Dans cet article
Un salarié qui rédige ses devis avec un assistant conversationnel suffit : votre entreprise est concernée par l'article 4 du règlement européen sur l'IA. Le texte a été assoupli cet été par l'omnibus numérique. Il reste une obligation, plus simple à tenir qu'on ne le croit. Voici ce qu'il demande aujourd'hui, et un plan en trois étapes pour y répondre sans y passer des semaines.
L'omnibus numérique sur l'IA, c'est quoi ?
L'omnibus est un règlement européen de simplification : le règlement (UE) 2026/1744 du 8 juillet 2026, publié au Journal officiel de l'Union le 24 juillet et en vigueur depuis le 27 juillet 2026.
Il ne remplace pas le règlement (UE) 2024/1689 sur l'IA. Il le modifie sur quelques points :
- il réécrit l'article 4 sur la maîtrise de l'IA ;
- il reporte les obligations des systèmes à haut risque de l'annexe III au 2 décembre 2027 (au lieu du 2 août 2026) ;
- il reporte celles des produits réglementés de l'annexe I au 2 août 2028.
Le mot « omnibus » désigne un texte qui retouche plusieurs règlements d'un coup. Pour lire l'article 4 tel qu'il s'applique, il faut donc prendre la version consolidée du règlement sur l'IA, pas la version de 2024.
Que demande l'article 4 depuis l'omnibus ?
Avant l'omnibus, les entreprises devaient prendre des mesures pour « garantir, dans toute la mesure du possible, un niveau suffisant » de maîtrise de l'IA. Désormais, fournisseurs et déployeurs « prennent des mesures pour favoriser le développement » de cette maîtrise.
Concrètement :
- Qui est visé : votre personnel, et les personnes qui utilisent l'IA pour votre compte, sous-traitants compris.
- Comment : en tenant compte des connaissances, de l'expérience et de la formation de chacun, et du contexte d'utilisation.
- Ce qui n'est pas exigé : un niveau précis de maîtrise pour chaque personne, un certificat, ou un responsable IA désigné.
- Depuis quand : l'article 4 s'applique depuis le 2 février 2025. L'omnibus a changé sa rédaction, pas sa date.
La Commission européenne donne un exemple qui parle à beaucoup de PME : une entreprise dont les salariés utilisent ChatGPT pour écrire des textes publicitaires ou traduire est concernée. Ces salariés doivent connaître les risques de l'outil, à commencer par les réponses inventées.
L'obligation est devenue une obligation de moyens. Elle n'a pas disparu.
Qu'attend-on dans une démarche de maîtrise de l'IA ?
Les questions-réponses de la Commission, publiées avant l'omnibus mais toujours utiles sur le fond, décrivent un socle minimal :
- une compréhension générale de l'IA : ce que c'est, comment ça marche, ce que l'entreprise utilise ;
- le rôle de l'entreprise : fournisseur d'un système d'IA, ou simple utilisateur (« déployeur ») d'un outil acheté ;
- les risques des outils utilisés, et les précautions qui vont avec ;
- des actions adaptées au niveau de chaque personne et à son usage.
La Commission conseille de garder un registre interne des formations et des autres actions. Ce n'est pas obligatoire. C'est pourtant la seule façon simple de montrer ce que vous avez fait.
Comment s'y prendre en trois étapes ?
1. Faire l'inventaire des outils
Listez tous les outils d'IA utilisés, y compris ceux qu'un salarié utilise avec un compte personnel. Une fonction d'IA intégrée à un logiciel déjà en place compte aussi : correcteur automatique de la plateforme de formation, tri des e-mails, suggestions du CRM.
Pour chaque outil, notez deux choses. Des données personnelles y sont-elles saisies ? Si oui, le RGPD s'applique, et la CNIL a publié des recommandations sur l'IA. L'outil intervient-il dans une décision sur une personne ? Si oui, regardez de près l'annexe III.
2. Classer chaque personne dans un profil
Les mesures suivent l'usage, pas l'organigramme.
| Profil | Qui | Ce qu'il faut savoir | Mesure type | Durée indicative | Trace à garder |
|---|---|---|---|---|---|
| 1. Usage ponctuel | Rédige, résume ou traduit avec un assistant | Réponses inventées, données à ne jamais saisir, relecture obligatoire | Sensibilisation et charte d'usage signée | 1 à 2 h | Émargement, charte signée |
| 2. Usage métier | L'IA fait partie d'un processus (devis, correction, tri des demandes) | Profil 1, plus les erreurs typiques dans son métier et les cas où l'humain tranche | Formation sur ses cas réels | 3,5 à 7 h | Programme, émargement, évaluation |
| 3. Paramétrage | Configure un outil, le connecte à un logiciel, choisit un fournisseur | Profil 2, plus l'évaluation des risques, le RGPD, les contrats, les tests | Formation approfondie et accompagnement | 1 à 3 jours | Programme, attestation, dossier de l'outil |
Les durées sont des repères de terrain. Le texte n'en fixe aucune.
