Depuis le 2 février 2025, les fournisseurs et les déployeurs de systèmes d’intelligence artificielle doivent prendre des mesures pour développer la maîtrise de l’IA des personnes qui utilisent ces systèmes pour leur compte. Une entreprise dont les salariés utilisent ChatGPT, un outil de traduction ou une fonction d’IA intégrée à un logiciel métier est donc concernée.
Le règlement n’impose ni formation standard, ni durée minimale, ni certification. Depuis la modification de l’AI Act par l’« AI Omnibus », entrée en vigueur le 27 juillet 2026, aucun niveau spécifique ou “suffisant” ne doit être garanti à chaque personne. Les actions doivent toutefois correspondre aux connaissances des personnes, au contexte d’utilisation et aux risques. L’entreprise doit pouvoir expliquer cette démarche proportionnée.
Ce que change l’AI Act pour les entreprises en 2026
L’AI Act encadre les systèmes d’IA selon leurs usages et leurs risques pour la santé, la sécurité et les droits fondamentaux. Son calendrier a été révisé en juillet 2026 :
- 1er août 2024 : entrée en vigueur du règlement
- 2 février 2025 : application des principales pratiques interdites et de l’article 4 sur la maîtrise de l’IA
- 2 août 2026 : application de plusieurs obligations de transparence et début de la supervision de l’article 4 par les autorités nationales
- 2 décembre 2027 : application des règles visant les systèmes à haut risque de l’annexe III, notamment dans l’emploi, l’éducation ou l’accès à des services essentiels
- 2 août 2028 : application des règles concernant les systèmes à haut risque intégrés à certains produits réglementés de l’annexe I
Le report des règles visant les systèmes à haut risque ne suspend pas la maîtrise de l’IA, déjà applicable. Les calendriers qui placent encore toutes ces règles en août 2026 sont antérieurs à l’AI Omnibus. La Commission européenne et la CNIL publient le calendrier actualisé.
Quelles sont les obligations précises concernant la formation des salariés ?
L’article 4 vise les salariés et les autres personnes qui manipulent un système d’IA pour le compte du fournisseur ou du déployeur, notamment certains prestataires. Les actions tiennent compte de leur expérience, de leur formation, de leurs connaissances techniques et du contexte d’utilisation.
La foire aux questions de la Commission européenne apporte plusieurs précisions utiles :
- Aucune certification particulière n’est requise
- L’employeur n’a pas l’obligation de mesurer le niveau individuel de chaque salarié
- Aucun responsable IA ou comité de gouvernance spécifique n’est imposé par l’article 4
- Une formation formelle n’est pas le seul format possible, mais la notice d’un outil peut être insuffisante
- Un registre interne des formations, consignes et autres actions de sensibilisation peut servir de preuve
En France, l’employeur doit aussi adapter les salariés à leur poste et veiller à leur employabilité face à l’évolution des emplois, des technologies et des organisations, selon l’article L. 6321-1 du Code du travail. Le RGPD reste applicable aux traitements de données personnelles.
Adapter la formation au niveau de risque et à l’usage réel
Le niveau d’accompagnement ne dépend pas du seul nom du logiciel. Un même outil peut reformuler un courriel ou préparer une décision qui affecte une personne. C’est la finalité de l’usage qui compte.
| Usage ou niveau de risque | Exemple au travail | Priorités de formation |
| Pratique interdite | Reconnaissance des émotions sur le lieu de travail, sauf exception médicale ou de sécurité | Savoir repérer l’usage interdit, ne pas le déployer et alerter le bon interlocuteur |
| Système à haut risque | Tri de candidatures, évaluation, promotion, rupture ou attribution de tâches fondée sur des caractéristiques individuelles | Comprendre les limites, les biais, les données d’entrée, la traçabilité et la supervision humaine |
| Risque lié à la transparence | Agent conversationnel ou contenu artificiel diffusé au public | Informer les personnes et identifier les contenus lorsque le règlement l’exige |
| Risque minimal ou usage courant | Aide à la rédaction, traduction, synthèse ou recherche d’idées | Vérifier les résultats, protéger les informations, citer les sources utiles et respecter les règles internes |
Un risque minimal ne dispense pas de sensibilisation. La Commission cite le cas de salariés utilisant ChatGPT pour rédiger ou traduire : ils doivent notamment connaître le risque de réponses inventées ou inexactes.
Pour les systèmes à haut risque, l’article 26 prévoit une supervision humaine confiée à des personnes disposant des compétences, de la formation, de l’autorité et du soutien nécessaires. Pour les usages de l’annexe III, cette exigence s’appliquera à partir du 2 décembre 2027. Un projet en cours doit s’y préparer.
Construire une formation à l’IA réellement efficace
Une démarche utile peut être organisée en cinq étapes.
Recenser les systèmes et les usages
L’inventaire couvre les outils officiels, les fonctions d’IA incluses dans les logiciels et les usages non déclarés. Pour chaque système, il précise la finalité, les utilisateurs, les données, les personnes affectées et le responsable interne.
Créer un socle commun
Le socle commun aborde les capacités et limites de l’IA, les erreurs ou « hallucinations », les biais, la confidentialité, les données personnelles, la cybersécurité, les droits d’auteur, les règles internes et la responsabilité de la décision finale.
Une consigne est essentielle : ne pas saisir de données personnelles, confidentielles ou stratégiques dans un service non autorisé. La fiche pratique de la CNIL recommande de formaliser les conditions d’utilisation, les contrôles et les règles de confidentialité.
Ajouter des modules adaptés aux métiers
Un communicant n’a pas les mêmes besoins qu’un recruteur, un développeur ou un superviseur. Pour les RH, la formation peut notamment approfondir les biais et la non-discrimination. Les équipes techniques, achats et sécurité étudient la documentation du fournisseur, les flux de données, les accès et les incidents possibles.
