Formation obligatoire AI Act : ce que prévoit l'article 4 et qui est concerné

La formation obligatoire prévue par l’AI Act est en vigueur depuis le 2 février 2025, avec l’article 4 du règlement (UE) 2024/1689, et elle concerne toute entreprise qui utilise des systèmes d’intelligence artificielle. Depuis le 2 août 2026, le cadre est plus strict : le régime de sanctions de l’AI Act est pleinement opérationnel, les autorités nationales de surveillance sont actives et les obligations de transparence sur les systèmes qui génèrent des contenus ou interagissent avec les personnes sont contraignantes. Beaucoup d’entreprises italiennes ignorent encore qu’elles sont concernées, ou pensent pouvoir repousser l’échéance.

Cet article explique ce que prévoit l’article 4, qui il concerne, comment documenter la formation et par où il vaut mieux commencer. Le règlement s’applique dans toute l’Union européenne ; les passages sur les autorités de contrôle et la législation d’adaptation décrivent en revanche la situation en Italie, où nous travaillons. Si vous cherchez un parcours prêt à l’emploi et documentable pour votre personnel, vous trouverez les détails sur la page de notre service de formation AI Act.

Ce que prévoit l’article 4 de l’AI Act

Le texte est court, mais il pèse lourd. L’article 4 dispose que « les fournisseurs et les déployeurs de systèmes d’IA prennent des mesures pour garantir, dans toute la mesure du possible, un niveau suffisant de maîtrise de l’IA pour leur personnel et les autres personnes s’occupant du fonctionnement et de l’utilisation des systèmes d’IA pour leur compte ».

Concrètement : si quelqu’un utilise un système d’intelligence artificielle dans l’entreprise, celui qui le gère doit s’assurer que cette personne sait ce qu’elle fait. Peu importe que le système soit à haut risque ou non. Peu importe que l’entreprise ait développé l’IA en interne ou qu’elle se contente d’utiliser un outil tiers. L’obligation s’applique à tous les niveaux de risque, et c’est ce qui surprend le plus ceux qui en entendent parler pour la première fois : même une équipe qui utilise ChatGPT ou Gemini de façon informelle pour rédiger des e-mails ou des contenus entre dans le périmètre du texte.

Qui doit se former, et sur quoi

L’article 4 ne fait aucune différence entre les grands groupes et les petites entreprises. Il concerne quiconque répond à la définition de fournisseur ou de déployeur : celui qui développe un système d’IA et celui qui l’utilise dans son activité professionnelle. La distinction compte, car la plupart des PME italiennes appartiennent à la deuxième catégorie, celle des déployeurs, et c’est justement pour cela qu’elles ont tendance à sous-estimer l’obligation : elles pensent qu’elle ne vise que ceux qui construisent des logiciels d’intelligence artificielle, pas ceux qui se contentent de les utiliser pour travailler. Ce n’est pas le cas. Utiliser un outil d’IA acheté à un tiers, même gratuit, fait de toute façon d’une entreprise un déployeur, avec toutes les obligations qui en découlent. Le personnel concerné va des salariés qui utilisent l’IA chaque jour aux managers qui doivent en superviser l’usage, en passant par les collaborateurs externes qui font fonctionner des systèmes d’IA pour le compte de l’entreprise.

Le contenu de la formation devrait couvrir au moins ces points :

• comment fonctionne concrètement l’outil utilisé
• quelles sont ses limites (hallucinations, biais, erreurs systématiques)
• quels risques il comporte pour la protection des données et la confidentialité
• quelles règles internes l’entreprise a définies pour son utilisation
• comment exercer un jugement critique sur les résultats qu’il produit

Il ne s’agit pas d’un cours théorique sur l’intelligence artificielle en général. C’est une formation liée aux outils réellement utilisés et aux rôles de ceux qui les utilisent.

