Il existe une obligation légale que presque personne n'a remarquée
Pendant que tout le monde discutait des interdictions et des systèmes à haut risque, l'AI Act a introduit une obligation qui concerne bien plus d'entreprises qu'on ne le pense : la formation du personnel à l'intelligence artificielle.
Ce n'est pas une recommandation. C'est l'Article 4 du Règlement (UE) 2024/1689, en vigueur depuis le 2 février 2025. Et à la différence d'une grande partie de l'AI Act, qui entre en application de façon échelonnée jusqu'en 2027, cette obligation est déjà opérationnelle aujourd'hui.
La logique est simple : vous ne pouvez pas utiliser une technologie aussi puissante que l'IA si les personnes qui l'utilisent ne savent pas ce qu'elles font. C'est pourquoi nous avons construit une page dédiée à l'obligation de formation de l'AI Act, mais dans cet article nous entrons dans le détail de la norme.
Ce que dit exactement l'Article 4
Le texte est bref. Traduit de l'anglais officiel, il dispose :
"Les fournisseurs et les déployeurs de systèmes d'IA prennent des mesures pour garantir, dans toute la mesure du possible, un niveau suffisant de maîtrise de l'IA de leur personnel et de toute autre personne s'occupant du fonctionnement et de l'utilisation des systèmes d'IA pour leur compte, en tenant compte de leurs connaissances techniques, de leur expérience, de leur éducation et de leur formation, ainsi que du contexte dans lequel les systèmes d'IA doivent être utilisés."
Traduit en français pratique : si votre entreprise utilise l'IA, vous devez vous assurer que les personnes qui l'utilisent ont des compétences adaptées à leur rôle. Ce qu'est l'IA, comment elle fonctionne, quels risques elle comporte, ce que l'on peut et ne peut pas faire avec les données.
Qui est concerné : fournisseurs et déployeurs (c'est-à-dire presque tout le monde)
L'obligation s'adresse à deux catégories, et la seconde est bien plus large qu'il n'y paraît.
Les fournisseurs sont ceux qui développent ou personnalisent des systèmes d'IA. Si vous construisez un produit qui intègre un modèle, ou si vous personnalisez un système pour vos clients, vous êtes un fournisseur.
Les déployeurs sont ceux qui utilisent des systèmes d'IA sous leur propre responsabilité. C'est là que se range la majorité des entreprises : si votre marketing génère des textes avec l'IA, si le service RH utilise des outils de présélection, si la finance analyse des données avec un assistant, votre organisation est un déployeur.
Le point que beaucoup ne saisissent pas : l'obligation ne concerne pas seulement ceux qui développent l'IA. Il suffit de l'utiliser. Si vos équipes travaillent avec ChatGPT, Claude ou Copilot, l'obligation de les former est déjà la vôtre.
Vous devez mettre votre entreprise en conformité ?
30 minutes pour discuter de votre cas spécifique.
Ce que signifie "niveau suffisant de maîtrise"
La norme ne fixe pas de référence précise. Elle ne dit pas combien d'heures de cours sont nécessaires ni n'impose de programme standard. Elle demande des mesures proportionnées, calibrées sur trois facteurs : les compétences techniques déjà présentes, le contexte d'utilisation et le niveau de risque.
Concrètement, cela signifie que la formation doit être différenciée. Un dirigeant qui utilise l'IA pour synthétiser des documents a des besoins différents d'un développeur qui construit des agents, qui à son tour a des besoins différents d'un agent du service client.
Cette flexibilité est une arme à double tranchant. D'un côté, elle laisse de la liberté. De l'autre, elle retire l'alibi du "j'ai suivi le cours obligatoire" : ce qui compte n'est pas la case cochée, c'est que les personnes aient vraiment compris. Sur la manière de structurer les parcours, nous avons écrit un guide pratique de la formation IA obligatoire.
Pas besoin de certificat, mais la documentation est nécessaire
Bonne nouvelle : la loi n'impose pas de certifications formelles, ni une fonction obligatoire du type DPO du RGPD, ni une structure de gouvernance dédiée.
Il est toutefois fortement recommandé de documenter en interne les initiatives menées : qui a été formé, sur quoi, quand, avec quels contenus. Cette documentation n'est pas une formalité bureaucratique en soi. C'est la preuve qui démontre, en cas de contrôle ou de litige, que vous avez rempli l'obligation.
Le parallèle avec le RGPD est instructif. Là aussi, la formation n'était pas directement sanctionnable, mais son absence a été centrale dans de nombreuses procédures : une entreprise qui ne forme pas son personnel est une entreprise négligente. La même logique vaut pour l'IA.
Les échéances : déjà en vigueur, sanctions à partir de 2026
Deux dates comptent.
Le 2 février 2025, l'Article 4 est entré en vigueur. L'obligation est déjà active : ce n'est pas quelque chose qui arrivera, c'est quelque chose qui existe.
Le 2 août 2026 commence la supervision par les autorités nationales de surveillance, qui pourront contrôler et sanctionner. Les sanctions de l'AI Act sont proportionnées à la gravité de la violation et à la taille de l'entreprise, jusqu'à un maximum de 35 millions d'euros ou 7 % du chiffre d'affaires mondial annuel.
Nous sommes donc dans la fenêtre où l'obligation existe mais où les contrôles n'ont pas encore commencé. C'est le bon moment pour se mettre en conformité posément, plutôt que de courir après. Pour les entreprises italiennes, il y a un niveau de plus : la loi 132/2025 et le cadre réglementaire national.