AI Act : comment former ses équipes à l'IA en 2026 ?

Réponse directe, mise à jour le 25 août 2026 : depuis le 2 février 2025, une entreprise qui fournit ou déploie un système d'IA doit prendre des mesures adaptées pour développer la maîtrise de l'IA des personnes qui l'utilisent pour son compte. Aucun programme, certificat ou nombre d'heures n'est imposé. La supervision par les autorités nationales a commencé le 2 août 2026, et le règlement (UE) 2026/1744, entré en vigueur le 27 juillet 2026, n'a reporté que les exigences des systèmes à haut risque : l'enjeu B2B immédiat reste de pouvoir expliquer et documenter des actions proportionnées aux usages et aux risques.

Vos équipes utilisent ChatGPT, Copilot, Gemini ou un outil métier intégrant de l'IA ? L'article 4 de l'AI Act vous concerne probablement. Une formation structurée est une réponse opérationnelle, mais elle n'est ni l'unique option ni une garantie de conformité à elle seule.

→ Recevoir le programme IA responsable et conformité

Ce qu'il faut retenir en cinq points

• Former n'est plus une option RH : c'est la preuve la plus lisible d'une obligation de moyens qui s'applique depuis février 2025.
• L'AI Act n'est pas reporté : seules les exigences des systèmes à haut risque sont décalées à décembre 2027 et août 2028 par le règlement (UE) 2026/1744.
• Aucun format n'est imposé : ni programme type, ni certification, ni volume d'heures, mais un registre de preuves est recommandé.
• La supervision a commencé : les autorités nationales surveillent l'application de l'article 4 depuis le 2 août 2026.
• Le dossier gagnant : inventaire des usages, formation adaptée aux profils, traces datées, revue annuelle.

Qui est concerné ? Dès que vos équipes utilisent l'IA, vous l'êtes

L'AI Act distingue deux grands rôles. Le fournisseur développe ou commercialise un système d'IA. Le déployeur est défini par l'article 3 du règlement comme « une personne physique ou morale, une autorité publique, une agence ou un autre organisme utilisant sous sa propre autorité un système d'IA sauf lorsque ce système est utilisé dans le cadre d'une activité personnelle à caractère non professionnel ».

Traduction concrète : si votre entreprise utilise un outil d'IA dans un cadre professionnel, vous êtes déployeur. Quelques exemples parlants :

• une assistante de direction qui rédige des comptes rendus avec ChatGPT ;
• un service RH qui pré-trie des candidatures avec un outil d'IA ;
• un service client qui répond via un chatbot ;
• un commercial qui prépare ses emails de prospection avec Copilot.

Il n'y a ni seuil d'effectif, ni seuil de chiffre d'affaires : la FAQ officielle de la Commission européenne sur la maîtrise de l'IA précise que l'obligation vise fournisseurs et déployeurs, y compris les PME, de façon proportionnée au contexte et au niveau de risque des systèmes utilisés. L'article 4 couvre votre personnel, mais aussi « les autres personnes » qui opèrent vos systèmes d'IA pour votre compte : prestataires, intérimaires, sous-traitants.

Ce que demande l'article 4 en pratique

Le règlement (UE) 2024/1689 sur EUR-Lex relie la maîtrise de l'IA aux compétences et connaissances nécessaires pour utiliser ces systèmes en connaissance de cause, comprendre leurs possibilités et leurs risques, et anticiper les préjudices potentiels.

La « maîtrise de l'IA » est elle-même définie par le règlement (article 3, point 56) : les compétences, connaissances et la compréhension qui permettent de déployer les systèmes d'IA « en toute connaissance de cause » et de « prendre conscience des possibilités et des risques que comporte l'IA, ainsi que des préjudices potentiels qu'elle peut causer ».

Trois points à retenir de cette rédaction :

1. L'action doit être proportionnée : une PME qui utilise un assistant rédactionnel et un éditeur qui intègre un modèle dans son produit n'ont pas le même dispositif à construire.
2. Le niveau attendu dépend des profils : le texte cite expressément les connaissances techniques, l'expérience et la formation des personnes. Un développeur qui intègre une API d'IA et une comptable qui utilise un assistant bureautique n'ont pas besoin du même contenu.
3. Le niveau attendu dépend du contexte d'usage : utiliser l'IA pour reformuler un email interne ou pour pré-trier des candidatures, ce n'est pas le même niveau de risque, donc pas le même niveau de maîtrise exigé.