Au quotidien, cela se traduit par des besoins très différents selon les services. Un conseiller du service client qui utilise un chatbot pour répondre aux clients doit savoir quand passer la main à un opérateur humain et comment reconnaître une réponse inexacte avant qu’elle n’arrive au client. Une équipe marketing qui génère des contenus avec l’IA doit comprendre les limites du droit d’auteur sur les textes générés et les risques liés à la publication d’affirmations non vérifiées. Un responsable RH qui envisage d’utiliser l’IA pour sélectionner des candidats se trouve dans une zone à risque plus élevé, où la formation doit aussi inclure la conscience des biais dans les données d’entraînement. Et les membres du conseil d’administration ont besoin d’une vision d’ensemble sur la gouvernance, même sans utiliser les outils eux-mêmes, parce qu’ils restent responsables des décisions prises en aval.

Proportionnalité et traçabilité : les deux mots-clés

L’AI Act ne prescrit pas une formation précise avec un label officiel. Il demande deux choses plus exigeantes : que la formation soit proportionnée et qu’elle soit documentable.

Proportionnée signifie calibrée selon quatre facteurs : les connaissances techniques déjà présentes chez le personnel, l’expérience antérieure avec des outils similaires, le niveau d’études et le contexte dans lequel le système d’IA est utilisé. Une équipe marketing qui produit chaque jour des contenus avec l’IA générative n’a pas les mêmes besoins qu’un conseil d’administration qui doit en piloter l’adoption au niveau stratégique. Dans la plupart des cas, une formation unique, identique pour tous, ne suffit pas.

Documentable signifie que l’entreprise doit pouvoir prouver concrètement ce qu’elle a fait, sans se contenter de l’affirmer. En cas de contrôle, il faut des traces : heures de formation dispensées, contenus abordés, présences enregistrées, évaluations finales, attestations nominatives avec date et durée. Une formation faite une seule fois, sans registre ni test, ne vaut presque rien face à un contrôle.

Imaginez deux entreprises qui ont organisé exactement la même formation interne sur l’usage de l’IA. La première a réuni tout le monde en salle de réunion, a montré quelques diapositives et n’a gardé aucune trace écrite des participants. La seconde a enregistré les présences avec un système d’identification unique, a clos le parcours par un QCM et a délivré une attestation nominative avec la date, la durée et les contenus abordés. Face à une inspection, seule la seconde peut démontrer sa conformité en quelques minutes. La première doit tout reconstituer de mémoire, en espérant que cela suffise.

Ce que risque une entreprise qui ne s’y conforme pas

Il vaut la peine d’être précis ici, car circulent des montants de sanctions qui ne concernent pas spécifiquement l’article 4. À ce jour, la législation italienne d’adaptation à l’AI Act ne prévoit pas de sanction financière directe et autonome pour le seul défaut de maîtrise de l’IA du personnel. Cela ne veut pas dire pour autant que le risque est nul.

Si un système d’IA utilisé dans l’entreprise cause un dommage, par exemple une décision discriminatoire dans un processus de recrutement ou d’octroi de crédit, et que l’enquête qui suit révèle que le personnel concerné n’était pas suffisamment formé, le défaut de formation devient une circonstance aggravante. Il peut contribuer à déclencher les sanctions maximales prévues pour la violation de fond qui a causé le dommage, et non pour l’absence de formation en elle-même. En Italie, les autorités chargées de la surveillance, parmi lesquelles l’AgID, le Garante per la protezione dei dati personali (l’autorité italienne de protection des données) et l’Agenzia per la Cybersicurezza Nazionale, ont pour mission de contrôler le respect des obligations et, en cas de manquement, d’intervenir avec des mesures correctives. Avec la pleine mise en œuvre du régime de sanctions depuis le 2 août 2026, les contrôles peuvent devenir systématiques, et une intervention sur signalement reste toujours possible.

Ce qui a changé depuis le 2 août 2026

Le 2 août 2026 n’a pas introduit l’obligation de formation, qui, comme nous l’avons vu, s’applique depuis février 2025. Il a en revanche changé le contexte dans lequel cette obligation est contrôlée. Depuis cette date s’appliquent les obligations de transparence prévues par l’article 50 du règlement, qui concernent les systèmes interagissant directement avec les personnes (comme les chatbots) et ceux qui génèrent des contenus synthétiques, textes, images ou audio. Surtout, le régime de sanctions est pleinement opérationnel : les autorités nationales de surveillance sont actives sur tout le territoire et peuvent appliquer les sanctions prévues par le règlement.

