Former ses salariés à l'IA : que dit réellement la loi ?

L'article 4 du Règlement (UE) 2024/1689, publié sur EUR-Lex et présenté par l'AI Act Service Desk de la Commission européenne, pose une obligation courte. Les fournisseurs et les déployeurs de systèmes d'IA prennent des mesures pour développer la maîtrise de l'IA (« AI literacy ») de leur personnel et des autres personnes qui utilisent ou font fonctionner ces systèmes pour leur compte. Le déployeur est l'entreprise qui utilise un système d'IA sous sa propre autorité, y compris un assistant d'IA générative acheté sur étagère.

Une obligation proportionnée, applicable depuis le 2 février 2025

Les mesures doivent tenir compte des connaissances techniques, de l'expérience, de l'éducation et de la formation des personnes. Elles tiennent aussi compte du contexte d'utilisation et des personnes ou groupes sur lesquels le système est utilisé. Un assistant de traduction et un outil de tri de candidatures n'appellent donc pas le même effort.

Ce que le texte n'impose pas

L'article 4 ne prévoit aucun nombre d'heures, programme type, examen, diplôme ou certification européenne individuelle. Sa version amendée précise que l'obligation n'exige pas de garantir un niveau déterminé de maîtrise pour chaque individu. Il existe toutefois une limite, rapportée par l'analyse Qiiro du questions-réponses de la Commission. S'appuyer sur les seules instructions d'utilisation, ou demander au personnel de les lire, peut être inefficace et insuffisant. Une entreprise dont les salariés rédigent ou traduisent avec ChatGPT doit les informer des risques spécifiques, notamment les hallucinations.

Le Code du travail complète le règlement

L'article L.6321-1 du Code du travail oblige l'employeur à assurer l'adaptation des salariés à leur poste. Il doit aussi veiller au maintien de leur capacité à occuper un emploi, au regard notamment de l'évolution des technologies.

La réponse est donc nuancée. Oui, les organisations concernées doivent prendre des mesures de maîtrise de l'IA. Non, la loi n'impose pas une formation standardisée à chaque salarié. Pour le reste du règlement, je renvoie à ce panorama des obligations AI Act qui pèsent sur les PME françaises.

Qui doit être formé à l'IA dans l'entreprise ?

Deux erreurs opposées sont possibles : former tout le monde de la même manière, ou réserver la formation aux développeurs. L'article 4 vise le personnel, mais aussi les « autres personnes » qui utilisent un système d'IA au nom de l'entreprise : sous-traitants, prestataires, consultants, opérateurs externalisés. L'analyse publiée par Unow cite ainsi les recruteurs qui analysent des CV, les managers qui évaluent la performance et les commerciaux qui génèrent des propositions.

Je propose de raisonner en quatre profils, avec un niveau de maîtrise lié à l'impact potentiel du système sur les personnes concernées.

Public Usages Risques Niveau de formation Preuve attendue
Tous les collaborateurs Assistant généraliste, fonctions IA des logiciels Hallucinations, biais, fuite de données Sensibilisation courte Support diffusé, liste des participants
Utilisateurs métier (RH, commerce, marketing, support) Tri de CV, propositions, contenus, analyse de documents Discrimination, erreur transmise au client Ateliers par métier Exercices pratiques, règles d'usage signées
Managers, achats, DSI, juristes, DPO, RSSI, CSE Choix des fournisseurs, gouvernance, supervision Données mal maîtrisées, conséquences sociales Formation gouvernance Matrice des rôles, comptes rendus
Équipes techniques, data, produit Intégration, tests, configuration Sécurité, qualité des données Formation approfondie Documentation, résultats de tests

Les sigles de la troisième ligne désignent la direction des systèmes d'information (DSI), le délégué à la protection des données (DPO), le responsable de la sécurité des systèmes d'information (RSSI) et le comité social et économique (CSE).

Deux précisions évitent les confusions fréquentes :

  • Les usages sensibles passent en premier : recrutement, évaluation, accès à un service ou décision professionnelle exigent une maîtrise plus poussée, car le système produit des effets directs sur des personnes identifiées.
  • Le catalogue de l'ANSSI n'est pas une obligation IA : les formations du CFSSI portent sur la cybersécurité et s'adressent aux agents publics, aux collectivités et aux opérateurs d'importance vitale ou de services essentiels.

Les salariés qui n'utilisent aucun système d'IA ne sont pas la cible première du texte. Une sensibilisation générale reste utile pour limiter les usages informels. Les fiches par profession du hub métiers aident à repérer les usages propres à chaque fonction.

Que doit contenir une formation à l'intelligence artificielle ?

