AI Act article 4 : l'obligation de formation IA

Réponse rapide : L'article 4 de l'AI Act s'applique depuis le 2 février 2025 à tout fournisseur et tout déployeur d'un système d'IA — en pratique, à toute entreprise luxembourgeoise dont les salariés utilisent des outils d'IA au travail. Le règlement (UE) 2026/1744, l'omnibus numérique, l'a modifié en juillet 2026 : l'obligation est désormais de prendre des mesures pour soutenir le développement de la maîtrise de l'IA, et non plus d'en garantir, dans toute la mesure du possible, un niveau suffisant. C'est un allègement réel — une obligation de moyens et non de résultat — mais ce n'est pas une suppression. Le texte ne fixe toujours ni volume horaire ni certification. Ce qui tient devant un contrôle : un programme documenté et gradué — 30 à 60 minutes de sensibilisation pour tous, 2 à 4 heures par rôle pour les utilisateurs opérationnels, et des feuilles de présence conservées.

Dernière vérification : 11 septembre 2026.

Au Luxembourg, les conversations sur l'AI Act tournent autour des obligations spectaculaires : les règles applicables aux fournisseurs de modèles à usage général, la documentation des systèmes à haut risque, les évaluations de conformité. L'article que presque aucune entreprise que nous avons auditée n'a traité est l'article 4 — la maîtrise de l'IA — et c'est précisément celui qui s'applique déjà, que vous construisiez de l'IA, que vous en déployiez, ou que vous ayez simplement acheté des licences Microsoft 365 Copilot le trimestre dernier.

Il n'emporte pas d'évaluation de conformité, ne requiert pas d'organisme notifié et ne produit pas de marquage CE. Ce qu'il produit, c'est une obligation documentée pesant sur tout fournisseur et tout déployeur d'un système d'IA, à l'égard des personnes qui opèrent l'IA pour leur compte.

Vous voulez savoir où vous en êtes réellement sur l'article 4 ? Réservez un appel gratuit de 30 minutes — trente minutes suffisent généralement à une première lecture.

Ce guide est le plan 90 jours que nous déroulons avec les PME luxembourgeoises pour combler l'écart de maîtrise — en général la première brique d'une démarche IA plus large au Luxembourg.

---

Ce que dit l'article 4 aujourd'hui (et ce que l'omnibus a changé)

Le texte d'origine imposait aux fournisseurs et aux déployeurs de « prendre des mesures pour garantir, dans toute la mesure du possible, un niveau suffisant de maîtrise de l'IA de leur personnel et des autres personnes s'occupant du fonctionnement et de l'utilisation des systèmes d'IA pour leur compte, en tenant compte de leurs connaissances techniques, de leur expérience, de leur éducation et de leur formation, ainsi que du contexte d'utilisation ».

Le règlement (UE) 2026/1744, en vigueur depuis le 27 juillet 2026, a remplacé le verbe. L'obligation consiste désormais à prendre des mesures pour soutenir le développement de la maîtrise de l'IA chez ces mêmes personnes.

Pourquoi cela compte concrètement : l'ancienne rédaction ouvrait la porte à l'argument selon lequel il fallait garantir un résultat — un « niveau suffisant » — qu'aucun employeur ne maîtrise entièrement. La nouvelle rédaction est une obligation de moyens. Elle est plus facile à satisfaire et plus facile à prouver. Ce n'est pas une abrogation, et le périmètre des personnes couvertes n'a pas bougé.

Trois choses que l'article 4 ne dit toujours pas, et quatre qu'il dit :

Ce qu'il ne dit pas :

• Un nombre d'heures de formation.
• Une norme de certification particulière.
• Que la formation d'un éditeur donné satisfait l'obligation.

Ce qu'il dit :

• Il vise les fournisseurs et les déployeurs. La notion de déployeur couvre toute organisation utilisant de l'IA dans le cadre d'une activité professionnelle. Cela englobe, en pratique, presque toutes les entreprises du Luxembourg.
• Il vise le personnel et les autres personnes opérant l'IA pour votre compte : prestataires, intérimaires, l'agence qui a construit votre chatbot, le cabinet qui assure votre administration de fonds en sous-traitance.
• Les mesures doivent être proportionnées au rôle de la personne et au contexte d'utilisation. Un comptable de fonds junior qui supervise un modèle de détection d'anomalies de VNI n'a pas les mêmes besoins que le juriste qui rédige la politique IA.
• L'obligation est fondée sur le risque et continue — ce n'est pas une case à cocher une fois pour toutes.