Le paquet Digital Omnibus a repoussé certaines échéances, notamment celles qui concernent les systèmes à haut risque de l’annexe III (emploi, crédit, services publics essentiels), reportées à décembre 2027, et celles de l’annexe I, reportées à août 2028. Mais l’obligation de maîtrise de l’IA de l’article 4 n’est pas concernée par ce report : elle reste pleinement en vigueur, et depuis août 2026 les autorités disposent des outils opérationnels pour la faire respecter de façon plus continue.

Le reste du calendrier que les entreprises doivent garder en tête

L’article 4 n’est pas une obligation isolée : il s’inscrit dans un calendrier qui se déroule sur plusieurs années et qu’il vaut la peine de suivre, ne serait-ce que pour savoir où se situe votre entreprise aujourd’hui. Depuis le 2 février 2025, en même temps que l’obligation de maîtrise de l’IA, sont devenues contraignantes les interdictions des pratiques d’IA jugées inacceptables, comme les systèmes de notation sociale ou la reconnaissance des émotions sur le lieu de travail. Depuis le 2 août 2025 s’appliquent les obligations spécifiques aux fournisseurs de modèles d’IA à usage général, les GPAI, sur lesquels reposent des outils comme ChatGPT, Claude ou Gemini. Depuis le 2 août 2026, comme nous l’avons vu, s’appliquent les obligations de transparence sur les systèmes qui interagissent avec les personnes ou génèrent des contenus synthétiques, et le régime de sanctions est pleinement opérationnel. Les obligations les plus lourdes, celles qui portent sur les systèmes à haut risque listés dans les annexes du règlement, ont été repoussées par le Digital Omnibus à décembre 2027 et à août 2028, selon la catégorie.

Vue sous cet angle, la date du 2 août 2026 a été une étape. Les entreprises qui attendent le dernier report possible pour se mettre en conformité risquent de devoir courir après plusieurs obligations à la fois, au lieu de les traiter une par une tant qu’il reste de la marge.

Combien de temps et combien coûte la mise en conformité

C’est la question que presque tous les chefs d’entreprise se posent dès qu’ils comprennent que l’obligation les concerne. La réponse honnête est que cela dépend de la taille de l’entreprise et du nombre de rôles concernés, mais le point d’entrée ne demande ni des mois de travail ni un budget de grand groupe. Une formation de base à la maîtrise de l’IA pour tout le personnel demande en général quatre à six heures, qu’on peut dispenser en une seule journée ou répartir en modules en ligne que chacun suit à son rythme. Les parcours plus spécialisés, comme la conformité opérationnelle pour les managers et les RH ou la gouvernance pour les dirigeants, demandent quelques heures de plus, mais restent des parcours ciblés, pas des cursus universitaires.

Le vrai coût ne tient pas tant aux heures de formation qu’au temps perdu à rattraper la conformité après un contrôle ou un incident, quand les registres, les attestations et la traçabilité font défaut. Investir avant, de façon proportionnée, coûte moins cher que courir après.

Par où commencer : un parcours en quatre étapes

Se mettre en conformité n’oblige pas à arrêter l’entreprise pendant des mois. Cela demande une méthode.

La première étape consiste à recenser les outils d’intelligence artificielle réellement utilisés, y compris ceux adoptés de façon informelle par certains services : qui utilise quoi, pour faire quoi, avec quelles données.

La deuxième consiste à segmenter le personnel par rôle et par niveau d’exposition à l’IA, car tout le monde n’a pas besoin du même type de formation.

La troisième consiste à choisir un parcours de formation proportionné au rôle et documentable dès le départ, avec registres, tests et attestations nominatives. Ceux qui veulent adopter des solutions d’IA de façon conforme commencent presque toujours par là, avant même d’introduire de nouveaux outils.

