AI Act article 4 : ce que dit la loi

Que dit exactement l'article 4 de l'AI Act ?

L'article 4 impose aux fournisseurs et déployeurs de systèmes d'IA de garantir un niveau suffisant de maîtrise de l'IA chez les personnes qui les utilisent pour leur compte. Autrement dit : toute organisation qui met l'IA entre les mains de ses salariés doit s'assurer qu'ils savent s'en servir correctement.

Le texte est bref, mais lourd de sens. Il parle de « maîtrise de l'IA » (AI literacy en anglais) et demande de garantir un niveau « suffisant » de compétences et de connaissances chez les utilisateurs.

Le règlement précise que ce niveau doit tenir compte des connaissances techniques des personnes, de leur expérience, de leur formation, et du contexte dans lequel les systèmes d'IA sont utilisés. Un développeur et un commercial n'ont pas les mêmes besoins.

En clair, la loi ne vous impose pas un diplôme ni un volume d'heures précis. Elle vous demande un résultat : des collaborateurs capables d'utiliser l'IA en connaissance de cause, sans mettre en danger l'entreprise ou des tiers.

Que signifie « maîtrise de l'IA » au sens du texte ?

La maîtrise de l'IA désigne les compétences, connaissances et la compréhension qui permettent d'utiliser un système d'IA de façon éclairée. Cela couvre les possibilités de l'outil, ses limites, les risques qu'il pose et la manière d'interpréter ses résultats. Ce n'est pas une expertise technique, mais une culture pratique de l'IA.

Le règlement donne sa propre définition, à l'article 3. La maîtrise de l'IA, ce sont les aptitudes qui permettent aux fournisseurs, aux déployeurs et aux personnes concernées de faire un usage éclairé des systèmes d'IA.

Concrètement, un salarié « maîtrise » l'IA quand il comprend ce que fait l'outil, sait ce qu'il ne faut pas y saisir, repère quand la machine se trompe, et sait quand une validation humaine s'impose.

L'idée derrière tout ça est simple : une IA mal comprise devient une source d'erreurs, de fuites de données et de décisions bancales. La maîtrise, c'est le pare-feu humain qui évite ces dérapages.

Qui est concerné par l'article 4 ?

L'article 4 vise les fournisseurs et les déployeurs de systèmes d'IA. Le déployeur, c'est toute organisation qui utilise l'IA dans le cadre de son activité professionnelle. Presque toutes les entreprises sont donc concernées dès lors qu'un salarié utilise un outil d'IA, y compris un assistant grand public comme ChatGPT.

Le mot à retenir est « déployeur ». Dans le langage de l'AI Act, un déployeur est celui qui utilise un système d'IA sous sa propre autorité. Ce n'est pas réservé aux géants de la tech.

Une PME de dix personnes dont l'assistante utilise un outil de transcription, dont le commercial génère ses relances avec l'IA, dont le comptable teste un copilote : cette PME est un déployeur. L'article 4 s'applique à elle.

Il n'y a pas de seuil d'effectif ni d'exemption pour les petites structures sur ce point précis. Dès qu'un système d'IA est utilisé au travail, l'obligation de maîtrise entre en jeu.

Depuis quand l'article 4 est-il en vigueur ?

L'article 4 s'applique depuis le 2 février 2025. C'est l'une des toutes premières obligations de l'AI Act à entrer en vigueur, en même temps que l'interdiction des pratiques d'IA les plus dangereuses. Autrement dit, l'obligation de former vos équipes n'est pas une échéance future : elle est déjà là.

L'AI Act est entré en application par vagues successives. La première marche, franchie le 2 février 2025, comprend deux volets : les pratiques interdites et l'obligation de maîtrise de l'IA de l'article 4.

Beaucoup de dirigeants pensent encore que l'AI Act, « c'est pour plus tard ». Pour l'article 4, c'est faux. L'obligation court déjà, même si les mécanismes de contrôle et de sanction se mettent en place progressivement.

Pour situer chaque échéance et savoir où vous en êtes, notre calendrier de l'AI Act reprend toutes les dates clés, jalon par jalon. C'est le moyen le plus simple de ne rien laisser passer.

L'article 4 impose-t-il une formation obligatoire ?

Le texte n'emploie pas le mot « formation » et n'impose aucun format précis. Il impose un résultat : garantir un niveau suffisant de maîtrise de l'IA. La formation reste le moyen le plus simple, le plus traçable et le plus fiable d'atteindre ce résultat et de prouver que vous l'avez fait.

L'article 4 fixe une obligation de résultat, pas de moyen. La loi ne dit pas « organisez une formation de X heures ». Elle dit « assurez-vous que vos utilisateurs maîtrisent l'IA ».

En théorie, vous pourriez y parvenir par de la documentation interne, du tutorat, ou des ateliers maison. En pratique, ces approches sont difficiles à structurer et surtout à prouver en cas de contrôle.

C'est là que la formation prend tout son sens. Une session encadrée par un organisme Qualiopi vous donne un contenu adapté, une attestation datée et une trace écrite. Elle transforme une obligation floue en preuve concrète.

Quel « niveau suffisant » de maîtrise faut-il viser ?

