AI Act : former les équipes à la maîtrise de l'IA

L'article 4 du règlement européen sur l'intelligence artificielle demande aux fournisseurs et déployeurs de systèmes d'IA de prendre des mesures pour assurer un niveau suffisant de maîtrise de l'IA chez les personnes qui utilisent ces systèmes pour leur compte. Cette exigence s'applique depuis le 2 février 2025. Elle ne crée pas un nombre universel d'heures de formation ni un certificat unique à acheter.

Pour une entreprise, l'enjeu consiste à relier les compétences aux usages, aux personnes et aux risques. Une sensibilisation générale peut être nécessaire, mais elle ne suffit pas toujours pour une équipe qui traite des données personnelles, produit des livrables clients ou utilise une IA dans un processus réglementé.

Sommaire

1. Ce que demande réellement l'article 4
2. Cartographier les usages et les personnes
3. Construire un parcours proportionné
4. Documenter les mesures prises
5. Évaluer sans fabriquer une conformité
6. Expérience et limites
7. Questions fréquentes

Ce que demande réellement l'article 4

L'obligation porte sur un niveau suffisant de maîtrise de l'IA, apprécié selon les connaissances, l'expérience, le contexte et les personnes concernées. Le texte privilégie une approche proportionnée plutôt qu'un programme identique pour toutes les organisations.

Lire le texte dans sa version officielle

Le règlement (UE) 2024/1689 définit la maîtrise de l'IA et fixe l'obligation à son article 4. Le passage demande de tenir compte des connaissances techniques, de l'expérience, de l'éducation et de la formation des personnes, ainsi que du contexte d'utilisation et des personnes sur lesquelles les systèmes sont destinés à être utilisés.

Cette formulation interdit deux raccourcis. Acheter une formation générique ne prouve pas à lui seul que le niveau est suffisant. À l'inverse, l'absence d'un diplôme spécialisé ne signifie pas que l'organisation ne peut rien faire : elle doit prendre des mesures adaptées et être capable de les expliquer.

Distinguer fournisseur, déployeur et utilisateur

Une entreprise qui utilise un service d'IA dans ses activités agit généralement comme déployeur au sens du règlement, sous réserve de l'analyse applicable. Les salariés ou prestataires qui manipulent le système ont besoin de connaissances correspondant à leur rôle. La direction, l'équipe informatique, le juriste et l'utilisateur métier n'ont pas les mêmes décisions à prendre.

La Commission européenne publie une présentation officielle du cadre et de son calendrier. Pour une situation sensible ou ambiguë, une lecture juridique adaptée à l'organisation reste nécessaire.

Cartographier les usages et les personnes

La formation commence par un inventaire : outil, finalité, données, décision et responsable. Sans cette carte, l'entreprise risque de former tout le monde au même niveau tout en oubliant les usages les plus exposés.

Recenser les usages réels

Un questionnaire général sous-estime souvent les pratiques informelles. Organisez des entretiens courts par métier et demandez des exemples précis : quel document entre, quelle réponse sort, qui la relit, où elle est conservée ? Ne cherchez pas d'abord à sanctionner. Vous avez besoin d'une carte honnête pour réduire les risques.

Identifier les publics

Les utilisateurs occasionnels doivent reconnaître les limites, protéger les données et vérifier une réponse. Les utilisateurs réguliers ont besoin d'une méthode plus détaillée. Les responsables doivent savoir autoriser, suspendre et documenter un usage. Les personnes qui achètent un outil doivent comprendre les conditions, la sécurité et le périmètre contractuel.

Notre article sur la confidentialité des données dans les outils d'IA fournit un point de départ pour cette cartographie. Il ne remplace pas l'analyse des contrats ni les règles internes de l'organisation.

Construire un parcours proportionné

Un parcours utile combine un socle commun, des modules métier et une mise à jour. La maîtrise ne se réduit ni à l'art de rédiger une consigne ni à une présentation du règlement.

Le socle commun

Le socle explique ce qu'un système produit, pourquoi il peut se tromper, comment protéger les informations et à quel moment un humain doit intervenir. Il précise les outils autorisés, les comptes à utiliser et les catégories de données interdites. Il rappelle que la personne reste responsable du livrable qu'elle valide.

La formation d'introduction à l'IA et au prompting peut contribuer à ce socle si son périmètre correspond aux usages. La conformité ne vient toutefois pas du titre de la formation : elle dépend de l'adaptation, de la participation et des mesures complémentaires.

Les modules métier

Un architecte doit distinguer une image exploratoire d'un document technique. Une équipe RH doit reconnaître quand un usage touche une personne et nécessite un contrôle renforcé. Un service communication doit vérifier les faits, les droits sur les contenus et la cohérence de marque. Les exercices reprennent ces décisions concrètes.

La mise à jour

Les outils, pratiques et risques évoluent. Prévoyez une revue lorsque l'organisation adopte un nouveau système, modifie un processus ou constate un incident. Une veille annuelle fixe peut être insuffisante pour un usage qui change chaque mois ; une formation hebdomadaire n'est pas nécessaire pour une équipe qui utilise rarement l'outil.

