Depuis juillet 2026, le règlement européen sur l’IA, l’AI Act, n’exige plus de garantir un niveau suffisant de maîtrise de l’IA au personnel des entreprises. Beaucoup y voient une dispense, mais l’obligation de former subsiste sous une autre forme, et le risque qu’elle vise n’a pas disparu.
- Depuis juillet 2026, l’AI Act n’impose plus de niveau précis de maîtrise de l’IA.
- L’obligation de former subsiste pourtant sous une autre forme.
- Les autorités de contrôle vérifient ce respect depuis le 2 août 2026.
- La formation doit couvrir les erreurs de l’IA et la protection des données.
L’article 4 de l’AI Act, applicable depuis le 2 février 2025, demandait aux entreprises qui utilisent des systèmes d’IA de garantir à leur personnel, « dans toute la mesure du possible, un niveau suffisant de maîtrise de l’IA ». Personne ne savait précisément ce qu’était un niveau suffisant, ni comment le prouver. Le règlement européen 2026/1744 du 8 juillet 2026, publié au Journal officiel de l’Union le 24 juillet, a réécrit cet article. Il s’agit désormais de « favoriser le développement » de cette maîtrise, et le texte précise qu’aucun niveau précis n’est à garantir pour chaque personne. Le législateur reconnaît que l’ancienne rédaction pesait sur les entreprises, en particulier les plus petites.
Une obligation qui change de forme
La Commission européenne rappelle, dans sa foire aux questions sur la maîtrise de l’IA mise à jour le 20 octobre 2026, que l’obligation demeure pour les fournisseurs de systèmes d’IA comme pour leurs utilisateurs, sans niveau imposé. Aucun certificat n’est exigé : une trace interne des formations et des actions menées suffit. Les « autres personnes » qui utilisent l’IA pour le compte de l’entreprise peuvent être un prestataire ou un sous-traitant, et pas seulement des salariés.
Le contrôle revient aux autorités nationales de surveillance du marché depuis le 2 août 2026, et les sanctions doivent rester proportionnées. Une entreprise qui n’a rien fait et ne peut présenter aucune trace n’est donc pas mieux placée qu’auparavant. Elle ne peut plus seulement invoquer le flou du texte.
Un risque qui n’a pas changé
L’auteur de cette analyse estime que la conformité ne doit pas être la principale raison de former. Selon l’Insee (Insee Première n° 2120, juillet 2026), 18 % des entreprises de 10 salariés ou plus déclaraient utiliser au moins une technologie d’IA en 2025, contre 10 % un an plus tôt. Parmi elles, 53 % citent un manque d’expertise comme frein, et 43 % des inquiétudes sur la protection des données.
Un assistant IA, c’est-à-dire un logiciel qui génère du texte à partir de questions posées en langage courant, répond avec la même assurance, qu’il dise juste ou qu’il invente. La Commission cite l’exemple de salariés qui s’en servent pour rédiger ou traduire et doivent être informés des risques propres à cet usage, comme les hallucinations, c’est-à-dire des réponses fausses présentées comme vraies. Celui qui ignore ce risque recopie l’erreur, celui qui le connaît la vérifie.
Les données posent un problème comparable. Selon l’auteur, les difficultés viennent rarement de l’outil lui-même, mais plutôt de gestes anodins : coller un fichier client dans un compte personnel, transmettre un document nominatif, ou donner à un assistant l’accès à une boîte de réception. Ces gestes relèvent souvent d’un manque de connaissance plutôt que de la malveillance.
Ce que pourrait couvrir une formation
La nouvelle rédaction laisse à chaque entreprise le soin d’adapter la formation à ses usages réels. Pour une PME ou un cabinet, l’auteur retient quatre sujets, abordables simplement avec toute l’équipe. Le premier porte sur la nature de l’assistant, qui produit un texte plausible et non une vérité, et qui peut se tromper sur un chiffre, une date ou une règle sans le signaler.
Le deuxième consiste à établir une liste courte des données qui ne doivent pas sortir de l’entreprise : aucun compte personnel pour des données professionnelles, aucun bulletin de paie ni document nominatif, aucune IA reliée à une boîte de réception. Le troisième concerne la vérification des réponses avant leur usage, puisque la réponse engage celui qui l’envoie. Le quatrième définit les outils autorisés, les comptes et les tâches concernées, car l’usage d’un outil non validé traduit souvent l’absence de règle plutôt qu’une faute individuelle. Enfin, la Commission admet que les besoins varient : un dirigeant n’a pas les mêmes besoins qu’un collaborateur qui utilise l’outil au quotidien. Un tableau indiquant qui a été formé, quand et sur quels sujets suffit pour garder la trace.
