Depuis le 2 février 2025, l’article 4 du règlement européen sur l’IA oblige les fournisseurs et les déployeurs de systèmes d’IA à prendre des mesures pour favoriser la maîtrise de l’IA de leur personnel. Le règlement (UE) 2026/1744, en vigueur depuis le 27 juillet 2026, a assoupli cette obligation sans la supprimer. En France, le Code du travail (obligation d’adaptation, consultation du CSE) s’y ajoute. Au Québec, la Loi 25, la Loi sur les compétences et, dans la finance, les lignes directrices de l’AMF et du BSIF fixent d’autres attentes. Formez par paliers, selon les rôles, et conservez les preuves.
La plupart des organisations ont aujourd’hui une politique d’usage de l’IA. Beaucoup moins comptent des équipes capables de l’expliquer, de l’appliquer, et de démontrer que les personnes qui utilisent l’IA au quotidien en comprennent les risques. Les chiffres du terrain montrent l’écart : selon un sondage OpinionWay pour Cegid mené en mai-juin 2026, 63 % des salariés français disent que leur entreprise n’a mis en place aucune formation aux outils d’IA, et 67 % de ceux qui utilisent l’IA recourent à des outils que l’entreprise ne fournit pas. Personne ne les a formés : personne ne les a arrêtés.
« Nous avons une politique » ne veut pas dire « nous sommes conformes »
Un document de politique rangé dans un dossier partagé ne répond à aucun des textes ci-dessous. Chacun, à sa façon, regarde ce que vous avez fait pour que les personnes concernées comprennent et appliquent les règles.
Le socle européen : l’article 4 du règlement sur l’IA (modifié en juillet 2026)
L’article 4 du règlement (UE) 2026/1744 (« omnibus numérique sur l’IA ») a remplacé la version d’origine, qui imposait de garantir un « niveau suffisant » de maîtrise de l’IA. Désormais, les fournisseurs et les déployeurs doivent prendre des mesures pour favoriser le développement de la maîtrise de l’IA de leur personnel et des autres personnes qui exploitent et utilisent les systèmes d’IA pour leur compte. Ces mesures tiennent compte des connaissances techniques, de l’expérience, de l’éducation et de la formation de chacun, du contexte d’utilisation et des personnes visées par les systèmes. L’obligation ne demande plus de garantir un niveau précis pour chaque individu. La date d’application, elle, n’a pas bougé : le 2 février 2025.
La foire aux questions de la Commission européenne (mise à jour le 27 juillet 2026) apporte plusieurs précisions utiles pour construire un programme :
- Pas de certificat exigé. Un registre interne des formations et des autres actions suffit. Il n’y a pas non plus d’obligation de mesurer le niveau de connaissance des employés.
- Un manuel d’utilisation ne suffit généralement pas. Demander au personnel de lire la notice d’un système est souvent inefficace, et les formations doivent être adaptées à chaque public.
- L’IA générative est concernée. Une entreprise dont les employés rédigent ou traduisent avec un assistant grand public doit les informer des risques propres à l’outil, comme les hallucinations.
- Aucune structure de gouvernance n’est imposée (ni « responsable IA » ni comité) pour se conformer à l’article 4.
- Contrôle national à partir d’août 2026. Ce sont les autorités nationales de surveillance du marché, et non le Bureau européen de l’IA, qui contrôlent l’article 4. Les sanctions relèvent du droit national, doivent être proportionnées, et sont plus probables s’il est prouvé qu’un incident est dû à un défaut de formation.
- Portée extraterritoriale. La règle vise aussi les organisations hors UE dont un système d’IA est mis sur le marché européen, utilisé dans l’Union, ou dont l’usage touche des personnes situées dans l’UE. Une entreprise québécoise qui sert des clients européens peut donc être concernée.
Deux nuances importantes. D’abord, le report à décembre 2027 décidé par l’omnibus vise les systèmes à haut risque de l’annexe III, pas l’article 4. Ensuite, pour les déployeurs de systèmes à haut risque, l’obligation de former le personnel chargé de la supervision humaine demeure.
