Article 4 du règlement européen sur l'IA : l'obligation de maîtrise de l'IA (AI literacy) expliquée clairement

L'article 4 du règlement européen sur l'IA (maîtrise de l'IA) oblige les fournisseurs et les déployeurs de systèmes d'IA à prendre des mesures qui favorisent la maîtrise de l'IA de leur personnel. L'obligation s'applique depuis le 2 février 2025, concerne tous les niveaux de risque et se remplit au moyen de formations documentées et adaptées aux rôles. Le règlement sur l'IA ne prévoit pas de régime d'amendes propre à l'article 4 : ce sont les États membres qui fixent les sanctions.

L'obligation de maîtrise de l'IA est la disposition la plus sous-estimée de tout le règlement sur l'IA. Ce n'est pas une règle spéciale réservée au haut risque, mais une obligation de base pour toute entreprise qui utilise l'IA dans son activité, du copilote marketing à l'outil de recherche agentique.

• Qui ? Les fournisseurs (providers) ET les déployeurs (deployers). Pour presque toutes les entreprises de l'UE, c'est le rôle de déployeur qui s'applique. Les entreprises suisses ne relèvent du règlement sur l'IA que dans les conditions de l'art. 2, paragraphe 1, par exemple lorsqu'elles mettent des systèmes d'IA sur le marché de l'UE ou lorsque les sorties de leurs systèmes d'IA sont utilisées dans l'UE.
• Depuis quand ? Depuis le 2 février 2025, pleinement applicable. L'omnibus numérique n'a pas reporté l'article 4, mais l'a reformulé en juillet 2026.
• Comment s'y conformer ? Avec un plan de formation documenté et adapté aux rôles. Aucun certificat n'est nécessaire, mais des preuves sont attendues.

Ce que l'article 4 exige concrètement

Depuis sa reformulation par l'omnibus numérique, les fournisseurs et les déployeurs doivent prendre des mesures qui soutiennent le développement de la maîtrise de l'IA de leur personnel et des autres personnes s'occupant, pour leur compte, du fonctionnement et de l'utilisation des systèmes d'IA. Jusqu'en juillet 2026, l'article 4 exigeait de garantir, dans toute la mesure du possible, un « niveau suffisant » de maîtrise de l'IA. Cet objectif a disparu : la nouvelle version n'exige pas de niveau de compétence déterminé pour chaque personne (Q&A de la Commission européenne).

Il faut pour cela tenir compte des connaissances techniques, de l'expérience, de l'éducation et de la formation des personnes concernées, ainsi que du contexte dans lequel les systèmes d'IA sont destinés à être utilisés et des personnes ou groupes de personnes à l'égard desquels ils doivent être utilisés (art. 4, paragraphe 1, dans sa version issue du règlement (UE) 2026/1744).

Important : la disposition n'impose aucun certificat ni aucune certification externe. On attend en revanche une documentation du programme de compétences. C'est en général sur cette documentation que s'appuie une autorité lorsqu'elle contrôle la conformité. Une entreprise incapable de présenter une mesure vérifiable a un problème en cas de contrôle, même si son personnel est formé dans les faits.

Depuis quand l'obligation s'applique et ce que l'omnibus numérique a changé

L'article 4 s'applique depuis le 2 février 2025, en même temps que la liste des pratiques interdites de l'article 5. La maîtrise de l'IA compte ainsi parmi les toutes premières obligations applicables du règlement sur l'IA.

L'omnibus numérique a été publié au Journal officiel le 24 juillet 2026 en tant que règlement (UE) 2026/1744 et il est en vigueur depuis le 27 juillet 2026. Il reporte la majeure partie des obligations relatives au haut risque : l'annexe III s'applique désormais à partir du 2 décembre 2027, l'annexe I à partir du 2 août 2028. Il ne reporte pas l'article 4. En novembre 2025, la Commission avait proposé de transformer l'obligation en une simple mission de promotion confiée aux États membres et à la Commission (Q&A de la Commission européenne). C'est finalement la reformulation décrite plus haut qui a été adoptée : l'obligation reste à la charge des fournisseurs et des déployeurs.

Pour la maîtrise de l'IA, le message est sans ambiguïté : l'obligation s'applique pleinement dès aujourd'hui. Il n'y a plus de période transitoire.

Qui est concerné : fournisseurs et déployeurs

Contrairement à la plupart des obligations du règlement sur l'IA, l'article 4 ne fait pas de distinction selon le niveau de risque. Il s'applique sur les quatre niveaux de risque, y compris aux applications à risque minimal comme les agents RAG internes portant sur des documents non sensibles ou les copilotes de génération de code à usage interne.

