L'article 4 a changé de texte le 27 juillet 2026
Dans le règlement (UE) 2024/1689, qu'on appelle AI Act, l'article 4 porte un titre court : « Maîtrise de l'IA ». L'article 3 définit le terme. Il s'agit des compétences, des connaissances et de la compréhension qui permettent de déployer un système d'IA en connaissance de cause, et de mesurer ses possibilités, ses risques et les préjudices qu'il peut causer. En anglais, on parle d'AI literacy.
Le règlement (UE) 2026/1744, appelé Omnibus numérique sur l'IA, a remplacé l'article en entier. Signé le 8 juillet 2026, il est paru au Journal officiel de l'Union le 24 juillet et s'applique depuis le 27. Le tableau met les deux versions côte à côte, avec les mots du Journal officiel.
| Point | Version de 2024 | Version en vigueur depuis le 27 juillet 2026 |
|---|---|---|
| Ce que l'entreprise doit faire | « prennent des mesures pour garantir, dans toute la mesure du possible, un niveau suffisant de maîtrise de l'IA » | « prennent des mesures pour favoriser le développement de la maîtrise de l'IA » |
| Qui est visé | « leur personnel et les autres personnes s'occupant du fonctionnement et de l'utilisation des systèmes d'IA pour leur compte » | Inchangé |
| Comment calibrer | Selon les connaissances techniques, l'expérience, l'éducation et la formation des personnes, le contexte d'usage et les personnes visées par le système | Inchangé |
| Niveau à atteindre | « Un niveau suffisant », jamais défini | « Cette obligation ne contraint pas les fournisseurs ou les déployeurs à garantir un niveau spécifique de maîtrise de l'IA par un individu » |
| Rôle des pouvoirs publics | Aucun paragraphe dédié | La Commission et les États membres soutiennent les efforts des entreprises, en particulier des PME. La Commission publie des exemples pratiques. |
L'obligation reste en place pour tout fournisseur et tout déployeur, quel que soit le niveau de risque de l'outil. Elle devient une obligation de moyens : l'entreprise doit être en mesure de prouver ce qu'elle a mis en place, et que ces mesures correspondent aux personnes et aux usages. Le considérant 8 de l'Omnibus donne la raison du changement. Une exigence stricte de niveau créait une charge jugée trop lourde, surtout pour les petites entreprises.
Qui est concerné dans votre entreprise
L'article 4 vise les déployeurs. Le règlement appelle déployeur toute personne ou organisation qui utilise un système d'IA sous sa propre autorité, hors usage personnel non professionnel (article 3, point 4). Une PME dont les salariés rédigent avec ChatGPT, résument avec Copilot ou traduisent avec un outil automatique est un déployeur. La taille de l'entreprise ne change rien. Le prix de l'abonnement non plus.
Le périmètre dépasse les salariés. Le texte parle des « autres personnes » qui utilisent les outils pour le compte de l'entreprise. Dans ses questions-réponses sur la maîtrise de l'IA, mises à jour le 27 juillet 2026, la Commission cite les prestataires et les sous-traitants. Un intérimaire qui répond aux clients avec l'assistant de l'entreprise entre dans le champ. Un consultant qui produit ses livrables avec votre licence aussi.
La Commission prend un exemple que chacun reconnaîtra. Quand des salariés écrivent des textes publicitaires avec ChatGPT, l'entreprise doit leur expliquer les risques de l'outil, en particulier les hallucinations, ces affirmations inexactes livrées avec aplomb. Elle ajoute que se contenter de la notice d'utilisation, ou demander au personnel de la lire, sera souvent inefficace.
Les usages cachés comptent aussi : un salarié qui colle un contrat client dans son compte personnel gratuit agit pour le compte de l'entreprise.
