Formation IA obligatoire : ce que l'AI Act exige vraiment de votre entreprise depuis juillet 2026

En résumé : Oui, l’AI Act crée une obligation — mais ce n’est pas une obligation de formation au sens où beaucoup d’offres le laissent entendre. Depuis le 2 février 2025, l’article 4 du règlement européen sur l’IA demande à toute entreprise qui utilise un système d’IA, même simplement ChatGPT ou Copilot, de prendre des mesures pour développer la maîtrise de l’IA de ses équipes. Depuis le 27 juillet 2026, le règlement (UE) 2026/1744 a assoupli la formule : il faut « favoriser » cette maîtrise, et le texte précise qu’il n’impose pas de garantir un niveau de compétence. Aucun certificat, aucune durée, aucun format n’est exigé ; la Commission européenne indique qu’un registre interne suffit à documenter ce qui a été fait. Mais se contenter de faire lire la notice d’un outil peut, selon elle, être inefficace dans de nombreux cas, et les autorités nationales contrôlent ce point depuis août 2026.

Déclaration d’intérêt. Foxpilot vend des formations à l’IA : nous aurions intérêt à vous dire qu’elles sont obligatoires. Elles ne le sont pas sous cette forme, et c’est précisément pour cela que cet article cite le texte officiel mot pour mot. Chaque affirmation renvoie à une source de la Commission européenne.

Que dit exactement l’article 4 de l’AI Act ?

Voici le premier paragraphe de l’article 4, dans sa version en vigueur publiée par la Commission européenne :

« Les fournisseurs et les déployeurs de systèmes d’IA prennent des mesures pour favoriser le développement de la maîtrise de l’IA par leur personnel et les autres personnes s’occupant du fonctionnement et de l’utilisation des systèmes d’IA pour leur compte, en prenant en considération leurs connaissances techniques, leur expérience, leur éducation et leur formation, ainsi que le contexte dans lequel les systèmes d’IA sont destinés à être utilisés, et en tenant compte des personnes ou des groupes de personnes à l’égard desquels les systèmes d’IA sont destinés à être utilisés. Cette obligation ne contraint pas les fournisseurs ou les déployeurs à garantir un niveau spécifique de maîtrise de l’IA par un individu. »

Trois mots portent tout le sens. « Prennent des mesures » : c’est une obligation d’agir, pas de résultat. « Favoriser » : il s’agit d’aider vos équipes à comprendre l’IA qu’elles utilisent, pas de les faire réussir un examen. « Pour leur compte » : sont concernés vos salariés, mais aussi les intérimaires, prestataires ou freelances qui utilisent l’IA pour vous.

Le deuxième paragraphe engage la Commission et les États membres à aider les entreprises, « en particulier les PME », et oblige la Commission à publier des exemples pratiques de mise en conformité.

Ce qui a changé le 27 juillet 2026

Le texte adopté en 2024 était plus exigeant : il demandait de prendre des mesures pour garantir, « dans toute la mesure du possible », un niveau suffisant de maîtrise de l’IA. L’omnibus numérique sur l’IA — le règlement (UE) 2026/1744 du 8 juillet 2026, entré en vigueur le 27 juillet — a réécrit l’article : on passe de « garantir un niveau suffisant » à « favoriser le développement », et le législateur ajoute que l’obligation n’impose aucun niveau précis par personne.

La Commission résume ainsi le changement dans sa foire aux questions : la maîtrise de l’IA « reste une obligation » pour les fournisseurs et les déployeurs, mais aucun niveau spécifique — ou « suffisant » — n’est exigé. Autrement dit, l’obligation n’a pas disparu ; c’est la barre qui a été abaissée et clarifiée.

Votre entreprise est-elle concernée ?

Presque certainement. L’AI Act distingue le fournisseur, qui développe ou fait développer un système d’IA et le met sur le marché, et le déployeur, défini à l’article 3 comme toute personne ou organisation « utilisant sous sa propre autorité un système d’IA », sauf usage personnel non professionnel. Une entreprise dont les salariés utilisent ChatGPT, Copilot, Claude ou Mistral dans leur travail est déployeur. L’article 4 s’applique alors, quels que soient sa taille et le niveau de risque de l’outil.

Le niveau de risque change en revanche ce qu’il faut faire. Pour un assistant de rédaction, une sensibilisation et une charte peuvent suffire. Pour un système à haut risque — tri de candidatures, notation de crédit, par exemple —, l’article 26 ajoute une exigence plus forte : le contrôle humain doit être confié à des personnes « qui disposent des compétences, de la formation et de l’autorité nécessaires ». Pour les systèmes de l’annexe III, ces obligations s’appliquent à partir du 2 décembre 2027, selon l’article 113 tel que modifié par le même règlement 2026/1744 — notre page gouvernance IA et AI Act détaille ce calendrier.

La formation est-elle la seule façon de respecter l’article 4 ?

Non. À la question « une formation à l’IA est-elle obligatoire, ou d’autres initiatives sont-elles permises ? », la Commission répond que cela dépend de chaque organisation, qu’« aucune exigence stricte ni formation obligatoire » n’est imposée, mais que dans de nombreux cas, se contenter des instructions d’utilisation des outils ou demander aux équipes de les lire « pourrait être inefficace ».