Le constat central pour les PME en Europe : presque toutes les entreprises sont des déployeurs, et non des fournisseurs. Qui utilise Microsoft 365 Copilot, Google Gemini for Workspace, ChatGPT Enterprise, Anthropic Claude for Work ou des outils spécialisés d'éditeurs tiers est déployeur, et donc soumis à l'article 4. Une idée reçue très répandue : « Nous utilisons seulement Microsoft 365 Copilot, donc nous ne sommes pas dans le champ d'application. » Faux : la PME déployeuse est l'opérateur responsable, et l'obligation de maîtrise de l'IA s'impose à elle quel que soit l'outil.

Comment remplir l'obligation en pratique : le plan de formation

Le Q&A de la Commission européenne sur la maîtrise de l'IA (publié pour la première fois en mai 2025, mis à jour en juillet 2026) cite comme minimum : une compréhension générale de l'IA dans l'entreprise, son propre rôle de fournisseur ou de déployeur, le risque des systèmes utilisés et des mesures fondées sur cette analyse et adaptées aux connaissances préalables et au contexte d'utilisation. Il en découle une approche fondée sur les rôles et proportionnée au risque. Sur cette base, nous recommandons les contenus suivants :

• Comprendre ce qu'est l'IA et en quoi elle se distingue d'un logiciel classique (conformément aux lignes directrices sur la définition des systèmes d'IA du 6 février 2025).
• Les quatre niveaux de risque et les obligations de base applicables aux usages concrets de l'IA dans l'entreprise.
• Comment identifier une pratique interdite au sens de l'article 5.
• Repérer les déclencheurs de transparence au sens de l'article 50 (chatbots, contenus synthétiques, deepfakes).
• Pour le personnel ayant une responsabilité opérationnelle sur des systèmes à haut risque : les attentes en matière de contrôle humain (art. 14, art. 26(2)), les obligations de notification des incidents (art. 26(5), art. 73) et l'obligation d'information prévue à l'art. 26(7) envers les représentants des travailleurs et les travailleurs concernés avant la mise en service d'une IA à haut risque sur le lieu de travail. Les droits de codétermination du comité d'entreprise découlent du droit du travail national : en Autriche, par exemple, pour les mesures de contrôle et les systèmes techniques de contrôle des salariés lorsqu'ils touchent à la dignité humaine (§ 96 Abs. 1 Z 3 ArbVG), en Allemagne pour les dispositifs techniques destinés à surveiller le comportement ou les performances des salariés (§ 87 Abs. 1 Nr. 6 BetrVG).
• Pour les développeurs et les achats : la due diligence des fournisseurs et le piège de la modification substantielle (art. 25).
• Pour les dirigeants : le risque d'amende (art. 99) et la responsabilité en matière de gouvernance.

Associer les rôles à des niveaux de compétence

La mise en œuvre pratique commence par une matrice des rôles. Il est recommandé de la décliner sur les niveaux direction, management, opérationnel, technique et utilisateur final. Une PME de 200 personnes s'en sort généralement avec 3 à 5 modules de compétences distincts ; un groupe du DAX, de l'ATX ou du SMI comptant plus de 5 000 salariés a plutôt besoin de plus de 10 modules.

Documentation, localisation et coordination

Quatre garde-fous pratiques permettent une mise en conformité solide :

• Documenter les formations : preuves de participation, gestion des versions des contenus, remise à niveau périodique.
• Localiser les contenus : allemand pour DE/AT, allemand/français/italien pour la CH, en tenant compte des cadres applicables dans chaque pays en matière de lutte contre les discriminations et de protection des données.
• Se concerter avec le comité d'entreprise : si tu utilises l'IA sur le lieu de travail, discute tôt avec lui du programme de formation. L'article 4 ne l'exige pas, mais cela facilite le déploiement.
• Renvoyer à des sources faisant autorité : le KI-Service Desk de la BNetzA (Bonn), la KI-Servicestelle de la RTR (Vienne) ainsi que les supports du Risk Monitor de la FINMA (pour les salariés du secteur financier).

Le risque d'amende

Dans le règlement sur l'IA, l'article 4 n'a pas de régime d'amendes propre : l'article 99 ne le mentionne dans aucun de ses trois niveaux d'amendes. Les sanctions en cas de violation de l'article 4 sont fixées par les États membres conformément à l'art. 99(1). Depuis le 2 août 2026, les autorités nationales de surveillance du marché sont compétentes pour la surveillance et le contrôle de l'application. Toute sanction doit être proportionnée et tenir compte du cas d'espèce (Q&A de la Commission européenne).

