AI Act : l’obligation de formation est allégée, celle qui arrive ne l’est pas

Le calendrier a bougé il y a quelques jours

Le règlement (UE) 2026/1744, l’« omnibus numérique sur l’IA », est entré en vigueur le 27 juillet 2026 : il ne remplace pas l’AI Act, il le modifie — et l’une de ces modifications porte sur l’obligation de maîtrise de l’IA^[1].

Toute note de conformité rédigée avant cette date décrit un état du droit qui n’est plus exact. Le calendrier complet du règlement, je l’ai détaillé dans AI Act : calendrier 2026-2028 et preuves à préparer. Ce texte-ci ne répond qu’à une question : suis-je obligé de former mes salariés à l’IA, et qu’est-ce que cela m’impose exactement ?

L’article 4 n’a pas été supprimé, il a été réécrit

La lecture qui circule depuis une semaine dans les résumés pressés tient en une phrase : l’omnibus aurait « supprimé l’obligation de formation à l’IA ». C’est faux. Il en a changé la nature, ce qui n’est ni la même chose ni sans conséquence.

Ce que le texte exigeait jusqu’au 26 juillet

Dans sa version de 2024, l’article 4 disposait que les fournisseurs et les déployeurs de systèmes d’IA « prennent des mesures pour garantir, dans toute la mesure du possible, un niveau suffisant de maîtrise de l’IA pour leur personnel et les autres personnes s’occupant du fonctionnement et de l’utilisation des systèmes d’IA pour leur compte »^[2]. Le verbe qui compte est « garantir ». Il oriente vers un résultat : un niveau atteint, donc mesurable, donc contestable devant une autorité. C’est cette rédaction qui a nourri l’idée qu’il fallait des attestations individuelles, des parcours certifiés et un dossier prêt pour un contrôle.

Autre point que le débat public a largement manqué : cette obligation n’est pas une échéance à venir. Elle s’applique depuis le 2 février 2025, en vertu de l’article 113, point a)^[2]. Un comité de direction qui prévoyait de « s’y mettre en août 2026 » avait dix-huit mois de retard sur le seul texte qui le concernait déjà.

Ce qu’il exige depuis le 27 juillet

L’omnibus remplace l’exigence de garantir un niveau suffisant par une formulation nettement plus souple : les fournisseurs et les déployeurs « prennent des mesures pour favoriser le développement de la maîtrise de l’IA par leur personnel et les autres personnes s’occupant du fonctionnement et de l’utilisation des systèmes d’IA pour leur compte », le règlement précisant désormais que « cette obligation ne contraint pas les fournisseurs ou les déployeurs à garantir un niveau spécifique de maîtrise de l’IA par un individu »^[1]. Le glissement est réel, même si l’ancien texte demandait déjà des « mesures » : un niveau suffisant à garantir laisse place à un développement à favoriser.

Ce que cela change pour un dirigeant est très concret. Il n’a pas à certifier la compétence individuelle de chaque collaborateur ni à démontrer qu’un niveau a été atteint. Il doit pouvoir montrer qu’un dispositif existe et qu’il fonctionne. Le sujet quitte le terrain du cauchemar administratif pour rejoindre celui de la décision de gouvernance : qui décide des consignes d’usage, qui les diffuse, qui en garde la trace.

La FAQ officielle du Bureau de l’IA, mise à jour le 27 juillet 2026, va dans le même sens et répond directement au cas le plus courant, celui de l’entreprise dont les salariés utilisent un assistant conversationnel grand public : ces personnes doivent être informées des risques spécifiques, l’hallucination étant citée en exemple. La Commission précise aussi qu’aucun certificat n’est exigé^[3]. La preuve attendue ressemble donc à un registre interne — qui a été sensibilisé, à quoi, quand, et quelles consignes ont été diffusées — bien plus qu’à un catalogue de stages.

Cette différence de nature a une traduction budgétaire immédiate. Une exigence de niveau à garantir pousse à acheter de la certification, parce que seule une attestation nominative paraît opposable. Une obligation de moyens se satisfait d’un dispositif écrit et daté, et déplace la dépense vers ce qui fait défaut dans la plupart des organisations : la règle elle-même, l’identification de qui la porte, et la trace de sa diffusion.

