Académie IA · Approfondissement juridique
Le règlement IA fait de la compétence IA une obligation d'entreprise : l'art. 4 s'applique depuis février 2025 à toute organisation utilisant l'IA. Cette page traduit les exigences en pratique, avec un check de risque interactif, les obligations des déployeurs selon l'art. 26 et une feuille de route pour remplir l'obligation de formation de façon démontrable.
L'essentiel en bref
L'art. 4 du règlement (UE) 2024/1689 oblige fournisseurs et déployeurs de systèmes d'IA à garantir, dans toute la mesure du possible, un niveau suffisant et adapté aux rôles de maîtrise de l'IA de leur personnel, démontrable et proportionné au risque des systèmes utilisés. Les déployeurs d'IA à haut risque ont en plus une obligation de formation et de surveillance spécifique au système selon l'art. 26.
État : juillet 2026 · approfondit le module 2 (unités 15–18) de la base de connaissances IA
Destinataires
L'AI Act distingue deux rôles centraux. Idée reçue fréquente : si le fournisseur est conforme, l'utilisateur l'est automatiquement. Faux, les déployeurs portent leurs propres obligations, qu'aucun contrat logiciel ne supprime.
Celui qui développe un système d'IA ou le met sur le marché sous son propre nom.
Celui qui utilise un système d'IA professionnellement sous sa propre responsabilité, le rôle de la plupart des entreprises.
Attention au changement de rôle : qui détourne un système d'IA, utilise dans le domaine B un système certifié pour le domaine A, ou le modifie substantiellement, devient juridiquement fournisseur et assume toutes ses obligations.
Check de risque interactif
L'heuristique des quatre questions de la base de connaissances (unité 16), répondez à trois questions oui/non et obtenez la classification avec ses obligations. La question 4 est la conclusion : si aucune n'est affirmée, le risque minimal s'applique.
Question 1 / 3
Le système relève-t-il d'une des pratiques interdites de l'art. 5 ?
P. ex. notation sociale, manipulation subliminale du comportement, reconnaissance des émotions au travail, moissonnage non ciblé d'images faciales.
Risque inacceptable, art. 5
Cette pratique est interdite dans l'UE et ne doit pas être utilisée, quel que soit le bénéfice ou le consentement.
Arrêter ou ne pas commencer l'usage. Infractions : jusqu'à 35 M€ ou 7 % du chiffre d'affaires annuel mondial.
Risque élevé, annexe I / annexe III
Usage autorisé mais strictement encadré. Les obligations complètes de déployeur de l'art. 26 s'appliquent, du contrôle humain à la journalisation.
Vérifier les documents de conformité du fournisseur, mener le cas échéant une analyse d'impact sur les droits fondamentaux, organiser le contrôle humain, former spécifiquement (§ 5), journaliser.
Risque limité, art. 50
Des obligations de transparence s'appliquent : les personnes doivent pouvoir reconnaître qu'elles interagissent avec une IA ou voient des contenus générés.
Assurer l'étiquetage (mention chatbot, labellisation des contenus, marquage des deepfakes), plus l'obligation de compétence de l'art. 4.
Risque minimal, question 4 : aucune réponse affirmative
Pas d'exigences spécifiques de l'AI Act. Le RGPD, la protection des secrets d'affaires et le droit commun de la responsabilité restent bien sûr applicables.
L'art. 4 demeure : tous les utilisateurs ont besoin d'une compétence IA de base adaptée au rôle, documentée.
Note pratique de la base de connaissances : la classe de risque suit le contexte d'usage, pas l'outil, le même modèle de langage est à risque minimal en marketing et à haut risque en tri de CV. En cas de doute, retenir la classe supérieure. Cette heuristique ne remplace pas un conseil juridique au cas par cas.
Art. 4 · Obligation de compétence IA
L'art. 4 ne prescrit aucun programme, il exige une compétence IA « suffisante », adaptée au rôle, au niveau de risque et aux acquis. C'est précisément cette ouverture qui déstabilise beaucoup d'entreprises. La feuille de route suivante en fait un programme solide et prêt pour l'audit.
À retenir : l'art. 4 s'applique depuis le 2 février 2025, sans période transitoire. Qui ne peut présenter de mesures documentées lors d'un contrôle risque d'être jugé non conforme, même si tous les systèmes utilisés sont anodins.
Voici comment construire l'obligation de compétence systématiquement, chaque étape produit exactement les preuves attendues par les autorités :
Recenser tous les outils d'IA utilisés, y compris l'usage fantôme. Par application : finalité, données, utilisateurs, classe de risque (check ci-dessus).
Chaque rôle reçoit un niveau cible : Foundation pour tous les utilisateurs, Intermediate pour les utilisateurs réguliers, Advanced pour les responsables IA et la supervision du haut risque.
