AI Act et maîtrise de l'IA : l'obligation de l'article 4 que votre entreprise a déjà — risques et actions par département

Depuis le 2 février 2025, former vos équipes à l'IA n'est plus un « plus » — c'est une obligation légale. L'article 4 de l'AI Act impose à toute entreprise qui utilise l'IA dans l'Union européenne de garantir un « niveau suffisant de maîtrise de l'IA » à l'ensemble de ses effectifs. En juin 2026, toute l'attention s'est portée sur l'Omnibus numérique, qui a repoussé les échéances des systèmes à haut risque à décembre 2027. Ce que presque personne n'a remarqué : l'obligation de maîtrise de l'IA n'a pas été reportée, l'interdiction des pratiques prohibées n'a pas été reportée, les règles de transparence applicables au 2 août 2026 n'ont pas été reportées — et les autorités nationales acquièrent leurs pouvoirs de surveillance et de sanction sur l'article 4 à partir du 3 août 2026. Si votre équipe marketing utilise ChatGPT, si vos recruteurs trient des CV avec l'IA ou si vos commerciaux exploitent un chatbot, cet article vous concerne.

Par Toni Dos Santos, Co-Fondateur, Spicy Advisory

Ce que dit réellement l'article 4 de l'AI Act

Oubliez les résumés — voici le texte légal complet, une seule phrase, tiré du règlement officiel sur EUR-Lex :

« Les fournisseurs et les déployeurs de systèmes d'IA prennent des mesures pour garantir, dans toute la mesure du possible, un niveau suffisant de maîtrise de l'IA pour leur personnel et les autres personnes s'occupant du fonctionnement et de l'utilisation des systèmes d'IA pour leur compte, en prenant en considération leurs connaissances techniques, leur expérience, leur éducation et leur formation, ainsi que le contexte dans lequel les systèmes d'IA sont destinés à être utilisés, et en tenant compte des personnes ou des groupes de personnes à l'égard desquels les systèmes d'IA sont destinés à être utilisés. »
— Article 4, règlement (UE) 2024/1689 (AI Act)

Trois expressions comptent énormément. « Déployeurs » : l'obligation ne vise pas seulement ceux qui développent l'IA — elle couvre toute organisation qui utilise des systèmes d'IA sous son autorité. Une enseigne de distribution dont les category managers utilisent Copilot, un cabinet d'avocats qui synthétise des contrats avec Claude, une PME industrielle dont la DRH classe des candidatures via un module ATS : tous déployeurs, tous concernés. « Autres personnes » : le devoir s'étend au-delà de la fiche de paie, aux prestataires, intérimaires et agences qui opèrent l'IA pour votre compte. Et « dans toute la mesure du possible » en fait une obligation de moyens à l'échelle de l'organisation : on attend de vous un effort réel, documenté et proportionné — l'inaction n'est pas une position défendable.

Le règlement définit aussi ce qu'est la maîtrise de l'IA. Selon l'article 3, point 56, ce sont « les compétences, les connaissances et la compréhension qui permettent aux fournisseurs, aux déployeurs et aux personnes concernées […] de procéder à un déploiement des systèmes d'IA en toute connaissance de cause, ainsi que de prendre conscience des possibilités et des risques que comporte l'IA, ainsi que des préjudices potentiels qu'elle peut causer ». Notez ce que ce n'est pas : un bootcamp de data science. C'est la capacité de chaque personne, dans son rôle, à utiliser l'IA de façon délibérée — en sachant ce que l'outil sait faire, où il échoue, et quelles sont les règles.

Le calendrier : ce qui s'applique déjà, ce qui a changé en juin 2026

L'AI Act entre en application par étapes sur quatre ans — et l'Omnibus numérique vient d'en rebattre une partie. Voici l'état des lieux en juillet 2026 :

