L'accord « Omnibus sur l'IA », formellement adopté par le Conseil le 29 juin, a repoussé plusieurs jalons du règlement. Pour de nombreuses organisations, cette nouvelle a été accueillie comme un soulagement général : plus de temps, moins de pression.
Or, cette impression n'est que partiellement exacte. Il existe plusieurs obligations juridiquement contraignantes depuis février 2025, dont une en particulier qui n'a pas été décalée par l'Omnibus sur l'IA.
Depuis le 2 février 2025, le règlement européen sur l'intelligence artificielle (AI Act) impose une obligation encore méconnue mais transversale : l'acculturation à l'IA, ou AI literacy (article 4). Concrètement, toute organisation qui développe ou utilise l'intelligence artificielle doit garantir un niveau suffisant de maîtrise de l'IA parmi son personnel. C'est souvent la première obligation concrète que rencontrent les entreprises face à l'AI Act.
Qu'est-ce que l'acculturation à l'IA ou la maîtrise de l'IA ?
L'acculturation à l'IA désigne l'ensemble des compétences nécessaires pour comprendre, utiliser et encadrer les systèmes d'IA de manière éclairée. Il ne s'agit pas de faire de chacun un data scientist capable de concevoir des modèles d'IA, mais de donner à chaque collaborateur les repères pour travailler avec ces nouvelles technologies en connaissance de cause, et non comme une « boîte noire ».
Ce qu'impose l'article 4 tel que modifié par l'Omnibus sur l'IA
Une obligation déjà entrée en application
L'article 4 de l'AI Act impose aux fournisseurs et aux déployeurs de systèmes d'IA de prendre des mesures pour assurer la maîtrise de l'IA de leur collaborateurs et de toute autre personne s'occupant, pour leur compte, du fonctionnement et de l'utilisation de systèmes d'IA. Cette obligation s'applique indépendamment du niveau de risque du système concerné, et elle est en vigueur depuis le 2 février 2025.
Ce que l'on oublie trop souvent, c'est que cet article est déjà entré en application et n'a pas été reporté par l'Omninbus sur l'IA. Résultat : de nombreuses organisations repoussent leur mise en conformité sur la maîtrise et l'acculturation à l'IA, alors qu'elle est déjà en vigueur depuis février 2025.
Or, les autorités nationales de surveillance du marché, à partir du 2 août 2026, ont commencé à surveiller la mise en conformité des organisations à cet article entre autres.
Une obligation dont la substance a été modifiée
Le texte initial imposait aux organisations de « garantir un niveau suffisant » de maîtrise de l'IA, donc une obligation de résultat.
Le texte tel que modifié par l'Omnibus sur l'IA, entré en vigueur fin juillet 2026, leur demande désormais de « prendre des mesures pour soutenir le développement » de cette maîtrise, donc une obligation de moyens.
L'obligation n'a pas été supprimée et la date d'application de février 2025 n'a pas bougé, mais sa nature juridique est passée d'une garantie à un effort démontrable.
Il est facile d'y voir, à tort, une obligation qui s'éteindrait discrètement. Ce n'est pas le cas. Ce qui change, c'est le critère au regard duquel les efforts d'une organisation seront jugés, non l'existence même de l'obligation de fournir un effort.
Qui est concerné et depuis quand ?
L'obligation s'applique depuis le 2 février 2025, à tous les fournisseurs et déployeurs de systèmes d'IA, quels que soient leur taille et leur secteur. Contrairement à d'autres obligations de l'AI Act, elle ne se limite pas aux systèmes à haut risque : dès qu'une organisation utilise l'IA, elle doit sensibiliser et former les personnes qui la manipulent.
Un risque lié à une maîtrise insuffisante de l'IA : le Shadow AI
Une maîtrise insuffisante de l'IA produit généralement un effet secondaire bien connu : le Shadow AI, c'est-à-dire l'utilisation d'outils d'IA par les employés sans supervision de l'IT, du juridique ou de la conformité. Ce phénomène rappelle le problème plus ancien du Shadow IT (l'informatique fantôme), tout en comportant des risques propres à l'IA : fuites de données sensibles via des outils externes non sécurisés, transferts de données non autorisés, exposition accrue aux violations de données, aux contentieux et aux atteintes à la réputation.
Le Shadow AI doit surtout être lu comme un signal d'alerte précoce : un signe que le rythme d'adoption de l'IA au sein d'une organisation a dépassé celui de sa gouvernance.
Deux cas illustratifs :
- Un incident de sécurité interne chez un grand fabricant d'électronique, où des ingénieurs ont partagé du code source propriétaire avec un agent conversationnel d'IA public, exposant ce code à l'extérieur de l'entreprise.
- Une zone de risque juridique identifiée au sein d'un cabinet d'avocats international, contraint d'émettre des lignes directrices internes sur l'usage de l'IA après que certains avocats se sont révélés incapables de justifier les sources sur lesquelles s'appuyaient des recherches juridiques assistées par IA.
Une approche pratique, ancrée dans les lignes directrices de la Commission
Une FAQ qui se résume à quatre étapes
La bonne nouvelle, c'est que le niveau d'exigence est réellement proportionné, et que les organisations n'ont pas à deviner ce qu'attendent les régulateurs. La Commission européenne a publié une foire aux questions permanente sur la maîtrise de l'IA, qui expose une approche minimale sans imposer de modèle rigide. Elle se résume à quatre étapes.