Une précision utile en droit français, parce qu’elle évite une dépense inutile : l’article 4 ne renvoie à aucune catégorie du code du travail. Une action de formation, au sens de l’article L6313-2, est un « parcours pédagogique permettant d’atteindre un objectif professionnel ». L’article D6353-1 impose que la convention de formation précise l’intitulé, l’objectif et le contenu de l’action, les moyens prévus, la durée et la période de réalisation ainsi que les modalités de déroulement, de suivi et de sanction de la formation ; l’article R6316-1 conditionne la certification qualité à l’identification précise des objectifs et à l’adéquation des moyens pédagogiques et d’encadrement^[4]. Rien de tout cela n’est demandé par l’AI Act.

C’est aussi la raison pour laquelle une conférence ou une séance de cadrage ne relève pas des fonds mutualisés : l’article L6316-1 réserve ces financements aux prestataires certifiés^[4]. Satisfaire l’article 4 et acheter une prestation finançable sont donc deux sujets distincts, et le second n’a jamais été la condition du premier. Sur la construction d’un vrai parcours, quand elle est justifiée, j’ai traité le sujet séparément dans Formation IA : former à juger, pas seulement produire.

Utiliser suffit, et il n’existe aucun seuil

L’objection classique — « on ne fait pas d’IA, on l’utilise » — ne résiste pas au texte. L’article 4 vise les fournisseurs et les déployeurs — et une entreprise qui ne développe rien mais dont les équipes utilisent un assistant génératif est déployeuse^[2]. Ni l’article 4 ni les lignes directrices de la Commission ne prévoient de seuil d’effectif ou de chiffre d’affaires : l’obligation pèse sur tout fournisseur et tout déployeur, la Commission se bornant à prévoir un soutien spécifique aux PME^[1][3]. Le critère est le rôle, jamais la taille.

Enfin, la formulation englobe « les autres personnes s’occupant du fonctionnement et de l’utilisation » pour le compte de l’entreprise^[2]. Les prestataires et les indépendants qui utilisent de l’IA au nom de l’organisation entrent dans le périmètre. Une charte interne rédigée pour les seuls salariés laisse donc une partie du périmètre hors champ.

L’amende de 15 millions que l’on vous cite ne vise pas la formation

Le montant le plus cité dans les argumentaires ne se rattache pas à l’article 4. L’article 99, paragraphe 4, du règlement fixe un plafond de 15 000 000 EUR ou 3 % du chiffre d’affaires annuel mondial, et il énumère limitativement les articles concernés : 16, 22, 23, 24, 26, 31, 33, 34 et 50^[2]. L’article 4 n’y figure pas. Il n’existe donc aucune amende administrative européenne dédiée au manquement à l’obligation de maîtrise de l’IA.

Une nuance s’impose sur le régime de supervision. L’obligation existe depuis février 2025, mais la Commission indique que la supervision et l’application par les autorités nationales de surveillance du marché démarrent début août 2026^[3]. Ce qui bascule ce jour-là pour l’article 4, c’est le passage d’un régime déclaratif à un régime supervisé. L’absence de plafond européen ne signifie pas pour autant l’absence de toute sanction : l’article 99, paragraphe 1, laisse à chaque État membre le soin de fixer son propre régime de sanctions, y compris pour les manquements que la liste du paragraphe 4 ne couvre pas^[2]. C’est de ce côté, et non du plafond de 15 millions, qu’un risque peut apparaître pour l’article 4.

Et pour une PME, ce n’est jamais 35 millions

Deuxième correction, tout aussi répandue. L’article 99, paragraphe 6, prévoit que pour les PME, start-up incluses, chaque amende visée aux paragraphes 3, 4 et 5 est plafonnée au plus bas des deux montants — le pourcentage du chiffre d’affaires ou la somme forfaitaire^[2]. Une entreprise de taille moyenne ne risque donc pas les montants spectaculaires relayés dans la presse professionnelle : pour elle, c’est le pourcentage qui constitue le plafond réel. Rétablir ce point ramène la discussion à son ordre de grandeur véritable et libère le temps de séance pour les échéances qui, elles, sont proches.