Ce que l'article 4 n'impose pas

C'est le point qui déstresse la plupart des dirigeants : la Commission européenne écrit noir sur blanc dans sa FAQ qu'il n'existe pas d'approche unique et que le Bureau de l'IA « n'a pas l'intention d'imposer des exigences strictes ou des formations obligatoires » au sens d'un format imposé. Concrètement, l'article 4 n'exige :

• ni programme type défini par Bruxelles ;
• ni certification ou examen de vos salariés ;
• ni volume d'heures minimal.

En revanche, la même FAQ recommande de tenir un registre interne des formations et initiatives menées. C'est la logique de tout le règlement : pas de formalisme imposé, mais une capacité à démontrer ce que vous avez fait.

Ce que l'omnibus de juillet 2026 a changé, et ce qu'il n'a pas changé

Le règlement (UE) 2026/1744, dit « Digital Omnibus on AI », adopté le 8 juillet 2026, publié au Journal officiel de l'Union européenne le 24 juillet 2026 et entré en vigueur le 27 juillet 2026, a réécrit l'article 4. La version initiale demandait d'« assurer, dans la mesure du possible, un niveau suffisant de maîtrise de l'IA » : une obligation de résultat. La nouvelle rédaction demande de prendre des mesures pour « favoriser le développement de la maîtrise de l'IA » et précise qu'aucun niveau spécifique n'a à être garanti pour quelque personne que ce soit : une obligation de moyens. L'analyse de lawandtechnology.eu le résume ainsi : « What remains of Article 4 is its backbone, not the obligation of result » (traduction Origin : « ce qui subsiste de l'article 4, c'est sa colonne vertébrale, pas l'obligation de résultat »).

Pour une entreprise, la ligne directrice reste donc la même : identifier les usages, adapter l'effort aux profils et aux risques, puis conserver les traces des actions menées. La page de la Commission sur l'entrée en vigueur de l'omnibus confirme que la Commission et les États membres prennent un rôle renforcé de promotion de la maîtrise de l'IA, avec une attention particulière pour les PME. Une obligation de moyens ne se satisfait pas d'une déclaration d'intention : elle se prouve par des mesures identifiables et des traces, ce qui est exactement la définition d'une politique de formation documentée.

Ce texte a aussi alimenté une rumeur tenace : « l'AI Act est reporté ». C'est faux, et le tri est simple :

Ce qui circule	Ce que dit le texte
« L'AI Act est reporté à décembre 2027 »	Seules les exigences des systèmes à haut risque sont décalées, au 2 décembre 2027 pour l'annexe III et au 2 août 2028 pour l'annexe I
« L'article 4 est supprimé »	Il est réécrit en obligation de moyens, applicable depuis février 2025 et supervisé depuis le 2 août 2026 selon la FAQ de la Commission
« Les sanctions commencent en 2027 »	Le chapitre XII sur les sanctions s'applique depuis le 2 août 2026, date générale fixée par l'article 113

Les échéances qui comptent pour une PME ou ETI

Voici les jalons utiles pour une entreprise qui utilise l'IA :

• 1er août 2024 : entrée en vigueur de l'AI Act.
• 2 février 2025 : application de l'article 4 (maîtrise de l'IA) et des pratiques interdites (article 5). C'est déjà derrière nous.
• 2 août 2025 : règles sur les modèles d'IA à usage général et cadre des sanctions.
• 2 août 2026 : application des obligations de transparence (article 50), du chapitre des sanctions et de la surveillance du marché, et début effectif de la supervision de l'article 4 par les autorités nationales. C'est désormais derrière nous.
• 2 décembre 2026 : fin du délai accordé aux fournisseurs pour le marquage lisible par machine des systèmes génératifs mis sur le marché avant le 2 août 2026, détaillé dans notre article sur les mentions de transparence à afficher depuis le 2 août 2026.
• 2 décembre 2027 et 2 août 2028 : échéances fixées par le règlement (UE) 2026/1744 pour certaines obligations relatives aux systèmes à haut risque, respectivement ceux de l'annexe III et ceux intégrés à des produits réglementés.

