constitue pas un avis juridique. Pour une question propre à votre entreprise, adressez-vous à votre direction juridique ou à un cabinet dont c’est le métier. Le collectif CAIO forme les équipes à l’usage responsable de l’IA dans sa formation AI Act et RGPD.

Que dit l’article 4 de l’AI Act aujourd’hui ?

L’article 4 du règlement (UE) 2024/1689 a été remplacé par l’article 1er, point 5, du règlement (UE) 2026/1744 du 8 juillet 2026, appelé « train de mesures omnibus numérique sur l’IA ». Ce règlement a été publié au Journal officiel de l’Union européenne le 24 juillet 2026 et il est entré en vigueur le troisième jour suivant, soit le 27 juillet 2026.

Le premier paragraphe de l’article 4, dans sa version en vigueur, dispose :

« Les fournisseurs et les déployeurs de systèmes d’IA prennent des mesures pour favoriser le développement de la maîtrise de l’IA par leur personnel et les autres personnes s’occupant du fonctionnement et de l’utilisation des systèmes d’IA pour leur compte, en prenant en considération leurs connaissances techniques, leur expérience, leur éducation et leur formation, ainsi que le contexte dans lequel les systèmes d’IA sont destinés à être utilisés, et en tenant compte des personnes ou des groupes de personnes à l’égard desquels les systèmes d’IA sont destinés à être utilisés. Cette obligation ne contraint pas les fournisseurs ou les déployeurs à garantir un niveau spécifique de maîtrise de l’IA par un individu. »

Le deuxième paragraphe demande à la Commission et aux États membres de soutenir les entreprises, « en particulier les PME », et à la Commission de publier des exemples pratiques de mise en œuvre. Le troisième charge le Comité européen de l’IA d’adopter des recommandations.

La version d’origine, publiée en juillet 2024, demandait des mesures « pour garantir, dans toute la mesure du possible, un niveau suffisant de maîtrise de l’IA ». La différence tient en deux points : l’objet de l’obligation passe de « garantir un niveau suffisant » à « favoriser le développement », et le texte écarte toute exigence de niveau individuel. Le texte consolidé au 27 juillet 2026 intègre cette nouvelle rédaction.

La « maîtrise de l’IA » est définie à l’article 3, point 56, comme « les compétences, les connaissances et la compréhension » qui permettent de déployer des systèmes d’IA « en toute connaissance de cause » et de prendre conscience de leurs possibilités, de leurs risques et des préjudices qu’ils peuvent causer.

Depuis quand l’article 4 s’applique-t-il ?

L’article 4 figure au chapitre I du règlement. Selon l’article 113, les chapitres I et II s’appliquent depuis le 2 février 2025. Les questions-réponses de la Commission sur la maîtrise de l’IA, mises à jour le 27 juillet 2026, indiquent que la surveillance et le contrôle par les autorités nationales de surveillance du marché s’appliquent depuis août 2026.

Qui est concerné par l’article 4 dans une PME ?

L’article 4 vise les fournisseurs et les déployeurs. Un déployeur est, selon l’article 3, point 4, une personne physique ou morale qui utilise un système d’IA sous sa propre autorité, « sauf lorsque ce système est utilisé dans le cadre d’une activité personnelle à caractère non professionnel ». Une PME qui met un assistant d’IA à disposition de ses salariés, ou qui laisse ses salariés en utiliser un pour leur travail, est donc un déployeur.

La Commission tranche le cas des outils courants dans ses questions-réponses : une entreprise dont les salariés utilisent ChatGPT pour rédiger un texte publicitaire ou traduire un document doit respecter l’article 4, et ses salariés doivent être informés des risques propres, par exemple les hallucinations.

Les personnes concernées dans l’entreprise sont celles qui utilisent un système d’IA ou en assurent le fonctionnement. Le texte vise aussi « les autres personnes » qui agissent pour le compte de l’entreprise. La Commission cite les sous-traitants, les prestataires et les clients. Dans une PME, cela donne par exemple :

• la comptable qui fait rapprocher ses relevés par un assistant d’IA
• le commercial qui prépare ses relances avec Microsoft Copilot
• l’assistante de direction qui fait résumer les comptes rendus de réunion
• le prestataire extérieur qui gère les campagnes avec un outil génératif
• le manager qui a activé un agent sur sa boîte de réception

La formation à l’IA est-elle obligatoire avec l’AI Act ?

