AI Act : l’obligation de formation s’allège, la transparence devient applicable

Le calendrier vient de changer

Le règlement (UE) 2026/1744, l’« omnibus numérique sur l’IA », est entré en vigueur le 27 juillet 2026 : il ne remplace pas l’AI Act, mais le modifie. L’une de ces modifications porte sur l’obligation de maîtrise de l’IA^[1].

Toute note de conformité rédigée avant cette date décrit un état du droit qui n’est plus exact. J’ai détaillé le calendrier complet du règlement dans AI Act : calendrier 2026-2028 et preuves à préparer. Cet article répond à une seule question : suis-je obligé de former mes salariés à l’IA et, si oui, qu’est-ce que cela m’impose exactement ?

L’article 4 n’a pas été supprimé, il a été réécrit

Depuis une semaine, de nombreux résumés affirment que l’omnibus aurait « supprimé l’obligation de formation à l’IA ». C’est faux. Il en a changé la nature, ce qui produit des effets concrets.

Ce que le texte exigeait jusqu’au 26 juillet

Dans sa version de 2024, l’article 4 disposait que les fournisseurs et les déployeurs de systèmes d’IA « prennent des mesures pour garantir, dans toute la mesure du possible, un niveau suffisant de maîtrise de l’IA pour leur personnel et les autres personnes s’occupant du fonctionnement et de l’utilisation des systèmes d’IA pour leur compte »^[2]. Dans cette rédaction, le verbe « garantir » renvoie à un résultat : un niveau atteint, qui peut être mesuré et contesté devant une autorité. C’est cette rédaction qui a nourri l’idée qu’il fallait des attestations individuelles, des parcours certifiés et un dossier prêt pour un contrôle.

Autre point que le débat public a largement manqué : cette obligation n’est pas une échéance à venir. Elle s’applique depuis le 2 février 2025, en vertu de l’article 113, point a)^[2]. Un comité de direction qui prévoyait de « s’y mettre en août 2026 » avait dix-huit mois de retard sur le seul texte déjà applicable à son cas.

Ce qu’il exige depuis le 27 juillet

L’omnibus remplace l’exigence de garantir un niveau suffisant par une formulation nettement plus souple : les fournisseurs et les déployeurs « prennent des mesures pour favoriser le développement de la maîtrise de l’IA par leur personnel et les autres personnes s’occupant du fonctionnement et de l’utilisation des systèmes d’IA pour leur compte », le règlement précisant désormais que « cette obligation ne contraint pas les fournisseurs ou les déployeurs à garantir un niveau spécifique de maîtrise de l’IA par un individu »^[1]. Le changement est réel, même si l’ancien texte demandait déjà des « mesures » : l’obligation de garantir un niveau suffisant est remplacée par celle d’en favoriser le développement.

Pour un dirigeant, le changement est concret. Il n’a pas à certifier la compétence individuelle de chaque collaborateur ni à démontrer qu’un niveau a été atteint. Il doit pouvoir montrer qu’un dispositif existe et qu’il fonctionne. La question relève désormais de la gouvernance : qui fixe les consignes d’usage, qui les diffuse et qui en conserve la trace ?

La FAQ officielle du Bureau de l’IA, mise à jour le 27 juillet 2026, va dans le même sens et répond directement au cas le plus courant, celui de l’entreprise dont les salariés utilisent un assistant conversationnel grand public : ces personnes doivent être informées des risques spécifiques, l’hallucination étant citée en exemple. La Commission précise aussi qu’aucun certificat n’est exigé^[3]. La preuve peut donc prendre la forme d’un registre interne indiquant qui a été sensibilisé, sur quels sujets, à quelle date et selon quelles consignes, bien plus que d’un catalogue de stages.

Cette différence de nature a une traduction budgétaire immédiate. Une exigence de niveau à garantir incite à acheter une certification, car une attestation nominative paraît alors la pièce la plus directement opposable. Avec une obligation de moyens, un dispositif écrit et daté suffit. La dépense porte sur ce qui manque dans la plupart des organisations : la règle, la personne chargée de l’appliquer et la preuve de sa diffusion.

