Formation IA en entreprise : obligations légales et bonnes pratiques

L'IA Act impose-t-il vraiment de former ses salariés à l'IA ?

L'article 4 du règlement (UE) 2024/1689, dit règlement européen sur l'intelligence artificielle, communément désigné sous l'expression "IA Act", l'impose explicitement. Son texte, tel que publié au Journal officiel de l'Union européenne le 12 juillet 2024, dispose en français : "Les fournisseurs et les déployeurs de systèmes d'IA prennent des mesures pour assurer, dans la mesure du possible, un niveau suffisant de connaissances en matière d'IA à leur personnel et aux autres personnes chargées du fonctionnement et de l'utilisation des systèmes d'IA en leur nom, en tenant compte de leurs connaissances techniques, de leur expérience, de leur éducation et de leur formation, du contexte dans lequel les systèmes d'IA doivent être utilisés et des personnes ou groupes de personnes sur lesquels les systèmes d'IA doivent être utilisés." (source : artificialintelligenceact.eu, traduction française reproduite d'après le JOUE, vérifiée en juillet 2026)

Trois éléments du texte méritent d'être clarifiés avant d'en tirer des conséquences opérationnelles.

Premier élément : il s'agit d'une obligation de moyens, pas de résultat. La formule "dans la mesure du possible" signifie que vous devez prendre des mesures actives et proportionnées, pas garantir un niveau précis et certifiable pour chaque salarié.

Deuxième élément : l'expression "connaissances en matière d'IA" - traduite de l'anglais "AI literacy" - va au-delà de la simple utilisation d'un outil. Elle vise la capacité à comprendre les systèmes d'IA utilisés : leur fonctionnement approximatif, leurs résultats, leurs limites et les risques liés à une utilisation inadaptée.

Troisième élément : deux catégories distinctes d'acteurs sont concernées. Les fournisseurs - ceux qui développent et mettent les systèmes d'IA sur le marché - et les déployeurs - ceux qui les utilisent dans leur propre activité professionnelle. Pour la très grande majorité des entreprises françaises, c'est le rôle de déployeur qui s'applique.

Cette obligation réglementaire s'inscrit dans un cadre plus large que notre article de référence Former ses équipes à l'IA en entreprise : le guide dirigeant et DRH aborde dans sa globalité, de la méthode aux financements disponibles. L'article 4 en constitue la dimension légale contraignante, qui s'applique indépendamment de toute décision de politique RH interne.

Qu'est-ce que l'obligation de maîtrise de l'IA et qui est précisément concerné ?

L'obligation de maîtrise de l'IA ne définit pas un programme de formation standard. Elle demande des mesures adaptées à chaque organisation, en tenant compte de quatre facteurs que l'article 4 liste explicitement :

• Les connaissances techniques et l'expérience du personnel : un ingénieur qui paramètre des modèles de langage et un commercial qui utilise un outil de prospection IA n'ont pas le même point de départ.
• L'éducation et la formation initiale : elle oriente le contenu et la durée des actions nécessaires.
• Le contexte d'utilisation : un outil de présélection de candidatures ne présente pas les mêmes enjeux qu'un assistant de rédaction interne.
• Les populations affectées : plus les décisions de l'outil ont un impact sur des tiers (clients, candidats, usagers), plus la maîtrise de ses biais est critique.

Concernant le périmètre des acteurs concernés, l'article 4 distingue deux catégories aux obligations distinctes :

Une organisation peut être simultanément fournisseur et déployeur (une ESN qui développe une solution IA et l'utilise en interne, par exemple) : l'article 4 s'applique alors dans les deux rôles.

Point important pour les dirigeants de TPE-PME : le règlement ne fixe pas de seuil d'effectif. Une entreprise de cinq personnes qui rédige ses devis avec un assistant génératif est un déployeur soumis à l'article 4, au même titre qu'un groupe de cinq cents salariés. La proportionnalité tient à la formule "dans la mesure du possible", pas à une exemption par taille ou par secteur.

