Formation IA pour les entreprises

Le 27 juillet 2026, le règlement Digital Omnibus sur l’intelligence artificielle est entré en vigueur. Il a reformulé l’article 4 de l’EU AI Act (règlement (UE) 2024/1689) — sur un point qui fait toute la différence dans la pratique : de veiller à, on est passé à favoriser.

Les fournisseurs et les déployeurs de systèmes d’IA doivent depuis lors prendre des mesures pour favoriser la compétence en IA de leur personnel et des autres personnes agissant pour leur compte. Ce qu’ils n’ont plus à faire : répondre de ce que chaque personne atteigne un niveau de compétence déterminé. La Commission avait d’abord proposé de supprimer entièrement l’obligation pour les entreprises ; dans le texte final, elle est restée, simplement formulée de façon plus souple.

Trois points que l’on confond volontiers et qu’il faut distinguer :

• L’obligation n’est ni nouvelle ni reportée. L’article 4 s’applique depuis le 2 février 2025. Le Digital Omnibus n’a créé pour lui aucune nouvelle date butoir — contrairement à l’IA à haut risque, dont les obligations ont été reportées.
• Plus souple ne veut pas dire sans effet. « Favoriser » est une obligation d’agir. Celui qui ne fait rien ne la remplit pas.
• Ce qui est obligatoire, c’est la compétence, pas le certificat. L’EU AI Act ne prescrit ni une formation déterminée ni un organisme de certification. Une preuve reste pourtant judicieuse — mais comme votre justificatif, pas comme une exigence légale.

La règle vise les fournisseurs (qui développe des systèmes d’IA ou les propose sous son propre nom) et les déployeurs (qui les utilise sous sa propre responsabilité). Le second cas est le plus fréquent : dès que, dans votre entreprise, quelqu’un utilise ChatGPT pour des textes d’offres, Microsoft Copilot pour des présentations ou un outil d’IA dans le CRM, vous êtes déployeur au sens du règlement.

Il n’existe pas de seuil inférieur selon la taille de l’entreprise. Même l’entreprise artisanale de huit collaborateurs est concernée si des outils d’IA y tournent au quotidien. Ce que le règlement prend bien en compte, c’est le caractère approprié : l’ampleur et la profondeur des mesures dépendent du contexte dans lequel les systèmes sont utilisés et des personnes qui travaillent avec eux.

Concrètement : une entreprise où l’IA n’est utilisée que pour des brouillons de texte doit autre chose que celle qui utilise l’IA dans la sélection du personnel ou l’octroi de crédits — les règles relatives au haut risque s’y appliquent de toute façon en plus.

Vous n’êtes pas concerné si votre entreprise n’utilise manifestement aucun système d’IA. C’est toutefois plus rare que beaucoup ne le pensent : des fonctions d’IA se trouvent aujourd’hui dans les suites bureautiques, les outils de traduction et les logiciels de service client, sans s’appeler ainsi.

Le règlement ne mentionne ni nombre d’heures, ni programme, ni format d’examen. Il décrit un objectif et vous laisse le chemin. Dans la pratique de la surveillance, quatre éléments se sont établis comme ce que l’on peut raisonnablement attendre :

• État des lieux. Quels systèmes d’IA sont réellement utilisés chez vous — y compris ceux que personne n’a officiellement introduits ?
• Transmission des bases. Toutes les personnes qui travaillent avec l’IA comprennent ce que le système peut faire, où il se trompe de façon fiable et quelles données n’ont rien à y faire.
• Règles. Une politique interne qui rend l’usage contraignant au lieu de le laisser à chacun.
• Documentation. Qui a appris quoi et quand. Sans cet élément, vous avez certes fait les trois autres, mais vous ne pouvez pas le montrer.

Le quatrième point est celui sur lequel cela échoue dans la pratique. Une bonne formation dont tout le monde se souvient, mais dont il n’existe pas de liste de participants, se distingue difficilement d’une absence de formation en cas de contrôle.

Depuis le 2 août 2026, l’EU AI Act s’applique de manière générale — à l’exception des obligations reportées pour l’IA à haut risque, qui commencent respectivement le 2 décembre 2027 et le 2 août 2028.

Cela ne change rien à l’obligation de l’article 4 : elle s’applique depuis le 2 février 2025.

Pour replacer honnêtement les chiffres qui circulent actuellement sur le marché : les 35 millions d’euros si souvent cités, ou sept pour cent du chiffre d’affaires annuel mondial, sont le plafond pour les pratiques d’IA interdites selon l’article 5 — notation sociale, systèmes manipulateurs, identification biométrique à distance. Ce n’est pas la sanction d’une formation omise. La manière dont les infractions à l’article 4 sont sanctionnées au cas par cas est réglée par les États membres au niveau national ; le règlement exige expressément de tenir compte de la taille des PME et des start-ups. Celui qui vous fait miroiter une amende de plusieurs millions pour une formation IA manquante vous vend de la peur au lieu de l’information.

Le vrai risque est ailleurs et plus concret : la responsabilité et le manquement au devoir de diligence lorsqu’une utilisation non formée de l’IA cause un dommage — une infraction à la protection des données par une saisie irréfléchie, une mauvaise décision fondée sur une source inventée, un résultat de sélection discriminatoire.

