Acculturation IA : ce que l’article 4 du règlement IA exige

L’essentiel

• L’acculturation IA constitue une obligation contraignante au titre de l’article 4 du règlement IA. Elle s’impose à tout fournisseur et à tout déployeur, quel que soit le niveau de risque, depuis le 2 février 2025.
• L’omnibus numérique a réécrit l’article 4 avec effet au 27 juillet 2026. L’obligation consiste désormais à prendre des mesures soutenant le développement des compétences, et non à garantir un niveau déterminé chez une personne donnée.
• Les autorités nationales de surveillance du marché contrôlent l’article 4 depuis le 2 août 2026. Le Bureau de l’IA n’en assure pas le contrôle.
• La Commission n’exige ni certificat ni évaluation des connaissances des salariés. Elle attend en revanche une trace interne des actions menées.
• Le risque opérationnel ne tient pas à un personnel non formé, mais à un personnel formé dont la formation ne laisse aucune trace.

Ce que le règlement IA entend par acculturation IA

La littérature abondante sur le sujet décrit généralement une aptitude individuelle : savoir ce qu’est un modèle, formuler une requête pertinente, repérer une hallucination. Le règlement européen retient une acception plus étroite, et nettement plus lourde de conséquences.

L’article 3, point 56, du règlement (UE) 2024/1689 définit la maîtrise de l’IA comme « les compétences, les connaissances et la compréhension qui permettent aux fournisseurs, aux déployeurs et aux personnes concernées, compte tenu de leurs droits et obligations respectifs, de procéder à un déploiement éclairé des systèmes d’IA, ainsi que de prendre conscience des possibilités et des risques que comporte l’IA et des préjudices potentiels qu’elle peut causer ».

Trois conséquences en découlent. La mesure de référence est le déploiement éclairé, non l’aisance technique : un collaborateur peut manier un agent conversationnel avec dextérité tout en restant illettré au sens du règlement, faute de pouvoir expliquer ce que le système produit sur les personnes auxquelles il s’applique. La définition est expressément relative aux « droits et obligations respectifs », de sorte que l’acculturation IA attendue d’un acheteur diffère de celle attendue d’un data scientist. Enfin, elle englobe les personnes concernées, et pas seulement les opérateurs.

C’est pourquoi l’acculturation IA relève du dispositif de conformité davantage que du plan de développement des compétences. Il s’agit de l’une des obligations socles décrites dans notre guide opérationnel du règlement IA, et elle s’attache à l’organisation elle-même plutôt qu’à un système déterminé.

L’article 4 a changé en juillet 2026

La version applicable depuis le 2 février 2025 imposait aux fournisseurs et aux déployeurs de « garantir, dans toute la mesure du possible, un niveau suffisant de maîtrise de l’IA » de leur personnel. Cette rédaction a nourri deux années de débats sur la portée du mot « suffisant » et sur la manière d’en administrer la preuve.

L’omnibus numérique a tranché en supprimant le terme. Le règlement (UE) 2026/1744 a été publié au Journal officiel le 24 juillet 2026 et est entré en vigueur le 27 juillet 2026. L’article 4 impose désormais de « prendre des mesures visant à soutenir le développement de la maîtrise de l’IA », en précisant que l’obligation « n’impose pas aux fournisseurs ou aux déployeurs de garantir un niveau déterminé de maîtrise de l’IA chez une personne donnée ».

Il s’agit d’un changement de nature juridique, non d’une abrogation. L’article 4 bascule d’une obligation de résultat vers une obligation de moyens. Vous ne répondez plus du degré de compétence atteint par tel collaborateur, mais des mesures que vous avez prises. Le seuil substantiel s’abaisse ; l’exigence documentaire, elle, s’élève, car un effort ne se constate que s’il laisse une trace.

Ce qui n’a pas changé

Le champ d’application demeure inchangé. L’article 4 lie toujours les fournisseurs comme les déployeurs et reste indifférent au niveau de risque : il s’applique à un filtre antispam aussi bien qu’à un système relevant de l’annexe III. Rien dans la réécriture ne restreint le public visé ni n’exonère les structures de taille modeste. L’article 4, paragraphe 2, continue d’obliger la Commission et les États membres à accompagner la mise en conformité, avec une attention particulière aux PME, et l’article 4, paragraphe 3, charge toujours le Comité IA de formuler des recommandations s’appuyant sur les cadres européens de compétences. Un programme d’acculturation IA bâti sous l’empire de l’ancien texte reste entièrement utile. Ce qui change, c’est ce que vous défendez le jour où la question vous est posée.

