Littératie IA : l'obligation de formation de l'AI Act

Depuis le 2 février 2025, l'article 4 du règlement européen sur l'intelligence artificielle impose à toute organisation utilisant de l'IA de garantir un niveau suffisant de littératie IA à ses équipes. Cette obligation est déjà en vigueur, sans attendre les échéances d'août 2026. Elle touche tous les déployeurs d'un système d'IA, quelle que soit la taille de l'entreprise. Voici ce que la loi demande précisément, ce que cela signifie en pratique, et comment y répondre efficacement.

Qu'est-ce que la littératie IA selon l'article 4 de l'AI Act ?

Le terme « littératie IA » désigne l'ensemble des connaissances de base permettant à un utilisateur de comprendre ce qu'est un système d'IA, comment il produit ses résultats, quelles sont ses limites, et dans quel contexte son utilisation peut poser des problèmes. Ce n'est pas une maîtrise technique des algorithmes : c'est une compréhension pratique qui permet d'utiliser l'IA de façon éclairée.

L'article 4 du règlement UE 2024/1689 formule l'obligation ainsi : fournisseurs et déployeurs prennent des mesures pour garantir, dans la mesure du possible, un niveau suffisant de littératie en matière d'IA pour les personnes qui utilisent des systèmes d'IA pour leur compte. La formulation « dans la mesure du possible » et la prise en compte de l'expérience et du contexte indiquent que l'obligation est proportionnelle au rôle. Elle ne vise pas à transformer chaque collaborateur en expert IA, mais à éliminer les angles morts.

En quoi la littératie IA diffère-t-elle d'une certification technique ?

Un assistant administratif qui utilise un outil de synthèse de documents n'a pas besoin de savoir ce qu'est un transformeur. Il doit savoir que l'outil peut produire des erreurs sans les signaler automatiquement, que les informations confidentielles saisies sortent du périmètre de l'entreprise, et que la validation finale reste de sa responsabilité. C'est ce niveau de compréhension que l'article 4 demande pour un profil non technique.

Pour un responsable informatique qui choisit et déploie des outils IA, le niveau attendu est plus élevé : évaluation des risques, gouvernance des accès, traçabilité des décisions. La loi calibre l'exigence selon le rôle, ce qui est une approche pragmatique et applicable.

Depuis quand l'obligation est-elle en vigueur, et qui est concerné ?

L'obligation de littératie IA est entrée en vigueur le 2 février 2025. C'est la première échéance contraignante du règlement, en même temps que l'interdiction des pratiques d'IA dites inacceptables (notation sociale, manipulation subliminale, certaines reconnaissances biométriques en temps réel). Les obligations sur les systèmes à haut risque, elles, ne s'appliquent qu'à partir du 2 août 2026.

L'article 4 ne fait aucune distinction de taille d'entreprise ni de secteur. Il concerne toute organisation dès lors qu'elle utilise un système d'IA dans le cadre de ses activités. Cela inclut la TPE dont les commerciaux sont abonnés à un outil de rédaction assistée, l'ETI dont le CRM intègre des recommandations automatiques, l'école qui utilise un assistant pédagogique, et le cabinet d'expertise qui traite des documents avec de l'IA.

C'est ce que rappelle l'article complet sur l'AI Act pour les PME en 2026 : la littératie est non seulement la première obligation en vigueur, mais aussi celle qui concerne le plus grand nombre d'organisations, souvent sous-estimée par les guides de conformité concentrés sur les seuls systèmes à haut risque.

Fournisseur ou déployeur : les deux sont visés par l'article 4

L'AI Act distingue le fournisseur (qui développe et met sur le marché un système d'IA) du déployeur (qui l'utilise dans son activité). La grande majorité des entreprises françaises sont des déployeurs : elles utilisent ChatGPT, Copilot, un logiciel de gestion augmenté par de l'IA, sans le construire. L'article 4 s'adresse aux deux rôles. En tant que déployeur, vous avez une obligation de résultat sur la compréhension de vos collaborateurs, pas seulement une obligation de moyens.

Qu'est-ce qu'un niveau "suffisant" de littératie IA en pratique ?

C'est la question que posent immédiatement dirigeants et responsables RH. Le niveau attendu d'un dirigeant n'est d'ailleurs pas celui d'un opérationnel : j'en détaille le socle dans ce qu'un dirigeant de PME doit maîtriser. Le règlement ne donne pas de barème chiffré, mais la logique du texte et les premières orientations des autorités de régulation convergent vers quatre domaines clés.

Comprendre ce qu'est l'IA. Savoir qu'un modèle de langage prédit des mots sans « comprendre », qu'un système de recommandation optimise une métrique qui peut diverger des intérêts réels, qu'une IA n'est ni infaillible ni omnisciente. Cette base évite les sur-délégations et les désillusions post-déploiement.

Connaître les limites et les risques d'erreur. Un système d'IA peut halluciner, c'est-à-dire inventer des faits avec une apparence de fiabilité. Il peut perpétuer des biais présents dans ses données d'entraînement. Ses erreurs ne sont pas toujours signalées. Un utilisateur informé valide avant d'envoyer, un utilisateur non formé délègue sans filet.

