Ce que l'article 4 de l'AI Act n'impose pas
Depuis quelques mois, les messages se ressemblent. « Formation obligatoire depuis février 2025. » « Sept modules à valider. » « Jusqu’à 15 millions d’euros d’amende. » Nous recevons ces mêmes courriels que vous, et nous croisons les dirigeants qui les ont lus : inquiets, persuadés d’être en faute, prêts à acheter n’importe quoi pour ne plus l’être.
Le problème, c’est qu’aucune de ces trois affirmations n’est exacte.
Nous vendons de la formation à l’IA. Écrire cet article revient donc à démonter les arguments qui font vendre nos concurrents, et une partie des nôtres. Nous le faisons quand même, pour une raison simple : un dirigeant qui achète par peur découvre tôt ou tard qu’on lui a forcé la main, et il ne fait plus jamais confiance à personne sur le sujet. Y compris à ceux qui avaient quelque chose d’utile à lui dire.
Le texte, en entier
L’article 4 du règlement européen sur l’intelligence artificielle tient en une phrase :
« Les fournisseurs et les déployeurs de systèmes d’IA prennent des mesures pour garantir, dans toute la mesure du possible, un niveau suffisant de maîtrise de l’IA pour leur personnel et les autres personnes s’occupant du fonctionnement et de l’utilisation des systèmes d’IA pour leur compte, en prenant en considération leurs connaissances techniques, leur expérience, leur éducation et leur formation, ainsi que le contexte dans lequel les systèmes d’IA sont destinés à être utilisés, et en tenant compte des personnes ou des groupes de personnes à l’égard desquels les systèmes d’IA sont destinés à être utilisés. »
C’est tout. Il n’y a pas d’annexe, pas de référentiel, pas de liste de modules. Relisez-la une fois : vous en savez maintenant autant que la plupart de ceux qui vous en parlent.
Cinq choses que cette phrase n’impose pas
Une formation. Le mot n’y figure pas comme obligation. Le texte parle de « mesures » pour garantir un niveau suffisant de maîtrise. Une formation en est une, souvent la plus simple. Ce n’est pas la seule : une note de cadrage lue et comprise, un temps d’échange en réunion d’équipe, un guide interne peuvent suffire pour des usages très légers.
Un certificat ou un examen. La foire aux questions publiée par la Commission européenne le dit explicitement : aucun certificat, aucun examen, aucun volume d’heures spécifique n’est exigé. Ce qui compte, ce sont des mesures adaptées au rôle, aux connaissances et au contexte d’utilisation de chaque personne.
Un nombre d’heures. Aucune durée minimale n’est fixée, ni dans le règlement, ni dans les documents de la Commission. Toute offre qui vous vend « les 7 heures obligatoires » a inventé ce chiffre.
Une charte d’usage. Nulle part. Une charte est un excellent outil — elle transforme des principes en règles applicables et rassure les équipes sur ce qu’elles ont le droit de faire. Elle n’est pas une obligation légale.
Un registre. Pas davantage. Tenir la trace de qui a été formé, quand et sur quoi est ce qui vous permettra de démontrer que vous avez agi. C’est une précaution, pas une prescription.
Et un sixième point, puisqu’il revient constamment : l’article 4 ne dispose pas de palier d’amende dédié. Les montants qui circulent — 35 millions, 15 millions — correspondent à d’autres manquements : les pratiques interdites de l’article 5, les obligations des fournisseurs et des déployeurs de systèmes à haut risque, les obligations de transparence. L’article 4 ne figure pas dans ces listes.
Ce qui ne veut pas dire « aucun risque », et nous y venons.
Ce que le texte demande réellement
Trois choses, et elles sont exigeantes à leur manière.
Des mesures, pas des intentions. L’obligation existe depuis le 2 février 2025 et elle est vivante : elle ne se règle pas une fois pour toutes. Elle porte sur votre personnel comme sur les personnes qui utilisent des systèmes d’IA pour votre compte — prestataires et intérimaires compris.
Proportionnées. C’est le mot le plus important de la phrase, et le plus ignoré par le marché. Le niveau attendu dépend des connaissances de chacun, de son rôle et du contexte d’usage. Le commercial qui reformule ses courriels avec un assistant et l’analyste qui présélectionne des candidatures ne relèvent pas du même niveau d’exigence. Vendre le même module à tout le monde, c’est passer à côté de ce que le texte demande — tout en le facturant.
« Dans toute la mesure du possible ». Le règlement admet lui-même qu’une obligation de moyens s’apprécie au regard de ce que l’entreprise peut raisonnablement faire. Une PME de vingt personnes n’est pas tenue au dispositif d’un groupe du CAC 40.