La Commission européenne met à disposition des questions-réponses non contraignantes sur la maîtrise de l'IA via son service d'assistance AI Act et ses pages consacrées au cadre réglementaire. Utile, mais non prescriptif. Pour une entreprise luxembourgeoise, la vraie question est : qu'est-ce qu'une autorité de surveillance du marché accepterait comme preuve des « mesures prises » ?

---

La date qui change tout : le 2 août 2026

L'omnibus a reporté les obligations des systèmes à haut risque autonomes de l'annexe III au 2 décembre 2027, et celles de l'IA intégrée à des produits au 2 août 2028. Il n'a pas reporté l'article 4, ni les obligations de transparence de l'article 50, entrées en application le 2 août 2026.

Mais il existe une seconde date, plus importante que l'assouplissement de la formulation. L'obligation existe depuis le 2 février 2025 ; en revanche, la supervision et les sanctions nationales ne s'appliquent que depuis le 2 août 2026. Pour la première fois, l'obligation est entre les mains d'une autorité capable d'agir. Votre exposition n'a pas changé en février 2025 ; ce qui a changé en août 2026, c'est qui peut vous demander des comptes. Si vous traitiez l'article 4 comme une obligation sans échéance, c'est cette lecture-là qui ne tient plus.

Reste un angle mort précis que la formation vient combler. L'article 50 impose à vos équipes de signaler l'interaction avec une IA, d'étiqueter les contenus synthétiques, et de savoir quand un texte d'intérêt public généré par IA exige une mention ou une relecture éditoriale documentée. Ce ne sont pas des contrôles techniques : ce sont des décisions prises par des salariés, tous les jours, au marketing, au support et à la vente. Une équipe qui ignore l'existence de l'article 50 l'enfreindra sans que personne ne l'ait décidé. Le programme de formation est le contrôle le moins cher dont vous disposiez sur la seule partie de l'AI Act qui soit pleinement applicable aujourd'hui. Voir ce qui s'applique réellement maintenant.

---

Ce que « suffisant » veut dire en pratique : le modèle à quatre niveaux

Le cadre qui a tenu dans nos missions 2025-2026 répartit les collaborateurs en quatre niveaux, selon leur rapport réel à l'IA dans leur travail quotidien.

Niveau 1 — Sensibilisation (tout le monde)

Chaque salarié, y compris les non-utilisateurs. 30 à 60 minutes de contenu structuré :

• ce qu'est — et n'est pas — une IA au sens réglementaire ;
• les catégories de risque de l'AI Act ;
• la politique IA interne et les règles d'usage acceptable ;
• comment signaler une préoccupation liée à l'IA.

C'est le plancher. Si un contrôleur demande « avez-vous formé l'ensemble de votre personnel aux bases de la maîtrise de l'IA ? », il vous faut un oui ici, feuilles de présence à l'appui.

Niveau 2 — Utilisateur opérationnel (toute personne qui utilise l'IA au quotidien)

Les commerciaux sur un CRM doté de fonctions IA. Les comptables sur un Copilot. Toute personne produisant des documents assistés par IA. 2 à 4 heures de contenu adapté au rôle :

• le fonctionnement réel des outils utilisés (RAG, agentique ou modèle affiné — voir notre guide RAG / fine-tuning / LLM sur mesure) ;
• les modes de défaillance courants et les schémas d'hallucination ;
• les routines de vérification des résultats ;
• ce qui ne doit jamais être saisi dans un outil non validé.

Niveau 3 — Superviseur (encadrants, responsables opérationnels, toute personne qui agit sur une sortie d'IA)

Tout le contenu du niveau 2, plus les obligations propres à la supervision humaine, la détection de la dérive d'un modèle, et la responsabilité de la décision finale. C'est le niveau que les entreprises oublient le plus souvent, alors que c'est celui où se situe le risque de décision.