3. Tenir le registre
Une ligne par action : date, action, personnes, profil, outil visé, intervenant, preuve archivée, date de la prochaine revue. Une formation compte, mais aussi une charte diffusée, un guide interne ou une note envoyée après un incident.
Revoyez le classement à chaque nouvel outil, et au moins une fois par an. Le moment des entretiens professionnels s'y prête bien.
Où en êtes-vous ? L'autodiagnostic en 10 points
Notez chaque point : 0 si rien n'est fait, 1 si c'est fait en partie, 2 si c'est fait et à jour.
- La liste des outils d'IA utilisés est écrite et à jour.
- Les usages avec un compte personnel sont connus.
- Chaque personne qui utilise l'IA est rattachée à un profil.
- Une charte d'usage existe et a été diffusée.
- Les données à ne jamais saisir dans un outil d'IA sont listées.
- Les personnes du profil 1 ont eu une sensibilisation.
- Les personnes du profil 2 ont été formées sur leurs cas réels.
- Les sous-traitants qui utilisent l'IA pour vous sont informés.
- Le registre des actions est tenu, preuves comprises.
- Une date de revue annuelle est fixée.
De 0 à 7, tout reste à lancer : commencez par l'inventaire, la charte et la sensibilisation (points 1, 4 et 6). De 8 à 14, la base est là ; passez aux profils 2 et 3, et au registre. De 15 à 20, vous êtes en ordre : gardez la revue annuelle.
Organisme de formation : quel cas surveiller de près ?
Un organisme de formation est souvent dans les trois profils à la fois. L'équipe administrative rédige avec un assistant, les formateurs utilisent une correction automatique, quelqu'un a branché un outil d'IA sur la plateforme.
Le point sensible, c'est le profil 2. Un système qui décide d'une admission, évalue les acquis ou oriente des apprenants figure parmi les usages à haut risque de l'annexe III. Les obligations propres à ces systèmes s'appliqueront à partir du 2 décembre 2027. D'ici là, la maîtrise de l'IA des formateurs concernés est la première chose à soigner : savoir quand l'outil se trompe, et garder la décision finale.
Si vous suivez déjà une démarche qualité, notre questionnaire ISO 42001 : 30 questions pour savoir si votre usage de l'IA est sous contrôle prolonge ce travail.
Qui paie la formation ?
Les actions des profils 2 et 3 peuvent entrer dans le plan de développement des compétences et être présentées à votre OPCO, selon ses règles de prise en charge. La sensibilisation du profil 1 se fait souvent en interne, en une à deux heures.
Ce qu'il faut retenir
L'article 4 demande des mesures adaptées à chacun, pas un diplôme pour tous. Un inventaire, trois profils et un registre suffisent pour la plupart des PME. Commencez par la charte et la sensibilisation, puis traitez les usages métier.
Hinsight vous accompagne sur la charte d'usage et la conformité au règlement IA (offre Automatisation et IA pour les PME), sur un plan de développement des compétences qui intègre ces formations, et jusqu'à la préparation d'une certification ISO/IEC 42001. Pour en parler : lois.armand@hinsight.org ou 04 82 53 39 32.
Inspiration : les questions-réponses de la Commission européenne sur la maîtrise de l'IA et son référentiel de pratiques.
Questions fréquentes
Une PME dont les salariés utilisent ChatGPT est-elle concernée par l'article 4 ?
Oui. La Commission européenne cite ce cas : des salariés qui rédigent ou traduisent avec ChatGPT doivent connaître les risques de l'outil, comme les réponses inventées.
Faut-il un certificat de formation à l'IA ?
Non. Aucun certificat n'est exigé. La Commission conseille de tenir un registre interne des formations et des autres actions, qui sert de preuve.
Qu'a changé l'omnibus pour la maîtrise de l'IA ?
Le règlement (UE) 2026/1744 a réécrit l'article 4 : les entreprises prennent des mesures pour favoriser la maîtrise de l'IA, sans devoir garantir un niveau précis pour chaque personne. L'obligation s'applique toujours depuis le 2 février 2025.