AI Act article 4 après l'omnibus de 2026 : ce que la maîtrise de l'IA exige vraiment

Depuis le 27 juillet 2026, l’AI Act article 4 demande de prendre des mesures pour favoriser la maîtrise de l’IA, et non plus de garantir « dans toute la mesure du possible un niveau suffisant de maîtrise de l’IA ». Le règlement (UE) 2026/1744 a modifié cette phrase et ajouté que l’obligation ne contraint pas une organisation à garantir un niveau de maîtrise précis chez un individu. L’obligation d’agir reste donc entière, même si aucune sanction financière n’est attachée spécifiquement à cet article : à vous de pouvoir montrer ce que vous avez mis en place.

Le texte de référence est l’article 4 du règlement (UE) 2024/1689, applicable depuis le 2 février 2025. Il concerne les fournisseurs de systèmes d’IA, mais aussi les déployeurs, c’est-à-dire toute organisation qui utilise un système d’IA sous sa propre autorité dans un cadre professionnel. Une PME dont les collaborateurs rédigent, résument ou traduisent des textes avec un assistant d’IA générative entre dans ce périmètre : c’est l’exemple que cite la Commission européenne dans sa FAQ sur la maîtrise de l’IA.

Dans les faits, cette obligation se joue sur trois éléments : une intention écrite, des mesures réelles adaptées à vos usages, et une trace consultable de ces mesures. Les entreprises qui s’en sortent le mieux n’ont pas monté un projet de conformité, elles ont structuré ce qu’elles faisaient déjà.

Que change l’omnibus de 2026 dans l’article 4 ?

Le règlement (UE) 2026/1744, publié au Journal officiel de l’Union européenne le 24 juillet 2026 et entré en vigueur le 27 juillet, remplace la formule initiale. Les fournisseurs et les déployeurs « prennent des mesures pour favoriser le développement de la maîtrise de l’IA » du personnel et des personnes qui font fonctionner ou utilisent ces systèmes pour leur compte. La version d’origine visait un niveau suffisant de maîtrise ; la nouvelle vise des mesures, sans garantie de résultat individuel.

Ce déplacement change la façon de se préparer. Vous n’avez pas à prouver qu’un commercial sait tout de l’IA : vous avez à montrer que l’entreprise a fait quelque chose de raisonnable pour que ses équipes comprennent ce qu’elles utilisent. Les mesures tiennent compte des connaissances techniques, de l’expérience, de l’éducation et de la formation des personnes, du contexte d’utilisation et des personnes visées par les systèmes. Une session de sensibilisation pour les utilisateurs occasionnels et une session technique pour les développeurs répondent donc à la même obligation, avec un contenu différent.

L’omnibus a aussi décalé plusieurs échéances du texte, notamment celles des systèmes à haut risque. L’article 4, lui, n’a pas bougé : il s’applique depuis février 2025 et reste la partie de l’AI Act qui touche le plus grand nombre d’entreprises.

Qui est concerné, et quels usages entrent dans le périmètre ?

Toute personne qui utilise un outil d’IA au travail sous l’autorité de l’entreprise. En pratique, la liste des systèmes concernés se construit en une heure, en recensant les outils réellement ouverts dans l’entreprise : ChatGPT Enterprise ou Microsoft Copilot pour la rédaction et la synthèse, Claude pour l’analyse de documents longs, Mistral ou Le Chat lorsqu’un hébergement européen est demandé. Ce sont eux qui déclenchent l’obligation.

Le périmètre ne s’arrête pas aux assistants de texte. Un workflow n8n qui classe des demandes ou rédige des réponses contient une étape d’IA, donc un système d’IA utilisé par vos équipes. Un agent construit dans Copilot Studio pour interroger une base documentaire en fait partie aussi. Côté technique, un développement assisté par Claude Code concerne les développeurs qui l’utilisent. La bonne question n’est pas « quel outil ? » mais « qui s’appuie sur un résultat produit par une IA pour travailler ? ». Le tri des outils IA utiles à une PME aide à séparer ce qui est réellement utilisé de ce qui a été essayé une fois.

Deux populations sont souvent oubliées : les personnes qui paramètrent les outils sans les utiliser au quotidien (administrateurs, responsables support, rédacteurs des consignes données à un agent), et les prestataires qui font fonctionner un système pour votre compte. Pour ces derniers, une clause au contrat et une attestation de formation suffisent dans la plupart des cas.

Faut-il une certification, un niveau minimum ou un examen ?

Non. L’article 4 ne prévoit ni certification, ni examen, ni seuil minimal de compétences, et la réécriture de 2026 le dit clairement : aucune organisation n’a à garantir un niveau spécifique de maîtrise pour un individu donné. Un prestataire qui vend une « certification AI Act » répond donc à un besoin qui n’existe pas dans le texte. Ce qui compte est ailleurs : la mesure est-elle réelle, documentée et proportionnée à l’usage ?

La manière la plus efficace de couvrir l’obligation tient en trois niveaux. Pour les dirigeants et les managers : ce que l’IA fait bien, ce qu’elle ne sait pas faire, et qui valide une action proposée par un agent. Pour les métiers : ce qu’il faut vérifier avant d’envoyer un texte ou une réponse client, quelles données ne doivent jamais être collées dans un outil non validé, à qui signaler un résultat douteux. Pour les profils techniques : les garde-fous, les evals et les limites de contexte de l’outil. Développer avec l’IA : ce que ça change pour votre équipe détaille les compétences qui bougent pour chaque rôle.

Reste l’organisation de ces sessions : qui prépare les supports, qui suit les présences, qui relance les personnes non formées quand les équipes grandissent. Formation des équipes : internaliser ou externaliser la logistique et le suivi détaille les critères de décision entre les deux modèles.

Quelles preuves garder pour montrer que vous avez pris des mesures ?

Un registre interne suffit dans la grande majorité des situations : date, participants, contenu abordé en quelques lignes, durée, support utilisé, évaluation courte en fin de session. Ajoutez la liste des systèmes d’IA utilisés et, pour chacun, les personnes qui y ont accès. Ce document se tient en quinze minutes par session et se relit en cinq minutes lors d’un contrôle.

Pour les usages techniques, les traces produites par l’outil complètent utilement le registre. Langfuse conserve les traces d’exécution d’un agent, donc ce qu’il a réellement fait et avec quelles sources ; Ragas mesure la fidélité des réponses d’un système RAG à ses documents. Ces éléments ne sont pas exigés par l’article 4, mais ils répondent à la question suivante d’un client ou d’un auditeur : comment savez-vous que le système se comporte comme prévu ? La démarche complète est décrite sur la page méthode : evals, garde-fous et observabilité.

Un piège fréquent consiste à tout documenter au moment du contrôle. Une note d’une page écrite en octobre 2026 vaut mieux qu’un dossier reconstitué en 2027, parce qu’elle porte une date et des noms.

Par où commencer : les quatre premières semaines

Semaine 1 : listez les outils d’IA ouverts dans l’entreprise et les métiers qui les utilisent, en une page. Semaine 2 : faites circuler une note courte qui dit ce qui est autorisé, ce qui ne l’est pas (notamment les données clients dans un outil non validé) et qui valide une action proposée par un agent. Semaine 3 : une session d’une heure par population, avec deux ou trois cas réels. Semaine 4 : ouvrez le registre, notez la session, fixez une revue trimestrielle.

C’est ce rythme qui distingue une entreprise capable de montrer sa maîtrise de l’IA d’une entreprise qui attend d’y être obligée.