En bref :
L'AI Act est construit en escalier : plus le risque est élevé, plus les obligations sont nombreuses. La plupart des articles qui font peur (documentation technique, évaluation de la conformité, marquage CE, inscription dans la base de données de l'UE) ne s'activent que si votre système est à haut risque, et ces obligations n'arrivent pas avant décembre 2027 ou août 2028 selon les cas.
L'article 4 est l'exception. Il est dans le chapitre I, « Dispositions générales », et l'article 113, troisième alinéa, point a), fixe que les chapitres I et II s'appliquent depuis le 2 février 2025. Sans période transitoire, sans dépendre du niveau de risque et sans dépendre de la taille de l'entreprise.
Il oblige deux figures, définies à l'article 3 :
Ce dernier membre de phrase est ce qui sépare l'entreprise du particulier. Utiliser un chatbot pour écrire un poème le dimanche, c'est une activité personnelle. L'utiliser le lundi pour rédiger des propositions commerciales, non.
L'Omnibus numérique sur l'IA, publié au JOUE le 24 juillet 2026 et entré en vigueur trois jours plus tard, a intégralement remplacé l'article 4 en son point 5 de l'article 1er. La nouvelle rédaction comporte trois paragraphes. Le premier, tel quel :
« 1. Les fournisseurs et les responsables du déploiement de systèmes d'IA adoptent des mesures pour soutenir la promotion de l'alphabétisation en matière d'IA de leur personnel et des autres personnes s'occupant en leur nom du fonctionnement et de l'utilisation des systèmes d'IA, en tenant compte de leurs connaissances techniques, de leur expérience, de leur formation et de leur instruction, ainsi que du contexte d'utilisation prévu des systèmes d'IA et des personnes ou groupes de personnes avec lesquels les systèmes d'IA doivent être utilisés. Cette obligation n'exige pas que les fournisseurs ou les responsables du déploiement garantissent un niveau spécifique d'alphabétisation en matière d'IA à une personne donnée. »
Le paragraphe 2 transfère une charge au secteur public : « La Commission et les États membres soutiennent et facilitent les efforts des fournisseurs et des responsables du déploiement de systèmes d'IA, en particulier des PME (petites et moyennes entreprises), pour respecter leur obligation au titre du paragraphe 1. À cet effet, la Commission publie des exemples pratiques de la manière de satisfaire à cette obligation sur la plateforme d'information unique visée à l'article 62, paragraphe 3, point b). »
Le paragraphe 3 charge le Conseil de l'IA d'adopter des recommandations tenant compte des cadres européens de compétences, « notamment par l'établissement d'objectifs communs ».
Ce qui a changé en pratique :
| Rédaction originale (2 fév. 2025 – 26 juil. 2026) | Rédaction en vigueur (depuis le 27 juil. 2026) | |
|---|---|---|
| Verbe | « adoptent des mesures pour garantir que… disposent d'un niveau suffisant » | « adoptent des mesures pour soutenir la promotion de l'alphabétisation » |
| Portée | « dans la plus grande mesure possible » | Cette clause est supprimée |
| Niveau exigé | Non précisé | Précisé : n'exige pas de garantir un niveau spécifique à une personne donnée |
| Soutien public | Non prévu dans l'article | Commission et États membres doivent soutenir ; exemples pratiques sur la plateforme unique |
| Recommandations | Non prévu | Le Conseil de l'IA adopte des recommandations avec objectifs communs |
Le considérant 8 de l'Omnibus explique le motif avec une franchise peu habituelle : l'expérience des parties prenantes a montré qu'« une solution imposant des obligations strictes pour garantir un niveau suffisant d'alphabétisation en matière d'IA ne serait pas appropriée pour tous les types de fournisseurs et de responsables du déploiement », et que ces obligations créent « une charge de conformité supplémentaire, en particulier pour les petites entreprises ». Et il ajoute une idée à ne pas perdre de vue : l'alphabétisation en IA « devrait être une priorité stratégique, indépendamment des obligations réglementaires et des éventuelles sanctions ».
Traduction pour une PME : l'obligation est devenue plus raisonnable, elle n'a pas disparu.
Oui. Et c'est ce qui est le plus difficile à accepter.