Alors pourquoi tout le monde parle de formation et de registre ?
Parce que ce sont les moyens les plus simples, et les plus faciles à montrer.
C’est la vraie question, et personne ne la pose : le jour où quelqu’un vous demande des comptes — une autorité, un client, un assureur, un avocat après un incident — comment prouvez-vous que vous avez pris des mesures ? Une réunion d’équipe ne laisse aucune trace. Une formation suivie, horodatée, différenciée par rôle, en laisse une.
La formation n’est donc pas obligatoire. Elle est simplement la façon la plus économique de rendre démontrable quelque chose qui, sinon, ne l’est pas. Ce n’est pas le même argument, et la différence compte : dans un cas on vous vend une contrainte, dans l’autre vous choisissez un outil.
Et le risque, alors ?
Il est réel, mais il n’est pas là où on vous le montre.
Depuis août 2026, les autorités nationales de surveillance disposent de leurs pouvoirs de contrôle et de sanction. Par ailleurs, l’Omnibus numérique adopté en juin 2026 a reporté à décembre 2027 les obligations relatives aux systèmes à haut risque de l’annexe III — mais il n’a touché ni à l’article 4, ni aux pratiques interdites de l’article 5, ni aux obligations de transparence de l’article 50. Ceux qui vous disent que « tout est reporté » se trompent autant que ceux qui vous annoncent une amende imminente.
Concrètement, pour une PME, le défaut de maîtrise de l’IA pèse surtout de trois façons indirectes :
- En cas d’incident. Une décision automatisée contestée, un contenu erroné diffusé, une information confidentielle sortie de l’entreprise : le fait que personne n’ait été formé transforme un accident en négligence.
- Dans vos contrats. Les grands donneurs d’ordres commencent à insérer des clauses IA dans leurs appels d’offres et leurs questionnaires fournisseurs. C’est là que la question vous sera posée en premier — bien avant qu’une autorité ne s’intéresse à vous.
- Chez votre assureur. Les questionnaires de couverture cyber et responsabilité civile professionnelle évoluent dans le même sens.
Autrement dit : le risque ne vient pas d’un contrôle surprise. Il vient du jour où quelqu’un vous demande de montrer quelque chose, et où vous n’avez rien.
Ce que nous conseillons de faire, proportionnément
Quatre étapes, dans cet ordre, et aucune ne nécessite un budget de grand groupe.
1. Regardez ce qui tourne réellement. Pas ce qui est officiellement déployé : ce que les gens utilisent. Les assistants intégrés à vos logiciels métier, les comptes personnels ouverts sur des outils grand public, les extensions installées un après-midi. Cet inventaire prend une demi-journée et il surprend toujours.
2. Distinguez les rôles. Quatre populations suffisent dans la plupart des PME : les dirigeants qui décident quoi déployer, les usagers qui s’en servent au quotidien, les managers qui valident les usages de leur service, et — les plus oubliés — ceux qui créent des choses avec l’IA : assistants sur mesure, automatisations, agents. Ces derniers sont deux à dix personnes chez vous, et leurs choix engagent l’entreprise bien plus que ceux des autres.
3. Formez au bon niveau. Une sensibilisation courte pour la majorité, un vrai travail de cadrage pour ceux qui décident, un approfondissement pour ceux qui construisent. Le principe de proportionnalité vous autorise à ne pas faire la même chose pour tout le monde. Il vous y invite, même.
4. Gardez la trace. Qui, quand, sur quoi. C’est la seule étape que personne n’aime faire et la seule qui compte le jour où on vous pose la question.
Pourquoi nous écrivons ceci
Nous formons des équipes de PME à l’IA, et notre différence tient précisément à la quatrième étape : ce qui reste après. Nous aurions donc tout intérêt à vous expliquer que la loi vous l’impose.
Elle ne vous l’impose pas. Elle vous demande de vous assurer que vos équipes maîtrisent les outils qu’elles utilisent, et de pouvoir le montrer. C’est plus simple à comprendre, plus honnête à vendre, et cela laisse le choix du moyen là où il doit être : chez vous.
Si vous voulez savoir où en sont vos équipes avant de décider quoi que ce soit, notre test de maturité prend trois minutes et ne demande aucune coordonnée.
Sources : règlement (UE) 2024/1689, articles 4, 5, 50 et 99 ; foire aux questions de la Commission européenne sur la maîtrise de l’IA (mai 2025) ; Omnibus numérique, adopté en juin 2026.