Les mesures possibles sont donc variées : formation, atelier pratique, guide interne, charte d’usage, référent IA, module d’e-learning, accompagnement au poste. Ce qui compte, c’est qu’elles répondent aux quatre questions que la Commission propose de se poser :

1. Les bases : vos équipes savent-elles ce qu’est l’IA, comment elle fonctionne et quels outils d’IA sont utilisés dans l’entreprise ?
2. Votre rôle : êtes-vous fournisseur d’un système d’IA, ou déployeur d’outils conçus par d’autres ?
3. Les risques : que doivent savoir vos salariés des outils qu’ils utilisent — erreurs, hallucinations, confidentialité des données, biais ?
4. L’adaptation : vos mesures tiennent-elles compte des différences de niveau entre les équipes et des contextes d’usage ?

La Commission encourage aussi à relier ces mesures à l’AI Act lui-même et aux principes d’éthique et de gouvernance.

Quels contrôles et quelles sanctions ?

L’article 4 s’applique depuis le 2 février 2025. Sa supervision ne relève pas de l’Office européen de l’IA mais des autorités nationales de surveillance du marché, qui contrôlent son application depuis début août 2026, selon la foire aux questions de la Commission — qui cite tour à tour le 2 et le 3 août.

Les sanctions sont fixées par le droit national de chaque État membre et doivent être proportionnées : nature et gravité du manquement, caractère intentionnel ou négligent. La Commission ajoute une précision qui doit retenir l’attention d’un dirigeant : une sanction serait plus probable s’il est prouvé qu’un incident est dû à un manque de formation ou d’accompagnement des salariés. Le vrai risque n’est donc pas un contrôle surprise sur un registre vide, mais un incident — une fuite de données client dans un assistant public, une décision erronée prise sur la foi d’une réponse inventée — sans aucune mesure à montrer.

Comment se mettre en règle, concrètement, dans une PME

1. Faire l’inventaire des usages. Qui utilise quel outil d’IA, pour quoi, sur quelles données — y compris les comptes personnels utilisés au travail, le « shadow IA ».
2. Fixer des règles d’usage. Une charte courte : outils autorisés, données interdites, relecture humaine obligatoire pour ce qui sort de l’entreprise. C’est aussi le socle de votre démarche RGPD sur l’IA générative.
3. Choisir les mesures par profil. Une sensibilisation commune à tous, des ateliers métier pour ceux qui utilisent l’IA chaque jour, un accompagnement renforcé pour ceux qui l’utilisent sur des décisions touchant des personnes.
4. Tenir un registre. Pour chaque action : date, public, contenu, format, outils concernés. Pas de certificat : la Commission juge un registre interne suffisant.
5. Mettre à jour. Un nouvel outil, une nouvelle fonction agentique, un nouveau service qui adopte l’IA : la mesure se revoit, et le registre aussi.

Pour vous inspirer, la Commission publie un répertoire de pratiques d’organisations européennes — en précisant que les reproduire ne vaut pas, à ce stade, présomption de conformité.

Les pièges des offres « formation AI Act obligatoire »

• Le certificat présenté comme obligatoire. Aucun certificat n’est exigé par l’article 4, et le texte ne prévoit aucune attestation de conformité délivrée par un organisme.
• La durée imposée. Le texte ne fixe aucun nombre d’heures. Une formation d’une journée pour tous n’est ni requise, ni toujours pertinente.
• Le texte périmé. Une offre qui parle encore de « garantir un niveau suffisant » s’appuie sur la version de 2024, remplacée le 27 juillet 2026.
• La formation générique. L’article 4 demande de tenir compte du contexte et des personnes concernées : une formation qui ignore vos outils et vos métiers remplit mal l’objectif, même avec une attestation à la clé.

Une formation reste pourtant, dans la plupart des cas, la mesure la plus simple à organiser et à documenter. Côté financement, notre guide OPCO, CPF et dispositifs 2026 fait le point ; pour Foxpilot, organisme de formation déclaré : nos formations sont finançables OPCO via nos partenaires certifiés Qualiopi ; notre propre certification Qualiopi est en cours.

Ce qu’on ne sait pas encore

• Les recommandations du Comité européen de l’IA, prévues par l’article 4, paragraphe 3, pour fixer des objectifs communs à partir des cadres européens de compétences.
• Les exemples pratiques que la Commission doit publier sur la plateforme d’information unique.
• Le régime de sanctions français et l’autorité désignée pour contrôler l’article 4 : la Commission renvoie aux lois nationales, sans que nous ayons trouvé à ce jour de texte français précisant ces points pour l’article 4.

Le verdict Foxpilot

La « formation IA obligatoire » n’existe pas sous la forme qu’on vous vend parfois : pas de certificat, pas de durée, pas de format imposé, et depuis juillet 2026, pas de niveau à garantir. Mais l’obligation d’agir existe bel et bien, s’applique à presque toutes les entreprises et se contrôle depuis août 2026. La bonne réponse n’est ni la panique ni l’attentisme : un inventaire des usages, une charte, des mesures adaptées à chaque métier et un registre à jour. C’est peu de travail, et c’est exactement ce qui comptera le jour où un incident surviendra.

Comment Foxpilot vous accompagne

• Former vos équipes par métier, sur vos outils réels, avec une trace écrite de chaque session pour votre registre.
• Cadrer votre gouvernance IA — inventaire des usages, charte, registre, classification des risques.
• Déployer Copilot ou ChatGPT avec méthode — notre accompagnement Microsoft Copilot inclut les règles d’usage.

Le point de départ reste un diagnostic IA gratuit de trente minutes.