AI Act article 4 : l'obligation de former ses salariés à l'IA, et comment la prouver
Par Fabien ARELPublié le 31 août 2026 • Mis à jour le 31 août 2026
L'article 4 du règlement européen sur l'intelligence artificielle est l'obligation qui touche le plus grand nombre d'entreprises françaises, et c'est aussi la plus mal racontée. Deux idées fausses circulent partout : qu'elle daterait d'août 2026, et qu'elle serait assortie d'une amende de plusieurs millions d'euros clairement identifiée. Ni l'une ni l'autre n'est exacte. Depuis le 27 juillet 2026, le Digital Omnibus a par ailleurs réécrit le texte même de l'article 4, un changement que les pages françaises consultées ne signalent pas. Cet article donne l'état du droit vérifié au 31 août 2026, explique qui est réellement concerné dans une TPE, et détaille le dossier de preuve à constituer pour tenir en cas de contrôle.
Formateur certifié Qualiopi spécialisé en intelligence artificielle pour les TPE et PME. J'anime en Gironde et en Nouvelle-Aquitaine des sessions de sensibilisation aux risques, à la confidentialité des données et aux usages métier de l'IA, dans un format compatible avec l'obligation de maîtrise de l'IA du règlement européen.
En bref : L'article 4 du règlement (UE) 2024/1689 impose aux fournisseurs et aux déployeurs de systèmes d'IA de prendre des mesures pour soutenir la maîtrise de l'IA chez leur personnel et chez les personnes qui utilisent ces systèmes pour leur compte. Il est applicable depuis le 2 février 2025, sans seuil d'effectif et sans exemption pour les TPE. Le règlement Digital Omnibus (UE) 2026/1744, entré en vigueur le 27 juillet 2026, en a réécrit le texte pour en faire une obligation de moyens, sans en modifier la date. Aucune amende n'est directement rattachée à l'article 4, absent du barème de l'article 99. Le risque est indirect et se joue sur la capacité à produire un dossier de preuve daté.
L'article 4 vise toutes les personnes qui utilisent l'IA pour le compte de l'entreprise, quel que soit l'effectif
Cet article présente un état du droit vérifié le 31 août 2026 à partir du texte du règlement et des sources publiques citées en fin de page. Il ne constitue pas un conseil juridique. Pour un usage relevant du haut risque au sens de l'annexe III, notamment en matière de recrutement ou de gestion des travailleurs, l'accompagnement d'un conseil spécialisé reste indispensable.
Ce que dit exactement l'article 4, et ce qu'il n'exige pas
En bref : L'article 4 tient en une phrase et impose aux fournisseurs comme aux déployeurs de prendre des mesures pour soutenir le développement de la maîtrise de l'IA chez leur personnel et chez les autres personnes qui s'occupent du fonctionnement et de l'utilisation des systèmes d'IA pour leur compte. Cette maîtrise est définie à l'article 3 point 56 comme les compétences, les connaissances et la compréhension permettant un déploiement éclairé et une conscience des opportunités, des risques et des préjudices possibles. Le texte n'exige ni durée minimale, ni organisme certifié, ni certificat individuel, ni périodicité. Il exige une adaptation à quatre paramètres et une capacité à montrer que quelque chose a été fait. C'est cette économie de moyens qui déroute les dirigeants habitués aux obligations de formation du code du travail, beaucoup plus prescriptives dans leur forme.
Le texte européen fonctionne ici à l'inverse de ce que l'on attend d'une obligation de formation. Il ne décrit pas un dispositif, il décrit un résultat souhaité et laisse l'entreprise choisir la manière d'y parvenir. Cette souplesse est une bonne nouvelle pour une structure de cinq personnes à Bordeaux, qui n'a pas les moyens d'un plan de formation lourd. Elle devient un piège dès lors que l'entreprise en conclut qu'il n'y a rien à faire, puisque rien n'est imposé dans le détail.
Le considérant 20 du règlement éclaire l'intention. Il précise que la maîtrise de l'IA doit permettre aux déployeurs de comprendre les mesures à appliquer pendant l'utilisation d'un système et la manière d'en interpréter correctement les sorties. On est très loin d'une formation technique sur les modèles de langage. On est dans la capacité opérationnelle d'un salarié à savoir ce qu'il peut confier à l'outil, ce qu'il doit vérifier, et ce qu'il ne doit jamais y coller. Notre article sur ce qu'un salarié ne doit jamais coller dans une IA traite précisément de ce dernier point.