Lors d'un contrôle, ce qui compte, c'est ce que tu peux prouver. L'article 4 ne contient pas d'obligation de documentation propre ; le Q&A cite les registres internes des formations et autres mesures comme preuve possible. Selon le Q&A, une sanction est plus probable lorsqu'un incident peut être imputé à une formation ou à un encadrement insuffisants du personnel.

Le manque de maîtrise de l'IA coûte cher lorsqu'il entraîne des violations d'obligations passibles d'amendes. L'article 99 prévoit trois niveaux ; c'est chaque fois le montant le plus élevé qui s'applique :

• Art. 99(3) : pratiques interdites au sens de l'article 5, jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial.
• Art. 99(4) : obligations énumérées de manière exhaustive des fournisseurs, des déployeurs et d'autres opérateurs, notamment les art. 16 et 26 pour les systèmes à haut risque (par exemple le contrôle humain prévu à l'art. 26(2)), ainsi que les obligations de transparence de l'art. 50, jusqu'à 15 millions d'euros ou 3 %.
• Art. 99(5) : informations inexactes, incomplètes ou trompeuses fournies aux autorités ou aux organismes notifiés, jusqu'à 7,5 millions d'euros ou 1 %.

Pour les PME et les start-up, c'est le montant le plus faible des deux (montant absolu ou pourcentage) qui s'applique selon l'article 99(6), et non le plus élevé. L'omnibus numérique étend cette protection, par le nouvel art. 99, paragraphe 6 bis, aux petites entreprises de moyenne capitalisation (SMC), mais uniquement pour les amendes prévues à l'art. 99(4) et (5), pas pour les pratiques interdites.

Exemple chiffré

Une PME industrielle autrichienne de 180 salariés, avec 40 millions d'euros de chiffre d'affaires annuel, utilise un copilote agentique de recherche et de préparation d'offres (risque minimal). La direction estime que la maîtrise de l'IA n'est « pas pertinente, puisque ce n'est pas un système à haut risque ».

Juridiquement, ce raisonnement est erroné : l'article 4 s'applique quel que soit le niveau de risque. On ne peut toutefois pas calculer de montant d'amende à partir du règlement sur l'IA pour une simple violation de l'article 4, puisque la sanction relève du droit national. Ce que l'on peut chiffrer, c'est une infraction qui en découle. Supposons que l'entreprise développe plus tard son propre chatbot client. Comme personne dans l'équipe projet ne connaît l'obligation d'information, les clients ne savent pas qu'ils parlent à une IA. Cela viole l'art. 50(1) et relève de l'art. 99(4) : jusqu'à 15 millions d'euros ou 3 % du chiffre d'affaires annuel mondial. Comme l'entreprise, avec moins de 250 salariés et un chiffre d'affaires sous le seuil, est une PME, c'est le montant le plus faible qui s'applique selon l'art. 99(6), ici 3 % de 40 millions d'euros = 1,2 million d'euros. Ce plafond vaut pour l'infraction qui en découle, ce n'est pas une amende au titre de l'article 4. En face, il y a un plan de formation conforme : 4 modules pour environ 180 personnes, remise à niveau annuelle, participation documentée dans le LMS. Le coût se situe dans le bas d'une fourchette de quatre à cinq chiffres en euros. Le rapport entre l'effort de mise en œuvre et l'exposition au risque rend la priorité évidente.

Pour les agences et les décideurs B2B

Les agences marketing sont doublement concernées : en tant que déployeurs de leurs propres outils d'IA (agents de copywriting, générateurs d'images et de vidéos) et en tant que conseils de leurs clients, qui doivent eux-mêmes prouver leur maîtrise de l'IA. Une agence qui met en place un programme de compétences documenté et fondé sur les rôles couvre sa propre obligation au titre de l'article 4 et crée en même temps un module de conseil vendable, articulé avec les obligations de transparence (art. 50) et l'information des représentants des travailleurs (art. 26(7)). Pour les décideurs B2B, la maîtrise de l'IA est le point d'entrée pragmatique dans toute la conformité au règlement sur l'IA : elle est obligatoire, exigible immédiatement et peut être assurée de manière solide avec un effort raisonnable.

Nous accompagnons les entreprises et les agences en Europe dans la mise en place d'un programme de maîtrise de l'IA capable de résister à un contrôle : de la matrice des rôles à la structure de documentation, en passant par des modules localisés.

Remarque : cet article est fourni à titre d'information générale et ne constitue pas un conseil juridique. Pour une évaluation contraignante de ton cas particulier, fais appel à un conseil juridique qualifié.