Une précision utile en droit français, parce qu’elle évite une dépense inutile : l’article 4 ne renvoie à aucune catégorie du code du travail. Une action de formation, au sens de l’article L6313-2, est un « parcours pédagogique permettant d’atteindre un objectif professionnel ». L’article D6353-1 impose que la convention de formation précise l’intitulé, l’objectif et le contenu de l’action, les moyens prévus, la durée et la période de réalisation ainsi que les modalités de déroulement, de suivi et de sanction de la formation ; l’article R6316-1 conditionne la certification qualité à l’identification précise des objectifs et à l’adéquation des moyens pédagogiques et d’encadrement^[4]. Rien de tout cela n’est exigé par l’AI Act.

C’est aussi pourquoi une conférence ou une séance de cadrage ne relève pas des fonds mutualisés : l’article L6316-1 réserve ces financements aux prestataires certifiés^[4]. Satisfaire l’article 4 et acheter une prestation finançable sont donc deux sujets distincts, et le second n’a jamais été la condition du premier. Sur la construction d’un vrai parcours, quand elle est justifiée, j’ai traité le sujet séparément dans Formation IA : former à juger, pas seulement produire.

Utiliser suffit, et il n’existe aucun seuil

L’objection classique, « on ne fait pas d’IA, on l’utilise », ne résiste pas au texte. L’article 4 vise les fournisseurs et les déployeurs. Une entreprise qui ne développe aucun système, mais dont les équipes utilisent un assistant génératif, est déployeuse^[2]. Ni l’article 4 ni les lignes directrices de la Commission ne prévoient de seuil d’effectif ou de chiffre d’affaires : l’obligation pèse sur tout fournisseur et tout déployeur, la Commission prévoyant seulement un soutien spécifique aux PME^[1][3]. Le critère est le rôle, et non la taille.

Enfin, la formulation englobe « les autres personnes s’occupant du fonctionnement et de l’utilisation » pour le compte de l’entreprise^[2]. Les prestataires et les indépendants qui utilisent de l’IA pour le compte de l’organisation entrent dans le périmètre. Une charte interne destinée aux seuls salariés ne couvre donc pas tout le périmètre.

L’amende de 15 millions ne vise pas la formation

Le montant le plus cité dans les argumentaires ne se rattache pas à l’article 4. L’article 99, paragraphe 4, du règlement fixe un plafond de 15 000 000 EUR ou 3 % du chiffre d’affaires annuel mondial, et il énumère limitativement les articles concernés : 16, 22, 23, 24, 26, 31, 33, 34 et 50^[2]. L’article 4 n’y figure pas. Il n’existe donc aucune amende administrative européenne dédiée au manquement à l’obligation de maîtrise de l’IA.

Une nuance s’impose sur le régime de supervision. L’obligation existe depuis février 2025, mais la Commission indique que la supervision et l’application par les autorités nationales de surveillance du marché démarrent début août 2026^[3]. Pour l’article 4, ce qui change ce jour-là est le passage d’un régime déclaratif à un régime supervisé. L’absence de plafond européen ne signifie pas pour autant l’absence de toute sanction : l’article 99, paragraphe 1, laisse à chaque État membre le soin de fixer son propre régime de sanctions, y compris pour les manquements que la liste du paragraphe 4 ne couvre pas^[2]. Le risque de sanction relatif à l’article 4 peut donc venir de ce régime national, et non du plafond de 15 millions.

Et pour une PME, ce n’est jamais 35 millions

Deuxième correction, tout aussi répandue. L’article 99, paragraphe 6, prévoit que pour les PME, start-up incluses, chaque amende visée aux paragraphes 3, 4 et 5 est plafonnée au plus bas des deux montants, le pourcentage du chiffre d’affaires ou la somme forfaitaire^[2]. Une entreprise de taille moyenne ne risque donc pas les montants spectaculaires relayés dans la presse professionnelle : pour elle, c’est le pourcentage qui constitue le plafond réel. Cette correction ramène la discussion à son véritable ordre de grandeur et permet de concentrer la séance sur les échéances proches.