Obligatoire, recommandé, facultatif : le tri ligne par ligne
Le tableau sépare ce qu'un texte impose, ce que la Commission recommande et ce qui relève de la bonne pratique. La dernière colonne permet de vérifier chaque ligne à la source.
| Mesure | Statut au 7 octobre 2026 | Source |
|---|---|---|
| Agir pour que les personnes qui se servent des outils d'IA en acquièrent la maîtrise | Obligatoire depuis le 2 février 2025 | AI Act, article 4, paragraphe 1 |
| Adapter ces mesures au niveau des personnes et au contexte d'usage | Obligatoire | AI Act, article 4, paragraphe 1 |
| Garantir un niveau individuel ou faire passer un test de niveau | Non exigé | AI Act, article 4, paragraphe 1, dernière phrase |
| Obtenir un certificat ou suivre une formation certifiante | Non exigé | Questions-réponses de la Commission |
| Garder une trace écrite des formations suivies et de l'accompagnement (registre interne) | Recommandé | Questions-réponses de la Commission |
| Confier le contrôle humain d'un système à haut risque à des personnes formées | Obligatoire dès le 2 décembre 2027 pour un système relevant de l'annexe III | AI Act, article 26, paragraphe 2, et Omnibus |
| Indiquer qu'une image, un son ou une vidéo hypertruqués ont été générés par IA | Obligatoire depuis le 2 août 2026 pour qui les diffuse | AI Act, article 50, paragraphe 4 |
| Informer et consulter le CSE sur l'introduction d'une nouvelle technologie | Obligatoire dans les entreprises d'au moins 50 salariés | Code du travail, article L2312-8 |
| Maintenir la capacité des salariés à occuper leur emploi face à l'évolution des technologies | Obligation générale de l'employeur | Code du travail, article L6321-1 |
| Rédiger une charte d'usage de l'IA | Bonne pratique, aucun texte ne l'impose | Usage des entreprises |
La ligne sur le haut risque mérite une précision. Un système qui trie des candidatures, évalue les performances d'un salarié ou attribue des tâches d'après son comportement figure à l'annexe III, point 4. Pour ces outils, les obligations du déployeur de l'article 26 s'appliqueront le 2 décembre 2027. Avant de mettre un tel outil en service, l'employeur devra prévenir les représentants du personnel et les salariés qui y seront soumis (article 26, paragraphe 7). Un assistant qui aide à rédiger un courriel ne relève pas de cette catégorie.
Les sanctions : ce que prévoit l'article 99
Beaucoup de pages annoncent, pour un défaut de formation, une amende de 15 millions d'euros ou de 3 % du chiffre d'affaires. Le montant existe dans le règlement. Il vise une liste fermée d'obligations, et l'article 4 n'y figure pas.
L'article 99 fixe trois plafonds. Le premier, le plus lourd (35 millions d'euros, ou 7 % du chiffre d'affaires annuel mondial), sanctionne les pratiques interdites de l'article 5. Le deuxième, 15 millions ou 3 %, vise les obligations énumérées au paragraphe 4 : fournisseurs (article 16), mandataires, importateurs, distributeurs, déployeurs de systèmes à haut risque (article 26), organismes notifiés et transparence (article 50). Le troisième, 7,5 millions ou 1 %, punit les informations inexactes fournies aux autorités. Pour une PME, chaque amende est plafonnée au plus faible des deux montants (paragraphe 6).
Le paragraphe 1 du même article confie aux États membres le régime des autres manquements. Ce régime peut comprendre des avertissements et des mesures non monétaires. Il doit rester proportionné et tenir compte des intérêts des PME. La Commission confirme que les autorités nationales pourront sanctionner un manquement à l'article 4, au cas par cas.
Reste à savoir qui contrôle. La Commission indique que l'article 4 relève des autorités nationales de surveillance du marché, qui exercent cette surveillance depuis le 2 août 2026. En France, le gouvernement a publié en septembre 2025 un schéma de répartition : la DGCCRF coordonne, la CNIL et d'autres autorités interviennent selon les secteurs. Il doit être inscrit dans la loi par un texte d'adaptation au droit européen, adopté par le Sénat en février 2026 et transmis à l'Assemblée nationale le 20 février. Fin septembre 2026, le dossier législatif n'affiche aucune étape suivante. Aucune autorité française n'a donc reçu par la loi la mission de contrôler l'article 4.
Le risque le plus proche passe par d'autres textes. Une fuite de données personnelles dans un outil d'IA relève du RGPD, applicable depuis mai 2018, et des sanctions de la CNIL. Un litige avec un salarié ou avec un client portera sur ce que l'entreprise avait fait pour encadrer l'outil. Dans les deux cas, un registre de formation daté vaut mieux qu'une intention.