La quatrième étape, souvent oubliée, est la mise à jour : l’AI Act entre en application par paliers et les outils changent chaque trimestre, donc une formation faite une seule fois et jamais revue perd vite sa valeur.

La solution que nous avons construite : Articolo 4

Pour répondre concrètement à cette obligation, Digital Runner a lancé Articolo 4, un projet entièrement consacré à la formation à l’intelligence artificielle conforme à l’AI Act.

Quatre formations spécialisées, de la maîtrise de base pour tout le personnel jusqu’à la gouvernance pour les dirigeants, chacune conçue par des personnes qui appliquent l’IA chaque jour dans les projets de leurs clients.

Chaque parcours est traçable dès sa conception : identification de l’apprenant, registres électroniques des présences, tests finaux avec banque de questions aléatoire, attestations nominatives avec date, durée et contenus abordés. Exactement ce qu’il faut pour répondre à un contrôle. Les contenus sont revus tous les six à douze mois, car une formation sur l’IA vieille d’un an cesse d’être à jour bien plus tôt qu’on ne le pense. Le catalogue s’adresse à trois publics différents, avec des parcours pour les particuliers, des sessions dédiées aux entreprises et des solutions sous licence pour les organismes de formation qui veulent proposer cette formation à leurs propres clients.

N’attendez pas le contrôle pour commencer

L’obligation de l’article 4 fait partie du droit depuis février 2025, et depuis le 2 août 2026 les autorités disposent des outils pour la vérifier à grande échelle. Une entreprise qui a déjà recensé ses outils d’IA et formé son personnel de façon documentée peut aborder un contrôle sereinement. Celle qui ne l’a pas encore fait a tout intérêt à commencer tout de suite, avec un parcours proportionné et bien documenté.

Si vous souhaitez échanger sur la manière de construire un plan de formation adapté à votre entreprise, ou plus largement sur la façon d’intégrer correctement l’IA dans vos processus, vous pouvez réserver un appel avec notre équipe.

FAQ

La formation à l’IA est-elle obligatoire pour toutes les entreprises ? Oui, pour quiconque répond à la définition de fournisseur ou de déployeur de systèmes d’intelligence artificielle, quelle que soit la taille de l’entreprise ou le niveau de risque du système utilisé. L’obligation, prévue par l’article 4 du règlement (UE) 2024/1689, est en vigueur depuis le 2 février 2025.

Depuis quand l’obligation de maîtrise de l’IA est-elle en vigueur ? Depuis le 2 février 2025. Le 2 août 2026 n’a pas introduit l’obligation, mais a marqué l’entrée en vigueur complète du régime de sanctions de l’AI Act et de nouvelles obligations de transparence, prévues par l’article 50, pour les chatbots et les contenus générés par l’IA.

Que se passe-t-il si une entreprise ne forme pas son personnel ? À ce jour, la législation italienne d’adaptation ne prévoit pas de sanction financière directe et autonome pour le seul défaut de formation. Le défaut de maîtrise de l’IA devient toutefois une circonstance aggravante si un système d’IA cause un dommage, par exemple une décision discriminatoire, et peut contribuer aux sanctions maximales prévues pour cette violation.

Faut-il une formation certifiée spécifique pour être en règle ? Non. L’AI Act n’impose pas une formation avec un label officiel, mais exige une formation proportionnée au rôle et au contexte d’utilisation, et documentée par des registres, des évaluations finales et des attestations nominatives.

Qui contrôle le respect de l’obligation en Italie ? Les autorités compétentes comprennent l’AgID, le Garante per la protezione dei dati personali et l’Agenzia per la Cybersicurezza Nazionale. Depuis le 2 août 2026, le régime de sanctions est pleinement opérationnel et les contrôles peuvent être systématiques, en plus des interventions sur signalement.

Par où vaut-il mieux commencer pour se mettre en conformité ? En recensant les outils d’intelligence artificielle réellement utilisés dans l’entreprise, y compris ceux adoptés de façon informelle par certains services, et en choisissant un parcours de formation segmenté par rôle, documentable dès le départ et à mettre à jour tous les six à douze mois.