L'obligation de maîtrise de l'IA est exigible depuis le 2 février 2025. Elle est la plus ancienne des obligations de l'AI Act applicables à une entreprise ordinaire, et la plus régulièrement ignorée. Sa rédaction a changé le 27 juillet 2026 : le règlement (UE) 2026/1744 l'a assouplie sans la supprimer. Ce qu'elle demande exactement, et ce qui suffit à en garder la trace, mérite d'être posé précisément.
Ce que dit le texte, avant et après l'omnibus
Dans sa version initiale, l'article 4 du règlement (UE) 2024/1689 imposait aux fournisseurs et aux déployeurs de prendre des mesures pour garantir, dans toute la mesure du possible, un niveau suffisant de maîtrise de l'IA de leur personnel et des autres personnes chargées du fonctionnement et de l'utilisation des systèmes d'IA en leur nom.
Le règlement (UE) 2026/1744 a réécrit cette formulation. L'obligation porte désormais sur des mesures destinées à soutenir le développement de la maîtrise de l'IA, et le texte modifié précise explicitement qu'elle ne contraint pas les fournisseurs ou les déployeurs à garantir un niveau spécifique de maîtrise de l'IA par un individu. En parallèle, la Commission et les États membres sont chargés de soutenir et de faciliter ces efforts, notamment par des ressources d'information et des exemples pratiques, en tenant compte des cadres européens de compétences existants.
La portée du changement est réelle mais limitée. Ce qui disparaît, c'est la lecture selon laquelle l'entreprise devrait attester d'un niveau atteint par chaque salarié. Ce qui demeure, c'est une obligation de moyens opposable, sans seuil d'effectif, applicable à tout déployeur.
Point de vigilance
Deux affirmations circulent, toutes deux inexactes. La première présente l'article 4 comme reporté par l'omnibus : il ne l'est pas, seuls les régimes des annexes I et III le sont. La seconde présente l'obligation comme abrogée : elle a été réécrite, pas retirée.
Qui est concerné, et depuis quand
L'article 4 s'applique aux fournisseurs et aux déployeurs de systèmes d'IA. Le seuil d'entrée est l'usage, pas la taille : une entreprise de six personnes dont les commerciaux rédigent des propositions avec un assistant génératif est déployeur au sens de l'article 3, point 4, et relève de l'article 4.
Le périmètre des personnes visées dépasse le salariat. Le texte vise le personnel et les autres personnes chargées de l'exploitation et de l'utilisation des systèmes d'IA au nom de l'organisation, ce qui englobe les intérimaires, les stagiaires et les prestataires qui manipulent l'outil pour le compte de l'entreprise. La FAQ de la Commission sur la maîtrise de l'IA répond sur ce point que les personnes travaillant pour un prestataire doivent posséder les compétences appropriées à la tâche concernée, au même titre que les salariés, l'exigence étant appréciée en fonction du système et du risque en cause.
Sur le calendrier, l'article 4 est applicable depuis le 2 février 2025, mais les pouvoirs de sanction des autorités nationales prévus au chapitre XII ne sont opérants que depuis le 2 août 2026. C'est la conjonction des deux dates qui rend le sujet actuel : l'obligation existait depuis dix-huit mois, la capacité de contrôle vient de s'ouvrir.
Ce que recouvre « maîtrise de l'IA »
La notion est définie à l'article 3, point 56 : les compétences, les connaissances et la compréhension permettant de procéder à un déploiement éclairé des systèmes d'IA et de prendre conscience des possibilités et des risques que comporte l'IA ainsi que des préjudices potentiels qu'elle peut causer.
La définition est délibérément ouverte, et le texte ne prescrit ni durée minimale, ni programme type, ni certification. La FAQ de la Commission confirme qu'aucun certificat, examen ou volume horaire spécifique n'est exigé. Ce qui est attendu est une adéquation entre les mesures prises, le rôle de chacun, le contexte d'utilisation et le niveau de risque du système.
Concrètement, cela signifie qu'un même programme appliqué uniformément à toute l'entreprise est un mauvais indicateur de conformité. Trois populations appellent trois traitements distincts.
Les utilisateurs occasionnels d'outils génératifs ont besoin de comprendre ce qu'est une hallucination, pourquoi une sortie plausible peut être fausse, et quelles données ne doivent pas être saisies dans un outil tiers. Une sensibilisation d'une heure, documentée, couvre le besoin.
Les utilisateurs d'un système ayant un effet sur des personnes — tri de candidatures, scoring, priorisation de dossiers — ont besoin de savoir ce que le système optimise, où sont ses angles morts, et à quelles conditions ils peuvent et doivent écarter sa recommandation. C'est ici que se joue la supervision humaine effective, et une sensibilisation générique n'y suffit pas.
Les décideurs, enfin, ont besoin d'un cadre de décision d'achat : quelles questions poser à un éditeur, quelles clauses exiger, quels usages exclure.
Comment en garder la trace
L'assouplissement de l'article 4 réduit l'exposition attachée à l'absence de preuve, il ne la supprime pas. Devant une autorité de surveillance, la question restera formulée de la même manière : quelles mesures avez-vous prises ? Un dossier minimal tient en quatre pièces, et se constitue en quelques heures.
| Pièce | Contenu attendu |
|---|---|
| Note de cadrage | Populations identifiées, niveau de risque des systèmes utilisés, mesures retenues pour chacune |
| Supports | Contenus effectivement diffusés, datés, avec leur version |
| Traces de diffusion | Feuilles de présence, journaux de la plateforme interne, accusés de lecture |
| Politique d'usage | Règles écrites sur les outils autorisés, les données interdites, les cas de supervision obligatoire |
La politique d'usage est la pièce la plus rentable des quatre. Elle sert la conformité à l'article 4, alimente les questionnaires des donneurs d'ordre, et constitue en pratique la première réponse à l'incident le plus fréquent — la saisie de données confidentielles dans un outil grand public.
Trois erreurs fréquentes
La première consiste à former avant d'avoir inventorié. Un plan de formation construit sans connaître les systèmes réellement utilisés porte sur des risques hypothétiques et manque ceux qui existent.
La deuxième consiste à confondre formation à l'outil et maîtrise de l'IA. Un tutoriel sur les fonctionnalités d'un logiciel n'aborde ni ses limites, ni ses biais, ni les situations où il ne faut pas s'y fier. Le texte vise la seconde, pas le premier.
La troisième consiste à traiter le sujet comme un achat de conformité. L'article 4 n'impose aucun prestataire ni aucun label ; une démarche interne documentée est parfaitement recevable, et souvent mieux ajustée aux usages réels de l'entreprise qu'un module générique.
Avertissement
Cet article présente une lecture opérationnelle du règlement et ne constitue pas un conseil juridique. Amada Piedade intervient sur le volet méthodologique et documentaire de la conformité. En cas de doute sur la qualification d'un système, référez-vous au texte et aux articles cités.
Pour identifier les populations à traiter en priorité, le diagnostic AI Act croise les usages déclarés avec leur niveau de risque.
Sources
Règlement (UE) 2024/1689 du 13 juin 2024, articles 3 (point 56), 4 et 99, et article 113 sur le calendrier d'application — texte sur EUR-Lex.
Règlement (UE) 2026/1744 du 8 juillet 2026 modifiant le règlement (UE) 2024/1689, notamment la nouvelle rédaction de l'article 4 — texte au Journal officiel du 24 juillet 2026.
Commission européenne, « AI literacy — questions and answers » — FAQ officielle.