Ce qui s’applique le 2 août 2026 : la transparence

L’article 50 devient applicable le 2 août 2026, et l’omnibus n’a pas touché à cette date générale^[2][1]. Il répartit les obligations selon le rôle. L’article 50, paragraphe 1, impose aux fournisseurs que les systèmes interagissant directement avec des personnes physiques informent celles-ci qu’elles s’adressent à une IA. L’article 50, paragraphe 2, impose aux fournisseurs de systèmes génératifs de marquer les contenus produits dans un format lisible par machine. L’article 50, paragraphe 4, vise cette fois le déployeur, c’est-à-dire l’entreprise utilisatrice : les hypertrucages, c’est-à-dire les images, sons ou vidéos ressemblant à des personnes ou à des scènes existantes et pouvant être pris pour authentiques, doivent être signalés comme générés ou manipulés par une IA. La même obligation vise les textes publiés dans le but d’informer le public sur des questions d’intérêt public, mais le texte l’écarte lorsque le contenu a fait l’objet d’un examen humain ou d’un contrôle éditorial et qu’une personne physique ou morale assume la responsabilité éditoriale de la publication^[2]. Cette exception est décisive en pratique : elle ramène la question « faut-il tout signaler ? » à une décision de gouvernance : qui relit et qui répond de ce qui est publié ?

L’article 50 figure dans la liste de l’article 99, paragraphe 4. Un manquement à la transparence expose à une amende administrative pouvant aller jusqu’à 15 000 000 EUR ou 3 % du chiffre d’affaires mondial, le plus bas des deux pour une PME^[2]. Ce plafond s’applique donc aux manquements à l’article 50.

Le report de quatre mois ne vous concerne probablement pas

L’omnibus accorde un délai supplémentaire pour la seule obligation de marquage de l’article 50, paragraphe 2 : les systèmes d’IA générative déjà mis sur le marché avant le 2 août 2026 doivent s’y conformer au 2 décembre 2026, ceux mis sur le marché à partir du 2 août 2026 restant soumis à la date générale^[1]. Ce sursis vise les éditeurs de modèles et d’outils. Un dirigeant qui lit « report » et conclut « on a jusqu’en décembre » se trompe de périmètre : ses propres obligations de divulgation, comme déployeur, s’appliquent au 2 août.

La doctrine officielle existe déjà : reste à décider si l’on s’y aligne

La politique de divulgation n’est pas à inventer. La Commission a publié le projet de lignes directrices sur les obligations de transparence de l’article 50 le 8 mai 2026, la consultation s’étant close le 3 juin, puis le code de bonnes pratiques sur la transparence des contenus générés par IA le 10 juin 2026^[5]. Le comité de direction a donc deux décisions simples à prendre : s’aligner ou non sur ce code et désigner la personne chargée de l’appliquer.

Un chiffre pour situer le point de départ : interrogés en mars 2026, 14 % des actifs français déclarent que leur entreprise a mis en place une politique interne encadrant l’usage de l’IA, 60 % affirment qu’il n’y en a pas et 25 % l’ignorent^[6]. L’enquête mesure ce que les salariés savent, pas ce que les directions ont formalisé ; mais à quelques jours de l’entrée en application de l’article 50, une règle dont 85 % des répondants n’ont pas connaissance ne produit de toute façon aucune pratique de divulgation. L’enjeu dépasse la conformité formelle : c’est ce qui détermine si un client, un partenaire ou un juge saura qui a décidé quoi. J’ai traité la structure minimale d’une telle politique dans gouvernance de l’IA en PME.

Les deux obligations que l’on confond, mises côte à côte : nature, périmètre, date, effet de l’omnibus et sanction.

Deux règles à vérifier même sans système à haut risque

L’omnibus repousse par ailleurs les obligations des systèmes à haut risque : au 2 décembre 2027 pour les systèmes autonomes de l’annexe III, soit seize mois de plus, et au 2 août 2028 pour ceux qui sont intégrés à des produits réglementés^[1][7]. Si vous n’en exploitez aucun, ce report ne change rien pour vous : vous n’étiez pas concerné. Les nouvelles dates figurent dans le calendrier 2026-2028 de l’AI Act.

Les pratiques interdites de l’article 5, d’abord, applicables depuis le 2 février 2025 et sanctionnées jusqu’à 35 000 000 EUR ou 7 % du chiffre d’affaires mondial^[2] : parmi elles, l’interdiction d’inférer les émotions sur le lieu de travail, que les lignes directrices de la Commission rendent opposable aux employeurs^[8]. De nombreux outils de bien-être au travail ou d’analyse d’entretiens vidéo peuvent relever de cette interdiction.

