L’article 4 : ce que « former ses équipes » veut vraiment dire

1. Le texte, mot pour mot

Une seule phrase, et tout est dedans

L’article 4 du règlement (UE) 2024/1689 — le « règlement européen sur l’intelligence artificielle », ou AI Act — tient en une seule phrase. Longue, mal ponctuée, écrite dans cette langue bruxelloise qui décourage à la troisième ligne. Mais une seule phrase. La voici, dans sa version française officielle :

« Les fournisseurs et les déployeurs de systèmes d’IA prennent des mesures pour garantir, dans toute la mesure du possible, un niveau suffisant de maîtrise de l’IA de leur personnel et des autres personnes s’occupant du fonctionnement et de l’utilisation des systèmes d’IA pour leur compte, en prenant en considération leurs connaissances techniques, leur expérience, leur éducation et leur formation, ainsi que le contexte dans lequel les systèmes d’IA sont destinés à être utilisés, et en tenant compte des personnes ou groupes de personnes à l’égard desquels les systèmes d’IA sont destinés à être utilisés. »

Relisez-la une fois, puis oubliez-la. Nous allons la reprendre morceau par morceau. À la fin de cette leçon, vous saurez ce qu’elle vous demande, ce qu’elle ne vous demande pas, et comment y répondre en une demi-journée plutôt qu’en trois mois de panique.

Où se trouve cet article, et pourquoi cela compte

L’article 4 est placé au chapitre I du règlement, intitulé « Dispositions générales ». Il vient après l’article 3 (les définitions) et avant l’article 5 (les pratiques interdites). Cette position n’est pas anodine.

Le chapitre I s’applique à tout le monde. Il n’est pas réservé aux systèmes d’IA « à haut risque » — cette catégorie qui vise le recrutement automatisé, la notation de crédit, les dispositifs médicaux, l’éducation, les infrastructures critiques. Les obligations lourdes du règlement (documentation technique, système de gestion de la qualité, évaluation de conformité, marquage CE) concernent le haut risque, et pas votre boulangerie.

L’article 4, lui, s’adresse à tous les fournisseurs et déployeurs, quel que soit le niveau de risque. C’est ce qui en fait, très concrètement, la seule obligation du règlement qui touche l’immense majorité des TPE françaises. Un plombier de Riom qui utilise un assistant conversationnel pour rédiger ses devis n’est pas concerné par les quatre-vingts pages sur le haut risque. Il est concerné par l’article 4.

Une précision d’honnêteté : cette lecture large n’est pas absolument unanime. Une partie de la doctrine universitaire fait valoir que, l’article étant placé dans les dispositions générales d’un règlement structuré par le risque, il ne devrait viser que les systèmes entrant dans une catégorie de risque identifiée. C’est une lecture minoritaire. La Commission européenne, dans la foire aux questions publiée par le Bureau européen de l’IA, retient sans ambiguïté la lecture large. C’est celle que nous suivons, et celle sur laquelle vous devez vous aligner, ne serait-ce que par prudence.

Le considérant 20 : la note d’intention du législateur

Un règlement européen se lit à deux étages. En haut, les « considérants » : des paragraphes numérotés, placés avant les articles, qui expliquent pourquoi le législateur a écrit ce qu’il a écrit. En bas, les articles : le texte contraignant. Les considérants ne sont pas directement contraignants, mais ils servent à interpréter les articles quand ceux-ci sont ambigus — et l’article 4 l’est.

Le considérant 20 accompagne l’article 4 :

« Afin de tirer le meilleur parti des systèmes d’IA tout en protégeant les droits fondamentaux, la santé et la sécurité, et de permettre un contrôle démocratique, il convient que les fournisseurs, les déployeurs et les personnes concernées acquièrent, dans le cadre de la maîtrise de l’IA, les notions nécessaires pour prendre des décisions éclairées en ce qui concerne les systèmes d’IA. »

Il précise ensuite que ces notions varient selon le contexte : compréhension des éléments techniques en phase de développement, mesures à appliquer pendant l’utilisation, interprétation des résultats, et — pour les personnes concernées — compréhension des décisions prises à leur égard avec l’aide de l’IA.

Retenez la formule centrale : « prendre des décisions éclairées ». Pas « devenir expert ». Pas « savoir coder ». Être capable de décider en connaissance de cause : est-ce que j’utilise cet outil ici, pour cette tâche, avec ces données, et est-ce que je sais ce que je risque si je le fais mal.

Tout l’article 4 tient là. Si vos équipes savent prendre des décisions éclairées face à un outil d’IA, vous avez rempli votre obligation. Sinon, aucun certificat encadré au mur ne vous sauvera.

La définition officielle de la « maîtrise de l’IA »

Le règlement définit l’expression, à l’article 3, point 56 :

« « maîtrise de l’IA » : les compétences, les connaissances et la compréhension qui permettent aux fournisseurs, aux déployeurs et aux personnes concernées, compte tenu de leurs droits et obligations respectifs dans le contexte du présent règlement, de procéder à un déploiement des systèmes d’IA en toute connaissance de cause, ainsi que de prendre conscience des possibilités et des risques que comporte l’IA, ainsi que des préjudices potentiels qu’elle peut causer. »

Cette définition est votre meilleur allié. Quatre points :

« Les compétences, les connaissances et la compréhension. » Trois registres. Les connaissances : ce que l’on sait — un modèle de langage prédit du texte, il ne consulte pas une base de vérité. Les compétences : ce que l’on sait faire — reformuler une demande, vérifier une source, anonymiser un document avant de le coller. La compréhension : ce que l’on saisit du fonctionnement d’ensemble — pourquoi l’outil se trompe avec aplomb. Une formation qui ne travaille que les connaissances produit des gens qui récitent. L’article 4 vise les trois.

« Compte tenu de leurs droits et obligations respectifs. » Le niveau attendu n’est pas le même selon le rôle. Un fournisseur qui met un système sur le marché doit en savoir bien plus qu’un salarié qui rédige un courrier.

« Procéder à un déploiement en toute connaissance de cause. » Le mot « déploiement » ne doit pas vous impressionner : dans le vocabulaire du règlement, déployer un système d’IA, c’est simplement l’utiliser dans son activité professionnelle. Ouvrir un assistant conversationnel pour rédiger une relance client, c’est du déploiement.

« Prendre conscience des possibilités et des risques. » Notez l’ordre : les possibilités avant les risques. Le législateur n’a pas écrit un texte anti-IA. Il veut que les gens sachent s’en servir, et qu’ils sachent quand ne pas s’en servir. Une formation qui ne ferait que faire peur ne serait pas conforme à l’esprit du texte. Elle serait juste inutile.

2. Qui est concerné : fournisseur, déployeur, et tous les autres

Deux rôles, et un seul vous concerne probablement

Le règlement construit toute son architecture sur une distinction : celui qui fabrique, et celui qui utilise.

Le fournisseur (article 3, point 3) développe un système d’IA, ou le fait développer, et le met sur le marché sous son propre nom ou sa propre marque. Une agence web clermontoise qui développe un chatbot sur mesure et le livre sous sa marque est fournisseur.