L’article 4 n’impose pas de format de formation. La Commission écrit qu’aucune approche unique ne convient à toutes les organisations et qu’aucune exigence stricte ni formation obligatoire n’est imposée. Elle ajoute que, dans de nombreux cas, se contenter de la notice d’utilisation de l’outil ou demander au personnel de la lire risque d’être inefficace. Trois éléments guident ces mesures.

Le rôle et le contexte. Le texte demande de tenir compte du contexte d’utilisation et des personnes à l’égard desquelles le système est utilisé. Un assistant qui aide à rédiger une note interne ne présente pas les mêmes risques qu’un outil qui trie des candidatures. La Commission propose de partir de quatre questions : qu’est-ce que l’IA et comment fonctionne-t-elle, quel est le rôle de l’organisation (fournisseur ou déployeur), quels sont les risques des systèmes utilisés, et que doivent savoir les personnes selon leur niveau.

Le niveau de départ. L’article cite « les connaissances techniques, l’expérience, l’éducation et la formation » des personnes. La Commission admet des parcours différenciés selon les profils. Elle précise aussi que l’article 4 n’impose pas de mesurer le niveau de connaissances des salariés.

La trace. La Commission indique qu’aucun certificat n’est nécessaire et qu’une organisation peut tenir un registre interne des formations et des autres actions d’accompagnement. En pratique, ce registre peut noter qui a suivi quoi, à quelle date, sur quels outils, et quelles consignes ont été diffusées.

Une charte d’utilisation de l’IA fait partie des mesures possibles. Elle fixe les usages autorisés et les données à ne pas confier, ce que l’article sur l’IA et le RGPD détaille.

Que n’impose pas l’article 4 ?

Le texte en vigueur et les questions-réponses de la Commission écartent plusieurs idées répandues :

• Aucun niveau individuel à garantir. L’article 4 le dit depuis le 27 juillet 2026 : l’obligation ne contraint pas à garantir un niveau spécifique de maîtrise de l’IA par un individu.
• Aucun certificat. La Commission le dit en toutes lettres. Un registre interne suffit à documenter ce qui a été fait.
• Aucune durée imposée. Le texte ne fixe ni nombre d’heures ni programme type.
• Aucune structure de gouvernance. La Commission indique qu’aucun responsable IA ni comité n’est exigé pour respecter l’article 4.
• Aucune règle sectorielle propre. Le Bureau de l’IA n’impose pas d’exigence par secteur. Le secteur entre en compte au titre du contexte d’utilisation.

Le texte n’allège pas les autres obligations. Pour les déployeurs de systèmes d’IA à haut risque, l’article 26, paragraphe 2, demande de confier le contrôle humain à des personnes qui disposent des compétences, de la formation et de l’autorité nécessaires. La Commission rappelle que cette obligation demeure. Elle s’appliquera, pour les systèmes de l’annexe III, à partir du 2 décembre 2027.

Où lire les sources officielles ?

Les textes cités dans cet article, consultés le 5 octobre 2026 :

• Règlement (UE) 2024/1689 du 13 juin 2024, version publiée au Journal officiel, sur EUR-Lex
• Règlement (UE) 2026/1744 du 8 juillet 2026, omnibus numérique sur l’IA, sur EUR-Lex
• Texte consolidé du règlement 2024/1689 au 27 juillet 2026, sur EUR-Lex. Ce texte consolidé est un outil de documentation, seules les versions publiées au Journal officiel font foi.
• Questions-réponses de la Commission européenne sur la maîtrise de l’IA, mises à jour le 27 juillet 2026

La Commission doit publier des exemples pratiques de mise en œuvre de l’article 4, en s’appuyant sur son répertoire de pratiques. Elle précise que reproduire une pratique de ce répertoire ne vaut pas, à ce jour, présomption de conformité.

Comment préparer ses équipes à l’article 4 ?

La formation AI Act et RGPD apprend aux équipes à reconnaître les situations où l’IA pose une question de cadre, à savoir quelles données ne sortent pas et à qui poser les questions qui dépassent leur rôle. Les participants travaillent sur leurs propres outils et leurs propres tâches, ce qui répond à l’exigence de tenir compte du contexte. La formation ne promet aucune conformité et ne remplace pas l’analyse d’un cabinet dont c’est le métier. Pour les équipes qui débutent, la formation d’initiation à l’IA pose aussi ces règles dès la première séance.