AI Act : la formation des salariés à l’IA est-elle obligatoire ?

Oui, mais pas au sens où on l’entend souvent. Depuis le 2 février 2025, l’article 4 du règlement européen sur l’intelligence artificielle, l’AI Act, oblige toute entreprise qui utilise un outil d’IA dans son travail à prendre des mesures pour que ses équipes sachent s’en servir. Il n’impose ni programme type, ni nombre d’heures, ni certificat.

Le texte a changé cet été. Le règlement (UE) 2026/1744, dit « omnibus numérique sur l’IA », publié au Journal officiel de l’Union européenne le 24 juillet 2026 et en vigueur depuis le 27 juillet, a réécrit l’article 4 : il ne s’agit plus de garantir un niveau suffisant de maîtrise de l’IA, mais d’en favoriser le développement. Si vous avez lu « garantir un niveau suffisant », c’est la version de 2024.

Cet article répond aux six questions que nous posent les dirigeants et les responsables RH de PME : ce que dit le texte, qui former, depuis quand, comment le prouver, qui peut financer la formation et ce que l’on risque. C’est une lecture du règlement et des questions-réponses de la Commission européenne, à jour au 12 octobre 2026. Elle ne remplace pas l’avis d’un juriste sur votre situation.

Que dit l’article 4 de l’AI Act sur la formation ?

Voici le paragraphe 1 de l’article 4, dans sa rédaction en vigueur depuis le 27 juillet 2026 :

« Les fournisseurs et les déployeurs de systèmes d’IA prennent des mesures pour favoriser le développement de la maîtrise de l’IA par leur personnel et les autres personnes s’occupant du fonctionnement et de l’utilisation des systèmes d’IA pour leur compte, en prenant en considération leurs connaissances techniques, leur expérience, leur éducation et leur formation, ainsi que le contexte dans lequel les systèmes d’IA sont destinés à être utilisés, et en tenant compte des personnes ou des groupes de personnes à l’égard desquels les systèmes d’IA sont destinés à être utilisés. Cette obligation ne contraint pas les fournisseurs ou les déployeurs à garantir un niveau spécifique de maîtrise de l’IA par un individu. »

Trois notions portent l’essentiel. Le déployeur, c’est toute organisation qui utilise un système d’IA sous sa propre autorité, hors usage personnel (article 3, point 4). Une PME dont les salariés rédigent avec ChatGPT, résument avec Copilot ou interrogent un agent Dust est déployeur : l’article la vise, quelle que soit sa taille.

La maîtrise de l’IA est définie à l’article 3, point 56 : les compétences, les connaissances et la compréhension qui permettent d’utiliser ces systèmes en connaissance de cause, et de prendre conscience de leurs possibilités, de leurs risques et des préjudices qu’ils peuvent causer. Le niveau attendu est celui d’un utilisateur averti : savoir s’en servir, et savoir où l’outil se trompe.

Enfin, les mesures. Le texte n’écrit pas « formation ». Une formation en est la forme la plus courante, mais des consignes écrites, une charte d’usage ou un accompagnement au poste en font aussi partie. La Commission européenne ajoute que se contenter de la notice d’utilisation d’un outil, ou demander aux équipes de la lire, peut se révéler inefficace dans bien des cas.

Ce que l’omnibus de juillet 2026 a changé

L’obligation demeure. Elle porte désormais sur les mesures prises, plus sur un niveau atteint par chaque salarié. Pour une PME, la conséquence pratique est simple : il faut pouvoir montrer qu’on a agi, et que ce qu’on a fait correspond aux outils réellement utilisés.

Qui doit être formé dans une PME ?

Toutes les personnes qui utilisent un système d’IA pour le compte de l’entreprise. Le texte vise le personnel « et les autres personnes » : selon la Commission, cela peut inclure un sous-traitant, un prestataire, voire un client selon le risque. Un stagiaire, un intérimaire ou un indépendant qui travaille sur vos outils entre dans le périmètre.

Le texte demande d’adapter les mesures aux connaissances de chacun et au contexte d’usage : la comptable, le commercial et le dirigeant ne suivent pas le même module. La Commission propose une démarche en quatre questions, qui sert de trame à n’importe quel plan de formation :

1. Comprendre l’IA dans l’entreprise

   Ce qu’est l’IA, comment elle fonctionne, quels outils sont utilisés chez vous, leurs possibilités et leurs dangers.

2. Situer le rôle de l’entreprise

   Vous utilisez des outils développés par d’autres (déployeur), ou vous en développez (fournisseur) ? Une PME est le plus souvent déployeur.

3. Regarder les risques des outils utilisés

   Ce que les équipes doivent savoir de chaque outil, les risques à connaître et la façon de les limiter.