Si vous ne devez retenir qu'une chose : l'obligation existe déjà depuis février 2025 et sa supervision a commencé le 2 août 2026. Le bon moment pour documenter votre dispositif est maintenant.

Contrôle et sanctions : rester précis

La FAQ de la Commission indique que les autorités nationales de surveillance du marché supervisent l'application de l'article 4 depuis le 2 août 2026. Elle précise aussi qu'il n'existe pas de barème d'amende automatique propre à cet article et que les sanctions nationales doivent être effectives, proportionnées et dissuasives.

Pour le reste du règlement, les plafonds fixés par l'article 99 donnent un ordre de grandeur concret :

Manquement	Plafond d'amende	Base
Pratiques d'IA interdites (article 5)	35 millions d'euros ou 7 % du chiffre d'affaires mondial	Article 99, par. 3
Transparence (article 50) et plupart des obligations des opérateurs	15 millions d'euros ou 3 % du chiffre d'affaires mondial	Article 99, par. 4
Informations inexactes fournies aux autorités	7,5 millions d'euros ou 1 % du chiffre d'affaires mondial	Article 99, par. 5
PME et jeunes pousses	Le montant le plus faible des deux est retenu	Article 99, par. 6

Ce sont des plafonds, pas des amendes automatiques : les autorités tiennent compte de la gravité, de la durée et du caractère intentionnel ou négligent du manquement.

Pour une entreprise, la bonne lecture n'est donc ni « aucune action nécessaire », ni « amende maximale automatique ». Il faut pouvoir présenter un dispositif cohérent avec les usages et les risques. Lors d'un incident lié aux données, à la discrimination ou à une information erronée, l'absence de consignes, de formation et de traces documentaires peut fragiliser l'analyse de l'organisation.

Qui contrôle en France ?

Le schéma officiel a été présenté par la Direction générale des Entreprises le 9 septembre 2025 : la DGCCRF assurerait la coordination opérationnelle et le rôle de point de contact unique auprès de l'UE ; la CNIL serait chargée de la majorité des systèmes à haut risque (biométrie, emploi, etc.) et des pratiques interdites liées aux données personnelles ; l'Arcom, l'ACPR, l'ANSSI et le PEReN interviendraient sur leurs périmètres respectifs.

À la date de rédaction, ce schéma n'a pas encore été définitivement adopté par le Parlement, mais une étape a été franchie : le Sénat a adopté le 17 février 2026 le volet numérique du projet de loi Ddadue, qui désigne une quinzaine d'autorités et confie un rôle central à la CNIL ; le texte doit maintenant être examiné par l'Assemblée nationale. Cela ne suspend pas vos obligations : un règlement européen s'applique directement, sans transposition. La CNIL rappelle d'ailleurs que l'AI Act s'ajoute au RGPD sans le remplacer : si vos usages IA touchent des données personnelles, les deux textes s'appliquent en même temps, et la CNIL est déjà pleinement compétente sur le volet données.

Ce qu'attend un contrôle : des preuves, pas des promesses

Puisque l'article 4 n'impose pas de format unique, la question pratique devient : comment expliquer les mesures prises le jour où on vous le demande ? En croisant le texte du règlement et la FAQ de la Commission, un dossier solide contient quatre choses :

1. Un inventaire de vos systèmes d'IA : quels outils, utilisés par qui, pour quoi faire. C'est la base de tout, y compris pour repérer le « shadow AI » (les usages que vos salariés ne déclarent pas).
2. Un registre des mesures de maîtrise de l'IA : formations suivies (dates, participants, programmes), guides internes, chartes d'usage, sessions de sensibilisation. La Commission recommande explicitement cette tenue de registre, sans exiger de certificat.
3. Des contenus adaptés aux profils et aux usages : la même heure de sensibilisation générique pour tout le monde ne colle pas à la lettre de l'article 4, qui exige la prise en compte des connaissances, de l'expérience et du contexte d'usage de chacun.
4. Une logique de mise à jour : les outils changent vite ; un plan qui date de 2024 et n'a jamais été revu se défend mal. Intégrez les nouveaux arrivants et les nouveaux outils.

