AI Act : la formation de vos équipes à l'IA est-elle obligatoire, et que faut-il faire concrètement ?
Oui. L'article 4 du règlement européen sur l'IA oblige toute entreprise dont l'équipe utilise l'IA, même un assistant gratuit, à prendre des mesures pour que chacun la maîtrise. Depuis le 27 juillet 2026, aucun niveau précis n'est exigé, mais ne rien faire reste un manquement, et les règles de contrôle s'appliquent depuis le 2 août 2026, même si l'autorité belge n'est pas encore désignée. Concrètement : un inventaire des usages, une règle d'une page, un outil autorisé, une courte formation adaptée à chaque profil et une trace écrite.
Ce que dit l'article 4, en clair
Le règlement européen sur l'intelligence artificielle, qu'on appelle souvent « AI Act », contient un article très court qui concerne presque toutes les entreprises : l'article 4, sur la « maîtrise de l'IA ». Les personnes qui utilisent l'IA pour votre compte doivent savoir ce que l'outil sait faire, et où il peut se tromper.
Cet article s'applique depuis le 2 février 2025. Il a été réécrit en 2026 par un règlement de simplification, le règlement (UE) 2026/1744 du 8 juillet 2026, publié au Journal officiel de l'Union le 24 juillet et en vigueur depuis le 27 juillet 2026. Le changement est réel, mais il ne supprime pas l'obligation, comme le confirment les questions-réponses de la Commission européenne sur la maîtrise de l'IA : il la rend plus raisonnable.
| Avant le 27 juillet 2026 | Depuis le 27 juillet 2026 |
|---|---|
| « Garantir, dans toute la mesure du possible, un niveau suffisant » de maîtrise de l'IA | « Prendre des mesures pour favoriser le développement » de la maîtrise de l'IA |
| Un niveau « suffisant » à atteindre, sans définition précise | Aucun niveau précis exigé pour une personne donnée |
| Rien de prévu pour aider les entreprises | La Commission et les États doivent aider les entreprises, en particulier les PME, et la Commission publie des exemples pratiques |
Votre entreprise est-elle concernée ?
Très probablement, oui. Le règlement vise ceux qui fabriquent un outil d'IA, mais aussi les « déployeurs » : toute organisation qui utilise un système d'IA sous sa propre autorité (article 3 du règlement). Seul l'usage personnel, sans lien avec le travail, est exclu.
Vous êtes donc déployeur dès qu'un membre de votre équipe utilise l'IA pour travailler. Quelques situations courantes :
- une assistante qui fait rédiger ou traduire un courrier par un assistant d'IA grand public ;
- un comptable ou un gestionnaire qui fait résumer un long document ou un contrat ;
- un praticien qui utilise un logiciel qui transcrit la consultation et propose un compte rendu ;
- une messagerie ou une suite bureautique dont la fonction d'IA intégrée est activée pour toute l'équipe.
La Commission l'a confirmé : une entreprise dont les salariés utilisent un assistant d'IA grand public pour rédiger ou traduire est concernée. Ces personnes doivent au minimum connaître les risques, comme les « hallucinations », c'est-à-dire des réponses fausses présentées avec assurance.
L'obligation vise votre personnel, mais aussi « les autres personnes » qui utilisent l'IA pour votre compte : un indépendant, un sous-traitant, un prestataire. Selon la Commission, ces personnes doivent avoir les compétences utiles à leur mission, comme vos employés.
Les dates à retenir
| Date | Ce qui se passe |
|---|---|
| 1er août 2024 | Le règlement européen sur l'IA entre en vigueur |
| 2 février 2025 | L'article 4 (maîtrise de l'IA) s'applique, comme les interdictions |
| 2 août 2025 | Les règles sur les sanctions s'appliquent ; chaque État fixe son propre régime |
| 27 juillet 2026 | La nouvelle rédaction de l'article 4 entre en vigueur |
| 2 août 2026 | Les règles de contrôle par les autorités nationales s'appliquent ; les obligations de transparence aussi |
| 2 décembre 2027 | Règles des IA « à haut risque » de l'annexe III (recrutement, crédit, accès à certains services…) |
| 2 août 2028 | Règles des IA « à haut risque » intégrées à des produits réglementés, comme certains dispositifs médicaux |
Sanctions : ce qui peut réellement arriver
Les amendes spectaculaires que l'on lit partout (jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial) visent les pratiques d'IA interdites, pas l'article 4. Pour la maîtrise de l'IA, le règlement ne fixe aucun montant : ce sont les États membres qui déterminent les sanctions, du simple avertissement à l'amende, de façon proportionnée et en tenant compte des intérêts des PME (article 99).
La Commission ajoute qu'une sanction devient plus probable s'il y a un incident dû à un manque de formation ou de consignes. C'est là le vrai risque : pas un contrôle surprise, mais une fuite de données ou une erreur grave, suivie de la question « qu'aviez-vous mis en place ? »
Reste la question de savoir qui contrôlera. En Belgique, début août 2026, le SPF Économie indiquait préparer un avant-projet de loi désignant les autorités compétentes : pas une seule autorité, mais plusieurs selon les secteurs, avec l'IBPT (le régulateur des télécoms et des services postaux) comme autorité centrale quand aucune autre n'est compétente (RTBF, 2 août 2026). Ce retard ne suspend rien : le règlement européen s'applique directement.
Exemple : un copier-coller qui coûte cher
Exemple, inventé pour illustrer. Dans un cabinet médical fictif, une secrétaire doit répondre au courrier délicat d'un patient mécontent. Elle colle tout l'échange dans un outil d'IA en ligne gratuit, avec le nom du patient et le détail de son traitement. La réponse est bien écrite, mais elle invente un délai de remboursement, et les informations du patient sont désormais chez un service dont personne n'a lu les conditions.