• 2 février 2025 — déjà en vigueur : l'obligation de maîtrise de l'IA (article 4) et les pratiques interdites (article 5), dont la notation sociale et la reconnaissance des émotions sur le lieu de travail.
• 2 août 2025 — déjà en vigueur : les obligations des modèles d'IA à usage général et le cadre de sanctions (article 99).
• 2 août 2026 : les obligations de transparence de l'article 50 s'appliquent — information sur les chatbots, étiquetage des deepfakes, mention des textes générés par IA publiés pour informer le public.
• 3 août 2026 : les autorités nationales de surveillance du marché commencent à superviser et sanctionner l'article 4, selon la FAQ officielle de la Commission européenne sur la maîtrise de l'IA.
• 2 décembre 2027 (au lieu d'août 2026) : obligations des systèmes d'IA à haut risque autonomes de l'annexe III — IA de recrutement, scoring de crédit, éducation — reportées par l'Omnibus numérique, objet d'un accord provisoire le 7 mai 2026 et formellement approuvé par le Parlement européen (16 juin 2026) puis le Conseil (29 juin 2026).
• 2 août 2028 : échéance reportée pour l'IA à haut risque intégrée dans des produits réglementés (annexe I).

La lecture stratégique pour un dirigeant : l'Omnibus a acheté du temps sur la conformité des systèmes à haut risque, mais il a laissé intactes les obligations qui concernent les personnes — précisément celles qui passent sous surveillance active cet été. Les entreprises qui voient dans l'Omnibus un sursis généralisé font un contresens juridique. Pour une vue complète des catégories de risque et des obligations des déployeurs, consultez notre guide complet de l'AI Act pour les dirigeants de PME, ETI et grands groupes.

Ce que vous risquez réellement en ignorant l'article 4

L'article 4 ne prévoit pas d'amende fixe dans le règlement lui-même — ce qui conduit certains conseils à le classer parmi les « obligations souples ». C'est une erreur de lecture sérieuse, pour quatre raisons :

1. Les régimes nationaux de sanctions s'appliquent dès août 2026. En vertu de l'article 99, paragraphe 1, chaque État membre doit prévoir des sanctions « effectives, proportionnées et dissuasives » pour les infractions au règlement — article 4 compris. À partir du 3 août 2026, votre autorité nationale de surveillance du marché peut poser une question très simple : montrez-nous les mesures que vous avez prises. Pas d'inventaire, pas de registres de formation, pas de politique interne ? Vous avez votre réponse, et eux aussi.

2. Ce sont les équipes non formées qui commettent les infractions aux amendes record. Les pratiques interdites de l'article 5 — utiliser la reconnaissance des émotions sur des salariés, par exemple — sont passibles d'amendes jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. Les manquements à la transparence de l'article 50, jusqu'à 15 M€ ou 3 %. En pratique, ces infractions viennent rarement de la direction juridique ; elles viennent d'un manager enthousiaste qui active une fonctionnalité que personne n'a vérifiée. La maîtrise de l'IA est votre première ligne de défense, et des mesures de formation démontrables sont exactement ce qu'un régulateur pèse au moment de calibrer une sanction.

3. La responsabilité civile est le risque silencieux. La FAQ de la Commission le souligne : l'article 4 peut être invoqué en justice par des tiers. Un candidat écarté, un client mal conseillé, un CSE : chacun peut soutenir qu'un dommage résulte d'équipes jamais formées à utiliser correctement le système d'IA. Dans un contentieux, « nous n'avions aucun programme de maîtrise de l'IA » est un cadeau à la partie adverse.

4. Le coût opérationnel arrive avant le régulateur. Des salariés qui collent des données clients dans des outils grand public non validés, des chiffres hallucinés dans des supports de COMEX, le shadow AI qui se répand plus vite que la DSI ne peut le suivre — ce sont des défauts de maîtrise de l'IA, et ils coûtent de l'argent et de la réputation dès aujourd'hui, amende ou pas.

Obtenez votre audit de maîtrise de l'IA — cartographiez vos écarts avant que le régulateur ne pose la question →

La carte des risques, département par département

L'article 4 exige explicitement que la maîtrise de l'IA corresponde « au contexte dans lequel les systèmes d'IA sont destinés à être utilisés ». Un module e-learning générique identique pour tous échoue à ce test par construction. Voici ce que l'obligation signifie concrètement pour chaque fonction — les cas d'usage réels, les risques spécifiques, et ce qu'il faut mettre en place.

RH et recrutement : le département le plus exposé de l'entreprise

Cas d'usage concrets : tri de CV et classement de candidats dans l'ATS, ciblage d'offres d'emploi assisté par IA, analyse d'entretiens vidéo, rédaction d'évaluations de performance, cartographie des compétences, prédiction d'attrition, tableaux de bord de suivi des salariés.