Qui est concerné, et qui compte comme personnel

L’article 4 vise le « personnel et les autres personnes s’occupant du fonctionnement et de l’utilisation des systèmes d’IA pour leur compte ». La seconde partie de la formule fait l’essentiel du travail, et c’est précisément là que les organisations sous-évaluent leur périmètre.

Les questions-réponses du Bureau de l’IA rattachent aux « autres personnes » les sous-traitants, les prestataires de services et les clients. Quiconque agit pour votre compte dans le fonctionnement ou l’utilisation d’un système d’IA entre dans le périmètre, qu’il figure ou non sur votre registre du personnel.

Le Centre for Information Policy Leadership, dans son étude de mai 2025 consacrée à l’article 4, recommande d’élargir davantage encore : l’ensemble des directions, y compris commerciales et marketing, les sous-traitants, les fournisseurs tiers, les clients, les utilisateurs et les personnes affectées par l’usage du système. Le raisonnement est opérationnel plutôt que juridique. Les personnes qui créent l’exposition au titre de l’article 4 sont rarement celles qui conçoivent les modèles. Ce sont le commercial qui promet une capacité que le système ne possède pas, et l’équipe métier qui exploite discrètement un outil que personne n’a déclaré.

Ce second cas mérite d’être nommé, car acculturation IA et IA fantôme désignent le même problème vu sous deux angles. Aucun collaborateur ne peut être éclairé sur des systèmes que l’organisation n’a pas reconnu utiliser.

Le contrôle a commencé le 2 août 2026

Voici le fait absent de la quasi-totalité des publications sur le sujet : l’obligation est désormais sanctionnable.

Les autorités nationales de surveillance du marché contrôlent l’article 4 depuis le 2 août 2026. Le Bureau de l’IA n’exerce pas cette compétence. Le contrôle relève de l’autorité désignée dans chaque État membre, ce qui signifie que la doctrine, l’appétence au contrôle et la procédure varient d’un pays à l’autre. En France, l’articulation avec les autorités déjà familières des organisations, la CNIL pour les traitements de données personnelles et l’ANSSI pour la sécurité des systèmes, conditionnera largement la manière dont ces vérifications s’inscriront dans les dispositifs existants.

Les sanctions procèdent du droit national. En vertu de l’article 99, les États membres devaient arrêter leur propre régime de sanctions et de mesures d’exécution avant le 2 août 2025, dans les plafonds suivants : jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial pour les pratiques interdites, jusqu’à 15 millions d’euros ou 3 % du chiffre d’affaires annuel mondial pour la plupart des autres obligations pesant sur les opérateurs, et jusqu’à 7,5 millions d’euros ou 1,5 % pour la communication d’informations trompeuses. L’article 4 relève de la tranche intermédiaire. Les sanctions doivent rester proportionnées, au regard de la nature et de la gravité du manquement ainsi que de son caractère intentionnel ou négligent.

Observez la chronologie. Le seuil substantiel s’est abaissé le 27 juillet 2026 ; les pouvoirs de contrôle se sont activés six jours plus tard. Une organisation qui ne retiendrait de l’omnibus que l’allègement conclurait que l’article 4 s’est assoupli : elle aurait raison sur la norme et tort sur le risque. Avant le 2 août 2026, un programme d’acculturation IA défaillant restait un sujet théorique. Depuis, c’est un sujet sur lequel une autorité peut interroger, et le test de proportionnalité récompense celui qui démontre une démarche délibérée plutôt qu’aucune. On retrouve l’architecture décrite dans notre panorama réglementaire de l’IA : les obligations arrivent d’abord, la machinerie de contrôle ensuite, et l’écart entre les deux constitue la zone d’exposition.

Ce que les autorités demanderont réellement

La Commission s’est montrée inhabituellement explicite sur ce que l’article 4 n’exige pas. Ses questions-réponses indiquent qu’aucun certificat n’est nécessaire et que l’article 4 n’emporte aucune obligation de mesurer les connaissances des salariés en matière d’IA.

Il n’existe donc ni programme imposé, ni accréditation, ni examen, ni obligation de noter vos équipes. Ce que la Commission recommande, c’est de conserver une trace interne des formations et des autres initiatives d’accompagnement. Aucun format n’est prescrit.

Cette souplesse apparente doit être lue conjointement avec les obligations documentaires applicables aux systèmes à haut risque. Le CIPL le formule avec précision : l’article 4 ne comporte pas d’obligation technique explicite de documenter la maîtrise du personnel pour la plupart des systèmes, mais les fournisseurs et déployeurs de systèmes à haut risque doivent documenter et démontrer leur conformité à certaines obligations du règlement, et les pratiques d’acculturation IA peuvent être regardées comme entrant dans ce champ. Si vous exploitez un système à haut risque, vos éléments de preuve peuvent être versés au dossier technique prévu à l’article 11, paragraphe 1, et à l’annexe IV, sujet développé dans notre guide sur les exigences documentaires du règlement IA.