Une formation documentée fournit des pièces utiles au registre : programme détaillé, feuilles d'émargement, attestations de fin de formation et évaluations. C'est un élément parmi d'autres ; ce n'est pas une garantie de conformité globale à l'AI Act.

Apport Origin : nous appliquons aux sujets réglementaires la même discipline documentaire que celle qu'exige notre certification Qualiopi : chaque action de formation produit par construction des pièces datées et vérifiables (programme, convocations, feuilles d'émargement, attestations, évaluations). Transposée à l'article 4, cette discipline transforme une obligation de moyens abstraite en dossier de preuves concret : le registre recommandé par la Commission devient une collection de documents qui existent déjà, au lieu d'un exercice administratif à inventer.

Votre plan d'action en 5 étapes

Voici la séquence que nous recommandons à une PME ou ETI qui part de zéro :

1. Inventoriez vos usages IA réels

Interrogez chaque service : outils utilisés, fréquence, types de données manipulées. Incluez les usages non déclarés, souvent majoritaires. Sans cet inventaire, impossible de calibrer quoi que ce soit.

2. Qualifiez votre rôle et vos risques

Pour chaque usage : êtes-vous simple déployeur ou aussi fournisseur (si vous développez ou personnalisez un système) ? L'usage touche-t-il des données personnelles, des clients, des candidats ? Les usages RH et client méritent une attention particulière : c'est là que le règlement et le RGPD se croisent le plus.

3. Définissez le niveau de maîtrise cible par profil

Trois niveaux suffisent dans la plupart des entreprises : socle commun pour tous (comprendre ce qu'est l'IA générative, ses limites, les données à ne jamais y mettre), niveau opérationnel pour les utilisateurs quotidiens (bonnes pratiques métier, vérification des sorties), niveau renforcé pour les usages sensibles et les décideurs (risques juridiques, gouvernance).

4. Formez, et gardez toutes les preuves

Déployez la formation par vagues, en commençant par les usages les plus sensibles. Exigez de votre organisme les livrables documentaires : programme, émargements, attestations, évaluations. Une entreprise peut déposer une demande de financement auprès de son OPCO ; l'opérateur décide ensuite de l'éligibilité, du montant et du calendrier selon les critères de la branche et les fonds disponibles.

5. Documentez et faites vivre le dispositif

Consolidez tout dans un registre unique : inventaire, formations, charte d'usage si vous en avez une. Prévoyez une revue annuelle et une intégration des nouveaux apprenants. C'est ce dossier, plus que n'importe quel discours, qui fera la différence en cas de contrôle.

Les 5 erreurs qui reviennent le plus

1. Attendre décembre 2027. Le report du Digital Omnibus concerne les systèmes à haut risque, pas la maîtrise de l'IA. L'article 4 s'applique depuis février 2025.
2. Se croire trop petit pour être concerné. Il n'y a aucun seuil de taille. Une TPE qui utilise ChatGPT pour ses devis est déployeur au sens du règlement.
3. Faire une conférence d'une heure pour tout le monde et s'arrêter là. Le texte exige une prise en compte des profils et des contextes d'usage. Une sensibilisation unique et générique ne correspond pas à la lettre de l'article 4.
4. Former sans garder de traces. Une formation sans programme, sans liste de participants et sans attestation n'a quasiment aucune valeur probante.
5. Acheter une « certification AI Act » miracle. Aucune certification des salariés n'est exigée par le texte, et aucun prestataire ne peut vous « certifier conforme » à l'article 4. Méfiez-vous des offres qui promettent le contraire.

FAQ · Formation IA obligatoire et AI Act

La formation IA est-elle obligatoire pour toutes les entreprises ?

Une entreprise qui utilise sous sa propre autorité un système d'IA dans un cadre professionnel est généralement déployeur au sens du règlement, quelle que soit sa taille. Elle doit prendre des mesures adaptées aux connaissances, aux profils, au contexte et aux risques, sans format de formation imposé.

Faut-il une certification pour être en règle ?