L’article 26, paragraphe 2, ensuite : il impose au déployeur d’un système à haut risque de confier le contrôle humain à des personnes formées et habilitées, et il est adossé, lui, à l’amende de l’article 99^[2]. La compétence des équipes redevient donc sanctionnable, mais uniquement par cette voie et pas avant fin 2027.

Ce que l’AI Act ne fait pas : engager la responsabilité personnelle du dirigeant

Aucune disposition du règlement ne vise personnellement le dirigeant. L’article 99, paragraphe 1, dans sa rédaction issue de l’omnibus du 27 juillet 2026, laisse aux États membres le soin de fixer le régime de sanctions ; les amendes des paragraphes 3 à 5 visent les opérateurs et l’entreprise, avec un plafond calculé sur le chiffre d’affaires de celle-ci^[2][1]. Quand une responsabilité personnelle existe, sa source est nationale : faute séparable des fonctions, délégation de pouvoirs, droit pénal du travail. L’AI Act n’en est jamais le fondement.

Le texte qui devait renverser la charge de la preuve n’existe plus

Un dirigeant a pu entendre parler d’une directive européenne allégeant la charge de la preuve pour les victimes de dommages causés par l’IA. Cette proposition, l’AI Liability Directive, a été retirée par la Commission : inscrite au programme de travail 2025, son retrait a été publié au Journal officiel le 6 octobre 2025^[9]. Cette proposition n’aboutira donc pas. Les litiges liés à l’IA seront jugés selon le droit national : droit des contrats, responsabilité civile et règles ordinaires de preuve.

Une échéance voisine, hors AI Act : le 9 décembre 2026

La directive (UE) 2024/2853 sur la responsabilité du fait des produits défectueux, publiée au Journal officiel le 18 novembre 2024 et applicable au 9 décembre 2026, intègre les logiciels, et donc les systèmes d’IA que le considérant 13 nomme expressément, dans la définition du produit, et retient comme critère de défectuosité la capacité du produit à évoluer après sa mise en circulation^[10]. Le régime vise les produits, non les prestations de services : il concerne l’entreprise qui met sur le marché un bien ou un logiciel, ainsi que le service numérique sans lequel ce bien ne remplirait plus l’une de ses fonctions^[10]. Une entreprise qui vend une prestation de conseil assistée par IA n’entre pas dans ce cadre ; celle qui livre un logiciel embarquant un modèle y entre, indépendamment de sa conformité à l’AI Act. Cette distinction doit être tranchée avant décembre, car elle ne relève d’aucune démarche de mise en conformité avec l’AI Act.

Les décisions à prendre avant le 2 août

Trois décisions ont une échéance immédiate.

1. 01

   La règle de divulgation

   Qui, dans l’entreprise, fixe la mention appliquée aux contenus générés publiés, aux visuels, aux voix de synthèse et aux points de contact automatisés avec les clients ? Et, pour les textes publiés dans le but d’informer le public, qui en assume la responsabilité éditoriale, puisque c’est elle qui lève l’obligation de signalement^[2] ? La question est d’autant plus urgente que l’article 50 est sanctionné et applicable au 2 août.

2. 02

   L’inventaire des points de contact

   Une politique de divulgation ne vaut que si l’on sait où l’IA touche un tiers. Cet inventaire suppose de regarder aussi les usages non déclarés : les outils installés hors du circuit informatique produisent des contenus qui sortent de l’entreprise. Le sujet est traité en détail dans Shadow AI : reprendre la main sur les usages cachés et, sous l’angle des comptes personnels, dans BYOAI et conformité AI Act.

3. 03

   Le registre de l’article 4

   Il ne demande ni certification ni prestataire agréé^[3] : une trace des consignes diffusées, des sessions de sensibilisation et de leurs destinataires suffit à établir que des mesures ont été prises. Cette pièce n’exige ni outil ni budget particulier, mais une décision prise et consignée par écrit. Le point de départ français reste bas : seuls 21 % des salariés déclarent avoir reçu une formation professionnelle à l’IA^[6].

Le report du haut risque, lui, libère du temps sans annuler le travail. Les projets de recrutement assisté ou de scoring gardent leur échéance, reportée à fin 2027 : ce délai permet de les instruire correctement, pas de les oublier.

Le texte consolidé demande aujourd’hui moins de formation certifiée et davantage de décisions écrites. D’ici au 2 août, le travail consiste à prendre quelques décisions et à en conserver la trace.