Le Digital Omnibus a réécrit l'article 4 le 27 juillet 2026, et presque personne ne le signale
En bref : Le règlement (UE) 2026/1744, entré en vigueur le 27 juillet 2026, n'a pas seulement reporté les obligations des systèmes à haut risque. Il a aussi modifié la rédaction de l'article 4. La version d'origine demandait aux fournisseurs et aux déployeurs d'assurer, dans toute la mesure du possible, un niveau suffisant de maîtrise de l'IA. La version en vigueur leur demande de prendre des mesures pour soutenir le développement de cette maîtrise, et ajoute explicitement que cela n'impose pas de garantir un niveau donné pour un individu. Le glissement est réel : on passe d'une formulation orientée résultat à une obligation de moyens. La date d'application, elle, n'a pas bougé d'un jour et reste le 2 février 2025. Deux paragraphes entièrement nouveaux ont par ailleurs été ajoutés au texte de l'article, et ils organisent un appui institutionnel explicite en faveur des petites structures.
Ces deux paragraphes méritent d'être connus, car ils travaillent en faveur des petites structures. Le paragraphe 2 charge la Commission et les États membres de soutenir et de faciliter les efforts des fournisseurs et des déployeurs, en particulier ceux des PME, et impose à la Commission de publier des exemples pratiques de mise en conformité sur la plateforme d'information unique prévue à l'article 62. Le paragraphe 3 confie au Comité européen de l'IA le soin d'adopter des recommandations tenant compte des référentiels de compétences européens existants, avec des objectifs communs.
Autrement dit, le législateur a pris acte du fait qu'une TPE ne peut pas inventer seule son référentiel de maîtrise de l'IA, et a organisé un appui. Dans l'intervalle, l'entreprise reste tenue d'agir avec les moyens dont elle dispose. Le relevé que nous avons effectué le 31 août 2026 sur les pages françaises positionnées sur cette requête est net : aucune des quatre pages ouvertes ne mentionne cette réécriture, l'une présente encore le Digital Omnibus comme une proposition en cours d'examen, et une autre affirme que le texte de l'article 4 est inchangé.
Article 4 avant et après le Digital Omnibus du 27 juillet 2026
Critère
Rédaction d'origine
Rédaction en vigueur
Effet pratique
Nature de l'obligation
Assurer, dans toute la mesure du possible, un niveau suffisant
Prendre des mesures pour soutenir le développement de la maîtrise
Obligation de moyens assumée
Niveau individuel garanti
Non précisé, donc discutable
Explicitement non exigé
Le salarié n'a pas à passer un test
Date d'application
2 février 2025
2 février 2025
Aucun report, aucune tolérance
Appui institutionnel
Absent du texte
Commission et États membres, exemples pratiques publiés
Ressource à surveiller pour les PME
Rôle du Comité européen de l'IA
Absent du texte
Recommandations et objectifs communs
Futur référentiel de compétences
Règle de lecture : si une page consultée décrit l'article 4 comme une obligation d'assurer un niveau suffisant, elle cite la version antérieure au 27 juillet 2026. Cela ne change pas la nécessité d'agir, mais cela change la façon de documenter ce qui a été fait.
Qui est concerné dans l'entreprise : salariés, intérimaires, prestataires, dirigeant
En bref : Le périmètre de l'article 4 ne se calque pas sur le registre du personnel. Le texte vise le personnel et les autres personnes qui s'occupent du fonctionnement et de l'utilisation des systèmes d'IA pour le compte de l'entreprise. La formule englobe donc les salariés, les alternants et les stagiaires, les intérimaires, et les prestataires indépendants qui manipulent un outil d'IA sur les données de l'entreprise. Le dirigeant y figure dès lors qu'il utilise lui-même ces outils, ce qui est le cas dans la quasi-totalité des TPE. En sens inverse, une personne sans aucun contact avec un système d'IA n'entre pas dans le périmètre. Ce cadrage permet de dimensionner l'effort sur les usages réellement constatés plutôt que sur l'effectif total inscrit au registre du personnel, et c'est très exactement là que se gagne la proportionnalité du dispositif.
La conséquence pratique est souvent contre-intuitive. Dans une entreprise girondine de douze personnes, il est fréquent que le périmètre réel de l'article 4 couvre sept ou huit personnes seulement, mais qu'il inclue un prestataire externe que personne n'avait envisagé de former. Le graphiste indépendant qui utilise une IA générative sur les visuels de l'entreprise, l'assistante administrative en portage salarial qui rédige les relances avec un assistant conversationnel, le stagiaire qui prépare une veille concurrentielle : tous relèvent de la formule qui vise les personnes agissant pour le compte de l'entreprise.
Cette extension au-delà du contrat de travail est aussi ce qui rend le dossier de preuve plus délicat à constituer. Une attestation de formation interne ne couvre pas un indépendant. Pour ces cas, la clause contractuelle qui rappelle les règles d'usage de l'IA et l'accusé de réception de la charte interne remplacent utilement la feuille d'émargement.