L'article 3, point 1, définit « système d'IA » comme « un système basé sur une machine qui est conçu pour fonctionner avec différents niveaux d'autonomie et qui peut faire preuve d'une certaine capacité d'adaptation après son déploiement et qui, pour des objectifs explicites ou implicites, déduit des données d'entrée qu'il reçoit comment générer des résultats tels que des prédictions, du contenu, des recommandations ou des décisions qui influencent les environnements physiques ou virtuels ».
Un assistant conversationnel génératif y entre sans discussion. Idem pour le module qui rédige des descriptions de produits dans votre boutique en ligne, celui qui résume des appels dans le CRM, celui qui suggère des réponses dans la messagerie ou celui qui classe les factures entrantes. L'article 4 ne distingue pas par niveau de risque : il dit « systèmes d'IA », tout court.
Ce qu'il distingue, c'est le contexte d'utilisation prévu. La mesure que vous prendrez avec une équipe de cinq personnes qui utilise un chatbot pour des brouillons n'a pas à ressembler à celle d'un cabinet de conseil qui emploie l'IA pour préclasser des dossiers clients. L'article lui-même le dit : il faut tenir compte des connaissances, de l'expérience, de la formation du personnel et du contexte d'utilisation.
Le Règlement définit le concept à l'article 3, point 56 : « les capacités, les connaissances et la compréhension permettant aux fournisseurs, aux responsables du déploiement et aux personnes concernées, en tenant compte de leurs droits et obligations respectifs dans le cadre du présent règlement, d'effectuer un déploiement éclairé des systèmes d'IA et de prendre conscience des opportunités et des risques que présente l'IA, ainsi que des préjudices qu'elle peut causer. »
Le considérant 20 le développe : les notions « peuvent varier en fonction du contexte pertinent » et incluent la compréhension de l'application correcte des éléments techniques pendant le développement, les mesures à appliquer lors de l'utilisation, « les manières appropriées d'interpréter les résultats de sortie du système d'IA » et, pour les personnes concernées, la compréhension des répercussions des décisions prises avec l'aide de l'IA.
Concrètement pour une PME, un niveau suffisant signifie que celui qui utilise l'outil sait :
Si votre personnel sait tout cela et si vous pouvez démontrer que vous le lui avez enseigné, vous avez respecté l'esprit et la lettre de l'article 4.
Il convient de le dire clairement, car il y a beaucoup de bruit commercial à ce sujet.
Avec des documents datés. La logique est la même qu'en protection des données ou en prévention des risques : si ce n'est pas documenté, ça n'a pas eu lieu.
Quatre documents, et aucun ne devrait dépasser deux pages.
1. Inventaire des systèmes d'IA. Un tableau avec : outil, fournisseur, usage, utilisateurs, données entrantes, qui a approuvé et date. C'est la base de tout le reste et c'est ce que toute inspection vous demandera en premier.
2. Politique d'utilisation de l'IA. Le document à créer lundi. Contenu minimal :
3. Registre de formation. Date, durée, contenu, participants et signature ou accusé de réception. Une session interne de 45 minutes suffit. Ce qui ne suffit pas, c'est ne laisser aucune trace.
4. Preuves. Les supports utilisés, l'e-mail de communication de la politique au personnel, les accusés de réception, les clauses intégrées aux contrats avec les sous-traitants opérant des systèmes en votre nom.
Ajoutez une date de révision. Le Règlement continuera d'évoluer et la Commission est chargée de publier des exemples pratiques.
Il faut être précis ici, sans céder à l'alarmisme.
L'article 99, paragraphe 4, de l'AI Act énumère les manquements sanctionnés par des amendes pouvant aller jusqu'à 15 000 000 € ou 3 % du chiffre d'affaires mondial : obligations des fournisseurs (art. 16), des représentants autorisés (art. 22), des importateurs (art. 23), des distributeurs (art. 24), des responsables du déploiement (art. 26), des organismes notifiés et la transparence (art. 50). L'article 4 n'y figure pas.
Cependant, le paragraphe 1 du même article 99 charge les États membres d'établir le régime de sanctions « applicable aux infractions au présent règlement ». La porte reste ouverte au législateur national.
En Espagne, cette porte n'est pas encore fermée. Le projet de loi organique pour le bon usage et la gouvernance de l'intelligence artificielle a été publié au Bulletin officiel des Cortes Generales (Congrès, Série A, n° 97-1) le 12 juin 2026. Dans son chapitre sur les infractions et sanctions (articles 13 à 29), le texte publié ne typifie pas le non-respect de l'article 4. C'est un projet susceptible d'amendements et non encore en vigueur.
