Depuis le 27 juillet 2026, l’article 4 de l’AI Act, le règlement européen sur l’intelligence artificielle, ne dit plus la même chose. Le règlement (UE) 2026/1744, publié au Journal officiel le 24 juillet, a remplacé son texte en bloc, sans le supprimer. Les entreprises doivent désormais lire une obligation reformulée, dont la portée demande une lecture attentive.
La version de 2024 demandait aux fournisseurs et aux déployeurs de systèmes d’IA de prendre des mesures pour « garantir, dans toute la mesure du possible, un niveau suffisant » de maîtrise de l’IA de leur personnel. La nouvelle version reprend le même sujet et les mêmes critères : les connaissances, l’expérience, l’éducation et la formation des personnes, le contexte d’utilisation et les personnes concernées. Le verbe, lui, change. Il s’agit désormais de prendre des mesures pour « favoriser le développement » de cette maîtrise, et le texte précise que l’obligation n’impose pas de garantir un niveau spécifique pour chaque individu.
Deux paragraphes ont été ajoutés. La Commission et les États membres doivent soutenir les entreprises, notamment par des formations, des ressources d’information et l’échange de bonnes pratiques, tandis que le Comité européen de l’IA adoptera des recommandations. Le considérant 8 indique que des obligations strictes ne conviennent pas à tous les opérateurs et pèsent surtout sur les petites entreprises.
Une obligation de moyens, toujours applicable
Lire ce changement comme une suppression serait une erreur. L’article 4 s’applique toujours à tous les fournisseurs et déployeurs, quelle que soit leur taille. Une entreprise dont les salariés utilisent un assistant conversationnel, un outil de rédaction ou un agent intégré à leur messagerie reste un déployeur au sens du règlement.
L’obligation est passée d’une logique de résultat à une logique de moyens, qui se juge sur les actions effectivement mises en œuvre. Si un client, un auditeur, un donneur d’ordre ou une autorité pose la question, la réponse « nous n’avons rien fait, le texte a été allégé » ne tient pas. Le reste du règlement a par ailleurs gardé son calendrier : les obligations de transparence de l’article 50 s’appliquent depuis le 2 août 2026, tandis que les obligations sur les systèmes à haut risque sont reportées au 2 décembre 2027 pour ceux de l’annexe III, comme le recrutement ou l’évaluation de solvabilité, et au 2 août 2028 pour l’IA intégrée aux produits de l’annexe I.
Ce qu’une entreprise doit pouvoir montrer
Le texte ne prescrit aucun format. En pratique, trois éléments suffisent à répondre à la plupart des demandes. Le premier est un inventaire des usages : quels outils d’IA sont utilisés, par quelles équipes, pour quelles tâches et avec quelles données. Sans cet inventaire, il est impossible de vérifier que les formations correspondent aux usages réels.
Le deuxième est un registre des actions. Pour chaque action, il faut noter la date, le public, le contenu, la durée, le format (formation, atelier, guide interne ou charte d’usage) et le lien avec un usage identifié, appuyé si possible par une attestation de présence ou de réussite. Le troisième est un responsable, une personne nommée qui tient ce registre à jour et le revoit à l’arrivée de chaque nouvel outil. Dans une PME, il s’agit souvent du dirigeant ou du responsable des systèmes d’information.
Les erreurs fréquentes
La première consiste à tout arrêter, alors que l’allègement porte sur le niveau à garantir et non sur l’existence de l’obligation. La deuxième est de former tout le monde de la même façon : un webinaire générique d’une heure répond mal à la question d’un juriste qui utilise un outil de synthèse de contrats, ou d’une équipe RH qui teste un outil de présélection. La troisième confond formation et documentation. Des salariés formés sans trace écrite ne peuvent rien démontrer, et un registre rempli sans formation réelle ne résiste pas à une question précise. Enfin, un registre figé en 2025 ne couvre pas un agent déployé en 2026 : il doit suivre l’inventaire des usages.
Une entreprise qui part de zéro peut avancer en trois étapes : recenser les usages réels, y compris ceux que la direction n’a pas validés, prévoir pour chacun une action proportionnée, puis consigner ces actions dans un registre avec un responsable désigné. Ce travail, qui prend quelques jours selon la présentation de l’article, sert aussi au-delà de l’article 4, face à un client qui interroge l’usage de l’IA dans une prestation ou au moment de préparer les obligations sur les systèmes à haut risque.