Le déployeur (article 3, point 4) utilise un système d’IA sous sa propre autorité, dans le cadre d’une activité professionnelle. Le texte exclut expressément l’usage strictement personnel. Votre boulangère qui demande une idée de recette pour son dimanche est hors champ. La même boulangère qui fait rédiger la fiche produit de sa brioche pour son site est déployeur.

Dans la quasi-totalité des cas, une TPE auvergnate est déployeur, et seulement déployeur. Vous n’entraînez pas de modèle, vous n’en mettez pas sur le marché sous votre marque, vous utilisez des outils faits par d’autres. C’est le régime le plus léger.

Attention toutefois au basculement prévu à l’article 25 : un déployeur devient fournisseur s’il appose son nom ou sa marque sur un système existant, s’il modifie substantiellement un système à haut risque, ou s’il en change la destination au point d’en faire un système à haut risque. Si votre agence immobilière utilise un outil de rédaction d’annonces, vous restez déployeur. Si vous l’habillez à vos couleurs et le revendez à d’autres agences, vous venez de changer de camp — et d’obligations.

« Leur personnel » : plus large qu’il n’y paraît

Salariés en contrat à durée indéterminée ou déterminée, à temps partiel, saisonniers. Le dirigeant lui-même, qui en TPE est presque toujours le premier utilisateur. Les apprentis et les alternants, juridiquement salariés.

Il n’y a aucun seuil. Le règlement ne dit nulle part « les entreprises de plus de dix salariés », ni « à l’exclusion des micro-entreprises ». Un artisan seul est à la fois l’entreprise et le personnel : l’obligation existe, elle porte sur lui-même, et elle est évidemment plus simple à remplir.

« Et des autres personnes s’occupant du fonctionnement et de l’utilisation des systèmes d’IA pour leur compte »

Voilà la partie que presque tout le monde saute, et la plus lourde de conséquences.

Le texte ne s’arrête pas au personnel salarié. La formule est délibérément large : elle capte tous ceux qui manipulent l’outil en votre nom sans être vos salariés. La foire aux questions de la Commission européenne le confirme explicitement : sont visés les sous-traitants, les prestataires de services et les clients agissant pour le compte du déployeur ou du fournisseur.

Dans une TPE auvergnate, cela recouvre :

• Les indépendants et freelances. Le rédacteur web auto-entrepreneur qui alimente le blog de votre restaurant à Besse. Le graphiste qui produit vos visuels. Le community manager qui poste pour votre compte. S’ils utilisent l’IA pour produire ce qui sort sous votre nom, ils entrent dans le périmètre.
• Les prestataires et sous-traitants. L’agence de communication qui gère vos campagnes. Le prestataire informatique qui configure vos outils.
• Les stagiaires. Un stagiaire n’est pas salarié au sens strict, mais il « s’occupe du fonctionnement et de l’utilisation » des outils pour votre compte. Il est dans le périmètre, sans discussion possible. Et c’est souvent lui qui utilise l’IA le plus intensivement, avec le moins de recul.
• Les alternants. Même logique, avec en prime une présence longue et un accès large aux outils de l’entreprise.
• Les bénévoles. Point sensible pour le tissu associatif auvergnat. Une association sportive d’Issoire dont le secrétaire bénévole rédige la newsletter avec un assistant conversationnel : le bénévole agit pour le compte de l’association, qui est déployeur.
• Les intérimaires et remplaçants. Le kiné remplaçant qui reprend votre cabinet trois semaines en août et utilise votre logiciel de transcription.

La logique du législateur est cohérente : le risque ne vient pas du statut contractuel de la personne, il vient du fait qu’elle manipule un outil d’IA dans le cadre de votre activité. Un stagiaire qui colle un fichier client entier dans un assistant grand public vous expose exactement autant qu’un salarié. Le règlement refuse donc que vous excluiez une catégorie de personnes au motif qu’elles ne figurent pas sur votre registre du personnel.

Vos clients, en revanche, ne sont pas visés par l’article 4 : ils utilisent votre chatbot pour leur propre compte, pas pour le vôtre. Ils sont des « personnes concernées ». Vous leur devez autre chose : la transparence de l’article 50, que nous verrons en section 6.

Le niveau attendu n’est pas le même pour tous

C’est le coeur pratique de cette leçon. L’article 4 exige « un niveau suffisant », et l’article 3 précise « compte tenu de leurs droits et obligations respectifs ». La loi vous demande donc d’établir une gradation, pas un plancher unique. Voici comment cela se traduit dans un cabinet comptable de sept personnes à Clermont-Ferrand.

Ce tableau est le livrable le plus utile que vous puissiez produire. Il tient sur une page, il prouve que vous avez réfléchi, et il constitue à lui seul une bonne part de la preuve que l’on pourrait vous demander.

3. Ce que veut dire « un niveau suffisant »

Un standard ouvert, et c’est volontaire

« Un niveau suffisant. » Suffisant pour quoi, selon qui ? Le règlement ne le dit pas. Cette imprécision fait grincer beaucoup de juristes. Elle est pourtant délibérée.

Le législateur avait deux options. Écrire une norme fermée — « quatorze heures par an, sanctionnées par un examen » — claire et absurde : quatorze heures, c’est beaucoup trop pour l’artisan qui utilise l’IA dix minutes par semaine, et beaucoup trop peu pour l’entreprise qui automatise le tri de candidatures. Ou écrire une norme ouverte, calibrée par des critères. Il a choisi la seconde.

Conséquence : c’est vous qui définissez le niveau suffisant chez vous, et vous devez pouvoir expliquer votre raisonnement. Ce n’est pas un blanc-seing — un raisonnement absent ou manifestement déraisonnable ne tiendra pas. Mais un raisonnement écrit, documenté, proportionné, tient parfaitement.

« Dans toute la mesure du possible » : une obligation de moyens

Les mots les plus rassurants de l’article 4. En anglais, to their best extent.

Ils changent la nature de l’obligation. En droit français, on distingue l’obligation de résultat — on est responsable dès que le résultat n’est pas atteint — et l’obligation de moyens — on est responsable seulement si l’on n’a pas mis en oeuvre les moyens raisonnables. Le chirurgien a une obligation de moyens : il soigne selon les règles de l’art, il ne garantit pas la guérison.

L’article 4 crée une obligation de moyens. Vous devez prendre des mesures. Vous n’avez pas à garantir que chacun a tout compris et ne commettra jamais d’erreur. Si un collaborateur formé, informé, encadré par une note écrite, commet malgré tout une bêtise, vous n’êtes pas en infraction : vous êtes face à un problème managérial ordinaire.

Conséquence pratique majeure : la preuve porte sur les moyens, pas sur les résultats. Ce que l’on peut vous demander de montrer, c’est ce que vous avez fait.