Niveau 4 — Responsable de la gouvernance IA

Le juriste, le DPO, le responsable conformité ou le dirigeant qui détient la politique IA, le registre des systèmes et la relation avec l'autorité. Formation approfondie, mise à jour à chaque évolution réglementaire — et il y en a eu trois en 2026.

---

Plutôt en parler que lire la suite ? Réservez un appel gratuit de 30 minutes et nous appliquerons ce modèle à votre effectif réel.

---

Le plan 90 jours

Jours 1-30 — Inventorier. Recensez chaque outil d'IA réellement utilisé dans l'entreprise, y compris ceux que personne n'a validés : l'extension de navigateur, le compte ChatGPT personnel utilisé pour rédiger des offres, la fonction IA activée par défaut dans un logiciel existant. Pour chaque outil, listez qui l'utilise, qui le supervise et qui en assure la configuration. C'est cet inventaire, et non la formation, qui prend le plus de temps.

Jours 31-60 — Former le socle. Déployez le niveau 1 à tout l'effectif. Intégrez-y un bloc de cinq minutes sur l'article 50 : quand signaler une interaction avec une IA, quand étiqueter un contenu généré, qui assume la responsabilité éditoriale. C'est la partie de la formation qui se rentabilise d'elle-même.

Jours 61-90 — Spécialiser et documenter. Construisez les modules par rôle et par outil pour les niveaux 2 et 3, et constituez le dossier : contenus, dates, participants, et la note d'une page expliquant pourquoi ce dispositif est proportionné à votre activité. C'est ce document, plus que le volume horaire, qui fait la différence lors d'un contrôle.

---

Les spécificités luxembourgeoises qui modifient le plan

Le multilinguisme n'est pas un détail de forme. Si votre effectif travaille en français, en allemand, en anglais et en luxembourgeois, une formation dispensée uniquement en anglais ne démontre pas que les mesures étaient proportionnées « en tenant compte de l'éducation et de la formation » des personnes concernées. C'est l'un des rares endroits où le coût de la conformité au Luxembourg est structurellement supérieur.

Les frontaliers et les prestataires comptent. L'article 4 vise les « autres personnes » opérant l'IA pour votre compte. Le prestataire qui exploite votre chatbot est dans le périmètre, même s'il n'est pas au Luxembourg.

La délégation du personnel. Si vous en avez une, l'introduction d'outils traitant ou surveillant des données de salariés doit lui être présentée. Autant intégrer la formation IA dans cette discussion plutôt que de la mener deux fois.

Le financement. Les SME Packages AI couvrent jusqu'à 70 % d'un projet IA compris entre 3 000 et 25 000 € HTVA, formation incluse, dans la limite de 17 500 € d'aide. Peu d'entreprises savent que le volet formation est éligible. Voir notre guide du SME Packages AI.

---

Trois erreurs que nous voyons revenir

« Nous avons envoyé une note de service. » Une communication n'est pas une mesure de formation et ne produit aucune preuve exploitable. Il n'existe aucune feuille de présence pour un e-mail.

« Nos équipes techniques savent déjà. » L'article 4 ne vise pas la compétence technique : il vise la compréhension du risque, du contexte et des obligations. Un développeur chevronné peut parfaitement ignorer les obligations de transparence de l'article 50.

« On attendra de voir comment c'est appliqué. » C'était défendable avant le 2 août 2026. Depuis, l'autorité existe et peut demander. Le coût d'un programme de niveau 1 pour une PME de cinquante personnes est très inférieur au coût d'expliquer pourquoi il n'y en avait aucun.

---

Faire du dossier de formation un registre défendable

La formation n'a de valeur probante que si elle est rattachée à un registre : la liste des systèmes d'IA, leur classification de risque, les personnes qui les opèrent, et les mesures prises pour chacune. C'est exactement le point de départ d'une mise en conformité plus large — et c'est le travail que couvre notre accompagnement AI Act.

Si vous voulez un avis extérieur sur votre situation avant d'engager quoi que ce soit, réservez 30 minutes. Nous regardons votre inventaire réel et vous repartez avec la liste de ce qui manque.