Les risques : C'est la zone de danger. La reconnaissance des émotions sur le lieu de travail est une pratique interdite par l'article 5 — prohibée depuis février 2025, dans la tranche d'amende à 35 M€/7 % — et certains outils d'entretien vidéo ou d'« analyse d'engagement » flirtent exactement avec cela. L'IA de recrutement et de promotion figure à l'annexe III : haut risque, avec des obligations complètes à partir de décembre 2027, soit un cycle d'achat à peine. Ajoutez les recours pour discrimination algorithmique et l'exposition RGPD, plus l'article 26, paragraphe 7 : avant de mettre en service une IA à haut risque sur le lieu de travail, vous devez informer les travailleurs concernés et leurs représentants.

À mettre en place : un inventaire de chaque fonction IA de votre stack RH (beaucoup arrivent silencieusement via les mises à jour éditeur) ; un questionnaire fournisseur portant spécifiquement sur l'inférence d'émotions et la classification annexe III ; une revue humaine réelle, pas un tampon, sur chaque décision à conséquence ; et une formation par rôle pour que vos recruteurs sachent expliquer ce que fait l'outil à un candidat — ou aux prud'hommes. Nos guides sur les workflows IA pour les équipes RH et notre formation IA pour les RH approfondissent le sujet.

Marketing et communication : les règles de transparence tombent le 2 août 2026

Cas d'usage concrets : IA générative pour les textes, images et vidéos ; voix off synthétiques ; campagnes personnalisées par IA ; contenu social à grande échelle ; chatbots de site web opérés avec les ventes.

Les risques : L'article 50 s'applique au 2 août 2026 et n'a pas été reporté par l'Omnibus. Les deepfakes — images, sons ou vidéos générés ou manipulés par IA ressemblant à des personnes, lieux ou événements réels — doivent être clairement signalés. Les textes générés par IA publiés pour informer le public sur des sujets d'intérêt général doivent l'être aussi. Les manquements relèvent de la tranche 15 M€/3 %. Au-delà du règlement : des allégations produit hallucinées qui créent une responsabilité en droit de la publicité, des éléments de marque et de stratégie collés dans des outils grand public sans garanties de données, et du contenu généré qui viole la propriété intellectuelle de tiers.

À mettre en place : un workflow d'étiquetage des contenus synthétiques intégré à la checklist de campagne ; une liste blanche d'outils validés avec protections de données entreprise ; des règles d'hygiène de prompt pour les briefs confidentiels ; et une formation qui couvre les obligations de transparence — pas seulement les astuces créatives. Voir le playbook CMO des opérations marketing IA et notre formation IA pour les équipes marketing.

Ventes et équipes en contact client : votre chatbot doit dire qu'il est un bot

Cas d'usage concrets : chatbots web et WhatsApp, scoring de leads par IA, enregistrement et synthèse d'appels, propositions commerciales et prospection rédigées par IA, copilotes CRM.

Les risques : À partir du 2 août 2026, tout système d'IA qui interagit directement avec des clients doit le faire savoir clairement — un chatbot qui se fait passer pour un humain est une infraction, pas une réussite UX. Des propositions rédigées par IA avec des specs, prix ou délais hallucinés créent une exposition contractuelle dès la signature du client. Des commerciaux qui collent l'historique complet d'un client dans des outils gratuits créent des incidents RGPD. Et un scoring de leads opaque qui encode des biais peut contaminer tout le funnel.

À mettre en place : une mention IA claire sur chaque interface conversationnelle ; une règle « vérifier avant d'envoyer » pour tout document commercial rédigé par IA ; une politique d'outils approuvés pour tout ce qui touche aux données clients ; et une formation qui rend les commerciaux plus rapides et plus sûrs — les deux ne s'opposent pas. Commencez par le sales enablement augmenté par l'IA et notre formation IA pour les équipes commerciales.

Juridique et conformité : vous possédez le cadre — et les preuves

Cas d'usage concrets : revue de contrats et extraction de clauses par IA, assistants de recherche juridique, veille de conformité, e-discovery, aide à la rédaction d'AIPD.