Ce que la Commission européenne attend, concrètement

Le Bureau européen de l’IA, service de la Commission chargé de la mise en oeuvre du règlement, a publié une foire aux questions consacrée à la maîtrise de l’IA. Elle n’est pas contraignante, mais elle indique la position de l’autorité qui pilote l’application du texte. Autant s’y aligner. Elle dégage quatre piliers :

1. Assurer une compréhension générale de l’IA dans l’organisation. Que fait un système d’IA, comment il fonctionne dans les grandes lignes, quelles sont ses limites.
2. Clarifier le rôle de l’organisation. Fournisseur ou déployeur ? Y répondre par écrit fait partie de la démarche.
3. Identifier les risques des systèmes réellement utilisés. Pas les risques de l’IA en général : les vôtres, dans vos usages.
4. Prendre des actions concrètes adaptées aux profils et aux contextes. La gradation par rôle.

Notez ce qui est demandé et ce qui ne l’est pas. On vous demande de comprendre, de qualifier, d’identifier et d’agir. Ni de certifier, ni d’évaluer, ni de suivre un programme imposé.

4. Les critères de proportionnalité : pourquoi il n’y a pas de formation type

La fin de la phrase, celle que personne ne cite

Reprenons la seconde moitié de l’article 4. Cette énumération n’est pas décorative : elle est la clé de voûte du dispositif. Elle regroupe trois familles de critères.

Premier critère : ce que les gens savent déjà

« Leurs connaissances techniques, leur expérience, leur éducation et leur formation. » Le point de départ n’est pas zéro : il est là où sont vos équipes.

Deux cas en apparence identiques. Un cabinet comptable d’Issoire, sept collaborateurs diplômés du supérieur, dont trois ont plus de quinze ans de métier. Une entreprise de nettoyage de Riom, douze salariés, dont quatre gèrent les plannings avec un outil qui propose désormais des affectations automatiques.

Les deux utilisent de l’IA. Le niveau de départ n’a rien à voir. Chez le comptable, l’analyse critique est le coeur du métier : ces gens-là repèrent une incohérence dans un bilan à trois mètres. Il suffit de leur expliquer pourquoi l’outil se trompe, leur réflexe professionnel fait le reste. Chez le nettoyeur, les quatre personnes concernées n’ont peut-être jamais entendu parler de modèle de langage. Il faut commencer par le commencement, avec des exemples pris dans leur planning à elles.

Conséquence : le même contenu servi aux deux serait inadapté dans les deux cas. Trop élémentaire d’un côté, incompréhensible de l’autre. C’est exactement ce que le règlement veut éviter.

Deuxième critère : le contexte d’utilisation

« Le contexte dans lequel les systèmes d’IA sont destinés à être utilisés. » Autrement dit : à quoi ça sert, chez vous.

Le même outil, dans deux contextes, appelle deux niveaux de vigilance. Un assistant qui reformule la présentation d’un gîte du Mont-Dore, c’est du confort rédactionnel : le pire qui puisse arriver est une tournure maladroite. Le même assistant utilisé pour répondre à une réclamation sur un chantier qui a mal tourné, c’est autre chose : une formulation qui reconnaît une responsabilité que vous n’avez pas engagée peut vous coûter cher.

Trois questions qualifient le contexte :

• La production sort-elle de l’entreprise ? Un brouillon interne retravaillé par trois personnes est moins risqué qu’un courrier envoyé tel quel.
• Engage-t-elle l’entreprise ? Un devis, un contrat, un diagnostic, un conseil engagent votre responsabilité professionnelle.
• Quelles données entrent dans l’outil ? Un texte générique ne pose pas de problème. Un dossier médical, un bulletin de paie, une liste de clients : le problème change de nature.

Troisième critère : sur qui ça retombe

« Les personnes ou groupes de personnes à l’égard desquels les systèmes d’IA sont destinés à être utilisés. » Le critère le plus exigeant, celui qui monte le curseur le plus vite.

Dès qu’un système est utilisé sur des personnes — pour les évaluer, les trier, décider à leur sujet — le niveau attendu grimpe fortement. Et il grimpe encore lorsque ces personnes sont vulnérables : patients, mineurs, personnes âgées, demandeurs d’emploi, personnes en difficulté financière.

• Un restaurateur de Besse fait rédiger la description de ses plats. Personne n’est visé, le contexte est bénin. Une sensibilisation générale suffit largement.
• Une agence immobilière de Clermont-Ferrand utilise un outil qui aide à présélectionner les dossiers de location. Des personnes sont évaluées. Un biais peut produire une discrimination — délit indépendant de l’article 4. Niveau nettement plus élevé, et l’outil peut lui-même relever du haut risque.
• Un cabinet de kinésithérapie d’Ambert transcrit ses comptes rendus de séance. Données de santé, personnes vulnérables, secret professionnel. Niveau élevé, et l’article 4 n’est ici que la plus petite des questions à se poser.

5. Ce que la loi n’exige pas — et il faut insister

Aucune certification n’est obligatoire

Il n’existe dans le règlement aucune obligation d’obtenir un certificat attestant de la maîtrise de l’IA. Ni pour l’entreprise, ni pour les salariés. La foire aux questions du Bureau européen de l’IA est explicite : il n’est pas nécessaire d’obtenir un quelconque certificat.

Un certificat n’est pas inutile pour autant : c’est une preuve commode de ce que vous avez fait. Mais c’est une preuve parmi d’autres, pas une condition de conformité. Un compte rendu de réunion signé par les participants a exactement la même valeur juridique.

Méfiez-vous en particulier de l’expression « certification AI Act ». Le règlement prévoit bien des mécanismes de certification et d’évaluation de la conformité, mais ils portent sur les systèmes d’IA à haut risque, pas sur les personnes qui les utilisent. Personne ne certifie un salarié au titre du règlement européen sur l’IA. Ce produit n’existe pas.

Aucun organisme agréé n’est imposé

Le règlement ne désigne aucun organisme habilité à dispenser cette formation. Il n’existe pas de liste officielle d’organismes agréés « article 4 ». Vous pouvez :

• faire appel à un organisme de formation professionnelle ;
• faire appel à un consultant indépendant ;
• solliciter votre expert-comptable ou votre avocat sur le volet juridique ;
• organiser la formation en interne, par un salarié qui maîtrise le sujet ;
• vous former vous-même et transmettre ;
• utiliser des ressources en ligne gratuites, y compris institutionnelles.

Tout cela est également recevable. Le règlement s’intéresse au résultat — des gens qui prennent des décisions éclairées — pas au fournisseur de la prestation.

Une nuance côté financement, sans rapport avec le règlement : pour mobiliser un financement par votre opérateur de compétences, l’organisme devra satisfaire aux exigences françaises du droit de la formation professionnelle, notamment la certification Qualiopi. C’est une condition de prise en charge financière, pas de conformité à l’article 4. Ne confondez pas les deux, et méfiez-vous des argumentaires qui les mélangent.

Aucun volume horaire n’est imposé

Le mot « heure » n’apparaît nulle part dans l’article 4. Ni « jour », ni « module », ni « session ». Aucune durée minimale n’est fixée, ni par le règlement, ni par la Commission, ni par aucune autorité nationale à ce jour.

Pour un artisan seul qui rédige des courriers une fois par semaine, deux heures bien employées peuvent constituer un niveau suffisant. Pour une entreprise de trente personnes dont plusieurs métiers reposent sur l’IA, deux heures seraient dérisoires. Le règlement ne tranche pas : il vous demande de trancher, et de savoir expliquer pourquoi.

