AI Act et formation IA en entreprise : guide complet 2026

L'AI Act est le Règlement (UE) 2024/1689 du Parlement européen et du Conseil, adopté le 13 juin 2024 et entré en vigueur le 1^er août 2024. Il établit le premier cadre réglementaire mondial harmonisé pour l'intelligence artificielle. Il s'applique à toute organisation, publique ou privée, qui développe, met sur le marché ou utilise un système d'IA dans l'Union européenne.

Le règlement définit quatre rôles, chacun avec ses obligations propres :

La très grande majorité des entreprises françaises sont des « déployeurs » : elles n'ont pas développé l'IA elles-mêmes, mais elles l'utilisent au quotidien (ChatGPT pour rédiger des emails, Copilot dans Excel, Gemini dans Google Workspace, Claude pour analyser des documents). Cela ne les exonère d'aucune obligation.

L'Article 4 du Règlement (UE) 2024/1689 instaure une obligation contraignante de maîtrise de l'IA (« AI literacy ») pour tout fournisseur ou déployeur d'un système d'IA. Texte officiel :

« Les fournisseurs et les déployeurs de systèmes d'IA prennent des mesures pour garantir, dans la mesure du possible, un niveau suffisant de maîtrise de l'IA pour leur personnel et les autres personnes s'occupant du fonctionnement et de l'utilisation des systèmes d'IA pour leur compte, en prenant en considération leurs connaissances techniques, leur expérience, leur éducation et leur formation, ainsi que le contexte dans lequel les systèmes d'IA doivent être utilisés. »

Que signifie « niveau suffisant » concrètement ?

La Commission européenne a publié des FAQ officielles précisant que l'Article 4 ne fixe ni format, ni durée, ni certification obligatoire. L'approche est proportionnée et contextuelle. Trois niveaux de maîtrise sont attendus :

1. 1
   Niveau de base — tous les utilisateurs. Comprendre ce qu'est l'IA générative, ses limites (hallucinations, biais, dépendance aux données d'entraînement), les bonnes pratiques de prompt engineering et la confidentialité des données.
2. 2
   Niveau opérationnel — utilisateurs avancés. Maîtrise des cas d'usage métier, capacité à concevoir des workflows IA, identification des risques juridiques (RGPD, propriété intellectuelle), supervision humaine effective des décisions.
3. 3
   Niveau référent — pilotes IA internes. Compréhension des classifications de risque AI Act, capacité à documenter les usages, gestion des incidents, lien avec les autorités nationales de surveillance.

Personnes concernées par l'obligation

L'Article 4 s'étend au-delà des seuls salariés. Sont visés : employés permanents, intérimaires, prestataires, sous-traitants, freelances et tout tiers utilisant l'IA pour le compte de l'entreprise. Les ressources humaines doivent cartographier l'ensemble des personnes en contact avec un système d'IA, indépendamment de leur statut contractuel.

Pas de certification obligatoire, mais une traçabilité exigée

Les autorités nationales de surveillance — en France, ce sera vraisemblablement la CNIL en lien avec la DGE — pourront contrôler la documentation interne : programmes de formation suivis, listes de participants, supports utilisés, dates et durées. Conserver ces traces pendant au moins 5 ans est une bonne pratique recommandée.

Le calendrier d'application de l'AI Act a été partiellement modifié par le Conseil de l'Union européenne le 13 mars 2026, qui a accepté un report de 16 mois pour les obligations sur les systèmes à haut risque. La raison officielle : retard dans la production des standards techniques harmonisés et désignation incomplète des autorités nationales de surveillance (8 États membres sur 27 fin 2025).

France vs UE : application territoriale

L'AI Act est un règlement et non une directive : il s'applique directement et uniformément dans les 27 États membres, sans transposition nationale. La France ne peut ni durcir ni assouplir le texte. Seules les autorités nationales de surveillance et les sanctions complémentaires éventuelles relèvent du législateur français.