À partir de quand ces obligations s'appliquent-elles ?

Le règlement (UE) 2024/1689 a été publié au Journal officiel de l'Union européenne le 12 juillet 2024. Il est entré en vigueur le 1er août 2024. Son application est ensuite échelonnée sur plusieurs années selon un calendrier défini à l'article 113.

L'article 4 figure au Chapitre I (Dispositions générales) du règlement. L'article 113, point a), dispose que les chapitres I et II "s'appliquent à partir du 2 février 2025", soit six mois après l'entrée en vigueur. À la date de rédaction de cet article (juillet 2026), l'obligation de maîtrise de l'IA est donc en vigueur depuis dix-sept mois. Ce n'est pas une échéance à venir, c'est une obligation active à laquelle il convient de se conformer ou d'avoir déjà commencé à se conformer.

Source : article 113 du règlement (UE) 2024/1689, JOUE du 12 juillet 2024 ; vérification sur artificialintelligenceact.eu en juillet 2026.

Ce calendrier a une conséquence directe pour les organisations qui n'ont pas encore structuré leur démarche de maîtrise de l'IA : elles ne sont pas en train d'anticiper une obligation future, elles sont en situation de non-conformité depuis le début de l'année 2025.

Quelles sanctions en cas de non-conformité à l'obligation de maîtrise de l'IA ?

Sur ce point, l'honnêteté sur les incertitudes reste préférable à toute sur-interprétation. L'article 99 du règlement fixe trois paliers de sanctions financières pour certaines violations : jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial pour les infractions les plus graves (dont les pratiques interdites de l'article 5 : manipulation, exploitation des vulnérabilités, notation sociale par les pouvoirs publics), 15 millions d'euros ou 3 % pour d'autres obligations listées, 7,5 millions d'euros ou 1 % pour la fourniture d'informations inexactes aux autorités.

Cependant, à la date de rédaction de cet article (juillet 2026), l'article 4 sur la maîtrise de l'IA n'est pas explicitement inclus dans les paliers de sanctions de l'article 99. Le règlement renvoie aux États membres le soin de définir leurs propres règles de sanction pour cette obligation spécifique. La France n'a pas encore adopté de texte précisant les modalités de contrôle et de sanction pour l'obligation de maîtrise de l'IA au niveau national.

Ce que l'on peut affirmer avec certitude : l'absence de mesures documentées en matière de maîtrise de l'IA peut constituer un facteur aggravant en cas d'incident lié à l'utilisation d'un système d'IA par un salarié, notamment si une décision préjudiciable a été prise sans que les limites de l'outil aient été comprises. La traçabilité des actions de formation devient ainsi un élément de gestion du risque juridique, indépendamment des sanctions directement applicables à l'article 4.

La recommandation opérationnelle est de ne pas attendre la publication des textes nationaux d'application pour agir : documenter les mesures prises maintenant constitue la position la plus défendable.

Comment se mettre en conformité concrètement par la formation ?

L'article 4 n'impose pas de format particulier : il exige des "mesures". Cette flexibilité permet une réponse proportionnée au contexte de chaque organisation. Une démarche structurée en trois étapes est applicable à la majorité des entreprises, quelle que soit leur taille.

Étape 1 - Cartographier les systèmes d'IA déployés

Avant de former qui que ce soit, il faut recenser les outils intégrant réellement de l'IA dans les processus : outils bureautiques (Copilot, Google Workspace IA), assistants génératifs utilisés directement (ChatGPT, Claude), logiciels métiers avec IA intégrée (CRM à scoring, présélection RH, comptabilité assistée). Cette cartographie identifie aussi les équipes prioritaires : celles dont les usages ont un impact sur des tiers, ou qui utilisent les systèmes de façon intensive.