Conclusion opérationnelle : il n'existe pas aujourd'hui d'amende nominative pour ne pas avoir formé votre personnel. En revanche, il y a deux raisons pratiques de le faire quand même. La première : si un employé divulgue des données clients à un outil public, le problème n'arrive pas par l'AI Act mais par le RGPD, et la politique d'utilisation est votre défense. La seconde : tout client corporate ou appel d'offres public qui vous demandera des preuves de gouvernance de l'IA se contentera de ce qu'exige l'article 4.
Aucun guide n'est contraignant. Il convient de le garder à l'esprit avant de payer pour des interprétations.
AESIA (Agence Espagnole de Supervision de l'Intelligence Artificielle) a publié en décembre 2025 un ensemble de 16 guides : deux introductifs (01 et 02), treize techniques (03 à 15) et un manuel d'utilisation des listes de contrôle (16), ainsi qu'une archive compressée avec les checklists et exemples. L'agence elle-même prévient sur son site que les guides « n'ont pas de caractère contraignant et ne remplacent ni ne développent la réglementation applicable », et qu'ils seront mis à jour « une fois l'Omnibus numérique modifiant le Règlement sur l'intelligence artificielle approuvé ». En d'autres termes : utiles comme modèle, en attente de révision sur le fond.
À l'échelle européenne, le nouvel article 4, paragraphe 2, charge la Commission de publier des exemples pratiques de conformité sur la plateforme d'information unique prévue à l'article 62, paragraphe 3, point b). Lorsqu'ils paraîtront, ils constitueront la référence la plus proche d'un standard de facto.
| Semaine | Ce que vous faites | Ce qui reste par écrit |
|---|---|---|
| 1 | Vous demandez par écrit à chaque service quels outils d'IA ils utilisent, y compris ceux que personne n'a approuvés | Inventaire des systèmes d'IA, version 1 |
| 2 | Vous rédigez la politique d'utilisation à partir de l'inventaire : outils autorisés, données interdites, révision humaine, incidents | Politique d'utilisation de l'IA, approuvée et datée |
| 3 | Session interne de 45 à 60 minutes avec des cas réels de votre activité : une erreur de l'outil, une donnée qui ne doit pas sortir, un résultat à vérifier | Registre de formation avec participants et supports |
| 4 | Vous communiquez la politique, collectez les accusés de réception, révisez les contrats avec les sous-traitants qui opèrent des systèmes en votre nom et fixez une date de révision | Preuves archivées et date de révision notée |
Quatre semaines au rythme d'un après-midi par semaine. C'est la vraie dimension du problème.
L'article 4 s'applique-t-il aussi aux indépendants ?
Oui, s'ils utilisent des systèmes d'IA dans leur activité professionnelle. La définition de responsable du déploiement inclut les personnes physiques et n'exclut que l'usage relevant « d'une activité personnelle à caractère non professionnel ».
Si mon fournisseur de logiciel forme déjà mon équipe, suis-je couvert ?
Cela peut faire partie de la mesure, mais l'entité obligée reste votre entreprise. Conservez le certificat de participation, le programme et les dates, et intégrez-les à votre registre de formation.
Dois-je former tout le personnel ou seulement ceux qui utilisent l'IA ?
L'article 4 vise le personnel « et les autres personnes s'occupant en son nom du fonctionnement et de l'utilisation des systèmes d'IA ». La démarche proportionnée est de former les utilisateurs des outils et de diffuser une note d'information brève au reste du personnel, surtout si certains pourraient commencer à les utiliser.
Quelle durée doit avoir la formation ?
Le texte ne fixe pas de durée. Ce qui compte, c'est qu'elle soit adaptée aux connaissances préalables et au contexte d'utilisation. Une session courte bien documentée et renouvelée à chaque arrivée est plus défendable qu'un long cours sans registre.
Cela change-t-il si mon entreprise développe sa propre IA plutôt que de l'acheter ?
Cela change beaucoup, mais pas à cause de l'article 4. Vous devenez également fournisseur, avec les obligations correspondant au niveau de risque du système. L'article 4 s'applique dans les deux cas.
Avec l'Omnibus, puis-je me détendre et ne rien faire ?
Non. L'obligation existe toujours et sa date d'application n'a pas bougé : 2 février 2025. Ce qui a changé, c'est le niveau d'exigence, désormais fondé sur un effort raisonnable et non sur un résultat garanti.