AI Act article 4 : l’obligation de former vos salariés expliquée

L’article 4 de l’AI Act oblige toute organisation qui utilise l’IA à prendre des mesures pour que ses équipes la maîtrisent. Il s’applique depuis le 2 février 2025 et a été réécrit le 27 juillet 2026 : il ne s’agit plus de « garantir » un « niveau suffisant », mais de « favoriser le développement de la maîtrise de l’IA ». Même une équipe qui traduit des textes avec ChatGPT est concernée, selon les questions-réponses de la Commission européenne sur la maîtrise de l’IA : elle doit connaître les risques de l’outil, comme les hallucinations (des réponses fausses énoncées avec aplomb).

Beaucoup de pages citent encore l’ancien texte. Voici le texte exact, qui former, le risque de sanction et un plan d’action. Pour la vue d’ensemble du règlement, voir notre guide complet de l’AI Act. À jour au 18 octobre 2026.

L’essentiel

• L’obligation existe toujours, mais elle n’exige plus de garantir un niveau précis à chaque personne : il s’agit de prendre des mesures.
• Elle vise toute organisation qui utilise l’IA dans son travail, quelle que soit sa taille.
• Ni certificat, ni test, ni format imposé. Se contenter de faire lire une notice peut pourtant être inefficace, selon la Commission.
• L’AI Act ne fixe pas d’amende propre à l’article 4. Les sanctions relèvent du droit national, que la France n’a pas encore adopté.

AI Act article 4 : ce que dit le texte depuis juillet 2026

L’article 4 du règlement (UE) 2024/1689 oblige fournisseurs et déployeurs de systèmes d’IA à prendre des mesures pour que leurs équipes maîtrisent l’IA. Le règlement (UE) 2026/1744, dit Digital Omnibus, en a remplacé le texte à compter du 27 juillet 2026. Voici le paragraphe 1, tel que publié au Journal officiel du 24 juillet 2026 (article 1, point 5) et repris dans le texte consolidé de la Commission.

« Les fournisseurs et les déployeurs de systèmes d’IA prennent des mesures pour favoriser le développement de la maîtrise de l’IA par leur personnel et les autres personnes s’occupant du fonctionnement et de l’utilisation des systèmes d’IA pour leur compte, en prenant en considération leurs connaissances techniques, leur expérience, leur éducation et leur formation, ainsi que le contexte dans lequel les systèmes d’IA sont destinés à être utilisés, et en tenant compte des personnes ou des groupes de personnes à l’égard desquels les systèmes d’IA sont destinés à être utilisés. Cette obligation ne contraint pas les fournisseurs ou les déployeurs à garantir un niveau spécifique de maîtrise de l’IA par un individu. »

Les personnes visées et les critères restent identiques. Les exemples pratiques de la Commission (paragraphe 2) et les recommandations du Comité IA (paragraphe 3) sont encore annoncés comme à venir au 18 octobre 2026.

La définition de la « maîtrise de l’IA »

La maîtrise de l’IA, c’est savoir ce qu’est l’outil, l’utiliser en connaissance de cause et en mesurer les risques. L’article 3, point 56, la définit comme « les compétences, les connaissances et la compréhension » qui permettent « de procéder à un déploiement des systèmes d’IA en toute connaissance de cause, ainsi que de prendre conscience des possibilités et des risques que comporte l’IA ».

Le considérant 20 du règlement (UE) 2024/1689 y range aussi « les moyens appropriés d’interpréter les sorties du système d’IA » : savoir vérifier ce que l’outil produit. On lit aussi « littératie en IA » ou « AI literacy ».

Pourquoi le texte a changé

Le 19 novembre 2025, la Commission proposait de faire porter l’obligation sur elle-même et sur les États membres. Le texte final la garde pour les entreprises, en l’assouplissant. Selon le considérant 8 du règlement (UE) 2026/1744, des obligations strictes créent « une charge de mise en conformité supplémentaire, en particulier pour les petites entreprises ».

Qui est concerné par l’article 4

Toute organisation qui utilise un système d’IA dans un cadre professionnel est concernée, quels que soient sa taille et le niveau de risque de l’outil. Elle doit couvrir ses équipes et les personnes qui l’utilisent pour son compte.