Il n’existe pas de liste de contrôle officielle. Ce qu’une autorité ou un auditeur veut typiquement voir se prédit toutefois bien, car ce sont les mêmes questions que pour toute autre obligation d’instruction :

• Qui a été formé ? Une liste nominative, pas « tous les collaborateurs ».
• Quand ? Une date par personne, pas une période.
• Avec quoi ? Aperçu du contenu ou programme de la mesure.
• Avec quel résultat ? Une preuve que les contenus sont passés — un test final réussi est le plus simple.
• Et pour les nouveaux collaborateurs ? Une procédure qui fonctionne sans que personne n’ait à y penser.

C’est précisément à cela que notre formation est conçue : chaque personne termine avec un certificat de participation daté, vérifiable par QR code, et dans l’espace d’équipe vous voyez en un coup d’œil qui manque encore. Le certificat est valable un an — non parce que la loi l’exige, mais parce que l’état de la technique change plus vite dans ce domaine que dans la plupart des autres.

L’erreur de mise en œuvre la plus fréquente est de tout mettre dans le même sac — trop peu pour les uns ou trop pour les autres. Trois niveaux sont judicieux :

Utilisateurs généraux — de loin la plus grande partie des effectifs. Ils utilisent des outils d’IA au quotidien : textes, recherche, synthèses, traductions. Ils ont besoin des bases, d’un sens sûr des hallucinations et des biais, et surtout de clarté sur les données qui n’ont pas leur place dans un outil d’IA. C’est le domaine que couvre notre formation.

Responsables métier — qui choisit, introduit ou configure des systèmes d’IA. En plus : compréhension des classes de risque, vérification des prestataires, sous-traitance, obligations d’étiquetage.

Rôles à risque accru — qui utilise l’IA dans la sélection du personnel, l’octroi de crédits, les décisions d’accès ou des processus relatifs à la sécurité. Les exigences relatives au haut risque de l’AI Act s’appliquent ici, et la formation doit être liée au système et à la tâche. Une formation de base ne le remplace pas — la nôtre non plus.

Pour certains métiers, nous avons adapté les exemples, car les questions y diffèrent : les conseillers fiscaux travaillent avec des données de clients, les cabinets d’avocats en outre avec le secret du mandat, les établissements de soins avec des données de santé selon l’article 9 du RGPD, les entreprises artisanales sans service informatique propre et les collectivités avec le droit administratif en plus.

De l’article 4, on ne peut déduire aucun programme. Des risques contre lesquels il est dirigé, si. Cinq thèmes font partie de toute formation IA sérieuse pour les utilisateurs généraux :

• Comment fonctionne la technique — et où elle se trompe de façon fiable. Celui qui ne comprend pas qu’un modèle de langage produit de la plausibilité et non de la vérité ne vérifie pas le résultat.
• Évaluer les résultats. Reconnaître les hallucinations, recouper les sources, repérer les biais. C’est la compétence qui a la plus grande valeur pratique.
• Protection des données. Quelles données peuvent être saisies, lesquelles jamais, ce qu’apporte un contrat de sous-traitance et ce qu’il n’apporte pas.
• Le cadre juridique. Classes de risque, obligations d’étiquetage, qui est responsable de quoi dans l’entreprise.
• Application. Sans la partie pratique, la formation reste théorique et les règles sont contournées au lieu d’être suivies.

La formation se déroule entièrement en ligne, à son propre rythme, et se termine en 60 à 90 minutes. Cinq chapitres obligatoires avec 46 fiches d’apprentissage, plus 18 questions d’examen tirées de situations de travail réelles plutôt que du manuel ; cinq modules complémentaires optionnels sont inclus. Chaque chapitre doit être réussi avec au moins 70 pour cent, la progression est enregistrée, l’interruption est possible à tout moment.

À la fin, il y a un certificat de participation au format PDF, vérifiable par QR code, avec date et nom. Pour les équipes, il existe un espace où vous voyez l’état de tous les collaborateurs, pouvez envoyer des invitations et générer un rapport de conformité au format PDF. Les prix : 19,90 € pour les personnes seules, 14,90 € par personne à partir de deux, 9,90 € par personne à partir de vingt — chacun net, HT, en paiement unique, sans abonnement.

Et la limite, parce qu’elle en fait partie : cette formation couvre les bases pour les utilisateurs généraux. Pour les exigences propres à un rôle et pour les applications à haut risque, vous restez, en tant qu’employeur, responsable de former en complément, en lien avec le système et la tâche. Nous vous fournissons la preuve vérifiable pour la partie des bases — pas pour tout.

Voir l’offre et les prix · Voir gratuitement le chapitre 1

• Ne former que l’informatique. Les infractions à la protection des données naissent dans la vente et le marketing, où des données clients sont copiées dans un outil de texte — pas dans le développement.
• Former une fois et classer. De nouveaux collaborateurs arrivent, les outils changent. Sans procédure pour les retardataires, la liste est incomplète au bout de six mois.
• Former, mais ne pas documenter. L’erreur la plus fréquente et la plus coûteuse. Ce que vous ne pouvez pas justifier, vous ne l’avez pas fait en cas de contrôle.
• Attendre un certificat « officiel ». Il n’existe aucun organisme de certification prévu par l’EU AI Act. Celui qui s’en prévaut affirme plus qu’il n’y a.
• Oublier la politique. Une formation sans règle contraignante signifie que chaque personne décide elle-même de ce qui peut aller dans un outil d’IA. C’est précisément ce que l’obligation de compétence doit empêcher.

Qui veut aborder le sujet plus largement que la simple exécution d’une obligation trouve l’accès par le développement des ressources humaines sous formation continue IA. Qui cherche le texte de loi en détail le trouve présenté sous formation EU AI Act. Et qui a besoin de la protection des données comme sujet à part : la formation RGPD se place à côté et ne remplace pas cette formation.