Article 4 de l'AI Act réécrit : ce qui change pour la formation des salariés en PME

Adrien Bano
IA en Règle

Depuis le 27 juillet 2026, l'AI Act ne demande plus de viser un " niveau suffisant " de maîtrise de l'IA. L'obligation d'agir demeure : ce que les PME doivent en retenir.

Agir, sans garantir un niveau

L’article 4 de l’AI Act, le règlement (UE) 2024/1689, porte sur la "maîtrise de l’IA". Il s’applique depuis le 2 février 2025. Il vise les fournisseurs de systèmes d’IA, mais aussi les "déployeurs", c’est-à-dire toute personne ou organisation qui utilise un système d’IA sous sa propre autorité, dans un cadre professionnel. Une PME dont les salariés rédigent ou traduisent des textes avec un assistant d’IA générative est concernée : c’est l’un des exemples cités par la Commission européenne.

Dans sa version initiale, l’article demandait des mesures pour garantir, "dans toute la mesure du possible, un niveau suffisant de maîtrise de l’IA". Le règlement (UE) 2026/1744 du 8 juillet 2026, publié au Journal officiel de l’Union européenne le 24 juillet et entré en vigueur le 27 juillet, a remplacé cette formule. Fournisseurs et déployeurs "prennent des mesures pour favoriser le développement de la maîtrise de l’IA" par leur personnel et par les autres personnes qui s’occupent du fonctionnement et de l’utilisation de ces systèmes pour leur compte (prestataires, sous-traitants…). Une phrase nouvelle précise que cette obligation ne les contraint pas "à garantir un niveau spécifique de maîtrise de l’IA par un individu".

Le texte ajoute un volet de soutien. La Commission et les États membres doivent aider les entreprises, "en particulier les PME". La Commission publiera des exemples pratiques, et le Comité européen de l’intelligence artificielle (Comité IA) adoptera des recommandations. Le considérant 8 du règlement de 2026 justifie cette réécriture par la charge que des obligations strictes font peser, "en particulier pour les petites entreprises", et par le fait qu’une solution uniforme ne conviendrait pas à tous les fournisseurs et déployeurs. Il ajoute que la maîtrise de l’IA devrait être "une priorité stratégique", indépendamment des obligations réglementaires et des sanctions potentielles.

Premier contresens : "il n’y a plus rien à faire"

La disparition du verbe "garantir" peut laisser croire que le sujet est clos. C’est une erreur. L’obligation n’a pas été supprimée : son objet a changé. Il ne s’agit plus de viser un niveau "suffisant", mais de prendre des mesures adaptées pour favoriser cette maîtrise. La Commission le confirme dans sa foire aux questions (non contraignante), mise à jour le 27 juillet 2026, même si son introduction n’a pas été actualisée. Elle juge aussi que renvoyer les équipes à la notice d’utilisation de l’outil risque, dans bien des cas, de rester sans effet.

Les sanctions appellent de la nuance. Dans l’article 99 de l’AI Act, aucune amende chiffrée n’est attachée à l’article 4 : les plafonds visent par exemple les pratiques interdites ou les obligations de transparence. Ce même article laisse toutefois à chaque État membre le soin de sanctionner toute violation du règlement. La Commission indique qu’un manquement à l’article 4 pourrait être sanctionné par les autorités nationales. Elle insiste sur la proportionnalité, et estime qu’une sanction pourrait être plus probable s’il est prouvé qu’un incident résulte d’un manque de formation et d’encadrement appropriés.

En France, ce cadre national n’est pas encore définitivement adopté. Le projet de loi d’adaptation au droit de l’Union européenne, qui comporte un volet sur l’AI Act, a été voté par le Sénat en première lecture le 18 février 2026. Transmis à l’Assemblée nationale le 20 février 2026, il y était toujours en attente d’examen à la mi-septembre 2026.

Enfin, l’AI Act n’est pas la seule source. Le Code du travail impose déjà à l’employeur d’assurer "l’adaptation des salariés à leur poste de travail", et de veiller au maintien de leur capacité à occuper un emploi, "au regard notamment de l’évolution des emplois, des technologies et des organisations" (article L. 6321-1). La réforme européenne n’y change rien.

Second contresens : "il faut certifier tout le monde"

L’erreur inverse consiste à croire qu’il faudrait un certificat, un volume d’heures ou un test pour chaque salarié. Rien de tel ne figure dans l’article 4. Dans cette FAQ, la Commission indique qu’aucun certificat n’est nécessaire, que les connaissances des salariés n’ont pas à être mesurées et qu’aucune structure de gouvernance particulière, comme un "AI officer" sur le modèle du délégué à la protection des données, n’est imposée au titre de l’article 4. Et copier un exemple de son répertoire de pratiques ne vaut pas, pour l’instant, présomption automatique de conformité. Aucun modèle clé en main ne dispense donc de regarder sa propre situation.

Le texte demande un ajustement. Les mesures tiennent compte des connaissances techniques, de l’expérience, de l’éducation et de la formation des personnes, du contexte d’utilisation et des personnes visées par les systèmes. Un commercial qui fait traduire un courriel n’a pas les mêmes besoins qu’une chargée de recrutement qui utilise un outil de tri de candidatures.

Ce second cas va plus loin. Un système d’IA qui filtre des candidatures relève en principe du haut risque (annexe III, point 4 a) ; l’article 6, § 3, prévoit des exceptions, qui ne jouent pas en cas de profilage). Le déployeur devra alors confier le contrôle humain à des personnes disposant "des compétences, de la formation et de l’autorité nécessaires", ainsi que du soutien nécessaire (article 26, § 2). Pour les systèmes de l’annexe III, cette règle s’appliquera à partir du 2 décembre 2027.

Documenter une démarche proportionnée

Puisqu’aucun niveau n’est exigé, la question devient : comment montrer que l’on a agi ? La Commission répond simplement : l’entreprise peut tenir un registre interne des formations et des autres actions menées.

À mon sens, la preuve la plus utile n’est pas une attestation, mais la cohérence. En cas de question ou d’incident, l’essentiel sera sans doute de pouvoir relier trois éléments : les outils réellement utilisés, les risques repérés pour chaque usage et les actions engagées en face. Un tableau simple, daté et tenu à jour, rend ce lien visible. L’effort, lui, gagne à suivre le risque. Pour traduire des courriels, quelques consignes écrites, par exemple sur les erreurs possibles (les "hallucinations" citées par la Commission) et les données à ne pas saisir, et un échange en équipe me semblent pouvoir convenir. Un outil qui pèse sur un recrutement justifie davantage.

Ce qui reste à surveiller

La réécriture de l’article 4 ne crée pas de vide. Elle déplace l’exigence : moins de référence à un niveau à atteindre, plus de cohérence entre les usages réels et les actions engagées. Pour une PME, c’est une clarification, à condition de ne pas confondre allègement et abandon.

Deux inconnues demeurent : le cadre français de contrôle et de sanctions, et le contenu des exemples et recommandations européens prévus par le texte. Une démarche modeste, datée et tenue à jour devrait permettre de s’y adapter sans repartir de zéro.

Cet article a une visée d’information générale et ne constitue pas un conseil juridique. Informations à jour au 17 septembre 2026.

Texte préparé avec l’aide d’un outil d’IA et relu par l’auteur.

Références