Quand un argumentaire vous annonce « la formation obligatoire de 14 heures », vous savez désormais que le chiffre est inventé. Il peut correspondre à une offre pertinente ; il ne correspond à aucune obligation légale.

Aucun programme type n’est défini

Il n’existe pas de référentiel officiel de contenu. Pas de programme cadre, pas de tronc commun obligatoire, pas de liste de compétences à valider. La Commission a publié une foire aux questions et un répertoire de pratiques, tous deux explicitement non contraignants. La FAQ le formule d’une phrase qu’on gagne à retenir : il n’y a pas de solution unique valable pour tous.

Aucune évaluation des connaissances n’est exigée

Point souvent ignoré et pourtant explicite dans la FAQ : l’article 4 n’emporte pas l’obligation de mesurer les connaissances acquises. Pas de quiz obligatoire, pas de note, pas d’examen, pas de taux de réussite. Vous pouvez évaluer — c’est souvent pédagogiquement utile et cela produit une preuve supplémentaire — mais l’absence d’évaluation ne vous met pas en défaut.

Récapitulatif

6. Ce qu’un « niveau suffisant » recouvre vraiment

Nous avons vu ce que la loi ne demande pas. Voici les sept blocs qui composent, en pratique, un niveau suffisant dans une TPE.

Bloc 1 : comprendre ce qu’est un modèle de langage — et ce qu’il n’est pas

C’est le socle. Sans lui, tout le reste est de la récitation.

Un modèle de langage — la technologie derrière la plupart des assistants conversationnels — est un système entraîné à prédire la suite d’un texte. On lui a montré des quantités considérables de textes, et il a appris quelles séquences de mots suivent quelles autres. Quand vous lui posez une question, il ne cherche pas la réponse : il produit, mot après mot, la suite la plus plausible statistiquement.

Ce n’est pas une base de données : il n’y a pas, à l’intérieur, une bibliothèque de faits qu’il consulterait. Ce n’est pas un moteur de recherche : il ne va pas voir ce qui existe, sauf si on lui a explicitement ajouté cette capacité. Ce n’est pas un raisonnement au sens humain : ni compréhension, ni intention, ni conscience de se tromper.

L’image qui fonctionne le mieux en formation : imaginez quelqu’un qui aurait lu des millions de livres sans jamais rien vérifier, doté d’une mémoire approximative et d’une confiance en soi inébranlable. Il vous répondra toujours. Il vous répondra bien la plupart du temps. Et quand il ne saura pas, il inventera avec le même aplomb — parce qu’il n’a aucun moyen de faire la différence entre savoir et inventer.

Ce que vos équipes doivent retenir : la fluidité de la réponse ne dit rien de sa justesse. Un texte bien écrit, bien structuré, au ton assuré, peut être entièrement faux. Notre cerveau associe spontanément l’aisance de l’expression à la fiabilité du contenu. Avec ces outils, cette association est trompeuse.

Bloc 2 : connaître les hallucinations

Le mot est mal choisi mais il s’est imposé. On appelle « hallucination » le fait, pour un système d’IA générative, de produire une information fausse en la présentant comme vraie.

Ce n’est pas un bug que l’on corrigera à la prochaine version. C’est une conséquence directe du fonctionnement décrit au bloc 1 : un système qui produit la suite la plus plausible produira parfois quelque chose de plausible et de faux. Les modèles récents hallucinent moins que ceux de 2023. Ils hallucinent encore.

Les formes typiques, à faire reconnaître :

• La référence inventée. Un article de loi qui n’existe pas, un arrêt fantôme, une norme imaginaire. Le numéro a l’air juste, la formulation est crédible, la source est fausse. La forme la plus dangereuse en contexte professionnel.
• Le chiffre plausible. Un taux, un seuil, un montant, un délai. L’ordre de grandeur est vraisemblable, la valeur précise est fausse. Redoutable pour un comptable, un artisan qui chiffre un devis, un restaurateur qui applique un taux de TVA.
• Le détail local erroné. Une aide régionale qui n’existe pas, un dispositif mal nommé, une administration au mauvais échelon. Les modèles connaissent mal les spécificités françaises, et encore moins les auvergnates.
• La confusion sur les dates. Un texte abrogé présenté comme en vigueur, une réforme annoncée présentée comme votée.

La règle opérationnelle tient en une ligne : tout ce qui est vérifiable doit être vérifié, et tout ce qui est chiffré ou référencé est vérifiable.

Bloc 3 : connaître le biais

Un système d’IA apprend sur des textes produits par des humains. Il reproduit donc les régularités de ces textes, y compris celles qui traduisent des préjugés. Ce n’est pas une intention de la machine, c’est un effet mécanique de l’apprentissage.

Concrètement : une offre d’emploi rédigée par l’IA pour un poste technique emploiera plus spontanément des formulations masculines ; un outil d’aide au tri reproduira les critères implicites des décisions passées, y compris les mauvais ; un texte de présentation glissera vers des stéréotypes de secteur.

Le biais devient un problème juridique dès que le système participe à une décision concernant des personnes : recrutement, accès au logement, accès à un service, tarification. La discrimination reste interdite par le code du travail et le code pénal, que la décision ait été prise par un humain ou assistée par une machine. Une agence immobilière qui écarterait des candidats à la location sur la base d’un score biaisé ne pourrait pas se retrancher derrière l’outil.

Ce que vos équipes doivent savoir : le biais existe, il est invisible dans le résultat, et il se combat par la relecture humaine attentive dès que des personnes sont concernées.

Bloc 4 : savoir ce qu’on ne colle jamais dans un outil grand public

C’est le bloc qui produit les dégâts les plus immédiats et les plus coûteux.

Quand vous collez un texte dans un assistant conversationnel grand public, ce texte quitte votre entreprise. Il part sur des serveurs qui ne vous appartiennent pas, souvent hors de l’Union européenne. Selon les conditions du service et les réglages du compte, il peut être conservé, consulté par des humains pour améliorer le service, ou utilisé pour entraîner de futurs modèles.

La liste à afficher en clair :

• Les données personnelles de tiers. Noms, adresses, téléphones, courriels, dates de naissance, numéros de sécurité sociale. Un fichier client. Une liste d’adhérents. Un tableau de paie.
• Les données de santé. Comptes rendus, diagnostics, ordonnances. Le règlement sur la protection des données les classe en catégorie particulière, avec un régime nettement plus strict.
• Les secrets d’affaires. Un chiffrage avant remise d’offre. Une méthode de fabrication. Un plan technique. Une stratégie commerciale. Un contrat en cours de négociation.
• Les documents couverts par un secret professionnel. Dossiers d’avocat, éléments couverts par le secret de l’expert-comptable, informations médicales.
• Les identifiants et mots de passe. Cela paraît évident. Cela arrive régulièrement, souvent dans un fichier de configuration collé en entier pour demander de l’aide.