Ce que veut dire un niveau suffisant : les quatre critères posés par le texte
En bref : Le règlement ne définit pas un niveau suffisant par un score, une durée ou un référentiel. Il pose quatre paramètres à prendre en compte, et c'est leur combinaison qui définit ce qui est attendu dans une entreprise donnée. Premier paramètre, les connaissances techniques, l'expérience, l'éducation et la formation des personnes concernées. Deuxième paramètre, le contexte dans lequel les systèmes d'IA sont destinés à être utilisés. Troisième paramètre, les personnes ou groupes de personnes sur lesquels ces systèmes sont utilisés. Quatrième élément, apporté par la rédaction en vigueur depuis le 27 juillet 2026, l'absence d'exigence de garantie d'un niveau individuel. Une même entreprise peut donc légitimement prévoir une sensibilisation courte pour une équipe et un dispositif plus substantiel pour une autre, à condition que l'écart entre les deux soit justifié par ces paramètres et consigné quelque part dans le dossier de conformité de l'entreprise.
C'est le troisième paramètre qui est le plus souvent oublié, alors qu'il est le plus discriminant. Un usage de l'IA qui ne touche que des documents internes n'appelle pas le même niveau qu'un usage qui produit une décision affectant une personne, un candidat, un client ou un patient. Deux entreprises de taille identique peuvent ainsi relever d'exigences très différentes selon ce que leurs outils produisent et sur qui.
Un repère utile pour se situer : formulez par écrit, en trois lignes, ce que chaque groupe d'utilisateurs doit être capable de faire seul. Savoir reconnaître une réponse inventée par le modèle, savoir quelles données ne sortent jamais de l'entreprise, savoir quand une vérification humaine est obligatoire. Si vos salariés ne savent pas répondre à ces trois questions, aucun volume d'heures ne compensera l'absence de ces réflexes.
Ce que vous risquez réellement : l'article 4 ne figure pas dans l'article 99
En bref : Le barème des sanctions du règlement figure à l'article 99, et l'article 4 n'y apparaît nulle part. Le paragraphe 3 vise les pratiques interdites de l'article 5, sanctionnées jusqu'à 35 millions d'euros ou 7 pour cent du chiffre d'affaires mondial. Le paragraphe 4 vise les articles 16, 22 à 26, 31, 33, 34 et 50, sanctionnés jusqu'à 15 millions d'euros ou 3 pour cent. Le paragraphe 5 vise la fourniture d'informations inexactes aux autorités, jusqu'à 7,5 millions d'euros ou 1 pour cent. Aucun de ces trois blocs ne mentionne l'obligation de maîtrise de l'IA. Les pages qui annoncent une amende spécifique pour défaut de formation se trompent donc de base légale, y compris lorsqu'elles citent des montants qui existent bel et bien par ailleurs dans le texte du règlement mais répondent à de tout autres manquements.
Il serait toutefois imprudent d'en conclure que l'article 4 est sans conséquence. Le risque existe, il est simplement indirect, et il emprunte trois chemins.
Le premier passe par l'article 26, qui liste les obligations du déployeur et se trouve, lui, dans le barème du paragraphe 4. Le déployeur doit notamment confier la supervision humaine d'un système à des personnes disposant de la compétence et de la formation nécessaires. Un défaut de maîtrise devient alors le fait générateur d'un manquement sanctionnable, non pas au titre de l'article 4, mais au titre de l'article 26.
Le deuxième passe par l'article 99 paragraphe 7, qui énumère les critères d'appréciation du montant d'une amende. Y figurent la nature et la gravité du manquement, les mesures techniques et organisationnelles mises en œuvre, le caractère intentionnel ou négligent, et les mesures prises pour atténuer le dommage. Une entreprise capable de produire un dispositif de formation daté se place du bon côté de chacun de ces critères, quel que soit le manquement examiné.
Le troisième chemin est le plus fréquent en pratique et ne relève pas de l'AI Act. Une fuite de données personnelles causée par un salarié qui a collé un fichier client dans un service d'IA grand public relève du RGPD, et l'absence de sensibilisation y est retenue comme un défaut de mesures organisationnelles appropriées. Notre article sur les obligations réelles d'une TPE face à l'AI Act resitue ce point dans l'ensemble du dispositif.
