Depuis l’été, la même offre arrive dans les boîtes mail sous six expéditeurs différents : « Formation IA obligatoire · Art. 4 AI Act · certificat · places limitées ». L’argumentaire est toujours le même et finit toujours sur un bouton de paiement. Le point gênant, c’est que l’obligation existe vraiment — ce n’est pas une invention de commercial. Ce qui est inventé, c’est presque tout ce qui vient après le mot « obligatoire ».
La thèse en une ligne : la formation IA obligatoire pour les salariés est bien vivante depuis février 2025, mais le règlement ne demande ni stage, ni programme, ni nombre d’heures, ni certificat. Il demande des mesures proportionnées au contexte et au risque, et il demande de pouvoir les montrer. Ce qu’on te réclamera si quelqu’un frappe à la porte, ce n’est pas une facture de formation : c’est un inventaire des systèmes, une politique d’usage par rôle et un registre indiquant qui a reçu quoi et quand.
Avertissement avant d’aller plus loin : c’est une carte opérationnelle pour savoir quoi demander et quoi préparer, pas un conseil juridique. Le périmètre exact dans ton cas dépend des systèmes que tu utilises, pour quoi faire et avec qui, et ça se referme avec ton conseil. Ce qu’on peut faire sans avocat — et qui manque presque toujours quand la conversation arrive — c’est avoir la liste des systèmes sur la table.
Formation IA obligatoire pour les salariés : ce que dit l’article 4, et ce qui a changé en juillet 2026
L’article 4 du règlement (UE) 2024/1689 s’applique depuis le 2 février 2025, sans période transitoire et sans seuil de taille : il engage autant une multinationale qu’une boîte de douze personnes, dès lors que des systèmes d’IA sont utilisés. Et il ne s’arrête pas à la masse salariale. Le texte couvre aussi « les autres personnes s’occupant du fonctionnement et de l’utilisation » de ces systèmes pour le compte de l’organisation : le freelance qui opère ton agent, le prestataire qui le configure. Source : AI talent, skills and literacy, Commission européenne, consulté le 3 octobre 2026.
Ce que presque personne n’a vérifié, c’est que l’article a été réécrit en juillet 2026. Le Digital Omnibus on AI — règlement (UE) 2026/1744 du 8 juillet 2026, publié au Journal officiel le 24 juillet et en vigueur depuis le 27 — a réécrit l’article 4 sans le supprimer : là où il exigeait de « garantir un niveau suffisant » de maîtrise de l’IA, il exige maintenant de « prendre des mesures soutenant le développement » de cette maîtrise. L’obligation n’a pas disparu. C’est le verbe qui s’est adouci. Sources : règlement (UE) 2026/1744, EUR-Lex, et EU AI Omnibus enters into force, amending the AI Act, White & Case, consultés le 3 octobre 2026.
| Élément de l’article 4 | Jusqu’au 26 juillet 2026 | Depuis le 27 juillet 2026 |
|---|---|---|
| Le verbe de l’obligation | Garantir un niveau suffisant de maîtrise de l’IA | Prendre des mesures soutenant le développement de la maîtrise de l’IA |
| Le standard exigé | Un résultat : que tes équipes atteignent un niveau | Un effort démontrable : que les mesures existent et collent au contexte d’usage |
| Qui est couvert | Le personnel et les tiers qui opèrent les systèmes pour ton compte | Le personnel et les tiers qui opèrent les systèmes pour ton compte |
| Ce qui n’a jamais figuré dans le texte | Ni stage nommé, ni heures, ni certificat | Ni stage nommé, ni heures, ni certificat |
La dernière ligne mérite deux lectures, parce que c’est elle qui tient tout l’article. Ni la version d’origine ni la version en vigueur ne nomment un stage, un programme, un nombre d’heures ou un diplôme. Ce que le texte demande, c’est que les mesures tiennent compte des connaissances préalables, de l’expérience, de la formation, du contexte d’utilisation et des personnes concernées. C’est un test de proportionnalité. Et un test de proportionnalité ne s’achète pas : il s’applique.