Protéger les données. Savoir que certaines informations ne doivent pas être saisies dans un outil IA grand public : données personnelles de clients, informations confidentielles de l'entreprise, secrets industriels. Ce point croise l'obligation de littératie IA et le RGPD, deux textes complémentaires que la CNIL articule dans ses guides pratiques sur l'intelligence artificielle.

Situer la responsabilité. Comprendre que la signature d'un humain sur un document produit avec l'aide de l'IA engage cet humain, pas l'outil. La responsabilité reste chez la personne qui valide, et cette réalité doit être intégrée avant tout usage professionnel.

Quelle durée de formation pour couvrir ces quatre domaines ?

Il ne s'agit pas de faire de chaque collaborateur un spécialiste de l'IA. L'objectif est que personne n'utilise ces outils dans l'ignorance de leurs mécanismes et de leurs risques. Pour une organisation dont les équipes utilisent un assistant IA au quotidien, une demi-journée de formation structurée, bien documentée et traçable, suffit généralement à couvrir les fondamentaux que l'article 4 exige pour les profils non techniques.

Comment démontrer sa conformité à l'obligation de l'article 4 ?

Le règlement n'impose pas de format précis, mais deux éléments sont essentiels pour prouver la conformité : la traçabilité des actions menées et le niveau réel de compréhension atteint.

La traçabilité signifie conserver la preuve des formations réalisées. Une formation auprès d'un organisme certifié Qualiopi génère une attestation de suivi par participant, datée et nominative. Une session interne documentée, avec liste de présence et support pédagogique, produit aussi une trace recevable. L'important est de pouvoir répondre, en cas de contrôle, à la question : quand, qui a formé, sur quels contenus, avec quelle preuve ?

Le niveau de compréhension est plus difficile à objectiver, mais une évaluation simple en sortie de formation (quelques questions, un quiz, une mise en situation) montre que la démarche n'était pas purement formelle. C'est aussi un élément protecteur en cas d'incident impliquant un outil IA : avoir formé ses équipes et en avoir la preuve constitue une circonstance atténuante sérieuse.

L'approche la plus robuste combine formation et charte d'usage interne de l'IA. La charte précise quels outils sont autorisés, quelles données peuvent y être saisies, qui valide les productions. Elle ancre la littératie dans des règles concrètes du quotidien. La question de la maîtrise des données dépasse le seul cadre réglementaire : la page sur la maîtrise et la souveraineté des données IA détaille les enjeux de gouvernance qui se posent en parallèle de la conformité AI Act.

La formation à la littératie IA est-elle finançable par l'OPCO ?

Oui, et c'est souvent le point de déblocage pour les dirigeants de PME. Une formation à la littératie IA réalisée auprès d'un organisme certifié Qualiopi est éligible au financement par les OPCO (opérateurs de compétences), dans le cadre du plan de développement des compétences (PDC).

Le financement peut couvrir tout ou partie du coût selon votre enveloppe et votre OPCO de branche. Certains dispositifs permettent de financer simultanément l'analyse des besoins et la construction du plan de formation, ce qui allège la charge administrative pour l'entreprise. Le ministère du Travail publie les repères sur les dispositifs éligibles selon le type d'employeur et la taille de la structure.

C'est précisément l'objet de la formation IA proposée aux PME et aux organisations : une session structurée sur la littératie et les usages de l'IA, montable en demi-journée ou en journée complète, éligible OPCO, et conçue pour que les équipes repartent avec des repères utilisables immédiatement. Pour aller plus loin sur les mécanismes disponibles, l'article financer la formation IA via l'OPCO détaille les voies d'accès selon la taille et le secteur de l'entreprise.

Par où commencer pour mettre ses équipes en conformité ?

Pour la majorité des PME, la mise en conformité avec l'article 4 tient en trois étapes simples, sans projet informatique préalable.

Recenser les usages existants. Savoir qui utilise quoi dans l'organisation. Cet inventaire prend rarement plus d'une heure avec les managers de proximité. Il révèle souvent des usages non coordonnés et des risques de fuite de données que personne n'avait identifiés.

Cibler les groupes à former selon les rôles. Tous les utilisateurs n'ont pas le même contexte d'usage ni le même niveau de responsabilité. Un commercial qui rédige des emails avec de l'IA n'a pas les mêmes besoins qu'un responsable RH qui utilise l'IA pour trier des candidatures (un usage qui bascule en haut risque selon l'AI Act, avec des obligations supplémentaires). Segmenter les formations selon les profils les rend plus efficaces et plus proportionnées.

Organiser, documenter et conserver. Choisir un organisme Qualiopi, fixer une date, s'assurer que l'attestation de suivi est générée pour chaque participant, conserver le support pédagogique. C'est aussi le moment de rédiger ou d'actualiser la charte d'usage de l'IA interne.

Pour une organisation qui utilise déjà des outils IA au quotidien et n'a encore rien formalisé, cette mise en conformité se boucle en quatre à six semaines. L'obligation existe depuis le 2 février 2025 : chaque mois supplémentaire sans action augmente l'exposition réglementaire, sans ajouter aucune valeur opérationnelle.