Les risques : Une double exposition. D'abord, l'usage propre du département : documents couverts par le secret professionnel dans des outils non validés, jurisprudence hallucinée qui atteint une écriture, sur-confiance sans vérification. Ensuite — plus lourd — le risque institutionnel : quand l'autorité de surveillance du marché appellera après août 2026, c'est le juridique qui répondra pour toute l'entreprise. Sans registre IA, sans politique, sans traçabilité des formations, cette conversation tourne mal, quelle que soit la prudence du juridique dans ses propres usages.

À mettre en place : un registre des systèmes d'IA à l'échelle de l'entreprise (l'artefact de conformité le plus précieux du règlement) ; des clauses IA dans les contrats fournisseurs et agences — garanties de classification, notification des nouvelles fonctions IA, droits d'audit ; le pilotage du programme article 4 avec suivi documenté ; et des protocoles de vérification pour le travail IA du juridique lui-même. Notre guide IA pour les équipes juridiques et la formation IA pour les directions juridiques vont plus loin.

Finance et comptabilité : la classification haut risque se cache dans vos workflows de crédit

Cas d'usage concrets : scoring de crédit et de solvabilité des clients par IA, détection de fraude et d'anomalies, prévision de trésorerie, traitement des factures, reporting et supports de COMEX assistés par IA.

Les risques : Évaluer la solvabilité de personnes physiques est un cas d'usage à haut risque de l'annexe III (la détection de fraude est exemptée) — si votre équipe score des indépendants ou des consommateurs avec l'IA, vous êtes sur la trajectoire haut risque de décembre 2027 et devriez commencer maintenant. Plus immédiat : des chiffres hallucinés ou silencieusement arrondis qui alimentent le reporting de gestion, des modèles inexplicables derrière des décisions que les auditeurs questionneront, et des outils de prévision nourris de données financières confidentielles via des comptes grand public.

À mettre en place : une règle de vérification à la source pour tout chiffre produit par IA qui sort du département ; un inventaire signalant tout ce qui touche à la solvabilité ; des exigences d'explicabilité dans les achats d'outils finance ; et une formation centrée sur la vérification et la manipulation des données. Voir les workflows IA pour les équipes finance.

CEO et COMEX : « dans toute la mesure du possible », c'est vous, personnellement

Cas d'usage concrets : analyse stratégique et planification de scénarios avec l'IA, préparation de supports de conseil d'administration, appui aux due diligences M&A — et, surtout, les décisions qui déterminent si le reste de cet article sera suivi d'effet.

Les risques : L'article 4 est une obligation organisationnelle, et les obligations organisationnelles atterrissent sur les bureaux de direction. Une demande d'une autorité de contrôle, une escalade du CSE, une question IA dans la due diligence de votre prochaine levée ou cession — chacune remonte au COMEX en moins d'une journée. Il existe aussi un mode d'échec plus discret : des dirigeants incapables de distinguer le marketing IA des capacités réelles approuvent les mauvais investissements, et les entreprises dont la direction a sauté l'étape de la maîtrise voient leurs initiatives IA s'enliser en phase pilote. Pendant ce temps, acheteurs, assureurs et investisseurs demandent de plus en plus des preuves de gouvernance IA — la conformité à l'article 4 devient une référence commerciale, pas seulement juridique.

À mettre en place : la maîtrise de l'IA au niveau exécutif d'abord — difficile de sponsoriser un programme qu'on échouerait soi-même ; un responsable désigné et un budget pour le programme article 4 ; un comité de gouvernance qui se réunit à un rythme réel ; et des KPI de maîtrise de l'IA sur le tableau de bord de direction, à côté des métriques d'adoption. C'est exactement l'écart traité dans Maîtrise de l'IA au COMEX : pourquoi la formation des dirigeants passe en premier et notre formation IA pour dirigeants.