L'Article 99 du Règlement (UE) 2024/1689 établit l'un des régimes de sanctions les plus sévères jamais adoptés par l'UE en matière technologique. Trois paliers d'amendes administratives sont prévus :

Sanctions spécifiques à l'Article 4 (AI literacy)

L'Article 99 ne désigne pas explicitement l'Article 4 dans les paliers d'amendes. Les sanctions liées au non-respect de l'AI literacy seront définies par les autorités nationales de surveillance, dans le cadre général des amendes administratives prévues par le Règlement. Les premiers commentaires juridiques publiés en 2025 considèrent qu'une absence totale de formation expose au palier des manquements administratifs (jusqu'à 7,5 M€ ou 1 % du CA mondial pour les manquements résiduels), voire au palier 2 si l'absence d'AI literacy contribue à une faute opérateur plus large.

Risques réputationnels et opérationnels

Au-delà des sanctions financières, les conséquences réelles d'une non-conformité incluent :

• Perte de marchés publics : les acheteurs publics conditionnent désormais leurs appels d'offres à la conformité AI Act des soumissionnaires.
• Refus de couverture par les assureurs cyber : exclusion des sinistres liés à un usage IA non documenté.
• Action en responsabilité civile en cas de préjudice causé par une IA mal supervisée (rédaction d'une décision RH discriminante par exemple).
• Inéligibilité aux financements européens : Horizon Europe, France 2030 et certains dispositifs régionaux exigent la conformité AI Act.

La méthodologie ci-dessous a été appliquée chez plus de 30 entreprises françaises (PME, ETI et grands groupes) accompagnées par Jérôme Iavarone. Elle est conçue pour répondre directement aux exigences de l'Article 4 et produire la documentation attendue par les autorités de surveillance.

L'AI Act ne fixe pas d'exemption pour les PME et ETI. Il impose en revanche un principe de proportionnalité : l'effort de formation doit être adapté à la taille, aux moyens et aux usages réels de l'entreprise. La Commission européenne a confirmé que les petites structures peuvent s'appuyer sur le réseau des European Digital Innovation Hubs (EDIH) — 251 hubs en Europe, dont 80 % proposent déjà des formations IA gratuites ou subventionnées.

Programme allégé PME (-50 salariés)

• 1 demi-journée de sensibilisation collective pour l'ensemble des collaborateurs (Article 4 + bonnes pratiques).
• 2 jours de formation opérationnelle pour les utilisateurs réguliers (3-8 personnes maximum).
• 1 référent IA désigné avec une formation complémentaire de 2-3 jours.
• Charte d'usage IA simplifiée (1-2 pages) signée par chaque collaborateur.

Budget cible : 4 000 € à 8 000 € HT, finançable à 100 % via OPCO pour les PME -50 salariés.

Programme structuré ETI (250-5000 salariés)

• Diagnostic AI literacy initial : audit des usages IA + cartographie des populations exposées.
• Plan de formation en cascade : sensibilisation collective + formation par métier + 3-5 référents IA par direction.
• Comité IA transverse : DRH, DSI, juridique, métier — pilotage de la conformité Article 4.
• Outillage de traçabilité : LMS interne ou plateforme tierce pour journaliser les formations.

Pour les implantations multi-sites, une formation IA générative à Paris, formation AI Act sur mesure à Strasbourg, capitale du Parlement européen, ou en distanciel est possible selon les besoins.

Les formations IA conformes à l'Article 4 entrent dans le cadre du plan de développement des compétences. Plusieurs dispositifs cofinancent la mise en conformité :

France compétences, autorité nationale de régulation et de financement, recense les certifications éligibles. Les formations doivent être dispensées par un organisme certifié Qualiopi pour ouvrir droit aux financements OPCO.

Modalité Jérôme Iavarone

Jérôme Iavarone propose ses formations via partenariats Qualiopi (Keepschool, Evolve), permettant l'éligibilité aux financements OPCO. Le partenariat Qualiopi est porté par les organismes partenaires, conformément à l'agrément en vigueur. Contactez Jérôme Iavarone pour un audit AI literacy et un montage administratif clé en main.

Certains cas d'usage de l'IA générative en entreprise sont classés à haut risque par l'Annexe III de l'AI Act ou exposent à des obligations renforcées (RGPD, Code du travail, propriété intellectuelle). Voici les 10 points à vérifier avant tout déploiement opérationnel.

Pour aller plus loin sur les agents IA autonomes (cas d'usage à supervision renforcée), consultez le guide des agents IA autonomes en entreprise et le glossaire de l'IA générative.