Y a-t-il une amende pour ne pas former ? Les 35 millions affichés viennent d’un autre article
C’est là que l’argument commercial cesse d’être fragile pour devenir faux. Le règlement ne fixe aucune sanction spécifique pour le manquement à l’article 4. Les chiffres de 35 millions d’euros ou 7 % du chiffre d’affaires mondial correspondent aux pratiques interdites de l’article 5 — manipulation, notation sociale, certaines catégorisations biométriques —, pas au fait de n’avoir formé personne. Ce que fait l’article 99, c’est obliger chaque État membre à prévoir des sanctions « effectives, proportionnées et dissuasives », avec une échelle qui démarre à l’avertissement. Afficher le plafond de l’article 5 comme le prix d’un stage sauté, c’est vendre avec un chiffre pris dans un autre dossier.
Ce qui a changé de date, c’est qui regarde. Depuis le 2 août 2026, les autorités nationales de surveillance des États membres entrent en contrôle et peuvent sanctionner sur cette partie du règlement. Avant, l’obligation existait et personne ne demandait. Depuis, l’obligation est identique et quelqu’un a qualité pour demander. C’est toute la nouveauté de cet été, et elle suffit.
Pourquoi le stage générique n’est pas ce que demande le texte
Le problème de la session de deux heures sur « c’est quoi l’IA générative » n’est pas qu’elle soit mauvaise. C’est qu’elle répond à une question que le règlement ne pose pas. Le règlement interroge l’ajustement entre ce que tes équipes savent et ce qu’elles ont le droit de faire avec les systèmes que tu fais tourner. Un programme unique ne peut pas coller à ça, par construction :
- Il ne distingue pas celui qui rédige des mails avec un assistant de celui qui a mis un modèle à trier des candidatures. Le texte, lui, distingue : il calibre les mesures selon le contexte d’usage et les personnes concernées.
- Un certificat prouve que quelqu’un s’est assis, pas que ton opération est couverte. La Commission n’a homologué aucun diplôme pour l’article 4 : ce que le bureau de l’IA a publié, ce sont des questions-réponses et un répertoire de pratiques de maîtrise de l’IA — à peu près le contraire d’un titre obligatoire.
- Il laisse dehors les tiers qui opèrent des systèmes pour ton compte, alors que l’article les nomme explicitement. Ils ne sont presque jamais sur la liste de présence, parce qu’ils ne sont pas sur la paie.
- Il forme celui qui utilise l’outil et pas celui qui valide. Une supervision humaine sans compétence ni autorité pour arrêter, c’est regarder : le trou que referme le guide sur l’humain dans la boucle de l’automatisation IA pour des raisons qui n’ont rien à voir avec le régulateur.
Rien de tout ça ne veut dire qu’un stage est inutile. Ça veut dire qu’un stage est une des mesures, pas la preuve. Et que si tu n’achètes que la partie qui vient avec une facture, le difficile reste à faire. Le coût de ce raccourci, on l’a déjà raconté par l’autre bout : la formation est la ligne budgétaire que personne ne budgète, et la couper, c’est ce qui remplit les entreprises de licences mortes. Même pièce, autre face — avec une différence : maintenant quelqu’un peut demander.
Les trois choses que tu dois vraiment pouvoir montrer
Si demain on te demande une preuve au titre de l’article 4, on ne te demandera pas un diplôme. On te demandera d’expliquer ce que tu fais tourner, qui a le droit de le faire tourner, et ce que tu as fait pour que ces gens sachent s’en servir. Ça fait trois artefacts, et aucun des trois ne vient dans un stage.
1. L’inventaire des systèmes d’IA réellement utilisés
C’est le livrable un, pas le trois : personne ne peut calibrer la formation au risque d’un système dont il ignore l’existence. Et la vraie liste ne colle jamais à la liste officielle, parce que l’écart entre les licences d’entreprise et ce que les gens ouvrent dans un onglet n’apparaît que quand on demande sans conséquences. On a décrit ce trou dans l’inventaire des agents que ton entreprise n’a pas, et la règle est sèche : si ton inventaire colle exactement à ta liste de licences, l’inventaire n’est pas fait.