Ce qui tombe vraiment le 2 août 2026 : la transparence

L’article 50 devient applicable le 2 août 2026, et l’omnibus n’a pas touché à cette date générale^[2][1]. Il répartit les obligations selon le rôle. L’article 50, paragraphe 1, impose aux fournisseurs que les systèmes interagissant directement avec des personnes physiques informent celles-ci qu’elles s’adressent à une IA. L’article 50, paragraphe 2, impose aux fournisseurs de systèmes génératifs de marquer les contenus produits dans un format lisible par machine. L’article 50, paragraphe 4, vise cette fois le déployeur, c’est-à-dire l’entreprise utilisatrice : les hypertrucages — images, sons ou vidéos ressemblant à des personnes ou à des scènes existantes et pouvant être pris pour authentiques — doivent être signalés comme générés ou manipulés par une IA. La même obligation vise les textes publiés dans le but d’informer le public sur des questions d’intérêt public, mais le texte l’écarte lorsque le contenu a fait l’objet d’un examen humain ou d’un contrôle éditorial et qu’une personne physique ou morale assume la responsabilité éditoriale de la publication^[2]. Cette exception est décisive en pratique : elle transforme la question « faut-il tout signaler ? » en une question de gouvernance, celle de savoir qui relit et qui répond de ce qui est publié.

La différence de traitement se joue là : l’article 50 figure, lui, dans la liste de l’article 99, paragraphe 4. Un manquement à la transparence expose à une amende administrative pouvant aller jusqu’à 15 000 000 EUR ou 3 % du chiffre d’affaires mondial, le plus bas des deux pour une PME^[2]. L’obligation qui occupe le moins de place dans les argumentaires est donc celle qui porte le plafond d’amende ; celle qui les remplit n’en porte aucun.

Le report de quatre mois ne vous concerne probablement pas

L’omnibus accorde un délai supplémentaire pour la seule obligation de marquage de l’article 50, paragraphe 2 : les systèmes d’IA générative déjà mis sur le marché avant le 2 août 2026 doivent s’y conformer au 2 décembre 2026, ceux mis sur le marché à partir du 2 août 2026 restant soumis à la date générale^[1]. Ce sursis vise les éditeurs de modèles et d’outils. Un dirigeant qui lit « report » et conclut « on a jusqu’en décembre » se trompe de périmètre : ses propres obligations de divulgation, en tant que déployeur, s’appliquent au 2 août.

La doctrine officielle existe déjà, il reste à décider de s’y aligner

Personne n’a à inventer sa politique de divulgation. La Commission a publié le projet de lignes directrices sur les obligations de transparence de l’article 50 le 8 mai 2026, la consultation s’étant close le 3 juin, puis le code de bonnes pratiques sur la transparence des contenus générés par IA le 10 juin 2026^[5]. Le comité de direction a donc deux décisions à prendre, et elles sont courtes : s’aligner ou non sur ce code, et désigner qui en porte l’application.

Un chiffre pour situer le point de départ : interrogés en mars 2026, 14 % des actifs français déclarent que leur entreprise a mis en place une politique interne encadrant l’usage de l’IA, 60 % affirment qu’il n’y en a pas et 25 % l’ignorent^[6]. L’enquête mesure ce que les salariés savent, pas ce que les directions ont formalisé ; mais à quelques jours de l’entrée en application de l’article 50, une règle dont 85 % des répondants n’ont pas connaissance ne produit de toute façon aucune pratique de divulgation. L’enjeu dépasse la conformité formelle : c’est ce qui détermine si un client, un partenaire ou un juge saura qui a décidé quoi. J’ai traité la structure minimale d’une telle politique dans gouvernance de l’IA en PME.

Les deux obligations que l’on confond, mises côte à côte : nature, périmètre, date, effet de l’omnibus et sanction.

Deux règles à vérifier même sans système à haut risque

L’omnibus repousse par ailleurs les obligations des systèmes à haut risque : au 2 décembre 2027 pour les systèmes autonomes de l’annexe III, soit seize mois de plus, et au 2 août 2028 pour ceux qui sont intégrés à des produits réglementés^[1][7]. Si vous n’en exploitez aucun, ce report ne vous apporte rien : vous n’étiez pas concerné. Les nouvelles dates figurent dans le calendrier 2026-2028 de l’AI Act.

Les pratiques interdites de l’article 5, d’abord, applicables depuis le 2 février 2025 et sanctionnées jusqu’à 35 000 000 EUR ou 7 % du chiffre d’affaires mondial^[2] : parmi elles, l’interdiction d’inférer les émotions sur le lieu de travail, que les lignes directrices de la Commission rendent opposable aux employeurs^[8]. Beaucoup d’outils de bien-être au travail ou d’analyse d’entretiens vidéo y tombent.

L’article 26, paragraphe 2, ensuite : il impose au déployeur d’un système à haut risque de confier le contrôle humain à des personnes formées et habilitées, et il est adossé, lui, à l’amende de l’article 99^[2]. La compétence des équipes redevient donc sanctionnable, mais par cette seule porte et pas avant fin 2027.