Le dossier minimal défendable

Une obligation de moyens se défend avec des pièces. Six d’entre elles couvrent l’essentiel :

1. Une matrice rôles-compétences indiquant quelles fonctions requièrent quel niveau de compréhension, et pourquoi.
2. Un registre des formations consignant qui a reçu quoi, à quelle date, sous quelle forme.
3. Les accusés de réception des politiques internes, rattachant les collaborateurs aux règles d’usage acceptable de l’IA.
4. Une taxonomie commune de l’IA, afin que la notion de système d’IA recouvre la même réalité aux achats, à la direction juridique et à l’ingénierie.
5. Un inventaire des cas d’usage évalués, qui rend la taxonomie opérante plutôt que décorative.
6. Une périodicité de revue assortie d’un responsable désigné et d’une signature, attestant que le dispositif vit au lieu d’être archivé.

Rien de tout cela n’appelle de certificat. L’ensemble résiste à une question.

Construire un programme qui produit des preuves

Le CIPL énonce huit bonnes pratiques au titre de l’article 4. Reformulées en dispositifs de contrôle plutôt qu’en conseils, elles se ramènent à un modèle opératoire plus resserré.

Commencez par le parrainage. Les programmes d’acculturation IA logés dans la seule fonction formation s’essoufflent ; ceux qui tiennent sont visiblement portés au-dessus d’elle. Intégrez ensuite au lieu d’isoler : les organisations soumises à l’article 4 relèvent presque toujours simultanément de la protection des données, de la cybersécurité, du droit de la consommation et de réglementations sectorielles. Traiter l’acculturation IA comme un module autonome duplique les efforts et disperse les preuves. Sa place est au sein du cadre de gouvernance de l’IA existant.

Cibler par rôle, pas un module unique

Le module unique diffusé à toute l’entreprise reste la conception la plus répandue et la plus faible. Il ne répond au besoin réel de personne et produit un registre qui traite de manière identique des expositions très différentes.

L’approche alternative consiste en un socle commun, complété par des modules ciblés selon la fonction, l’expertise et le degré de contact effectif avec le système. Lorsque les ressources sont contraintes, le CIPL suggère de déployer d’abord auprès des acteurs dont l’impact est le plus fort ou dont l’interaction avec la technologie est la plus intense. En pratique, il s’agit le plus souvent des achats, des équipes commerciales et des responsables de l’automatisation en contact avec la clientèle, bien avant l’équipe de science des données qui maîtrise déjà les risques.

Au-delà de la formation

La formation seule se périme plus vite que la technologie n’évolue. Les mécanismes qui tiennent dans la durée sont structurels : un comité IA réunissant des représentants de chaque direction, des référents IA identifiés capables d’apprécier quand une difficulté doit remonter, un arbre de décision indiquant à une équipe si ce qu’elle construit répond à la définition interne d’un système d’IA et quelles étapes s’ensuivent, un canal permettant de signaler anonymement un usage à risque, et une boucle de retour assortie d’indicateurs suivis pour que le dispositif s’ajuste au rythme des textes et des outils.

Chacun de ces mécanismes produit une trace comme sous-produit de son fonctionnement. C’est tout l’intérêt. Un dispositif qui génère ses preuves en fonctionnant vaut davantage qu’un dispositif qu’il faut reconstituer à la veille d’un contrôle.

Correspondance avec l’ISO 42001 et le NIST AI RMF

Si vous travaillez déjà à un système de management, l’essentiel du chantier article 4 est accompli.

La norme ISO/IEC 42001:2023, au point 7.2, impose de déterminer les compétences nécessaires aux personnes dont le travail influe sur la performance du système de management de l’IA, de s’assurer de leur compétence et de conserver des informations documentées en tant que preuves. Le point 7.3 exige que ces mêmes personnes aient connaissance de la politique IA et de leur contribution à celle-ci. C’est la substance de l’article 4, exprimée sous forme de clause auditable assortie d’une exigence de conservation.

Le cadre NIST AI Risk Management Framework couvre le même terrain sous la fonction GOVERN, en particulier GOVERN 4 sur la culture de gestion des risques et GOVERN 5 sur l’implication des acteurs concernés.