Le calendrier à jour après l'Omnibus
Les frises publiées avant juillet 2026 annoncent le haut risque pour le 2 août 2026. Cette date ne tient plus : l'Omnibus a modifié l'article 113 du règlement.
| Date | Ce qui s'applique | Ce que ça change pour une PME utilisatrice |
|---|---|---|
| 1er août 2024 | Entrée en vigueur du règlement 2024/1689 | Rien d'opérationnel |
| 2 février 2025 | Maîtrise de l'IA (article 4) et pratiques interdites (article 5) | Former les utilisateurs ; vérifier qu'aucun outil n'infère les émotions des salariés, pratique interdite au travail sauf raison médicale ou de sécurité |
| 2 août 2025 | Règles des modèles d'IA à usage général ; cadre des sanctions (chapitre XII) | Obligations portées par les éditeurs des modèles |
| 27 juillet 2026 | Entrée en vigueur de l'Omnibus 2026/1744 et nouvelle rédaction de l'article 4 | Obligation de moyens, sans niveau individuel à garantir |
| 2 août 2026 | Transparence (article 50) ; début de la surveillance nationale de l'article 4 | Signaler les hypertrucages diffusés ; avoir le registre prêt |
| 2 décembre 2026 | Fin du délai de marquage des contenus pour les systèmes génératifs mis sur le marché avant août 2026 ; nouvelles pratiques interdites ajoutées à l'article 5 | Obligations portées surtout par les éditeurs |
| 2 décembre 2027 | Systèmes à haut risque de l'annexe III, dont recrutement et gestion des salariés | Contrôle humain par des personnes formées ; information des représentants du personnel |
| 2 août 2028 | Systèmes à haut risque intégrés à des produits réglementés (annexe I) | Concerne surtout les industriels |
Un dispositif proportionné tient en quatre pièces
La Commission décrit un socle minimal en quatre points. L'entreprise donne une compréhension générale de l'IA. Elle situe son propre rôle, fournisseur ou déployeur. Elle explique les risques des outils qu'elle utilise. Elle adapte le tout au niveau et au contexte de chaque public. Les quatre pièces suivantes traduisent ce socle en travail concret.
1. L'inventaire des outils et des usages
Pour chaque outil, notez le nom, le type de compte (entreprise ou personnel), les équipes qui s'en servent, les tâches, les données saisies et les décisions qu'il influence. Un questionnaire anonyme de cinq minutes fait remonter les comptes personnels, que l'informatique ne voit pas. Cet inventaire sert deux fois : il définit les publics à former et il repère les usages qui basculeront dans le haut risque en décembre 2027.
2. Des groupes formés selon leur exposition
| Public | Ce que les personnes doivent savoir faire | Format adapté |
|---|---|---|
| Toute personne qui ouvre un assistant d'IA | Repérer une hallucination, savoir quelles données ne jamais saisir, connaître les outils autorisés et la personne à prévenir | Session courte en groupe, rappel dans l'intranet ou l'outil |
| Utilisateurs quotidiens, par métier | Écrire des consignes précises pour leurs tâches, vérifier une sortie avant usage, garder la trace des sources | Atelier pratique sur leurs propres documents |
| Managers et direction | Décider des usages permis, lire les limites d'un outil, répondre aux questions d'un salarié ou du CSE | Séance dédiée, construite sur des cas de décision |
| Référents informatique, données, RH | Classer un usage selon les niveaux de risque, paramétrer les comptes, préparer les échéances de 2027 | Formation approfondie et veille suivie |
3. Le registre
D'après la Commission, aucun certificat n'est requis : il suffit de consigner dans un registre interne les formations et les autres actions d'accompagnement. Un tableur partagé fait l'affaire. Prévoyez une ligne par action avec ces colonnes :
- date, intitulé et programme (objectifs, contenu, outils couverts) ;
- public visé, noms des participants et preuve de présence (émargement ou connexion) ;
- durée, format et intervenant, interne ou organisme extérieur ;
- évaluation des acquis quand il y en a une, même un court questionnaire ;
- date de la prochaine mise à jour prévue et événement qui la déclencherait.
Une formation suivie auprès d'un organisme certifié Qualiopi produit déjà le programme, les feuilles d'émargement et le certificat de réalisation. Ces pièces entrent telles quelles dans le registre.
4. Des mises à jour déclenchées par les usages
Aucun texte ne fixe de périodicité. Une mise à jour se justifie à chaque changement qui modifie les risques : un nouvel outil, une nouvelle fonction qui agit à la place de l'utilisateur (un agent qui envoie des courriels, par exemple), un incident, l'arrivée d'une nouvelle équipe. Intégrez aussi un module court au parcours d'accueil des nouveaux salariés.