Blended plutôt que séminaire unique : bases en autoformation, formation en direct sur de vrais cas d'usage, pratique accompagnée. La base de 120 unités fournit le curriculum.
Par personne : date, contenus, niveau, durée, formateur, résultat. Plus la matrice de compétences de l'organisation et l'affectation des systèmes par risque.
Rafraîchissement annuel ; re-formation immédiate en cas de nouveaux outils, de changements de système ou de nouvelles lignes directrices de la Commission et de l'AI Office.
Les trois niveaux de compétence (Foundation / Intermediate / Advanced), avec contenus et référence DigComp, sont détaillés sur la page d'aperçu de l'Académie IA. Vers les trois niveaux de compétence IA
Art. 26 · Obligations des déployeurs
Si votre entreprise exploite un système à haut risque, par exemple un tri de candidatures assisté par IA, les obligations d'exploitant de l'art. 26 s'appliquent. Les déployeurs ne sont pas des utilisateurs passifs, mais des responsables actifs de la conformité :
N'exploiter le système que comme documenté par le fournisseur (§ 1), s'en écarter peut déclencher le changement de rôle.
Des personnes qualifiées doivent comprendre, surveiller et pouvoir intervenir (§ 1 avec art. 14).
Mesures techniques et organisationnelles contre l'accès non autorisé et la manipulation (§ 2).
Obligatoire pour les organismes publics et les domaines sensibles comme l'emploi ou l'éducation (§ 3 / art. 27).
Tenir et conserver les journaux d'exploitation pour que les décisions restent reconstituables (§ 6).
Informer les personnes lorsque l'IA prend ou prépare des décisions à leur sujet (§ 9 avec art. 50).
Signaler sans délai les incidents graves, au fournisseur et à l'autorité compétente (§ 5).
Formation spécifique au système de tous les utilisateurs, le pont entre l'art. 26 § 5 et l'art. 4.
Coopérer en cas de non-conformités et appliquer les instructions correctives (§ 7).
Issue de l'unité 17 de la base de connaissances, la démarche structurée avant la mise en production d'un système à haut risque :
Déterminer la classe de risque avec l'heuristique des quatre questions, est-ce vraiment l'annexe III ?
Évaluation de conformité, marquage CE, documentation technique, pas de lancement sans eux.
Si l'art. 27 l'exige : la mener et la documenter.
Clarifier la base légale, mener une AIPD si nécessaire, signer un contrat de sous-traitance avec le fournisseur.
Définir responsabilités, voies d'escalade et possibilités techniques d'intervention.
Former tous les utilisateurs spécifiquement au système, archiver les preuves (art. 26 § 5 + art. 4).
Activer les logs et garantir les durées de conservation, avant le go-live.
Éprouvé en pratique, issu de la base de connaissances : au lieu de débattre chaque demande d'outil individuellement, classez les applications d'IA en trois niveaux d'approbation, compréhensibles pour chaque service :
Utilisable sans approbation individuelle : tâches non critiques, pas de données personnelles, pas de secrets d'affaires.
Seulement après examen et avec des mesures organisationnelles : outils pouvant toucher des données personnelles ou confidentielles.
Uniquement avec l'accord explicite de la conformité, de la protection des données et, le cas échéant, du comité d'entreprise : applications à haut risque et situations de données sensibles.
Le modèle tricolore opérationnalise à la fois l'art. 4 et l'art. 26 : il régit qui peut utiliser quoi, et définit quel niveau de compétence une approbation présuppose.
Voici l'affectation par risque de la base de connaissances en pratique, votre matrice sera plus précise mais suit le même schéma :
| Rôle | Usage IA typique | Classe de risque | Niveau cible |
|---|---|---|---|
| Stagiaire / assistance | Assistant d'écriture pour brouillons | Minimal | Foundation |
| Gestion de dossiers | Assistant IA interne, documents & e-mail | Minimal–limité | Foundation–Intermediate |
| Marketing / communication | Textes, images, campagnes générés | Limité (art. 50) | Intermediate |
| RH / recrutement | Présélection de candidatures assistée par IA | Haut risque (annexe III n° 4) | Advanced + art. 26 § 5 |
| Référent IA / conformité | Gouvernance sur tous les systèmes | Toutes classes | Advanced |
Essentiel pour la preuve : la matrice ne consigne pas seulement l'existant, elle justifie l'affectation : quel système, quelle classe de risque, quel niveau, formé quand, rafraîchi quand.
Le règlement IA s'applique par étapes, pour l'obligation de compétence, l'essentiel est : elle s'applique déjà, quels que soient vos systèmes.
Le règlement (UE) 2024/1689 entre en vigueur, le compte à rebours des obligations échelonnées commence.
L'obligation de compétence et les interdictions sont depuis lors du droit applicable pour tous les fournisseurs et déployeurs.