Ce que l’AI Act ne fait pas : engager votre responsabilité personnelle

C’est la question que tout dirigeant finit par poser. La réponse est nette. Aucune disposition du règlement ne vise la personne du dirigeant. L’article 99, paragraphe 1, dans sa rédaction issue de l’omnibus du 27 juillet 2026, laisse aux États membres le soin de fixer le régime de sanctions ; les amendes des paragraphes 3 à 5 visent les opérateurs et l’entreprise, avec un plafond calculé sur le chiffre d’affaires de celle-ci^[2][1]. Quand une responsabilité personnelle existe, sa source est nationale : faute séparable des fonctions, délégation de pouvoirs, droit pénal du travail. L’AI Act n’en est jamais le fondement.

Le texte qui devait renverser la charge de la preuve n’existe plus

Un dirigeant a pu entendre parler d’une directive européenne allégeant la charge de la preuve pour les victimes de dommages causés par l’IA. Cette proposition, l’AI Liability Directive, a été retirée par la Commission : inscrite au programme de travail 2025, son retrait a été publié au Journal officiel le 6 octobre 2025^[9]. Le texte est mort. Le contentieux de l’IA se jugera au droit national — contrat, responsabilité civile, droit de la preuve ordinaire.

Une échéance voisine, hors AI Act : le 9 décembre 2026

En revanche, un autre texte avance sans bruit. La directive (UE) 2024/2853 sur la responsabilité du fait des produits défectueux, publiée au Journal officiel le 18 novembre 2024 et applicable au 9 décembre 2026, intègre les logiciels — et donc les systèmes d’IA, que le considérant 13 nomme expressément — dans la définition du produit, et retient comme critère de défectuosité la capacité du produit à évoluer après sa mise en circulation^[10]. Le régime vise les produits, non les prestations de services : il concerne l’entreprise qui met sur le marché un bien ou un logiciel, ainsi que le service numérique sans lequel ce bien ne remplirait plus l’une de ses fonctions^[10]. Une entreprise qui vend une prestation de conseil assistée par IA n’entre pas dans ce cadre ; celle qui livre un logiciel embarquant un modèle y entre, indépendamment de sa conformité à l’AI Act. La distinction mérite d’être tranchée avant décembre, parce qu’elle ne relève d’aucune démarche de mise en conformité AI Act.

Ce qu’il reste à trancher avant le 2 août

Voici, en ordre de priorité et sur la base de ce qui précède, les décisions qui ont réellement une échéance courte.

1. 01

   La règle de divulgation

   Qui, dans l’entreprise, décide de la mention appliquée aux contenus générés publiés, aux visuels, aux voix de synthèse et aux points de contact automatisés avec les clients ? Et, pour les textes publiés dans le but d’informer le public, qui en assume la responsabilité éditoriale, puisque c’est elle qui lève l’obligation de signalement^[2] ? La question est d’autant plus urgente que l’article 50 est sanctionné et applicable au 2 août.

2. 02

   L’inventaire des points de contact

   Une politique de divulgation ne vaut que si l’on sait où l’IA touche un tiers. Cet inventaire suppose de regarder aussi les usages non déclarés : les outils installés hors du circuit informatique produisent des contenus qui sortent de l’entreprise. Le sujet est traité en détail dans Shadow AI : reprendre la main sur les usages cachés et, sous l’angle des comptes personnels, dans BYOAI et conformité AI Act.

3. 03

   Le registre de l’article 4

   Il ne demande ni certification ni prestataire agréé^[3] : une trace des consignes diffusées, des sessions de sensibilisation et de leurs destinataires suffit à établir que des mesures ont été prises. Cette pièce ne suppose ni outil ni budget particulier, elle suppose qu’une décision ait été prise et écrite. Le point de départ français reste bas : seuls 21 % des salariés déclarent avoir reçu une formation professionnelle à l’IA^[6].

Le report du haut risque, lui, libère du temps sans annuler le travail. Les chantiers de recrutement assisté ou de scoring gardent leur échéance, décalée à fin 2027 : c’est l’occasion de les instruire correctement, pas une raison de les oublier.

Le texte consolidé dit une chose simple : l’AI Act demande aujourd’hui moins de formation certifiée et davantage de décisions écrites. Le travail à faire d’ici au 2 août tient en quelques arbitrages, tranchés et tracés.