Étape 2 - Différencier les niveaux de formation selon le profil

L'article 4 précise lui-même que les mesures doivent tenir compte des "connaissances techniques, de l'expérience, de l'éducation et de la formation" de chaque personne concernée. Un programme unique pour l'ensemble de l'organisation n'est ni obligatoire ni recommandé. Une segmentation minimale par profil d'usage est suffisante et proportionnée :

• Notions de fonctionnement : pour l'ensemble des salariés exposés à des outils d'IA dans leur quotidien, même de manière passive. Comprendre ce que fait l'outil, ce qu'il ne fait pas, et pourquoi ses résultats ne sont pas toujours fiables.
• Maîtrise opérationnelle : pour les utilisateurs réguliers et intensifs. Comprendre les biais, savoir superviser les sorties, identifier les cas où une vérification humaine est indispensable.
• Gouvernance et responsabilité : pour les décideurs, les fonctions RH, juridiques et les managers. Connaître les obligations légales, les responsabilités en cas d'incident et les bonnes pratiques de documentation.

Étape 3 - Documenter et tracer les actions de formation

La traçabilité est la clé d'une conformité défendable : attestations, programmes détaillant les outils couverts, listes de participants et dates permettent de démontrer que des mesures actives ont été prises. Les modalités de contrôle national n'étant pas encore précisées, la documentation reste la principale protection disponible à ce stade.

Les mécanismes de financement de ces formations - OPCO, plan de développement des compétences, CPF selon les situations - sont détaillés dans notre article OPCO et formation IA : ce que votre entreprise peut financer. Pour structurer un axe IA dans le plan annuel de votre organisation, l'article Plan de développement des compétences : où mettre l'IA en 2026 propose une méthode opérationnelle adaptée aux responsables formation.

Se former à l'IA avec les équipes de Learn Room

Learn Room est un organisme de formation certifié Qualiopi au titre des actions de formation, spécialisé dans l'employabilité IA pour tous les métiers. Ses parcours sont conçus pour répondre à la logique de l'article 4 : adapter le contenu aux systèmes d'IA effectivement utilisés dans votre organisation, segmenter par profil d'utilisateur, et remettre à chaque participant une attestation de formation utilisable à des fins de traçabilité de conformité.

Les apprenants notent le contenu des formations 9/10 (enquêtes de satisfaction internes). La certification Qualiopi de Learn Room est la condition d'accès aux financements OPCO et plan de développement des compétences ; la prise en charge effective et son niveau restent soumis à l'accord préalable de votre OPCO et aux priorités de votre branche. Si l'annonce de cette formation à vos équipes vous préoccupe autant que sa conformité, notre article comment annoncer une formation IA à son équipe sans résistance complète utilement cette lecture.

Pour un premier échange sur les besoins de votre organisation et la montée en compétences de vos équipes sur l'IA, la page entreprises présente les parcours adaptés et permet d'identifier le mode de financement le plus adapté à votre situation.

Ce qu'il faut retenir

• L'article 4 du règlement (UE) 2024/1689 impose aux déployeurs de systèmes d'IA - toute organisation utilisant des outils d'IA dans son activité - de prendre des mesures pour garantir à leur personnel un niveau suffisant de maîtrise de l'IA.
• Cette obligation est en vigueur depuis le 2 février 2025 : elle ne s'anticipe plus, elle se corrige ou se documente dès maintenant.
• C'est une obligation de moyens, pas de résultat : des actions proportionnées, adaptées aux profils et documentées constituent une réponse conforme, sans certification obligatoire.
• Il n'existe pas de seuil de taille d'entreprise : la TPE comme le groupe peuvent être qualifiés de déployeurs et sont soumis à l'article 4.
• Aucun montant de sanction spécifique n'est fixé par le règlement pour l'article 4 : les États membres définissent leurs propres règles, non encore publiées en France à juillet 2026. La documentation des actions prises est la meilleure protection disponible à ce jour.
• La réponse opérationnelle tient en trois étapes : cartographier les outils IA déployés, segmenter les formations par profil d'utilisateur, tracer les actions (attestations, programmes, dates).