La Commission tient un répertoire de pratiques alimenté par des organisations de toutes tailles. Il montre des formats variés, du module en ligne au référent par service, et permet de comparer votre dispositif à ce que font d'autres.
Cas pratique : une PME industrielle de 60 salariés
Prenons un scénario pédagogique. Une PME de mécanique de précision compte 60 salariés et un CSE. La direction découvre que plusieurs personnes utilisent ChatGPT, dont certaines sur un compte personnel. Le service RH teste un logiciel qui présélectionne les candidatures. Le déroulé suivant tient en trois mois.
- 1Semaine 1 et 2 : questionnaire anonyme et entretien avec chaque responsable d'équipe. L'inventaire fait apparaître trois familles d'usage : rédaction et synthèse au bureau d'études et aux achats, réponses commerciales, présélection de CV aux RH.
- 2Semaine 3 : la direction tranche. Les données de l'entreprise ne vont plus dans des comptes personnels, des licences professionnelles sont ouvertes pour les équipes qui en ont l'usage, une charte d'une page fixe les règles.
- 3Semaine 4 : le CSE est informé et consulté sur le déploiement, au titre de l'introduction d'une nouvelle technologie (article L2312-8). La charte et le plan de formation lui sont présentés.
- 4Mois 2 : sensibilisation courte pour tous, atelier par métier pour les utilisateurs quotidiens, séance de décision pour l'encadrement. Chaque action entre au registre.
- 5Mois 3 : le logiciel de présélection est isolé comme futur système à haut risque. L'entreprise demande à l'éditeur sa feuille de route pour décembre 2027 et désigne les personnes qui valideront chaque tri.
Au bout de trois mois, la PME peut montrer à un contrôleur, à un juge ou à un client ce qu'elle a fait, pour qui et quand. Une obligation de moyens ne demande rien d'autre.
Le Code du travail demandait déjà de former
L'AI Act s'ajoute à une obligation française plus ancienne. L'article L6321-1 du Code du travail charge l'employeur de préparer ses salariés à leur poste et de les garder employables quand les technologies évoluent. Quand un outil d'IA change la façon de faire un métier, former les personnes qui l'occupent entre dans ce devoir.
La formation décidée par l'employeur passe par le plan de développement des compétences. En règle générale, elle a lieu pendant le temps de travail et le salaire est maintenu. Les entreprises de moins de 50 salariés peuvent en faire financer tout ou partie par leur opérateur de compétences (OPCO), si l'organisme de formation est certifié Qualiopi. Le détail des démarches figure dans notre guide pour financer une formation IA avec son OPCO.
Le texte européen fixe l'objectif et laisse le format libre. Cette liberté a un prix : c'est à l'entreprise de montrer que ses choix tiennent debout. Un inventaire, des groupes, un registre et une date de mise à jour suffisent à le faire.
Sources
- AI Act (règlement 2024/1689), texte officiel sur EUR-Lex : articles 3, 4, 5, 26, 50, 99 et 113
- Omnibus numérique sur l'IA (règlement 2026/1744), texte paru au JO le 24 juillet 2026
- Questions-réponses de la Commission sur la maîtrise de l'IA (AI Literacy), version du 27 juillet 2026
- Commission européenne, répertoire des pratiques de maîtrise de l'IA
- Direction générale des Entreprises, autorités compétentes pour le règlement IA (septembre 2025)
- Dossier législatif du Sénat, projet de loi n° 118 (2025-2026)
- CNIL, questions-réponses sur le règlement européen sur l'IA, mise à jour du 17 août 2026
- Code du travail, article L6321-1
- Code du travail, article L2312-8
- Fiche du ministère du Travail sur le plan de développement des compétences
Questions fréquentes
Documenter la maîtrise de l'IA de vos équipes
Nos formations sont construites par métier, sur les outils que vos équipes utilisent. Chaque session produit ce qui alimente votre registre interne : programme, émargements, évaluation des acquis. Formations finançables par l'OPCO de votre branche, selon ses règles.
Après la formation, outiller les équipes
Une fois les équipes formées, deux chantiers suivent souvent : un assistant d'entreprise qui remplace les comptes privés, et l'examen des outils RH qui relèveront du haut risque en décembre 2027. Masteria cadre l'un ou l'autre en trente minutes, puis le conduit avec vous.