Deux précisions. D’abord, les offres professionnelles de ces mêmes outils changent la donne : la plupart des éditeurs proposent des formules où les données ne servent pas à l’entraînement, avec un engagement contractuel. Ce n’est pas la même chose qu’un compte gratuit, et vos équipes doivent savoir quel compte elles utilisent.

Ensuite, la solution n’est pas toujours « ne pas utiliser l’outil » : elle est souvent « anonymiser avant ». Un kiné d’Ambert qui veut faire reformuler la trame d’un compte rendu type peut le faire sans y mettre le nom du patient. Un comptable qui veut se faire expliquer un mécanisme fiscal peut poser la question en termes généraux. La compétence à transmettre est celle-là : savoir séparer la question de la donnée.

Bloc 5 : savoir relire et assumer

Le bloc le plus court à énoncer et le plus difficile à ancrer.

Ce qui sort de votre entreprise vous engage, quel que soit l’outil qui a servi à le produire. Un devis erroné reste votre devis. Un conseil inexact reste votre conseil. Une annonce trompeuse reste votre annonce. Aucune mention ne permet de transférer cette responsabilité vers l’éditeur de l’outil.

Il n’existe pas, en droit français ou européen, de « responsabilité de l’IA ». L’IA n’a pas de personnalité juridique : elle ne peut être ni fautive, ni condamnée, ni assurée en son nom propre. La responsabilité remonte toujours à une personne physique ou morale — celle qui a utilisé l’outil, signé, envoyé.

La règle : on ne signe jamais ce qu’on n’a pas relu ; on ne relit jamais en diagonale ce qui engage. Corollaire pratique : si relire prend plus de temps que de faire soi-même, c’est que l’outil n’était pas adapté à cette tâche. Ce constat fait partie de la maîtrise de l’IA au sens du règlement.

Bloc 6 : connaître l’obligation de transparence vis-à-vis des clients

Ce bloc dépasse l’article 4, mais il n’a aucun sens de l’en séparer en formation. Il s’agit de l’article 50.

Cet article impose que les personnes qui interagissent avec un système d’IA en soient informées, sauf lorsque c’est manifeste au regard des circonstances. Il impose également que les contenus générés artificiellement — textes publiés pour informer le public sur des questions d’intérêt général, images, sons, vidéos, et notamment les hypertrucages — soient identifiés comme tels.

• Un chatbot sur votre site doit se présenter comme tel. Une mention simple suffit : « Vous échangez avec un assistant automatique. Pour joindre un conseiller, cliquez ici. »
• Un standard téléphonique automatisé qui imite une voix humaine doit l’indiquer.
• Une image générée par IA utilisée dans votre communication doit pouvoir être identifiée. Une photo de gîte du Mont-Dore générée artificiellement et présentée comme la vue réelle depuis la chambre pose un problème de transparence — et un problème de pratique commerciale trompeuse, qui existait bien avant l’IA.
• Un courrier rédigé avec l’aide de l’IA puis relu et signé par vous n’a pas à être signalé. C’est votre courrier ; l’outil n’était qu’un outil, comme un correcteur orthographique.

La distinction utile : on signale l’IA quand elle parle à la place d’un humain ou quand elle fabrique une représentation du réel. On ne la signale pas quand elle a seulement aidé un humain qui assume ensuite le résultat.

7. Le calendrier, le contrôle et les sanctions

Les dates qui comptent

L’article 4 est applicable depuis le 2 février 2025. Si vous n’avez rien fait, vous n’êtes pas en avance, vous êtes en retard. Mais ce retard n’a jusqu’ici emporté aucune conséquence pratique : les autorités nationales chargées de contrôler et de sanctionner ne disposent de leurs pouvoirs que depuis le 2 août 2026.

Ce que le règlement prévoit vraiment comme sanction

Ici, il faut être précis, parce que c’est le point sur lequel le démarchage dérape le plus.

Le régime des amendes figure à l’article 99. Trois niveaux : jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires mondial pour la violation des pratiques interdites de l’article 5 ; jusqu’à 15 millions ou 3 % pour le manquement à une série d’obligations limitativement énumérées ; jusqu’à 7,5 millions ou 1 % pour la fourniture d’informations inexactes aux autorités.

Lisez attentivement la liste du deuxième niveau : obligations des fournisseurs (article 16), des mandataires (article 22), des importateurs (article 23), des distributeurs (article 24), des déployeurs (article 26), des organismes notifiés, et obligations de transparence (article 50).

L’article 4 n’y figure pas. Ni là, ni dans les deux autres listes. Le règlement n’attache donc aucune amende européenne spécifique au manquement à l’obligation de maîtrise de l’IA. Une partie de la doctrine a qualifié cette situation d’étrange : une obligation sans sanction directement associée.

Cela ne veut pas dire qu’il ne se passe rien. L’article 99, paragraphe 1, charge les États membres de déterminer le régime des sanctions applicables aux violations du règlement — sanctions effectives, proportionnées et dissuasives, en tenant compte des intérêts des petites et moyennes entreprises et des jeunes pousses. C’est donc au niveau national que la question se joue. En France, à ce jour, aucun texte n’a créé de sanction spécifiquement attachée à l’article 4, et le schéma de désignation des autorités — coordination par la répression des fraudes, chef de file CNIL sur les données personnelles et la biométrie, autorités sectorielles pour le reste — restait en attente de consécration définitive.

Le risque réel est double. D’abord, l’absence de démarche sera très probablement retenue comme circonstance aggravante lors d’un contrôle portant sur un autre manquement — protection des données, transparence, discrimination. C’est l’analyse que retiennent la plupart des cabinets spécialisés : l’article 4 sera rarement poursuivi seul, souvent invoqué en renfort. Ensuite, le risque le plus concret pour une TPE n’est pas administratif mais civil et commercial : un client lésé par un document erroné, un salarié discriminé par un tri automatisé, une réclamation, une perte de marché, une atteinte de réputation. Aucune de ces conséquences n’attend une décision d’autorité.

Le « paquet omnibus » : ce qui a changé en 2026

Un point d’actualité indispensable, parce qu’il modifie la lettre de l’article 4.

En novembre 2025, la Commission a présenté un ensemble de mesures de simplification du droit numérique, dit « omnibus numérique ». La version initiale proposait de supprimer purement et simplement l’obligation de l’article 4. Le Conseil s’y est rallié ; le Parlement européen l’a refusée et a réintroduit l’obligation sous une forme assouplie. C’est la position du Parlement qui l’a emporté. Après un accord politique en mai 2026, le texte a été adopté par le Parlement le 16 juin 2026, par le Conseil le 29 juin 2026, et publié au Journal officiel de l’Union européenne le 24 juillet 2026.

Trois conséquences :

• L’obligation subsiste, son intensité baisse. On passe d’un devoir de « prendre des mesures pour garantir » un niveau suffisant à un devoir de prendre des mesures pour soutenir le développement de la maîtrise de l’IA. Le curseur glisse vers l’obligation de moyens pure — ce qui confirme la lecture défendue depuis le début de cette leçon.
• Les échéances du haut risque reculent nettement. Systèmes de l’annexe III : 2 décembre 2027. Systèmes intégrés dans des produits réglementés : 2 août 2028.
• La transparence de l’article 50 n’a pas bougé : applicable depuis le 2 août 2026. C’est l’échéance qui touche le plus grand nombre de TPE, et celle dont on parle le moins.