Un parcours utile part des usages réels, pas d'un cours théorique sur l'apprentissage automatique. Le texte ne fixe aucun contenu. Je recommande toutefois un socle commun, complété par des modules adaptés aux métiers.

Le socle commun

  • Comprendre l'outil : définition d'un système d'IA, différence entre automatisation, IA prédictive et IA générative, limites des modèles, hallucinations et erreurs à repérer avant toute diffusion d'un contenu produit.
  • Identifier les risques : biais et discrimination, confidentialité et données personnelles au sens du RGPD (Règlement général sur la protection des données), propriété intellectuelle, cybersécurité et exposition d'informations internes.
  • Appliquer les règles : validation humaine systématique, liste des outils autorisés, données interdites de saisie, procédure de signalement d'un incident et interlocuteur désigné en cas de doute sur un usage.

Le glossaire IA d'IAPRO peut servir de support pour stabiliser ce vocabulaire commun.

Les modules par métier

Public Thèmes à ajouter au socle
RH Recrutement, évaluation, non-discrimination
Marketing, commerce Vérification des contenus, informations confidentielles, responsabilité envers les clients
Finance, santé, secteurs réglementés Traçabilité, explicabilité, contrôle des décisions
Managers Conduite du changement, impacts sur le travail, dialogue social
Équipes techniques Gouvernance des données, documentation, tests, surveillance, incidents

Une pédagogie orientée pratique

Une politique d'utilisation ou une notice fournisseur ne remplace pas nécessairement une formation. L'utilisateur doit savoir appliquer la consigne à son contexte et reconnaître une situation à risque. Le format que je recommande combine quatre éléments : un module court de sensibilisation, des ateliers sur les outils réellement autorisés, des exercices de vérification des réponses et un cas de fuite de données. Un quiz de validation peut clore le parcours.

Pour le socle généraliste, le cursus Intelligence artificielle de Bpifrance, référencé par France Num, est une base gratuite. Il dure 10 heures, en ligne, et couvre les concepts, les implications éthiques et réglementaires et la conduite du changement.

Enfin, aucune certification officielle de l'Union européenne n'atteste la maîtrise individuelle de l'IA au titre de l'article 4. Une certification privée peut avoir un intérêt pédagogique, mais elle ne vaut pas conformité. Notre page formation IA en entreprise adaptée à vos outils et à vos métiers présente l'approche IAPRO sur ce point.

Comment construire un plan de formation IA adapté à son entreprise ?

Voici une méthode en cinq étapes pour traduire l'obligation générale en plan d'action. Elle s'inspire librement de la démarche décrite par Kubicle, pour qui un dispositif défendable est un processus, pas un cours ponctuel.

  1. Inventorier les systèmes d'IA : outils achetés, fonctions intégrées aux logiciels métier et usages informels, avec pour chacun le fournisseur, la finalité, les données traitées, les utilisateurs, le niveau de risque et les personnes affectées.
  2. Cartographier les rôles : qui conçoit, achète, configure, utilise ou supervise chaque outil, salariés comme intervenants externes, afin de délimiter précisément le périmètre de l'obligation.
  3. Évaluer les écarts de compétences : questionnaire de positionnement, entretiens et analyse des incidents suffisent à établir un diagnostic. La Commission précise que l'article 4 n'oblige pas à mesurer les connaissances de chaque travailleur.
  4. Affecter un parcours proportionné : sensibilisation générale, formation métier, formation des managers ou expertise technique et conformité, selon le profil et le système utilisé.
  5. Documenter puis actualiser : conserver les preuves et revoir le dispositif à chaque nouvel outil, modification fonctionnelle, incident ou évolution réglementaire.

Les preuves à conserver

Le dossier réunit les éléments suivants :

  • Le cadrage : liste des populations ciblées, objectifs pédagogiques par profil, règles d'usage communiquées et version des outils concernés au moment de la formation.
  • La réalisation : supports utilisés, dates, participants, attestations internes, résultats des exercices pratiques et calendrier de recyclage prévu pour chaque population formée.

Un registre de présence seul prouve une participation, pas la pertinence de la formation. Il faut pouvoir relier le contenu au rôle et au système utilisé.

Une gouvernance partagée

Je recommande d'associer la direction, les RH, la DSI, le RSSI, le DPO, le juridique et les représentants du personnel. Deux leviers existants facilitent l'intégration : la GEPP (gestion des emplois et des parcours professionnels) et le plan de développement des compétences. Un financement par l'OPCO (opérateur de compétences) suppose de passer par un organisme de formation certifié Qualiopi. Le FNE-Formation est fermé aux nouvelles demandes depuis le 31 décembre 2024. Le simulateur d'aides permet un premier repérage des dispositifs mobilisables.