Le règlement laisse le curseur ouvert : le niveau suffisant dépend du rôle de chaque personne, de son bagage technique et des systèmes d'IA qu'elle utilise. Un usage occasionnel de ChatGPT ne demande pas le même niveau qu'un outil de tri de candidats. À vous d'adapter la profondeur selon le risque.

Le texte évite volontairement d'imposer un standard unique. Il parle de tenir compte du contexte, des connaissances de départ et des personnes sur lesquelles les systèmes seront utilisés.

Pour la plupart des équipes, un socle commun suffit : comprendre ce qu'est l'IA générative, connaître ses limites, protéger les données, savoir quand douter d'une réponse. C'est le cœur d'une sensibilisation efficace.

Pour les fonctions plus exposées, RH qui trient des CV, juristes qui rédigent des actes, managers qui pilotent des projets IA, le niveau attendu monte d'un cran, avec des règles et des vérifications plus poussées.

• Usage courant (rédaction, synthèse, recherche) : un socle de sensibilisation suffit.
• Fonctions sensibles (RH, juridique, finance) : maîtrise renforcée des risques et de la validation humaine.
• Pilotes et référents IA : compréhension de la gouvernance, du classement des risques et de la conformité.

Que risque-t-on en ignorant l'article 4 ?

Ne pas garantir la maîtrise de l'IA est un manquement, même sans incident. À ce stade, le risque direct passe surtout par les autorités nationales de surveillance et par un défaut de conformité invoqué lors d'un litige. Le vrai danger reste opérationnel : des équipes non formées multiplient erreurs et fuites de données.

L'article 4 n'a pas de barème d'amende qui lui soit propre, contrairement aux pratiques interdites. Mais un manquement à la maîtrise de l'IA peut être retenu par une autorité et peser dans l'appréciation d'ensemble de votre conformité.

Le point souvent sous-estimé : en cas de plainte, de contrôle ou de litige lié à un usage d'IA, l'absence totale de formation joue contre vous. Elle prouve un défaut de diligence.

Et puis il y a le coût invisible, celui qu'aucune loi ne chiffre : le temps perdu, les données sensibles collées dans un chatbot public, les décisions prises sur une réponse d'IA fausse mais crédible. Pour aller plus loin, voyez notre article sur les sanctions de l'AI Act.

Comment se met-on en règle avec l'article 4 ?

En quelques étapes accessibles : recenser qui utilise l'IA et pour quoi, définir le niveau de maîtrise attendu par rôle, former les équipes, poser des règles écrites dans une charte, puis garder une trace de tout. La plupart des entreprises bouclent l'essentiel en quelques semaines, sans budget démesuré.

Se mettre en conformité avec l'article 4 n'a rien d'un chantier titanesque. Pour une PME, cela tient en une poignée de gestes structurés dans le bon ordre :

• Recenser les usages de l'IA dans l'entreprise (outils, services, données concernées).
• Définir le niveau de maîtrise attendu selon les rôles et le risque associé.
• Former les équipes pour cocher l'obligation et réduire les erreurs.
• Rédiger une charte IA interne : outils autorisés, données interdites, validation humaine.
• Conserver les preuves : attestations de formation, charte signée, décisions écrites.

En quoi une formation Qualiopi facilite-t-elle la conformité ?

Une formation dispensée par un organisme certifié Qualiopi vous apporte un contenu adapté à vos métiers, une attestation datée et nominative, et une trace opposable en cas de contrôle. C'est la façon la plus simple de prouver que vous avez rempli l'obligation de maîtrise de l'IA posée par l'article 4.

L'article 4 vous demande de garantir un résultat et, implicitement, de pouvoir le démontrer. Une attestation de formation datée est exactement le type de preuve qui rassure un régulateur.

La certification Qualiopi ajoute un gage de sérieux : le programme est encadré, les objectifs pédagogiques sont définis, l'évaluation des acquis est prévue. Vous ne bricolez pas votre conformité, vous la structurez.

Autre avantage direct : une formation Qualiopi est éligible aux financements OPCO et FNE-Formation. Ce que la loi vous impose devient largement finançable, avec un reste à charge souvent nul.

Combien coûte le respect de l'article 4 ?

Beaucoup moins qu'on ne le craint. Former une équipe à l'IA représente un investissement de quelques centaines à quelques milliers d'euros, souvent finançable jusqu'à 100 % par votre OPCO ou le FNE-Formation. À comparer au coût d'un incident, d'un litige ou d'une réputation abîmée par un mauvais usage de l'IA.

Une journée de formation, ce n'est pas une dépense à fonds perdu. Ce sont des équipes qui gagnent du temps, évitent les fuites de données et tirent enfin parti des outils qu'elles utilisaient à l'aveugle.

Côté financement, la formation IA de vos salariés entre dans les dispositifs classiques. Selon votre OPCO et votre effectif, le reste à charge descend souvent à zéro. Notre équipe monte le dossier pour vous.

Le calcul est vite fait : quelques centaines d'euros, largement finançables, contre le risque de rester en dehors des clous sur une obligation déjà en vigueur. Un échange de quinze minutes suffit à cadrer le besoin.