Les règles pour les modèles de fondation et la structure de supervision autour de l'AI Office s'appliquent.
Les obligations d'exploitant de l'art. 26 et de transparence de l'art. 50 sont pleinement applicables.
Dernière étape : l'IA à haut risque dans les produits réglementés comme les machines ou dispositifs médicaux.
Système d'amendes (art. 99) : jusqu'à 35 M€ ou 7 % du chiffre d'affaires annuel mondial pour les pratiques interdites ; jusqu'à 15 M€ ou 3 % pour les manquements aux obligations centrales, le montant le plus élevé prévaut.
Auto-test
Huit affirmations, huit fois oui ou non. À la fin, vous voyez votre score de conformité et savez où vous en êtes. Sans inscription, l'évaluation se fait directement dans votre navigateur.
Votre organisation maîtrise l'obligation de compétence. Gardez le rythme avec des rafraîchissements annuels et continuez d'examiner les nouveaux outils avant usage.
Beaucoup est en place, mais un auditeur trouverait des lacunes. Priorisez maintenant la documentation et l'affectation des rôles. Ce sont les gains les plus rapides.
Les briques les plus importantes restent à poser. La bonne nouvelle : avec la feuille de route en 5 étapes ci-dessus, vous construisez les bases en quelques semaines. Commencez par l'inventaire IA.
Wissensbasis · Volltexte
Jede Unterrichtseinheit als kompletter Lerntext aus der Wissensbasis, mit Übungen, Branchen-Anwendungen und Quellen. Frei zugänglich.
FAQ
Les questions de conformité que directions et responsables RH nous posent le plus souvent.
Oui. L'obligation de compétence (art. 4) et les interdictions (art. 5) s'appliquent à toute entreprise utilisant l'IA professionnellement, sans exception de taille. Les allègements PME n'existent que ponctuellement, p. ex. documentation technique simplifiée pour petits fournisseurs, mais pas pour les obligations de compétence et d'exploitant.
Oui, c'est exactement le rôle du déployeur. Qui utilise un système d'IA professionnellement sous sa propre responsabilité est exploitant au sens du règlement et doit au minimum garantir la compétence IA du personnel (art. 4). Selon le contexte s'ajoutent des obligations de transparence (art. 50) ou de haut risque (art. 26).
Échelonnées selon la gravité (art. 99) : jusqu'à 35 M€ ou 7 % du chiffre d'affaires annuel mondial pour les pratiques interdites, jusqu'à 15 M€ ou 3 % pour les manquements aux obligations centrales comme celles de l'art. 26, jusqu'à 7,5 M€ ou 1 % pour informations erronées aux autorités. Le montant le plus élevé compte.
Non. Une compétence « suffisante » est un état continu : nouveaux outils, changements substantiels ou nouvelles lignes directrices exigent une re-formation ; un rafraîchissement annuel s'est imposé comme rythme de base. Et chaque mesure exige une documentation, sinon elle est réputée ne pas avoir eu lieu.
L'art. 4 est l'obligation générale de compétence pour tous ceux qui travaillent avec l'IA, quel que soit le risque. L'art. 26 § 5 ajoute pour les systèmes à haut risque une obligation spécifique : le personnel doit être formé au système concret. Qui exploite de l'IA à haut risque remplit donc les deux niveaux.
L'AI Act ne connaît pas d'obligation explicite comme pour le délégué à la protection des données. En pratique, la conformité exige pourtant des rôles clairs : quelqu'un qui tient l'inventaire IA, évalue les classes de risque, pilote les formations et signale les incidents. La base de connaissances (unité 107) recommande d'attribuer cette responsabilité explicitement.
Avec l'heuristique des quatre questions de cette page : pratique interdite ? Annexe I/III ? Cas de transparence ? Sinon minimal. Le piège principal : la classe suit le contexte d'usage, un modèle de langage est à risque minimal en marketing et à haut risque en tri de CV. Pour les cas limites : en cas de doute, retenir la classe supérieure.
Non. La conformité du fournisseur (marquage CE, documentation) est une condition préalable mais ne remplace pas vos obligations d'exploitant : usage conforme, contrôle humain, formation, journalisation et signalement d'incidents restent chez vous. Et qui détourne un système devient même fournisseur lui-même.
Continuer à apprendre
Cette page fait partie de l'Académie IA, l'apprentissage continue ici :
Prochaine étape
Nous construisons votre programme de formation conforme à l'art. 4 : par rôles, documenté et sur vos vrais cas d'usage, de la formation Foundation au développement d'AI Champions.
La plateforme
Une IA productive qui s'exécute en toute sécurité dans votre organisation : avec vos propres données, droits et validations. Condensée de la pratique projet réelle en un produit sous licence.
Découvrir OneMachine