Cas pratique : former une PME qui déploie un assistant IA générative

L'exemple qui suit est illustratif, construit pour la démonstration. Une PME française d'environ cinquante salariés autorise un assistant d'IA générative pour rédiger des brouillons, résumer des documents et traduire des contenus.

Le diagnostic

Les utilisateurs sont dispersés entre marketing, commerce, direction et fonctions support. Certains copient déjà des informations clients dans des outils non validés, et les niveaux de connaissance sont hétérogènes. C'est le cas que vise la Commission européenne lorsqu'elle évoque l'information sur les hallucinations.

Un plan en trois cercles

  • Cercle 1, tous les salariés : session courte sur l'IA générative, les hallucinations, la vérification humaine, les données interdites, les droits d'auteur et la procédure de signalement d'un incident.
  • Cercle 2, utilisateurs réguliers : ateliers par métier avec rédaction de prompts, comparaison de réponses, contrôle des sources, anonymisation des données et validation avant toute diffusion externe.
  • Cercle 3, direction, DSI, DPO, managers : choix du fournisseur, localisation et traitement des données, gestion des comptes, conservation des journaux, clauses contractuelles, supervision et revue des usages.

La PME y ajoute une règle simple. Aucune décision concernant un salarié, un candidat ou un client n'est prise automatiquement sans contrôle humain compétent.

Les livrables et les bénéfices attendus

Le dispositif produit les livrables suivants :

  • une charte d'usage et la liste des outils autorisés ;
  • une matrice des rôles ;
  • les supports de formation et les feuilles de présence ;
  • un quiz ou un exercice pratique ;
  • un registre des incidents ;
  • une revue trimestrielle.

Les bénéfices attendus sont de trois ordres : moins d'erreurs diffusées, moins d'usages clandestins et une meilleure adoption. S'y ajoutent la capitalisation des bonnes pratiques et la capacité à démontrer la diligence de l'employeur. La conduite du changement figure d'ailleurs parmi les objectifs du cursus Bpifrance.

Ce qu'il ne faut pas faire : acheter une certification générique sans lien avec les outils utilisés, former uniquement les volontaires, interdire sans expliquer, ou déployer un outil sans avoir analysé les données qu'il traitera.

Les règles relatives aux données personnelles gagnent à s'appuyer sur les recommandations de la CNIL.

Formation IA, conformité et retour sur investissement : comment arbitrer ?

La formation n'est pas seulement une charge de conformité. C'est un investissement de maîtrise des risques et de performance, qui s'arbitre sur trois volets.

Le volet conformité

L'article 4 ne prévoit pas d'amende attachée à un nombre d'heures de formation. Le régime de sanctions du règlement (article 99) s'applique depuis le 2 août 2026. Une entreprise incapable de démontrer des mesures adaptées fragilise sa position lors d'un contrôle, d'un incident ou d'un litige. Les systèmes à haut risque de l'annexe III relèvent d'une exigence distincte, applicable à compter du 2 décembre 2027. Les personnes chargées de la supervision humaine doivent disposer de la compétence, de la formation et de l'autorité nécessaires. Le hub AI Act d'IAPRO présente l'accompagnement correspondant.

Le volet droit du travail

L'article L.6321-1 impose d'accompagner l'évolution des technologies et de maintenir l'employabilité. Qiiro rappelle qu'un défaut de formation peut ouvrir droit à des dommages et intérêts.

Le volet performance

Je conseille de mesurer quelques indicateurs avant et après la formation :

  • Adoption et productivité : taux d'utilisation des outils autorisés, temps économisé sur des tâches ciblées, nombre de cas d'usage documentés et satisfaction des équipes formées.
  • Qualité et risque : taux de réponses corrigées avant diffusion, incidents de confidentialité signalés et couverture des populations exposées aux systèmes d'IA.

Le calcul du retour sur investissement doit rester prudent. Il sépare les gains de productivité mesurés des gains qualitatifs, comme la réduction du risque. Le calculateur de ROI IA aide à poser ces hypothèses.

Lorsque les données sont sensibles, une stratégie souveraine se justifie : outils maîtrisés, hébergement approprié, transferts limités, équipes formées aux règles de confidentialité.

Ma recommandation tient en trois niveaux : sensibiliser tous les collaborateurs concernés, spécialiser les utilisateurs et les gouvernants, puis maintenir les compétences dans le temps. Les sources commerciales citées ici éclairent la pratique. Elles ne remplacent ni le texte réglementaire ni un conseil juridique.

FAQ — former ses salariés à l'IA

Toutes les entreprises qui utilisent ChatGPT doivent-elles former tous leurs salariés ?