Ce qu’il ne faut surtout pas en conclure, c’est qu’il n’y a plus rien à faire. L’obligation existe, elle est applicable depuis février 2025, elle n’a jamais été reportée. Ce qui a changé, c’est le ton : l’Europe assume désormais de demander une démarche plutôt qu’un résultat. Pour une TPE bien organisée, cela ne change rien au travail concret.

8. Prouver ce que vous avez fait

Les cinq pièces d’un dossier suffisant

1. L’inventaire des usages. Un tableau : quel outil, par qui, pour quoi, avec quelles données, depuis quand. Une page suffit. La pièce la plus importante, parce qu’elle prouve que vous avez regardé.
2. La qualification de votre rôle. Deux lignes : « Notre entreprise est déployeur de systèmes d’IA au sens de l’article 3, point 4, du règlement (UE) 2024/1689. Nous ne développons ni ne mettons sur le marché aucun système d’IA sous notre marque. » Datez et signez.
3. La grille de niveaux par rôle. Le tableau de la section 2, adapté à vos postes. Il matérialise votre raisonnement de proportionnalité.
4. La trace des sensibilisations. Compte rendu de réunion avec date, durée, participants et points abordés ; attestations s’il y en a ; courriels de diffusion des consignes. Un compte rendu signé vaut autant qu’un certificat.
5. Les règles écrites. Une à deux pages : ce qui est autorisé, interdit, soumis à validation, et à qui s’adresser en cas de doute. Diffusées par un moyen qui laisse une trace.

🧭 Erreurs fréquentes et dépannage

« Nous sommes trop petits, ça ne nous concerne pas. » Faux. Aucun seuil d’effectif n’existe dans l’article 4. La taille joue sur l’ampleur de la réponse, jamais sur l’existence de l’obligation.

« Nous n’utilisons pas d’IA. » Vérifiez avant d’affirmer. L’IA est intégrée dans les suites bureautiques, les logiciels de caisse, de comptabilité, de prise de rendez-vous, les correcteurs, les outils de traduction. Et vos équipes utilisent probablement des assistants conversationnels sur leur téléphone personnel.

« Nous avons acheté une formation certifiante, nous sommes couverts. » Pas nécessairement. Si la formation n’est pas adaptée à vos usages réels, si elle n’a touché que trois personnes sur douze, si elle ignore vos prestataires et vos stagiaires, elle ne répond pas à l’exigence de proportionnalité. Le certificat n’est pas le sujet.

« Nous avons formé l’équipe, c’est fait une fois pour toutes. » Les outils changent, les équipes tournent. Un nouveau salarié, un stagiaire, un nouvel outil déclenchent une mise à jour. Prévoyez un point annuel.

« On a interdit l’IA, donc le sujet est clos. » Une interdiction non accompagnée produit de l’usage clandestin, donc du risque non maîtrisé. Une interdiction est une décision légitime, mais elle doit être écrite, expliquée, et assortie d’une alternative.

« Le paquet omnibus a tout reporté, on verra plus tard. » Non. Le report concerne les systèmes à haut risque. L’article 4 est applicable depuis février 2025 et n’a jamais été reporté ; l’article 50 sur la transparence s’applique depuis le 2 août 2026.

📋 Cas pratique 1 — Le cabinet comptable Sancy Conseil, à Issoire

Le contexte. Sancy Conseil est un cabinet d’expertise comptable de neuf personnes : deux associés experts-comptables, quatre collaborateurs, une assistante administrative, une alternante en licence professionnelle, et un prestataire informatique externe qui intervient une journée par mois. Le cabinet suit environ deux cent trente clients, essentiellement des artisans, commerçants et professions libérales du bassin d’Issoire.

Le déclencheur. En mars 2026, une associée découvre qu’une collaboratrice a préparé une note sur un dispositif d’exonération sociale en s’appuyant sur un assistant conversationnel. La note cite un article du code de la sécurité sociale qui n’existe pas. Elle n’a pas été envoyée : l’associée l’a relue avant signature. Mais la question se pose — depuis combien de temps cela dure-t-il, et qu’est-ce qui est déjà parti ?

Le raisonnement. Les associés commencent par l’inventaire, et non par la formation. Deux semaines d’observation et d’entretiens individuels, sans reproche, font apparaître la réalité : sept personnes sur neuf utilisent régulièrement un assistant conversationnel, dont six avec un compte personnel gratuit. L’alternante l’utilise quotidiennement. Le logiciel de production comptable propose depuis un an une pré-affectation automatique des écritures, que tout le monde utilise sans y penser. Une collaboratrice a collé, pour gagner du temps, un extrait de grand livre client dans un outil grand public.

Les associés qualifient ensuite leur situation. Le cabinet est déployeur, pas fournisseur : il n’a rien développé ni mis sur le marché. Aucun outil utilisé ne relève du haut risque au sens de l’annexe III — il n’y a ni tri de candidatures, ni scoring de personnes. L’obligation applicable est bien l’article 4, complétée par le secret professionnel de la profession comptable et par le règlement général sur la protection des données.

Ils appliquent enfin les trois critères. Les connaissances préalables sont élevées côté analyse, faibles côté fonctionnement des outils : les collaborateurs savent repérer une incohérence comptable, mais aucun ne savait qu’un modèle de langage invente des références. Le contexte est engageant : ce qui sort du cabinet engage la responsabilité professionnelle des associés. Les personnes visées sont les clients et, indirectement, leurs salariés — données de paie comprises.

Ce qui a été mis en place. Une demi-journée de sensibilisation pour les neuf personnes, animée par un intervenant extérieur, centrée sur trois points : comment fonctionne un modèle de langage, pourquoi il invente, ce qui ne se colle jamais dans un outil grand public. Puis une heure supplémentaire pour les cinq personnes qui produisent des livrables clients, sur la vérification des sources et l’anonymisation. Un entretien spécifique de trente minutes avec l’alternante, l’utilisatrice la plus intensive. Un point de quinze minutes avec le prestataire informatique sur les réglages de comptes.

En parallèle : souscription d’un abonnement professionnel avec engagement contractuel de non-utilisation des données pour l’entraînement, et fermeture de l’usage des comptes personnels pour tout ce qui touche aux dossiers clients. Une note d’usage d’une page et demie, diffusée par courriel avec accusé de lecture. Un tableau de niveaux par rôle. Une règle simple ajoutée au processus qualité : toute référence légale ou réglementaire figurant dans un livrable client est vérifiée dans la source officielle, quel que soit son auteur.

La conclusion. Sancy Conseil dispose d’un dossier complet : inventaire daté, qualification écrite, grille par rôle, compte rendu de sensibilisation signé, note d’usage diffusée. Mais l’essentiel n’est pas là. L’essentiel, c’est que la note fautive de mars n’a plus pu se reproduire, non pas parce qu’un contrôle l’interdisait, mais parce que les collaborateurs ont compris pourquoi l’outil avait inventé cet article. La conformité est arrivée par surcroît.