Personne n'a voulu mal faire. Il manquait une règle claire (« pas de données de patients dans un outil grand public »), un outil autorisé et dix minutes d'explication sur les erreurs de l'IA. C'est exactement ce que demande l'article 4.
Dans un cabinet de santé, c'est le point qui compte le plus. Les données de santé sont des données « sensibles » au sens du RGPD, et le secret médical s'applique. Un nom de patient, un compte rendu ou une photo de radiographie n'ont rien à faire dans un outil d'IA en ligne gratuit.
Le plan en cinq gestes, à lancer lundi matin
- Faire l'inventaire. Demandez à chacun, sans reproche, quels outils d'IA il utilise et pour quoi faire. Notez aussi les fonctions d'IA déjà activées dans vos logiciels.
- Écrire une règle d'une page. Ce qui est autorisé, ce qui est interdit, avec quels outils. Règle numéro un : aucune donnée de patient, de client ou de membre du personnel dans un outil d'IA grand public non validé.
- Fournir un outil autorisé. Interdire sans proposer d'alternative pousse à utiliser l'IA en cachette. Choisissez un outil dont les conditions vous conviennent, et réglez-le correctement.
- Former, selon le profil. Une courte session pour tous, plus un complément pour ceux qui touchent à des tâches sensibles (données de santé, décisions, textes envoyés aux patients ou aux clients).
- Garder une trace. Date, contenu, participants, version de la règle. Un simple tableau suffit.
L'Autorité de protection des données conseille de vérifier les réglages par défaut de ces outils (historique des conversations, utilisation de vos échanges pour entraîner l'IA, sauvegardes automatiques), souvent activés sans qu'on le sache : un bon réflexe à reprendre dans votre règle interne.
Que doit contenir la formation ?
Il n'existe pas de programme officiel. La Commission donne un socle minimum : ce qu'est l'IA et comment elle fonctionne, quelle IA est utilisée chez vous, ses possibilités et ses dangers, avec un contenu adapté au risque des outils et au niveau de chacun. Faire simplement lire la notice de l'outil est souvent inefficace.
| Profil | Ce qu'il doit savoir | Format réaliste |
|---|---|---|
| Toute l'équipe | Ce qu'est l'IA, ce qu'on peut y mettre ou pas, les erreurs fréquentes, la règle interne | 45 minutes à 1 heure, rappel annuel |
| Accueil et secrétariat | Les données à ne jamais saisir, relire avant d'envoyer, repérer une réponse inventée | Atelier sur des courriers types, sans données réelles |
| Praticiens et cadres | Les limites de l'outil dans leur métier, leur responsabilité sur la décision finale | Session sur les outils réellement utilisés |
| Dirigeant | Le choix des outils et de leurs conditions, la règle, le suivi | Une demi-journée, une fois |
Ce que vous n'avez pas à faire
D'après les questions-réponses de la Commission, voici ce qui n'est pas exigé :
- Un certificat : un registre interne des formations et des consignes suffit.
- Un examen : rien n'oblige à mesurer le niveau de vos employés.
- Un « responsable IA » ou un comité : aucune structure particulière n'est imposée.
- Un programme propre à votre secteur : rien de spécifique pour la santé, mais le contexte et le niveau de risque comptent.
Une exception à connaître : si vous utilisez une IA classée « à haut risque », les personnes chargées de la surveiller doivent en plus être formées à cette tâche précise. Posez la question à votre fournisseur si un logiciel prend ou prépare des décisions importantes.
En résumé
L'IA fait gagner un temps précieux, et l'Europe ne vous demande pas de vous en priver, seulement de vous assurer que vos équipes l'utilisent en connaissance de cause. Dans l'Union, une entreprise sur cinq d'au moins dix personnes utilisait déjà l'IA en 2025, et plus d'une sur deux parmi les grandes (Eurostat) : la question n'est plus de savoir si vos équipes utilisent l'IA, mais comment.
Questions fréquentes
La formation à l'IA est-elle obligatoire pour mon personnel ?
Oui : l'article 4 impose de prendre des mesures adaptées, sans exiger de niveau précis. Une courte formation sur les outils réellement utilisés, avec une règle interne, suffit le plus souvent.
Quelle amende risque une PME qui n'a pas formé son équipe ?
Le règlement ne fixe pas de montant propre à l'article 4 : chaque État détermine les sanctions, de l'avertissement à l'amende, en tenant compte des intérêts des PME. Les règles de contrôle s'appliquent depuis le 2 août 2026 ; en Belgique, les autorités compétentes sont encore en cours de désignation. Le vrai risque est un incident, suivi de la question de ce que vous aviez mis en place.
Faut-il un certificat ou un organisme agréé ?
Non. Selon la Commission européenne, aucun certificat n'est nécessaire : un registre interne des formations et des consignes suffit. Vous pouvez former votre équipe vous-même ou vous faire aider.
Mes employés utilisent un assistant d'IA gratuit de temps en temps : suis-je concerné ?
Oui, la Commission l'a confirmé. Vos équipes doivent au moins connaître les risques, comme les réponses inventées, et savoir quelles données ne jamais y saisir.
Qui contrôle l'AI Act en Belgique ?
Début août 2026, le SPF Économie indiquait préparer un avant-projet de loi désignant plusieurs autorités selon les secteurs, avec l'IBPT comme autorité centrale. Le règlement européen s'applique toutefois directement, sans attendre cette loi.