Et en France, qui contrôle ? À la date de rédaction (début octobre 2026), la désignation formelle des autorités nationales dépend du projet de loi DDADUE, adopté par le Sénat en février 2026 et toujours en cours d’examen à l’Assemblée nationale. Il prévoit de faire de la CNIL l’autorité de référence, avec une quinzaine d’autorités sectorielles. Ce retard ne suspend pas l’obligation, qui découle directement du règlement européen.
France : deux obligations du Code du travail que l’AI Act ne remplace pas
- L’obligation d’adaptation (article L. 6321-1). L’employeur assure l’adaptation des salariés à leur poste de travail et veille au maintien de leur capacité à occuper un emploi, au regard notamment de l’évolution des technologies et des organisations. La Cour de cassation en fait une obligation permanente, qui incombe à l’employeur sans attendre une demande du salarié. L’arrivée d’outils d’IA dans le quotidien d’un métier relève de cette logique, indépendamment de l’AI Act.
- La consultation du CSE (article L. 2312-8). Dans les entreprises d’au moins 50 salariés, le comité social et économique est informé et consulté avant l’introduction de nouvelles technologies. Par ordonnance de référé du 14 février 2025 (TJ Nanterre, n° 24/01457), un juge a suspendu le déploiement d’outils d’IA tant que la consultation du CSE n’était pas close. Un programme de formation à l’IA se prépare donc avec les représentants du personnel, pas après eux.
Québec : Loi 25, Loi sur les compétences et cadres sectoriels
- Loi 25 (protection des renseignements personnels). Elle ne contient pas d’obligation de formation à l’IA en tant que telle. Mais elle impose aux entreprises privées d’informer la personne concernée lorsqu’une décision est fondée exclusivement sur un traitement automatisé (art. 12.1), de réaliser une évaluation des facteurs relatifs à la vie privée (ÉFVP) pour les projets de systèmes d’information impliquant des renseignements personnels (art. 3.3), et d’établir des politiques de gouvernance qui définissent les rôles et responsabilités du personnel (art. 3.2). Ces rôles supposent des personnes qui savent les tenir. Les sanctions peuvent atteindre 10 M$ ou 2 % du chiffre d’affaires mondial (sanctions administratives pécuniaires) et 25 M$ ou 4 % (infractions pénales).
- Loi sur les compétences (« Loi du 1 % »). Les employeurs dont la masse salariale dépasse 2 M$ doivent consacrer au moins 1 % de cette masse salariale à la formation, sous peine de cotisation au Fonds de développement et de reconnaissance des compétences de la main-d’œuvre. En avril 2026, le gouvernement a annoncé une actualisation des formations admissibles et une clarification des règles sur la formation informelle. Un programme de formation à l’IA peut donc s’inscrire dans cette enveloppe, sous réserve d’en vérifier l’admissibilité avec l’outil d’évaluation en ligne du gouvernement.
- Services financiers (AMF). La Ligne directrice sur l’utilisation de l’intelligence artificielle, publiée en version définitive le 7 avril 2026, entre en vigueur le 1er mai 2027. Elle vise les assureurs, les coopératives de services financiers, les sociétés de fiducie et les institutions de dépôts autorisés au Québec. Elle attend du conseil d’administration une compétence collective suffisante pour comprendre les risques liés à l’IA, de la haute direction un niveau de connaissance adéquat, et d’un membre de la haute direction qu’il soit imputable de l’ensemble des systèmes d’IA.
- Institutions fédérales (BSIF). La ligne directrice E-23, qui couvre la gestion du risque de modélisation y compris l’IA, entre en vigueur le 1er mai 2027 pour les banques et assureurs sous réglementation fédérale. Elle demande à la haute direction d’affecter à cette gestion un personnel doté des compétences et de l’expérience nécessaires, en particulier pour des technologies comme l’IA, au sein d’une équipe pluridisciplinaire.