Selon l’article 3, point 4, un déployeur est une personne physique ou morale qui utilise un système d’IA sous sa propre autorité, hors activité personnelle à caractère non professionnel. Une entreprise dont les équipes se servent de ChatGPT, Copilot, DeepL ou d’une fonction d’IA intégrée à un CRM est donc déployeur. Les salariés ne le sont pas : l’obligation pèse sur l’organisation.

Un point reste ouvert : la Commission ne dit pas si une entreprise est déployeur pour les outils que ses équipes utilisent sans son accord (la shadow AI). Par prudence, mettez ces usages dans votre inventaire.

« Prendre des mesures » : ce que la Commission attend

Le texte ne précise pas les mesures. Les questions-réponses de la Commission, une orientation non contraignante mise à jour le 27 juillet 2026, proposent d’examiner au minimum quatre points :

1. Une compréhension générale de l’IA : ce qu’elle est, comment elle fonctionne, quelles IA vous utilisez, quels bénéfices et quels dangers.
2. Votre rôle : fournisseur ou déployeur.
3. Le risque des systèmes utilisés : ce que vos équipes doivent savoir.
4. Des actions concrètes fondées sur cette analyse, selon les connaissances, l’expérience, le secteur et l’usage.

Pour la Commission, se reposer sur la notice d’utilisation, ou demander au personnel de la lire, peut être inefficace dans bien des cas, et il n’existe pas de formule unique. Ni « la formation est obligatoire » ni « elle ne l’est pas » n’est donc exact : l’obligation est de prendre des mesures, et la formation en est le moyen le plus courant.

Trois niveaux à distinguer : le texte impose de prendre des mesures ; la Commission recommande de partir de ces quatre points et de garder une trace interne ; nous conseillons un socle commun, des modules par rôle et un registre.

Et pour les systèmes à haut risque ?

L’article 26, paragraphe 2, exige de confier le contrôle humain d’un système à haut risque à des personnes qui ont les compétences, la formation et l’autorité nécessaires, par exemple pour un outil de recrutement (annexe III). Cette règle ne s’applique pas encore : le règlement (UE) 2026/1744 la repousse au 2 décembre 2027 pour les systèmes de l’annexe III.

Contrôle et sanctions : où en est-on en octobre 2026

L’AI Act ne fixe pas d’amende propre à l’article 4, mais une sanction reste possible : chaque État membre fixe son régime, et au 18 octobre 2026, la France ne l’a pas encore fait.

Les plafonds de l’article 99 (35, 15 et 7,5 millions d’euros) visent des manquements précis, et l’article 4 n’y figure pas (le détail, dans notre guide de l’AI Act). En revanche, l’article 99, paragraphe 1, réécrit par l’Omnibus, laisse les États sanctionner « toute violation » du règlement, par des amendes, des avertissements ou des mesures non monétaires.

Le contrôle revient aux autorités nationales de surveillance du marché depuis le 2 août 2026, et toute personne peut leur adresser une réclamation (article 85). Selon la Commission, une sanction doit être proportionnée et serait plus probable après un incident dû à un manque de formation.

En France, aucune loi ne désigne encore ces autorités. Le projet de loi d’adaptation au droit de l’Union européenne (dit DDADUE), adopté par le Sénat le 18 février 2026, est toujours en première lecture à l’Assemblée nationale au 18 octobre 2026, selon son dossier législatif. Le texte adopté par le Sénat confie l’essentiel du contrôle à la CNIL (la plupart des pratiques interdites et des systèmes à haut risque de l’annexe III), et des parties à la DGCCRF, à l’Arcom et à l’ACPR. À notre lecture, il ne désigne pas d’autorité propre à l’article 4. Ce n’est qu’un projet : il peut encore changer.

Le Code du travail demandait déjà de former

Indépendamment de l’AI Act, l’article L6321-1 du Code du travail dispose : « L’employeur assure l’adaptation des salariés à leur poste de travail. Il veille au maintien de leur capacité à occuper un emploi, au regard notamment de l’évolution des emplois, des technologies et des organisations. » Déployer des outils d’IA sans y préparer les équipes pose donc aussi une question de droit du travail.

Se mettre en conformité en 6 étapes

Inventoriez, ciblez, formez, gardez une trace, mettez à jour. Le texte n’impose pas ces étapes : c’est notre façon d’appliquer les quatre points de la Commission.

1. Cartographier les usages d’IA

Listez les outils officiels, les fonctions d’IA intégrées à vos logiciels et les usages non déclarés. Une enquête courte et un échange avec chaque manager suffisent pour commencer.