4. Adapter les actions aux personnes

   Les connaissances, l’expérience et le métier de chacun, et le contexte : dans quel service, pour quel usage, à l’égard de quelles personnes.

En pratique, on retrouve quatre profils dans une PME. Le tableau donne ce que chacun doit savoir au minimum ; le format se choisit ensuite, selon vos outils et vos usages.

Un cas demande davantage : les systèmes à haut risque, par exemple un outil qui trie des candidatures ou évalue des salariés. L’article 26 impose alors de confier le contrôle humain à des personnes qui disposent « des compétences, de la formation et de l’autorité nécessaires ». Cette obligation s’appliquera aux systèmes de l’annexe III à partir du 2 décembre 2027, et la Commission rappelle qu’elle reste en place après l’omnibus.

Les profils techniques ne sont pas dispensés d’office. La Commission considère qu’une personne formée au développement de l’IA est normalement à niveau, mais qu’il faut vérifier qu’elle connaît les outils de l’entreprise, leurs risques et leurs aspects juridiques. L’article 4 n’oblige pas, en revanche, à mesurer le niveau de chaque salarié.

Depuis quand l’obligation s’applique-t-elle ?

Depuis le 2 février 2025. L’article 4 appartient au chapitre I du règlement, applicable à cette date avec les interdictions du chapitre II (article 113). La réécriture de l’été n’a pas déplacé cette date : elle a modifié le contenu de l’obligation à compter du 27 juillet 2026.

Le contrôle a commencé en août 2026. Selon la Commission européenne, la surveillance et l’application de l’article 4 relèvent des autorités nationales de surveillance du marché, et non du Bureau européen de l’IA. Une entreprise qui n’a rien fait n’attend donc pas une échéance future : l’obligation court déjà.

Le reste du règlement s’applique par étapes. Voici le calendrier en vigueur après l’omnibus :

Comment prouver la maîtrise de l’IA en cas de contrôle ?

Par une trace écrite des mesures prises. La Commission européenne est claire sur ce point : aucun certificat n’est nécessaire, et l’entreprise peut tenir un registre interne des formations et des autres actions d’accompagnement. Elle n’impose ni référent IA, ni comité de gouvernance.

Le texte ne fixe pas de dossier type. Celui que nous conseillons tient en cinq pièces, que la plupart des PME ont déjà en partie :

• La liste des outils

  Quels outils d’IA sont utilisés, par quels services, sur quelles données. Une ligne par outil suffit.

• La charte d’usage

  Outils autorisés, données interdites, ce qui doit être relu par un humain avant de sortir, à qui poser une question.

• Les actions de formation

  Pour chaque session : programme, date, participants et feuilles d’émargement.

• Les consignes remises

  Supports, fiches pratiques, consignes par outil, chacun avec sa date.

• La mise à jour

  Ce qui est prévu à l’arrivée d’un nouvel outil ou d’un nouveau salarié.

Une formation financée par l’OPCO produit une partie de ces pièces d’elle-même : l’organisme certifié qui la porte établit un programme et une convention, puis transmet à l’OPCO les feuilles d’émargement et le certificat de réalisation. Ce sont des pièces datées et signées.

Ce dossier ne vaut pas certificat de conformité : le règlement n’en prévoit aucun pour l’article 4. Il sert à montrer que l’entreprise a pris des mesures adaptées à ses outils et à ses équipes, ce que le texte demande. Méfiez-vous d’une offre qui promet d’être « conforme AI Act » en une journée.

Une formation à l’IA peut-elle être financée par l’OPCO ?

Oui, si elle remplit les conditions de votre OPCO. Pour une PME, une formation à l’IA sur les outils et les dossiers de l’équipe entre dans le plan de développement des compétences, comme une formation à un logiciel métier. L’OPCO de votre branche peut la prendre en charge, à condition qu’elle soit dispensée par un organisme certifié Qualiopi et dans la limite de son barème.

Il n’existe pas de barème national : les montants varient d’un OPCO à l’autre et d’une branche à l’autre. Les fonds mutualisés du plan de développement des compétences sont réservés aux entreprises de moins de 50 salariés ; au-delà, la formation relève du budget de l’entreprise et des fonds conventionnels de sa branche quand ils existent. Notre page Formation IA et OPCO donne les plafonds de dix OPCO, relevés sur leur site officiel avec la date du relevé. Pour former une équipe, le canal est ce plan : nos formations ne sont pas éligibles au CPF.

Nos formations sont dispensées en partenariat avec un organisme de formation certifié Qualiopi, 2PACE Academy : 2PACE émet le devis, le programme et la convention, accompagne la demande de prise en charge, puis transmet à l’OPCO les pièces de fin de formation. Kokoro conçoit la formation sur vos dossiers réels et l’anime.