Non. La Commission européenne confirme qu'aucune formation type ni certification n'est imposée. Elle recommande de tenir un registre interne des actions menées : c'est lui qui prouve votre conformité.

Quelles sanctions si on ne fait rien ?

Il n'y a pas de barème d'amende automatique propre à l'article 4. La Commission renvoie sa supervision aux autorités nationales et rappelle le principe de sanctions effectives, proportionnées et dissuasives. L'absence de mesures documentées peut aussi fragiliser l'entreprise lors d'un incident.

Le report de l'AI Act à 2027 me dispense-t-il de former mes équipes ?

Non. Le règlement (UE) 2026/1744, entré en vigueur le 27 juillet 2026, n'a reporté que les exigences applicables aux systèmes à haut risque. L'article 4 s'applique depuis février 2025 et sa supervision par les autorités nationales a commencé le 2 août 2026 ; il est devenu une obligation de moyens, qui se prouve par des mesures documentées.

Une formation financée par l'OPCO peut-elle servir de preuve ?

Une formation documentée produit programme, émargements, attestations et évaluations : ces pièces peuvent alimenter le registre interne recommandé par la Commission. Une demande OPCO reste soumise à l'accord de l'opérateur.

Former vos équipes : la première action sans regret

Pour préparer ce socle à partir des usages réels de l’organisation, consultez la formation à un usage conforme de l’IA à Paris.

Une formation ciblée transforme l'obligation générale en pratiques observables : savoir quand utiliser l'IA, quelles données protéger, comment vérifier une sortie et comment signaler un incident. Elle doit s'inscrire dans un dispositif plus large comprenant l'inventaire des usages, des règles internes et une mise à jour régulière.

Notre formation IA responsable et conformité (EU AI Act, RGPD) couvre ce périmètre : comprendre le règlement, cartographier les usages, bâtir un registre de preuves et diffuser les bonnes pratiques. Pour un socle commun, l'Introduction à l'IA générative pose les premiers réflexes. Avant arbitrage, le guide des prix de formation IA en entreprise aide à comparer les formats ; une demande peut ensuite être préparée via notre page de financement par les OPCO, sans garantie d'accord ni de montant.

→ Recevoir le programme IA responsable et conformité

Cet article est une synthèse d'information mise à jour le 25 août 2026 (sources principales : EUR-Lex, règlement (UE) 2024/1689 ; règlement (UE) 2026/1744, Journal officiel du 24 juillet 2026 ; Commission européenne, « AI Omnibus enters into force » ; Commission européenne, FAQ maîtrise de l'IA ; CNIL, consultées le 25/08/2026). Il ne constitue pas un avis juridique : pour une analyse de votre situation particulière, rapprochez-vous d'un avocat ou de votre conseil habituel.

Sources

• Règlement (UE) 2024/1689 sur EUR-Lex : article 3 (définitions), article 4 dans sa rédaction initiale, article 99 (sanctions), article 113 (dates d'application). Consulté le 25 août 2026. Version commentée de l'article 99.
• Règlement (UE) 2026/1744, « Digital Omnibus on AI », Journal officiel de l'Union européenne, série L du 24 juillet 2026 : réécriture de l'article 4 et report des échéances haut risque. En vigueur le 27 juillet 2026.
• Commission européenne, « AI Omnibus enters into force » : annexe III au 2 décembre 2027, annexe I au 2 août 2028, simplification de l'exigence de maîtrise de l'IA. Consultée le 25 août 2026.
• Commission européenne, FAQ « AI literacy » : supervision de l'article 4 depuis le 2 août 2026, registre interne recommandé, absence de formation type ou de certification imposée. Consultée le 25 août 2026.
• Law and Technology, « AI literacy: the Digital Omnibus rewrites Article 4 of the AI Act », 30 juillet 2026 : analyse du passage d'une obligation de résultat à une obligation de moyens, citation traduite dans le corps.
• CNIL, « Entrée en vigueur du règlement européen sur l'IA : les premières questions-réponses de la CNIL » : articulation entre AI Act et RGPD.
• Direction générale des Entreprises, gouvernance française de l'AI Act, septembre 2025 et Sénat, séance du 17 février 2026 : désignation des autorités françaises en cours d'achèvement.