2. Définir les publics par rôle et par risque

3. Choisir les contenus

Partez des points 1 et 3 de la Commission : compréhension générale, puis risques de chaque usage. Ajoutez vos règles internes (votre charte IA), les bases de l’AI Act et du RGPD. Les mises en situation aident : un tableau de clients collé dans un chatbot, un faux appel de dirigeant par deepfake.

4. Choisir les modalités

Nous conseillons des formats courts et répétés plutôt qu’une longue session : ils s’intègrent mieux à la semaine de travail. Tokko propose par exemple des cours d’environ 5 minutes sous forme de conversation, dont vous pouvez jouer un exemple sans inscription.

5. Suivre et garder une trace

Pas besoin de certificat, précise la Commission : les organisations peuvent tenir une trace interne des formations ou autres actions. Notez qui a suivi quoi et quand. Un registre documente vos mesures sans être une obligation, et le rapport de formation article 4 de Tokko sert à cela.

6. Mettre à jour

Un nouvel outil, un nouvel arrivant, un incident ou une nouvelle règle justifient d’ajuster le dispositif. Une revue annuelle est une bonne pratique.

Checklist

• Usages d’IA recensés, fonctions intégrées comprises
• Publics définis par rôle et par risque
• Socle commun disponible pour tous
• Trace interne des actions tenue
• Date de revue fixée

Ce que font déjà des entreprises

Ces exemples viennent du répertoire de pratiques de la Commission. Les entreprises les ont décrites elles-mêmes, en réponse à des enquêtes menées avant l’Omnibus, et les reproduire ne donne aucune présomption de conformité.

• Legal Island (Irlande du Nord, 26 salariés) : des sessions pour tout le personnel, où les équipes montrent leurs usages.
• Ingka Group (Pays-Bas, premier franchisé IKEA au monde) : un cours en ligne de 30 minutes pour tous, dont dépend l’accès aux outils d’IA générative avancés.
• Criteo (entreprise française) : un e-learning pour tous et des ambassadeurs de l’IA dans plusieurs fonctions.

Ce que l’article 4 n’exige pas

L’article 4 impose d’agir, mais n’oblige pas à :

• garantir un niveau précis de maîtrise à chaque personne (dernière phrase du paragraphe 1) ;
• délivrer un certificat, ou mesurer les connaissances (Commission) ;
• suivre un format ou un nombre d’heures (Commission) ;
• passer par un organisme de formation certifié (rien de tel dans le texte) ;
• nommer un responsable IA ou créer une structure de gouvernance (Commission) ;
• couvrir l’usage personnel non professionnel (article 3, point 4).

Agir et pouvoir l’expliquer vous place en meilleure position face à une autorité ou après un incident.

Que faire dès cette semaine

Commencez par l’inventaire des usages, puis fixez les publics et un premier socle commun. Pour ce socle, Tokko est gratuit jusqu’à 5 personnes. Surveillez aussi la loi française, qui fixera les autorités et les sanctions.

À jour au 18 octobre 2026. Cet article est informatif et ne remplace pas un conseil juridique.

Questions fréquentes

La formation à l’IA est-elle obligatoire avec l’article 4 ?

Pas sous un format précis : l’article 4 impose de prendre des mesures pour favoriser la maîtrise de l’IA. Comme la simple notice d’utilisation peut être inefficace, selon la Commission, une formation courte et ciblée reste le moyen le plus courant.

Quelle sanction en cas de manquement à l’article 4 ?

Aucun plafond européen ne vise l’article 4, mais chaque État peut sanctionner toute violation du règlement, y compris par un avertissement. Au 18 octobre 2026, la France n’a pas encore adopté son régime de sanctions : le projet de loi, voté par le Sénat, attend son examen à l’Assemblée nationale.

Faut-il former les stagiaires, intérimaires et prestataires ?

Pour les prestataires et sous-traitants, oui : la Commission les cite parmi les « autres personnes » qui utilisent l’IA pour votre compte. Pour les stagiaires et intérimaires, c’est notre lecture du texte, pas une position de la Commission : s’ils utilisent l’IA pour vous, mieux vaut les inclure.

Faut-il un certificat ?

Non. Selon la Commission, aucun certificat n’est nécessaire : une trace interne des formations ou autres actions convient. Noter qui a suivi quoi et quand permet de montrer ce que vous avez fait.