Faire travailler les salariés sur des situations concrètes
Les exercices peuvent présenter des réponses inexactes, des informations sensibles ou une recommandation susceptible de défavoriser une personne. Les participants apprennent à vérifier, corriger, refuser ou transmettre le cas.
L’éthique devient concrète : qui peut subir une erreur ? Les données sont-elles nécessaires et licites ? Un biais est-il possible ? La décision peut-elle être expliquée et contestée ? Le superviseur peut-il réellement intervenir ?
Conserver les preuves et actualiser le dispositif
L’entreprise conserve le programme, les supports, les publics, les dates, les présences, les consignes et, le cas échéant, les résultats d’exercices. Aucun rythme de recyclage n’est fixé. Une mise à jour s’impose lorsqu’un outil, un usage, une règle interne ou un risque important change.
Pour enrichir le programme, les employeurs peuvent consulter le centre d’information officiel sur l’AI Act, le répertoire européen de pratiques et DigComp 3.0. Reproduire un exemple du répertoire ne crée pas, à lui seul, une présomption de conformité.
Quel rôle le CSE joue-t-il dans la formation à l’IA ?
Le CSE n’est ni l’autorité chargée d’appliquer l’AI Act ni un organisme de certification. Son rôle relève du dialogue social et dépend de l’effectif, des accords et de l’impact du projet.
Dans les entreprises d’au moins 50 salariés, le comité est informé et consulté sur l’introduction de nouvelles technologies et les projets importants qui modifient les conditions de santé, de sécurité ou de travail. L’article L. 2312-8 du Code du travail vise aussi la formation professionnelle. Dans le régime supplétif, la consultation annuelle sur la politique sociale couvre les actions de formation et le plan de développement des compétences. Le CSE peut recourir à un expert habilité pour certains projets, selon l’article L. 2315-94.
L’employeur peut présenter au CSE la finalité du système, les tâches, les données, les risques, la supervision humaine, les publics à former et le canal de signalement. Pour un système à haut risque utilisé au travail, l’article 26 prévoit aussi, lorsqu’il sera applicable, l’information préalable des représentants et des travailleurs concernés.
Quels contrôles et risques juridiques faut-il anticiper ?
Depuis août 2026, les autorités nationales peuvent contrôler l’article 4. Aucun dossier type n’est imposé, mais l’entreprise doit pouvoir indiquer quels systèmes sont utilisés, par qui, pour quoi, avec quels risques et quelles mesures.
Le dossier peut réunir l’inventaire, le classement des systèmes, la politique d’usage, les besoins par profil, les supports, les preuves de participation, les règles relatives aux données et l’historique des mises à jour. Selon la Commission européenne, un incident lié à un défaut de formation ou de consignes peut rendre une sanction plus probable.
Les montants de plusieurs millions d’euros associés à l’AI Act doivent être contextualisés. Selon l’article 99 du règlement consolidé, le plafond de 35 millions d’euros ou 7 % du chiffre d’affaires mondial annuel concerne les pratiques interdites. Celui de 15 millions ou 3 % vise d’autres obligations listées, dont certaines applicables aux déployeurs de systèmes à haut risque. Un manquement au seul article 4 n’entraîne pas automatiquement ces amendes : les sanctions relèvent du droit national et doivent être proportionnées.
D’autres responsabilités peuvent s’ajouter. Une fuite ou un traitement illicite de données personnelles relève du RGPD. Une décision discriminatoire ou une atteinte aux droits d’un salarié relève aussi du droit du travail. Les usages sensibles appellent donc un travail commun entre direction, RH, juridique, sécurité et délégué à la protection des données.
Faire de la conformité un réflexe de travail
Former à l’IA en 2026 ne consiste pas à faire mémoriser le règlement. L’objectif est de donner à chaque personne les bons réflexes face aux outils qu’elle utilise : protéger les informations, vérifier les résultats, détecter les biais, conserver une décision humaine et savoir alerter. Une cartographie à jour, des modules ciblés et des preuves simples rendent la démarche à la fois plus utile pour les salariés et plus solide en cas de contrôle.
FAQ sur la formation des salariés à l’AI Act
Une entreprise qui utilise seulement ChatGPT doit-elle agir ?
Oui, si l’outil est utilisé dans un cadre professionnel pour le compte de l’entreprise. Les mesures peuvent rester proportionnées à un usage courant, mais elles doivent au minimum couvrir les erreurs possibles, la vérification des résultats, la confidentialité et les règles internes.
Une certification AI Act est-elle obligatoire ?
Non. L’article 4 n’impose ni certification, ni organisme de formation particulier, ni nombre d’heures. Une attestation peut aider à documenter une action, mais elle ne prouve pas à elle seule que le dispositif est adapté aux usages et aux risques de l’entreprise.
Tous les salariés doivent-ils suivre la même formation ?
Non. Un socle commun est pertinent pour les utilisateurs, puis le contenu doit varier selon les métiers, les outils et l’impact potentiel des décisions. Les personnes chargées d’un système à haut risque ou de sa supervision humaine ont besoin d’un apprentissage plus approfondi.
L’AI Act remplace-t-il le RGPD ?
Non. Les deux règlements se complètent. Le RGPD s’applique au traitement des données personnelles, tandis que l’AI Act encadre les systèmes d’IA, leurs acteurs et leurs risques. Un même usage peut relever des deux textes.
Pour donner aux équipes un socle pratique sur les usages, les risques, les biais, le RGPD et l’éthique, la formation Initiation à l’IA de LearnPerfect peut être adaptée au profil et aux objectifs professionnels des participants.
Consulter notre catalogue de formations en IA
