L'Europe a allégé l'obligation de former à l'IA : ce n'est pas une raison pour s'en dispenser

Depuis juillet, l'AI Act n'exige plus de garantir un niveau suffisant de maîtrise de l'IA. Beaucoup d'entreprises y liront une dispense. À tort, et pas seulement sur le plan juridique.

Pendant un an et demi, l'article 4 de l'AI Act a inquiété pas mal de dirigeants. Applicable depuis le 2 février 2025, il demandait aux entreprises qui utilisent des systèmes d'IA de garantir à leur personnel, "dans toute la mesure du possible, un niveau suffisant de maîtrise de l'IA". Personne ne savait vraiment ce qu'était un niveau suffisant, encore moins comment le prouver.

Le règlement européen 2026/1744 du 8 juillet 2026, publié au Journal officiel de l'Union le 24 juillet, a réécrit cet article. Il s'agit désormais de "favoriser le développement" de cette maîtrise, et le texte précise qu'aucun niveau précis n'est à garantir pour chaque personne. Le législateur ne s'en cache pas : l'ancienne rédaction pesait sur les entreprises, en particulier les plus petites.

Je comprends cette simplification. Ce qui m'inquiète, c'est la façon dont elle va être reçue dans les PME et les cabinets, que j'entends déjà résumer en "on n'est plus obligé de former". C'est faux en droit, et c'est surtout une mauvaise décision de gestion.

Ce que le texte demande encore

Il faut lire la réécriture jusqu'au bout : l'obligation est toujours là, sous une autre forme. La Commission européenne le rappelle dans sa foire aux questions sur la maîtrise de l'IA, mise à jour le 20 octobre 2026. La maîtrise de l'IA reste une obligation pour ceux qui fournissent des systèmes d'IA comme pour ceux qui les utilisent, simplement sans niveau imposé.

Ce même document apporte des précisions que tout dirigeant devrait connaître. Aucun certificat n'est exigé : une trace interne des formations et des actions menées suffit. Les "autres personnes" qui utilisent l'IA pour le compte de l'entreprise peuvent être un prestataire ou un sous-traitant, et pas seulement des salariés. Quant au contrôle, il revient aux autorités nationales de surveillance du marché depuis le 2 août 2026, avec des sanctions qui doivent rester proportionnées.

Une entreprise qui n'a rien fait et qui ne peut montrer aucune trace n'est donc pas mieux placée qu'avant. Elle ne peut plus invoquer le flou du texte, c'est tout.

Le risque, lui, n'a pas bougé

Je n'ai d'ailleurs jamais pensé que la conformité était la bonne raison de former.

D'après l'Insee (Insee Première n° 2120, juillet 2026), 18 % des entreprises de 10 salariés ou plus déclaraient utiliser au moins une technologie d'IA en 2025, contre 10 % un an plus tôt. Parmi elles, 53 % disent être freinées par un manque d'expertise et 43 % par des inquiétudes sur la protection des données. Ce sont les entreprises elles-mêmes qui placent la compétence et la confidentialité en tête de leurs difficultés, et aucun règlement ne les réglera à leur place.

Un assistant IA répond avec la même assurance, que sa réponse soit juste ou inventée. La Commission prend d'ailleurs un exemple très terre à terre : des salariés qui s'en servent pour rédiger ou traduire doivent être prévenus des risques propres à cet usage, comme les hallucinations. Celui qui ne le sait pas recopie l'erreur. Celui qui le sait vérifie.

C'est la même chose pour les données. Ce qui met une entreprise en difficulté, c'est rarement l'outil choisi, beaucoup plus souvent un geste anodin : coller un fichier client dans un compte personnel, transmettre un document nominatif, donner à un assistant l'accès à une boîte de réception. Personne ne fait cela par malveillance. On le fait parce qu'on ne sait pas, et c'est exactement ce qu'une formation peut corriger.

Ce que je mettrais dans une formation utile

La nouvelle rédaction a au moins un mérite : elle laisse chaque entreprise adapter la formation à ses usages réels. Il serait dommage de ne pas s'en servir. Pour une PME ou un cabinet, je retiendrais quatre sujets, qu'on peut aborder simplement avec toute l'équipe.

1. Ce qu'est un assistant IA et ce qu'il n'est pas. Il produit un texte plausible, pas une vérité, et il peut se tromper sur un chiffre, une date ou une règle sans la moindre hésitation.
2. Les données qui ne sortent pas, écrites noir sur blanc dans une liste courte : pas de compte personnel pour des données de l'entreprise, aucun bulletin de paie ni document nominatif de salarié, aucune IA reliée à une boîte de réception. On transmet un texte sans nom ni donnée personnelle, et rien de plus.
3. La vérification. Apprendre à poser des questions dont la réponse peut se contrôler, puis à la contrôler avant de s'en servir. La réponse engage celui qui l'envoie, pas l'outil.
4. Les usages autorisés : quels outils, quels comptes, pour quelles tâches. Quand un collaborateur utilise un outil non validé parce que c'est plus pratique, je n'y vois pas une faute individuelle. C'est le signe qu'aucune règle n'a été posée.

Tout le monde n'a pas besoin du même niveau, et la Commission l'admet clairement : un associé qui décide n'a pas les mêmes besoins qu'un collaborateur qui utilise l'outil tous les jours. Pour la trace, un simple tableau fait l'affaire, avec qui a été formé, quand, et sur quels sujets.

Une simplification qui déplace la responsabilité

L'ancienne rédaction imposait une obligation difficile à tenir. La nouvelle rend la main aux entreprises, et avec elle la responsabilité de bien faire. Le texte ne dit plus combien former : chaque entreprise juge elle-même de ce dont ses équipes ont besoin.

Pour celles qui prennent le sujet au sérieux, c'est plutôt une bonne nouvelle. Pour les autres, je crains que ce soit un piège. L'IA est déjà dans les outils de travail de la plupart des salariés, qu'on l'ait choisie ou non. La question à se poser n'est donc plus de savoir si la loi oblige à former. C'est de savoir si l'on accepte que ses équipes s'en servent sans savoir quand elle se trompe, ni ce qu'il ne faut jamais lui confier.