Non, pas de manière uniforme. L'article 4 vise le personnel et les personnes qui utilisent ou font fonctionner un système d'IA pour le compte de l'entreprise. Celle-ci doit au minimum informer ces utilisateurs des risques spécifiques, notamment les hallucinations, comme l'illustre l'exemple de la Commission européenne. Les salariés qui n'utilisent aucun outil d'IA peuvent recevoir une simple sensibilisation.

L'article 4 de l'AI Act impose-t-il un nombre minimal d'heures de formation à l'IA ?

Non. Le texte ne fixe ni durée minimale, ni programme, ni périodicité, ni examen. Il demande des mesures proportionnées aux connaissances techniques, à l'expérience et à la formation des personnes, ainsi qu'au contexte d'utilisation du système. Sa version amendée précise même que l'obligation n'exige pas de garantir un niveau déterminé de maîtrise pour chaque individu.

Une charte d'utilisation de l'IA suffit-elle à respecter l'obligation de maîtrise de l'IA ?

Pas nécessairement. Une charte fixe les règles, mais elle ne garantit pas que l'utilisateur sache les appliquer à son contexte. La Commission européenne souligne que s'appuyer sur les seules instructions d'utilisation, ou demander au personnel de les lire, peut être inefficace et insuffisant. La charte gagne donc à être complétée par des ateliers pratiques et des exercices.

Les sous-traitants et prestataires doivent-ils aussi être formés à l'IA ?

Oui, lorsqu'ils utilisent ou font fonctionner un système d'IA pour le compte de l'entreprise. L'article 4 vise expressément, au-delà du personnel, les « autres personnes » intervenant en son nom. En pratique, l'entreprise peut intégrer ses règles d'usage au contrat, exiger une preuve de sensibilisation ou inclure ces intervenants dans ses propres sessions de formation.

Existe-t-il une certification officielle de l'Union européenne pour la maîtrise de l'IA ?

Non. L'article 4 ne crée aucun certificat, diplôme ou examen européen attestant la maîtrise individuelle de l'IA. Les certifications proposées sur le marché sont des initiatives privées : elles peuvent être utiles pédagogiquement, mais elles ne valent pas conformité. Ce qui compte, c'est l'adéquation des mesures prises au rôle de chaque personne et aux systèmes réellement utilisés.

Comment prouver qu'une entreprise a formé ses salariés à l'intelligence artificielle ?

En conservant un dossier qui relie chaque formation à un rôle et à un système : inventaire des outils, populations ciblées, objectifs pédagogiques, supports, dates, participants, résultats d'exercices, règles d'usage diffusées et calendrier d'actualisation. Une feuille de présence seule prouve la participation, pas la pertinence. Aucun texte n'impose un format de preuve unique ; la cohérence d'ensemble prime.

Qui doit être formé en priorité lorsqu'une entreprise déploie un système d'IA à haut risque ?

Les personnes chargées de la supervision humaine du système : elles doivent disposer de la compétence, de la formation et de l'autorité nécessaires. Viennent ensuite les utilisateurs métier, puis les managers, la DSI, le DPO et le juridique. Les exigences propres aux systèmes à haut risque de l'annexe III s'appliquent à compter du 2 décembre 2027.

La formation à l'IA peut-elle être intégrée au plan de développement des compétences ?

Oui. Le plan de développement des compétences est le support naturel de ces actions, en cohérence avec l'article L.6321-1 du Code du travail et, le cas échéant, la GEPP. Un financement par l'OPCO suppose de passer par un organisme de formation certifié Qualiopi. Le FNE-Formation, lui, est fermé aux nouvelles demandes depuis le 31 décembre 2024.

Pour aller plus loin avec IAPRO

IAPRO aide les entreprises à cadrer leurs usages et à former leurs équipes sur des outils d'IA souverains. Consultez la page formation IA en entreprise, puis décrivez votre contexte via la page contact.

Avant de fixer votre budget, vérifiez votre éligibilité aux aides. Le plan de développement des compétences peut être financé par votre OPCO, via un organisme certifié Qualiopi. Le Diag Data IA de Bpifrance, mission de 10 000 € HT prise en charge à 40 %, s'adresse aux entreprises de 10 à 2 000 salariés. Elles doivent réaliser au moins 1 M€ de chiffre d'affaires et avoir plus d'un an d'existence. Le simulateur d'aides vous donne une première réponse.

Vérifiez vos aides en 2 minutes

Chaque dispositif (Bpifrance, France Num, aides régionales, OPCO) a ses propres critères d'éligibilité et ses propres délais. Notre simulateur croise votre profil avec les dispositifs actifs, ou échangez directement avec un expert IAPRO.

Vérifier mon éligibilité Demander un diagnostic gratuit de 30 min

Liens utiles