Documenter les mesures prises

La preuve utile décrit ce qui a été fait, pour qui, sur quel usage et avec quel contrôle. Une attestation de présence est une pièce, pas le dossier complet.

Étape 1 : conservez la cartographie datée. Elle précise les systèmes, tâches, données et responsables connus au moment de la revue.

Étape 2 : reliez chaque public à des compétences. Le tableau indique ce que la personne doit savoir reconnaître, faire et escalader.

Étape 3 : archivez le programme et la participation. Conservez les objectifs, supports, exercices, dates et personnes concernées selon vos règles de conservation.

Étape 4 : documentez l'évaluation. Une mise en situation, un contrôle de connaissances ou une observation peut montrer ce qui a été compris, sans prétendre éliminer toute erreur future.

Étape 5 : notez les corrections. Un incident, une nouvelle fonction ou une règle mal appliquée doit conduire à ajuster la consigne ou la formation.

Le plan de développement des compétences constitue un cadre de gestion pour l'employeur. Il ne se confond pas avec l'analyse de conformité au règlement, mais il peut porter les actions de formation retenues.

Évaluer sans fabriquer une conformité

Une note à un quiz mesure une partie des connaissances, pas la conformité complète de l'organisation. L'évaluation doit vérifier les comportements sur des scénarios proches du travail réel.

Utiliser des situations

Présentez un document contenant des données inutiles, une réponse avec une source douteuse ou une demande qui dépasse le rôle de l'utilisateur. Demandez ce qui peut être envoyé, ce qui doit être retiré, quelle source ouvrir et qui doit valider. La justification compte autant que la réponse.

Observer dans la durée

Après la formation, examinez quelques usages avec les personnes concernées : erreurs détectées, questions remontées, outils non autorisés, temps de vérification. L'objectif n'est pas de produire un taux flatteur, mais de savoir où la règle ne fonctionne pas encore.

Bloc expérience

Expérience délimitée. Educasium est un organisme certifié Qualiopi qui forme des professionnels aux usages de l'IA. Cet article ne constitue ni un avis juridique ni la preuve qu'une entreprise déterminée respecte l'article 4. Nous ne publions pas de cas client vérifié démontrant une conformité obtenue par une formation. La méthode sert à préparer le travail avec les responsables juridiques, métiers et sécurité.

Limites et contre-cas

La formation ne remplace pas une politique d'usage, des contrôles d'accès, une analyse de protection des données ou une procédure d'incident. Elle ne transforme pas non plus un système inadapté en système acceptable. Si l'usage lui-même n'est pas autorisé ou présente un risque disproportionné, l'action correcte peut être de le suspendre.

L'article 4 ne doit pas devenir un prétexte pour former sans besoin. Une personne qui ne touche pas au système peut avoir besoin d'une information brève, tandis qu'un utilisateur qui prépare des décisions sensibles demande un parcours approfondi. La proportionnalité s'applique dans les deux sens.

Questions fréquentes

L'AI Act impose-t-il une formation certifiée à tous les salariés ?

Le texte impose aux fournisseurs et déployeurs de prendre des mesures pour assurer un niveau suffisant de maîtrise de l'IA chez les personnes concernées. Il ne fixe pas un certificat universel ni une durée identique. L'organisation doit choisir des mesures proportionnées aux connaissances, au contexte et aux personnes affectées. Une formation peut en faire partie avec des règles et contrôles complémentaires.

Depuis quand l'article 4 s'applique-t-il ?

Les dispositions relatives à la maîtrise de l'IA s'appliquent depuis le 2 février 2025 selon le calendrier du règlement. Il faut néanmoins vérifier la version officielle et les orientations disponibles au moment de l'analyse. La date ne dispense pas de qualifier le rôle de l'organisation. Un conseil juridique peut être nécessaire pour un cas complexe.

Une attestation de présence suffit-elle comme preuve ?

Elle prouve qu'une personne a participé à une action, pas qu'elle maîtrise les risques de son usage. Conservez aussi le programme, les objectifs, les exercices, l'évaluation et la relation avec la cartographie des usages. Documentez les mises à jour et corrections. La preuve doit raconter une mesure cohérente, pas seulement une date.

Qui doit piloter la maîtrise de l'IA ?

La réponse dépend de la taille et des usages, mais le pilotage ne devrait pas reposer sur le seul service informatique. Les métiers connaissent les tâches, le juridique interprète les obligations, la sécurité encadre les accès et la direction arbitre. Désignez un responsable de coordination et des validateurs par usage. Les rôles doivent être écrits et compris.

Parlons de votre projet

Formation éligible à une prise en charge OPCO/FIF PL sous conditions. Organisme certifié Qualiopi. Découvrez notre Introduction à l'IA et au prompting ou contactez Educasium pour relier la formation à vos usages et à vos responsabilités.