L’effet de levier consiste à ne pas construire trois programmes. Une matrice rôles-modules unique, tenue selon un calendrier de revue documenté et signé par le responsable de la gouvernance, peut satisfaire l’article 4 du règlement IA, le point 7.2 de l’ISO 42001 et GOVERN 4 du NIST à partir d’une seule piste d’audit. Notre tableau de correspondance NIST AI RMF, ISO 42001 et règlement IA détaille les autres recouvrements, et notre analyse de la pile normative explique pourquoi la certification seule ne referme pas l’écart.

Questions fréquentes

Que signifie l’acculturation IA au sens du règlement ?

L’article 3, point 56, définit la maîtrise de l’IA comme les compétences, connaissances et compréhension permettant aux fournisseurs, déployeurs et personnes concernées de procéder à un déploiement éclairé des systèmes d’IA et de prendre conscience des possibilités, des risques et des préjudices potentiels. La définition s’apprécie au regard des droits et obligations de chacun : le niveau attendu varie donc selon la fonction. Cette acception est plus étroite que l’usage courant du terme dans le champ éducatif, qui désigne une aptitude personnelle à manier les outils.

Quel est un exemple concret d’acculturation IA ?

Un chargé de recrutement capable d’expliquer sur quels critères un outil de présélection classe les candidatures, qui sait que cet outil ne peut fonder à lui seul un refus, qui repère un résultat anormal et connaît le circuit d’escalade. Remarquez ce qui manque : aucune capacité à concevoir le modèle, aucun vocabulaire technique. Ce professionnel décide de manière éclairée au sujet d’un système qu’il n’exploite pas techniquement, ce qui correspond exactement à l’attente du texte.

Que faut-il pour satisfaire à l’obligation ?

À l’échelle de l’organisation : une définition partagée de ce qui constitue un système d’IA, un inventaire des usages, un socle de compréhension commun, une profondeur ciblée pour les fonctions réellement exposées, et une trace des mesures prises. À l’échelle individuelle, l’exigence s’ajuste à la fonction, aux connaissances techniques, à l’expérience et au contexte d’utilisation.

La formation est-elle obligatoire au titre de l’article 4 ?

La formation constitue le moyen habituel, sans être imposée en tant que telle. L’article 4 exige des mesures soutenant le développement de la maîtrise de l’IA. Les parcours formalisés y concourent, tout comme les guides internes, les notes d’information, les arbres de décision et l’accompagnement de terrain. La Commission a confirmé qu’aucun certificat n’est requis et qu’il n’existe aucune obligation d’évaluer les connaissances des salariés.

Que risque-t-on en cas de manquement ?

Depuis le 2 août 2026, les autorités nationales de surveillance du marché peuvent contrôler l’article 4 et en sanctionner la méconnaissance. Les sanctions sont fixées par le droit national dans les plafonds de l’article 99 ; les obligations de cette catégorie relèvent de la tranche plafonnée à 15 millions d’euros ou 3 % du chiffre d’affaires annuel mondial. Elles doivent rester proportionnées à la nature et à la gravité du manquement ainsi qu’à son caractère intentionnel ou négligent, ce qui explique l’importance d’une démarche documentée même imparfaite.

L’obligation vise-t-elle les entreprises établies hors de l’Union ?

Oui, dès lors que le règlement vous est applicable. Le texte atteint les fournisseurs mettant des systèmes sur le marché de l’Union et les déployeurs qui y sont établis, ainsi que certains opérateurs de pays tiers dont les résultats produits par le système sont utilisés dans l’Union. Une société américaine ou britannique déployant une IA qui affecte des personnes dans l’Union supporte la même obligation qu’une société dont le siège s’y trouve.

Conclusion

L’acculturation IA s’est imposée, sans bruit, comme l’une des rares obligations du règlement IA touchant toutes les organisations, à tous les niveaux de risque, dès maintenant. L’omnibus numérique en a assoupli la norme et, en intervenant quelques jours avant l’ouverture du contrôle, l’a rendue plus difficile à ignorer.

Les organisations en difficulté lors d’une vérification ne seront pas celles dont le personnel n’a pas été formé. Ce seront celles dont la formation a bien eu lieu mais n’a laissé aucune trace : ni matrice, ni registre, ni responsable, ni date de revue. Traitez l’acculturation IA comme un dispositif socle produisant ses preuves en fonctionnant, adossez-la une seule fois à l’ISO 42001 et au NIST AI RMF, et la question de l’article 4 se réglera d’elle-même.

Pour voir comment cette obligation s’articule avec le reste de votre dispositif sous forme de contrôle documenté, découvrez comment AI Sigil opérationnalise la gouvernance de l’IA.