Un exemple : DERBI-CEMATER, pôle de compétitivité de sept salariés, a suivi une formation-action de deux jours (16 heures) sur Mistral, l’outil choisi par sa gouvernance. Le dossier OPCO a été monté avant la formation, et le financement obtenu. Le cas DERBI-CEMATER détaille ce qui tourne deux mois après, poste par poste.

Que risque une entreprise qui ne forme pas ?

Le règlement ne fixe pas d’amende chiffrée pour l’article 4. Les montants que l’on lit partout, jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial, visent les pratiques interdites de l’article 5. Le plafond de 15 millions d’euros ou 3 % vise une liste d’obligations précises (notamment celles des fournisseurs, des déployeurs de systèmes à haut risque et la transparence), où l’article 4 ne figure pas.

Pour le reste, l’article 99 laisse chaque État membre fixer son régime de sanctions, qui doit être effectif, proportionné et dissuasif, et tenir compte des intérêts des PME. La Commission européenne précise que toute sanction doit être proportionnée, décidée au cas par cas, selon la nature et la gravité du manquement et son caractère intentionnel ou négligent. Elle ajoute qu’une sanction devient plus probable si un incident est dû à un défaut de formation ou de consignes.

Le risque concret tient donc moins à l’amende qu’à l’incident : un document client confidentiel collé dans un outil grand public, une réponse inventée envoyée sans relecture, un outil de tri de candidatures que personne ne sait contrôler. La Commission rappelle que le règlement ne crée ni infraction pénale ni droit à réparation propre ; en cas de préjudice, une action reste possible selon le droit national.

Que reste-t-il de l’AI Act à connaître pour une PME ?

L’AI Act classe les usages par niveau de risque. Pour une PME qui utilise des assistants et des agents, quatre cas suffisent à se repérer.

• Interdit

  Notation sociale, manipulation, exploitation des vulnérabilités, déduction des émotions d’une personne au travail ou à l’école, sauf raison médicale ou de sécurité. Interdit depuis le 2 février 2025.

• Haut risque

  Recrutement, évaluation des salariés, accès au crédit, éducation, biométrie. Obligations lourdes pour l’éditeur, contrôle humain formé chez l’utilisateur, à partir du 2 décembre 2027.

• Transparence

  Chatbots, contenus générés ou truqués : les personnes doivent savoir qu’elles échangent avec une IA, ou que le contenu est généré. Depuis le 2 août 2026.

• Le reste des usages

  Rédiger, résumer, traduire, chercher dans des documents : pas d’obligation propre au-delà de l’article 4, et du RGPD dès que des données personnelles sont en jeu.

Un agent qui prépare un devis, résume un appel d’offres ou rédige une veille relève en général de la dernière catégorie. Il le reste tant qu’il ne participe pas à une décision sur une personne : s’il trie des candidats ou évalue des salariés, il peut basculer dans le haut risque, et la question se pose avant de le déployer.

Conclusion : par où commencer cette semaine ?

L’article 4 demande peu de formalisme et beaucoup de pertinence. Une PME qui sait quels outils ses équipes utilisent, qui a écrit ses règles d’usage et qui forme chacun selon son rôle a fait l’essentiel. Quatre gestes pour démarrer :

1. Lister les outils

   Une ligne par outil d’IA utilisé, avec les services concernés et les données qui y passent. Les comptes personnels utilisés pour le travail comptent aussi.

2. Écrire la règle d’usage

   Une page : outils autorisés, données interdites, ce qui se relit avant de sortir.

3. Former par profil

   Utilisateurs, managers, direction, personnes qui configurent : un contenu pour chacun, sur ses propres dossiers.

4. Garder la trace

   Programmes, émargements, supports et dates, rangés au même endroit et mis à jour à chaque nouvel outil.

Nos formations IA se construisent sur les outils et les documents de l’équipe, et une session financée par l’OPCO laisse un programme, une convention et des feuilles d’émargement. Pour savoir ce que votre OPCO peut prendre en charge, le test d’éligibilité prend deux minutes.

Sources consultées le 12 octobre 2026 : règlement (UE) 2026/1744 du 8 juillet 2026 (JO L du 24 juillet 2026), article 1, point 5 pour l’article 4 et point 40 pour le calendrier ; règlement (UE) 2024/1689, articles 3, 5, 26, 99 et 113 ; Commission européenne, questions-réponses sur la maîtrise de l’IA (mise à jour du 27 juillet 2026) ; CNIL, questions-réponses sur le règlement IA (mise à jour du 17 août 2026). Cet article décrit le texte ; il ne vaut pas avis juridique.