- Premièrement, développer au sein de l'organisation une compréhension générale de ce qu'est l'IA, de son fonctionnement, et des usages qui en sont réellement faits. De nombreuses organisations restent aujourd'hui incapables de répondre à cela avec précision.
- Deuxièmement, identifier le rôle de l'organisation : développe-t-elle des systèmes d'IA, ou se contente-t-elle d'utiliser des systèmes développés par des tiers ? Les besoins de maîtrise de l'IA diffèrent entre un fournisseur et un déployeur.
- Troisièmement, évaluer le niveau de risque des systèmes d'IA concernés, dans la mesure où le personnel utilisant un système dans le cadre de décisions RH a besoin d'un niveau de compréhension différent de celui utilisant un simple assistant de rédaction à usage général.
- Quatrièmement, bâtir des mesures concrètes sur la base de cette analyse, calibrées selon les connaissances techniques, l'expérience de chaque groupe, et le contexte d'utilisation du système. En pratique, cela se traduit généralement par une courte liste d'actions gérables : une session de formation documentée pour le personnel en contact avec des systèmes d'IA, différenciée entre publics techniques et non techniques ; une politique interne écrite décrivant les usages acceptables etc.
Une maîtrise de l'IA selon le niveau de risque
Le niveau de risque doit également guider le contenu de la formation, pas seulement son intensité.
Les lignes directrices de la Commission donnent un exemple parlant : des employés utilisant un outil à usage général tel que ChatGPT pour rédiger des textes marketing ou traduire des contenus doivent malgré tout comprendre des risques spécifiques comme l'hallucination, alors même que l'outil n'est pas à haut risque.
Les déployeurs de systèmes à haut risque portent par ailleurs une obligation supplémentaire et connexe au titre de l'article 26, celle de veiller à ce que le personnel soit formé à exercer un contrôle humain, obligation qu'il convient d'intégrer au même programme plutôt que de traiter séparément.
Comment se mettre en conformité ? Une démarche en 5 étapes
- Évaluer les niveaux existants : cartographier qui utilise l'IA et avec quelle maîtrise, par profil.
- Segmenter les besoins : dirigeants, équipes techniques, fonctions support et utilisateurs métier n'ont pas les mêmes compétences nécessaires.
- Construire des programmes de formation couvrant les fondamentaux : fonctionnement de l'IA et des modèles d'IA, capacités et limites, biais, prompt engineering, cadre réglementaire (AI Act, RGPD) et considérations éthiques.
- Ancrer par la pratique : expérimenter sur des cas d'usage réels (rédaction, analyse des données, automatisation de tâches répétitives) pour comprendre forces et limites.
- Documenter et maintenir : conserver la trace des actions (contenus, participants, dates) comme preuve de conformité, et assurer la mise à jour régulière face à des projets IA qui évoluent vite.
Un répertoire évolutif de pratiques de maîtrise et acculturation à l'IA
Les organisations en quête d'un point de repère plutôt que d'un modèle à suivre peuvent également consulter le répertoire évolutif de pratiques de maîtrise de l'IA, un recueil volontaire d'initiatives soumises par d'autres organisations et examinées par la Commission sous l'angle de la transparence et de la fiabilité de base. Il ne confère aucune présomption de conformité, mais donne une idée réaliste de ce à quoi ressemble un effort proportionné en pratique, tous secteurs et toutes tailles d'entreprise confondus.
La Commission a précisé qu'aucun certificat n'est exigé, qu'aucun responsable IA dédié ni comité de gouvernance n'est imposé, et que reproduire à l'identique un programme de formation déjà publié ne garantit pas, en soi, la conformité. Ce qui compte, c'est que les mesures soient réelles, proportionnées à l'usage effectif de l'IA par l'organisation, et suffisamment documentées pour pouvoir être produites en cas de demande d'un régulateur.
Acculturation à l'IA et gouvernance : un socle commun
L'acculturation ne se limite pas à une formation ponctuelle : elle nourrit toute la gouvernance de l'IA. Des équipes sensibilisées identifient mieux les systèmes à risque, alimentent le registre des systèmes d'IA et appliquent plus facilement les autres obligations (transparence, supervision humaine, analyses d'impact). Elles favorisent aussi une meilleure prise de décision et un usage responsable de l'IA au quotidien. La solution de gouvernance de l'IA de Dastra aide à structurer cette démarche à l'échelle de l'organisation.
FAQ
Qu'est-ce que l'acculturation à l'IA (AI literacy) ?
C'est l'ensemble des compétences permettant de comprendre, d'utiliser et d'encadrer l'intelligence artificielle de façon éclairée : fonctionnement des modèles, capacités, limites, biais, prompt engineering et considérations éthiques. L'article 4 de l'AI Act en fait une obligation.
Depuis quand l'obligation d'acculturation à l'IA s'applique-t-elle ?
Depuis le 2 février 2025, en même temps que les interdictions de l'article 5.
Qui est concerné par l'article 4 de l'AI Act ?
Tous les fournisseurs et déployeurs de systèmes d'IA, quels que soient leur taille et leur secteur, et pas uniquement les systèmes à haut risque.
Comment prouver sa conformité à l'obligation d'acculturation ?
En documentant les programmes de formation mis en œuvre : contenus, participants, dates, actualisés régulièrement.
L'acculturation à l'IA concerne-t-elle uniquement les équipes techniques ?
Non. Elle vise toutes les personnes qui utilisent l'IA ou encadrent son usage, avec un niveau adapté à chaque rôle (dirigeants, juristes, fonctions support, utilisateurs métier).