Comment prouver sa conformité : le dossier de preuve en six pièces
En bref : Puisque le règlement n'impose aucun certificat, la conformité se démontre par un faisceau de pièces datées. Six suffisent dans une TPE et tiennent dans un dossier de quelques pages : un inventaire daté des systèmes d'IA réellement utilisés, la liste nominative des personnes concernées avec leur usage, une note de politique interne signée et diffusée, les attestations ou feuilles d'émargement des sessions suivies, le support pédagogique remis aux participants, et la date de la prochaine actualisation prévue. Ce qui fait la valeur de ce dossier n'est pas son volume mais sa cohérence avec la réalité observable dans l'entreprise et l'antériorité de ses dates. Un dossier léger constitué avant tout contrôle vaut toujours mieux qu'un dossier épais reconstitué après coup, et cette différence de nature saute immédiatement aux yeux dès la première lecture des dates portées sur les pièces.
Six pièces datées suffisent à documenter la conformité d'une TPE à l'article 4
Dossier de preuve article 4 pour une TPE ou une PME
0/7 complétés
Une précision sur la périodicité, souvent demandée en session. Le texte n'impose aucune fréquence. Mais la finalité poursuivie, le maintien d'un niveau de maîtrise dans un domaine qui évolue tous les trimestres, rend difficile de soutenir qu'une session unique suivie en 2025 satisfait encore l'obligation en 2027. Retenir une actualisation annuelle, et une actualisation supplémentaire à chaque changement d'outil significatif, est un choix défendable et facile à documenter.
Trois preuves fragiles que les entreprises produisent, et par quoi les remplacer
En bref : Trois types de preuves reviennent régulièrement et ne tiennent pas à l'examen. La première est le tutoriel vidéo mis à disposition sur un espace partagé, sans trace de qui l'a réellement consulté : une mise à disposition n'est pas une mesure, et rien ne permet de rattacher un salarié à un contenu. La deuxième est la charte d'usage de l'IA rédigée mais jamais diffusée, retrouvée dans un dossier serveur sans signature ni accusé de réception. La troisième est l'attestation de formation générique sur la bureautique ou la cybersécurité, sans aucun contenu spécifique à l'IA, produite en espérant qu'elle passe. Dans les trois cas, le remplacement est simple et peu coûteux, et consiste à ajouter la trace individuelle qui manque plutôt qu'à refaire entièrement le dispositif pédagogique de fond, lequel est le plus souvent tout à fait correct.
Pour le tutoriel vidéo, il suffit d'une liste d'émargement électronique ou d'un questionnaire de fin de parcours nominatif. La ressource pédagogique reste la même, c'est la traçabilité qui change. Pour la charte, une diffusion par courriel avec demande d'accusé de réception, ou une signature en annexe d'un avenant, transforme un document interne en preuve opposable. Pour l'attestation générique, l'ajout d'un module spécifique à l'IA, même court, suffit à établir le lien avec l'objet de l'article 4.
Ces trois corrections ont un point commun : elles ne demandent pas de budget supplémentaire, elles demandent de la rigueur documentaire. C'est d'ailleurs le message que nous portons dans nos sessions à Bordeaux et en Nouvelle-Aquitaine. Une sensibilisation de trois heures à l'IA et à ChatGPT produit une attestation, un émargement et un support, soit trois des six pièces du dossier, en une demi-matinée. Pour les dirigeants qui veulent traiter la question au niveau de la stratégie plutôt qu'au niveau de l'outil, la formation IA pour chef d'entreprise aborde la conformité en même temps que les cas d'usage. Une formation aux risques et opportunités de l'IA convient mieux aux équipes qui manipulent des données sensibles.
Ce qu'il faut retenir
L'article 4 est l'obligation de l'AI Act qui concerne le plus grand nombre d'entreprises françaises, et c'est aussi celle sur laquelle circulent le plus d'approximations. Trois points méritent d'être fixés au 31 août 2026.
Elle est applicable depuis le 2 février 2025, sans seuil d'effectif, et n'a fait l'objet d'aucun report. Les échéances déplacées par le Digital Omnibus concernent les systèmes à haut risque, et notre calendrier AI Act vérifié détaille cette distinction date par date.
Son texte a été réécrit le 27 juillet 2026 pour en faire une obligation de moyens, ce qui allège la charge démonstrative sans supprimer l'obligation d'agir. Une page qui décrit encore l'article 4 comme une obligation d'assurer un niveau suffisant cite une version périmée.
Aucune amende ne lui est directement rattachée, mais l'absence de formation affaiblit l'entreprise sur trois terrains distincts : l'article 26 sur les obligations du déployeur, les critères d'appréciation des amendes de l'article 99, et le RGPD en cas d'incident. C'est cette convergence, et non un montant brandi hors contexte, qui justifie de constituer le dossier de preuve.
Enfin, si vos équipes utilisent déjà l'IA au quotidien sans cadre écrit, notre article sur l'usage de l'IA métier par métier dans une TPE permet de cartographier les usages avant de dimensionner la formation, et le guide de la formation IA à Bordeaux recense les formats disponibles en Gironde. L'inventaire précède toujours le dispositif.