2. Une politique d’usage par rôle, pas un PDF pour tout le monde
La politique qui vaut quelque chose ne dit pas « utilise l’IA de façon responsable ». Elle dit, rôle par rôle, quels systèmes cette personne peut toucher, pour quelles tâches, quelles données peuvent entrer, quelles décisions ne se délèguent pas, et qui est prévenu quand ça part de travers. C’est la traduction organisationnelle de ce qui, dans un agent, correspond aux permissions d’un agent IA : sans périmètre écrit, la supervision n’a rien à quoi se comparer et la formation n’a rien à quoi se calibrer.
3. Un registre de formation avec dates, périmètre et noms
La pièce la moins chère et celle qui manque le plus. Qui a reçu quoi, quand, sur quels systèmes et avec quel contenu — prestataires inclus. Pas besoin d’une plateforme : il faut qu’il existe et qu’il soit à jour, parce que c’est la seule chose qui transforme « on a fait des trucs » en « voici les mesures que nous avons prises ». Et versionne-le : dès que tu changes d’outil ou que tu élargis les permissions d’un système, la mesure précédente ne te couvre plus.
Les trois ensemble, c’est le dossier. Aucun stage ne les vend, et les trois sont exactement ce que gouvernance et contrôle de l’automatisation IA construit pour des raisons purement opérationnelles. Celui qui l’a déjà respecte l’article 4 presque par accumulation ; celui qui ne l’a pas découvre que le texte lui demande de construire l’opération qu’il n’a jamais construite. On le livre comme adoption de l’IA pour les équipes — playbooks par département, formation et politique d’usage — et, quand le problème c’est le dossier réglementaire complet, comme se conformer à l’AI Act en opérant de l’IA.
Combien d’IA il y a déjà dedans (et pourquoi le chiffre officiel est bas)
Pour dimensionner qui est concerné : dans l’UE, 20,0 % des entreprises de 10 salariés ou plus utilisaient des technologies d’IA en 2025, contre 13,5 % en 2024. Source : 20% of EU enterprises use AI technologies, Eurostat, décembre 2025. Le chiffre est à périmètre UE : il varie beaucoup d’un État membre à l’autre, du Danemark (42,0 %) à la Roumanie (5,2 %), donc à lire comme une moyenne, pas comme ton marché.
Et il mesure l’adoption déclarée par l’entreprise. L’article 4 ne se déclenche pas sur l’adoption déclarée : il se déclenche sur l’usage. L’écart entre ce qu’une entreprise dit utiliser et ce que ses gens utilisent vraiment, aucune statistique ne le capte, parce que la question n’est posée ni dans l’enquête ni en interne. C’est pour ça que l’inventaire passe en premier : c’est le seul moyen de savoir si tu es dans les 20 % ou si tu y es depuis deux ans sans l’avoir compté.
Quoi faire dans les deux prochaines semaines
- Demander sans conséquences. Un formulaire à trois champs — quel outil d’IA tu utilises, pour quelle tâche, avec quelles données — et la promesse explicite que personne n’aura d’ennuis en répondant. L’inventaire sort de là ou ne sort pas.
- Classer par risque, pas par outil. Deux colonnes : quelle décision le système touche, et qui ça affecte. Un assistant qui rédige et un système qui trie des candidatures ne peuvent pas porter la même mesure.
- Écrire la politique par rôle sur une page. Périmètre autorisé, données interdites, décisions non délégables, qui est prévenu. Une page qui se lit vaut mieux que vingt qui s’archivent.
- Couvrir les externes dans la même passe. Le freelance, l’agence et le prestataire qui opèrent quelque chose pour ton compte sont dans l’article. S’ils ne sont pas au registre, ils ne sont pas couverts.
- Ouvrir le registre aujourd’hui, même à moitié vide. Un tableau avec dates, personnes, systèmes et contenu. Ce qui sépare une mesure d’une intention, c’est qu’elle a une date.