À quoi ressemble un « niveau suffisant de maîtrise de l'IA » en pratique

La FAQ officielle de la Commission évite délibérément un standard unique, mais elle est précise sur plusieurs points que les équipes conformité pressées doivent noter :

• Aucun certificat obligatoire. Le règlement n'exige ni formation certifiante ni examen. Ce qui compte : que des mesures existent, correspondent à votre contexte et puissent être prouvées.
• S'appuyer sur la seule notice d'utilisation ne suffit pas. Distribuer la documentation de l'éditeur ne remplit pas l'obligation — la Commission attend de vraies mesures : formation, guides, politiques internes.
• Le calibrage par rôle et par contexte est le test central. Un recruteur qui utilise une IA de classement, un marketeur qui génère des vidéos de campagne et un développeur qui affine un modèle ont besoin de niveaux de maîtrise différents. L'article 4 le dit explicitement.
• Les PME ne sont pas exemptées. L'obligation s'applique à tous les fournisseurs et déployeurs quelle que soit leur taille — la proportionnalité joue sur la profondeur des mesures, pas sur leur existence.
• Tout documenter. Conservez des traces internes des formations, guides et initiatives. Quand la surveillance commencera, votre dossier sera votre défense.

Un dernier avertissement de terrain : un webinaire unique pour tous en 2025 ne vous rend pas conforme en 2026. Les outils d'IA livrent de nouvelles capacités chaque mois, et une maîtrise non entretenue se périme. Construisez un rythme, pas un événement — nous avons décrit comment dans une formation IA qui tient dans la durée.

Votre plan d'action article 4 en 6 étapes

1. Diagnostiquez où vous en êtes — aujourd'hui. Lancez notre auto-diagnostic gratuit AI Act de 5 minutes pour un verdict automatisé Rouge/Orange/Vert et un rapport d'écarts à présenter à votre direction cette semaine.
2. Inventoriez chaque point de contact IA. Outils officiels, fonctions embarquées dans votre stack SaaS, et le shadow AI que vos équipes utilisent déjà. On ne peut pas former à un contexte qu'on n'a pas cartographié.
3. Classez au regard du règlement. Signalez tout ce qui approche les interdictions de l'article 5 (reconnaissance des émotions, notation sociale), le haut risque de l'annexe III (recrutement, crédit) et la transparence de l'article 50 (chatbots, contenus synthétiques).
4. Associez chaque rôle à un besoin de maîtrise. Définissez ce que « suffisant » signifie par fonction — RH, marketing, ventes, juridique, finance, direction — en tenant compte des connaissances existantes, comme l'exige l'article 4.
5. Déployez des formations par rôle et fixez les règles. Des sessions pratiques, ancrées dans les cas d'usage, associées à une politique IA utilisable : outils approuvés, règles de données, devoirs de vérification, devoirs de transparence. Si vos managers manquent encore des fondamentaux du prompt, commencez par la maîtrise du prompt pour managers non techniques.
6. Documentez et révisez. Registres de formation, validations de politique, registre IA, responsable désigné — et un rythme de revue (trimestriel est réaliste) pour que le programme suive à la fois la technologie et la pratique de sanction qui se construira à partir d'août 2026. Un cadre de gouvernance à la bonne taille garde tout cela gérable.

Le rôle de Spicy Advisory

L'article 4 se situe au croisement de deux chantiers que la plupart des entreprises mènent séparément : la conformité et l'adoption. C'est une erreur — et une opportunité. Le programme qui satisfait le régulateur est le même que celui qui fait enfin bien utiliser l'IA par vos équipes : des personnes formées, des règles claires, des usages mesurés. La conformité est le plancher ; le ROI habite juste au-dessus.

Spicy Advisory est un cabinet de conseil et de formation IA dirigé par ses fondateurs. Nous avons formé plus de 1 500 professionnels dans plus de 50 entreprises dont L'Oréal, EssilorLuxottica et IGN, avec une note client de 4,98/5 — en français et en anglais. Pour l'article 4, nous travaillons en trois temps : un audit de maîtrise de l'IA qui cartographie vos usages réels, votre exposition aux risques et vos écarts au regard du règlement ; des programmes de formation par rôle pour chaque département cité plus haut ; et un accompagnement à l'adoption pour que la formation devienne une pratique quotidienne, pas un classeur sur une étagère.

Commencez par l'audit de maîtrise de l'IA →

Pas encore prêt pour un échange ? Lancez d'abord l'auto-diagnostic automatisé gratuit — 5 minutes, verdict immédiat, rapport d'écarts en PDF.

Questions fréquentes