📋 Cas pratique 2 — La Table du Sancy, restaurant au Mont-Dore

Le contexte. La Table du Sancy est un restaurant de trente-cinq couverts au Mont-Dore. Deux associés — l’un en cuisine, l’autre en salle et à la gestion —, trois salariés permanents, et quatre à six saisonniers selon la période. L’activité est très marquée par les saisons : ski en hiver, randonnée et thermalisme en été.

Le déclencheur. Rien de grave, et c’est justement l’intérêt du cas. En avril 2026, l’associé chargé de la gestion reçoit un courriel commercial annonçant une « obligation légale de formation IA avant le 2 août 2026, sous peine d’amende pouvant atteindre 15 millions d’euros ». Il s’inquiète, puis se renseigne.

Le raisonnement. Premier constat : le chiffre de 15 millions d’euros concerne des obligations qui ne s’appliquent pas à lui, et l’article 4 ne figure dans aucune des listes d’amendes du règlement. Le courriel est trompeur. Deuxième constat, moins confortable : l’obligation existe bel et bien, et le restaurant y est soumis.

L’inventaire prend une heure. Il fait apparaître trois usages. L’associée en salle utilise un assistant conversationnel pour rédiger les publications du restaurant sur les réseaux sociaux et pour répondre aux avis en ligne. Le logiciel de caisse propose depuis peu des prévisions de commandes fondées sur l’historique. Et surtout — découverte du jour — une saisonnière de dix-neuf ans a créé, de sa propre initiative et avec les meilleures intentions du monde, des visuels générés par IA pour les publications, dont une image représentant une terrasse ensoleillée avec vue sur le puy de Sancy qui n’est pas la terrasse du restaurant.

La qualification est simple : déployeur, aucun système à haut risque, aucune donnée sensible traitée par IA. Les critères de proportionnalité pointent tous vers un niveau modeste : personne n’est évalué par un algorithme, aucune décision engageante n’est assistée, les données en jeu sont des textes commerciaux. Sauf sur un point, qui devient le vrai sujet du dossier : l’image de la terrasse.

Le problème central. Cette image ne pose pas un problème d’article 4 mais d’article 50 — obligation d’identifier les contenus générés artificiellement — et surtout un problème beaucoup plus ancien : la pratique commerciale trompeuse. Un client qui réserve pour cette vue et découvre autre chose est fondé à se plaindre, et la répression des fraudes n’a pas eu besoin du règlement européen sur l’IA pour sanctionner ce type de situation. Le règlement n’a fait que rendre le risque plus visible.

Ce qui a été mis en place. Une réunion d’équipe d’une heure trente avant l’ouverture de la saison d’été, animée par l’associé lui-même après s’être formé, avec quatre messages : ce que fait un assistant conversationnel et pourquoi il se trompe ; on ne met jamais de coordonnées de clients ni de données de personnel dans l’outil ; toute image publiée doit représenter le restaurant réel, sans exception ; les avis clients se répondent avec l’IA comme brouillon, jamais en publication automatique.

Une note d’une page affichée dans le bureau et remise à chaque saisonnier à l’embauche, intégrée au livret d’accueil existant. Les visuels générés ont été retirés et remplacés par des photographies réelles. Une mention a été ajoutée sur le site indiquant que le module de réservation automatisé est un outil automatique.

Le coût. Zéro euro d’intervention extérieure. Environ six heures de temps interne, dont trois pour que l’associé se forme lui-même à partir de ressources publiques gratuites.

La conclusion. Deux enseignements. D’abord, le démarchage anxiogène qui a déclenché la démarche était factuellement faux sur la sanction, et pourtant la démarche était nécessaire. Savoir démonter un argumentaire ne dispense pas de traiter le fond. Ensuite, dans une TPE de service, le vrai risque n’est presque jamais celui que l’on croit : ce n’était pas la conformité réglementaire, c’était une saisonnière pleine de bonne volonté qui publiait une terrasse imaginaire. Une heure trente de réunion et une page de consignes ont suffi — et cette heure trente, correctement tracée, constitue une réponse pleinement conforme à l’article 4.

🏋️ Exercices

Exercice 1 — L’inventaire réel. Listez tous les outils utilisés dans votre structure qui contiennent de l’IA. Ne vous limitez pas à ce que vous avez acheté : passez en revue votre suite bureautique, votre logiciel métier, votre caisse, votre outil de rendez-vous, vos réseaux sociaux. Puis demandez à chaque personne, sans reproche possible, ce qu’elle utilise sur son téléphone. Objectif : une ligne par usage, avec l’outil, la personne, la finalité et les données concernées.

Exercice 2 — La qualification. Rédigez en trois lignes maximum : êtes-vous fournisseur, déployeur, ou les deux ? Sur quel fondement ? Datez et signez. Si vous hésitez, relisez l’article 25 sur les cas de basculement.

Exercice 3 — La grille par rôle. Reprenez le tableau de la section 2 et remplissez-le avec vos postes réels. Pour chaque ligne : exposition à l’IA, niveau attendu, action prévue. N’oubliez ni les stagiaires, ni les saisonniers, ni les prestataires.

Exercice 4 — La chasse à l’hallucination. Posez à un assistant conversationnel trois questions précises sur votre métier : une aide régionale, une obligation réglementaire de votre secteur, un seuil chiffré. Vérifiez chaque réponse dans la source officielle. Notez ce que vous trouvez. Cet exercice, fait en équipe, vaut mieux que deux heures d’exposé.

🧩 Adapter à votre activité

Artisan seul ou avec un apprenti (plombier, électricien, maçon). Vous êtes l’entreprise et le personnel. Formez-vous vous-même — deux à trois heures suffisent — et consacrez une demi-heure à l’apprenti. Vos points sensibles : les devis chiffrés générés par IA, les descriptions techniques inexactes, et les coordonnées de clients collées dans un outil. Trace : une note d’une page, datée.

Professions libérales de santé (kiné, infirmier, orthophoniste). Le niveau attendu est élevé. Données de santé, secret professionnel, personnes vulnérables. Règle absolue : aucune donnée identifiante dans un outil grand public. Si vous utilisez un outil de transcription, vérifiez son hébergement et son statut au regard des données de santé, et documentez ce choix.

Cabinet comptable, juridique, conseil. Le risque n’est pas la conformité mais l’erreur professionnelle. Références inventées, seuils faux, textes abrogés. Règle centrale : toute référence légale figurant dans un livrable est vérifiée à la source. Formalisez-la dans votre processus qualité.

Agence immobilière. Point de vigilance maximal : tout ce qui touche à la sélection de candidats locataires. Un outil d’aide au tri peut relever du haut risque et vous expose au risque de discrimination. Sur les annonces, attention aux descriptions embellies et aux visuels générés. Formez sur le biais, pas seulement sur les hallucinations.

Restauration et hébergement touristique. Usage massif en communication. Deux risques : les visuels générés qui ne représentent pas la réalité, et les réponses automatiques aux avis clients. Saisonniers à intégrer systématiquement au livret d’accueil.

Association sportive ou culturelle. Les bénévoles entrent dans le périmètre s’ils agissent pour le compte de l’association. Points sensibles : le fichier des adhérents, les données de mineurs, les photographies. Une sensibilisation d’une heure en assemblée, tracée dans le compte rendu, constitue une réponse proportionnée.

🚀 Aller plus loin

Le texte lui-même. Le règlement (UE) 2024/1689 est consultable gratuitement en français sur EUR-Lex, le portail officiel du droit de l’Union européenne. Lisez au minimum l’article 3 (définitions), l’article 4, le considérant 20 et l’article 50. Comptez une heure.

La foire aux questions du Bureau européen de l’IA. Publiée par la Commission européenne sur son portail consacré à l’avenir numérique de l’Europe, elle est la source la plus utile pour comprendre la position de l’autorité qui pilote l’application du texte. Non contraignante, mais éclairante.

Le répertoire des pratiques de maîtrise de l’IA. Plus de quarante initiatives d’entreprises et d’organismes publics, refondu en novembre 2025. À consulter pour s’inspirer, en gardant à l’esprit qu’aucune de ces pratiques n’ouvre droit à une présomption de conformité.

Les ressources de la CNIL. La Commission nationale de l’informatique et des libertés publie des recommandations sur l’articulation entre IA et protection des données. Indispensable dès que vos usages touchent à des données personnelles — c’est-à-dire presque toujours.

Dans cette formation. La leçon suivante du module aborde la construction concrète de votre dispositif interne. Les modules ultérieurs traitent des usages métier et de la sécurité des données.

🔑 L’essentiel à retenir

• L’article 4 tient en une phrase : les fournisseurs et déployeurs prennent des mesures pour assurer un niveau suffisant de maîtrise de l’IA à leur personnel et aux personnes agissant pour leur compte — prestataires, freelances, stagiaires, alternants, bénévoles compris.
• Il n’y a aucun seuil d’effectif : l’artisan seul est concerné comme l’entreprise de trente personnes.
• « Niveau suffisant » se calibre sur trois critères : ce que les gens savent déjà, le contexte d’usage, les personnes sur lesquelles ça retombe.
• La loi n’exige aucune certification, aucun organisme agréé, aucun volume horaire, aucun programme type, aucune évaluation, aucune gouvernance imposée. Tout argumentaire commercial qui affirme le contraire est faux.
• Un niveau suffisant recouvre sept savoirs : comprendre ce qu’est un modèle de langage, connaître les hallucinations, connaître le biais, savoir ce qu’on ne colle jamais dans un outil, savoir relire et assumer, connaître l’obligation de transparence, et savoir quand ne pas utiliser l’IA.
• L’article 4 est applicable depuis le 2 février 2025. Les pouvoirs de contrôle et de sanction des autorités nationales sont effectifs depuis le 2 août 2026.
• Le règlement n’attache aucune amende européenne spécifique à l’article 4 : il ne figure dans aucune des listes de l’article 99. Le risque réel est la circonstance aggravante lors d’un autre contrôle, et surtout le risque civil et commercial.
• Le paquet omnibus publié le 24 juillet 2026 a allégé la rédaction de l’article 4 sans le supprimer, et reporté les échéances du haut risque — mais pas l’article 4, ni la transparence de l’article 50.
• Ce qui vous protège vraiment : un inventaire, une qualification écrite, une grille par rôle, une trace des sensibilisations, des règles écrites. Une demi-journée par an.

📖 Glossaire

Article 4. Article du règlement (UE) 2024/1689 imposant aux fournisseurs et déployeurs de systèmes d’IA de prendre des mesures pour assurer un niveau suffisant de maîtrise de l’IA à leur personnel et aux personnes agissant pour leur compte. Applicable depuis le 2 février 2025.

Article 50. Article imposant les obligations de transparence : informer les personnes qu’elles interagissent avec un système d’IA, identifier les contenus générés artificiellement. Applicable depuis le 2 août 2026.

Déployeur. Personne physique ou morale qui utilise un système d’IA sous sa propre autorité dans un cadre professionnel. L’usage strictement personnel est exclu. C’est le statut de la quasi-totalité des TPE.

Fournisseur. Personne physique ou morale qui développe un système d’IA, ou le fait développer, et le met sur le marché ou en service sous son propre nom ou sa propre marque.

Hallucination. Production, par un système d’IA générative, d’une information fausse présentée comme vraie. Conséquence structurelle du fonctionnement des modèles de langage, non un défaut corrigible.

Maîtrise de l’IA. Défini à l’article 3, point 56 : les compétences, connaissances et compréhension permettant de déployer les systèmes d’IA en connaissance de cause et de prendre conscience de leurs possibilités, de leurs risques et des préjudices potentiels.

Modèle de langage. Système entraîné à prédire la suite d’un texte à partir de très grandes quantités de textes. N’est ni une base de données, ni un moteur de recherche, ni un raisonnement.

Paquet omnibus numérique. Ensemble de mesures de simplification du droit numérique européen, publié au Journal officiel de l’Union européenne le 24 juillet 2026. A allégé la rédaction de l’article 4 et reporté les échéances du haut risque.

Règlement (UE) 2024/1689. Règlement européen sur l’intelligence artificielle, dit AI Act. Publié au Journal officiel le 12 juillet 2024, entré en vigueur le 1er août 2024, d’application échelonnée.

❓ Questions fréquentes

Combien d’heures de formation dois-je prévoir ? Aucun volume n’est imposé. Pour un artisan seul, deux à trois heures. Pour une TPE de dix personnes sans usage sensible, une demi-journée collective plus quelques compléments ciblés. Ce qui compte est l’adéquation à vos usages réels, pas la durée.

Faut-il un certificat pour être en règle ? Non. Aucune certification n’est exigée. Un certificat est une preuve commode, rien de plus. Un compte rendu de réunion signé a la même valeur.

Quelle amende est-ce que je risque ? Aucune amende européenne n’est spécifiquement attachée à l’article 4 : il ne figure dans aucune liste de l’article 99. Les États membres peuvent prévoir des sanctions nationales ; la France n’en a pas créé à ce jour pour ce point précis. Le risque réel est d’ordre civil, commercial et réputationnel, et d’aggravation en cas d’autre manquement.

Mes stagiaires et mes saisonniers sont-ils vraiment concernés ? Oui, sans ambiguïté. Le texte vise « les autres personnes s’occupant du fonctionnement et de l’utilisation des systèmes d’IA pour leur compte ». Le statut contractuel est indifférent.

Le paquet omnibus a-t-il supprimé l’article 4 ? Non. La proposition initiale de la Commission le prévoyait, le Parlement européen l’a refusé. L’obligation subsiste, avec une rédaction assouplie qui met l’accent sur le soutien au développement des compétences plutôt que sur la garantie d’un résultat.

Par où commencer si je n’ai rien fait ? Par l’inventaire, jamais par l’achat d’une formation. Vous ne pouvez pas calibrer une réponse proportionnée sans savoir ce qui est réellement utilisé chez vous. Comptez une à deux heures. Le reste en découlera naturellement.