- Un cadre québécois encore en construction. À notre connaissance, aucune loi québécoise propre à l’IA n’a encore été adoptée. Le Conseil de l’innovation du Québec a recommandé en février 2024 l’adoption d’une loi-cadre, et le ministère de la Cybersécurité et du Numérique a publié des principes et un guide pour les organismes publics. Suivez ce dossier : il peut modifier vos obligations de formation.
Une norme internationale utile des deux côtés de l’Atlantique : l’ISO/IEC 42001
Comme les autres normes de systèmes de management, l’ISO/IEC 42001 (système de management de l’IA) exige que l’organisation détermine les compétences nécessaires aux rôles qui influent sur la performance du système, qu’elle assure la sensibilisation du personnel et qu’elle conserve des informations documentées en preuve (clause 7, notamment 7.2 et 7.3). Les auditeurs de certification demandent ces preuves. Vérifiez le numéro et le libellé exacts des clauses dans votre exemplaire sous licence de la norme : le texte complet est payant, et seul le résumé de l’ISO est public.
Aucun de ces textes n’accepte « nous avons publié une politique » à la place de « nous avons formé les personnes concernées ». Tous attendent une formation adaptée aux rôles, continue et traçable.
Le coût de l’éviter : l’IA fantôme naît d’un manque de formation, pas de malveillance
Les personnes les plus susceptibles d’adopter un outil d’IA non approuvé ne cherchent pas à enfreindre les règles : ce sont celles que personne n’a formées. En France, le sondage OpinionWay pour Cegid cité plus haut observe que la majorité des utilisateurs d’IA passent par des outils non fournis par leur employeur, et que 31 % des salariés recourent à l’IA pour les aider à prendre des décisions importantes dans leur travail. Au Canada, 51 % des travailleurs sondés par KPMG utilisent des outils d’IA générative au travail, et un sondage mené en 2026 auprès de travailleurs syndiqués québécois par l’Obvia rapporte que près de 60 % utilisent l’IA au travail, régulièrement ou à l’occasion. C’est le scénario qu’un programme de détection de l’IA fantôme (shadow AI) repère après coup ; la formation est la même réponse, apportée avant, pour beaucoup moins cher.
Qui doit être formé (il n’y a pas un seul public)
Une seule webconférence de 45 minutes pour toute l’organisation est la façon la plus courante de ne satisfaire aucun des textes ci-dessus. La Commission européenne indique d’ailleurs que des niveaux de formation différenciés sont appropriés. Chaque public a besoin d’une profondeur et de questions différentes :
| Public | Ce qu’il doit comprendre | Format type | Fréquence de mise à jour |
| Conseil d’administration / haute direction | Tolérance au risque, exposition réglementaire, où repose la responsabilité en cas de problème ; imputabilité des systèmes d’IA (attente explicite de l’AMF pour les institutions financières québécoises) | Séance d’information + discussion de cas | Annuelle, ou après un changement réglementaire majeur |
| Conformité, juridique, audit, DPO (France) ou responsable de la protection des renseignements personnels (Québec) | Texte précis des lois et normes applicables, évaluation d’un système d’IA au regard de celles-ci (AIPD en France, ÉFVP au Québec), preuves attendues en cas de contrôle ou d’audit | Cours structuré + étude détaillée des textes | Annuelle, plus mises à jour ponctuelles à chaque nouvelle réglementation |
| RH et représentants du personnel (CSE en France) | Fonctionnement des outils, effets sur les conditions de travail, ce que la consultation doit couvrir | Atelier conjoint, dossier d’information écrit | À chaque nouvel outil ou nouveau périmètre d’usage |
| Personnel technique (développement, données, TI/DSI) | Sources de risque techniques (biais, dérive, sécurité), journalisation et supervision humaine, déploiement sécurisé | Atelier pratique, par mises en situation | Semestrielle, et à chaque changement majeur d’outil ou de cadre |
| Personnel qui utilise des outils d’IA | Outils approuvés, données qui peuvent ou non y être saisies, quand une vérification humaine est nécessaire, comment signaler une préoccupation | Court module en ligne + exemples concrets, en français | Annuelle, plus intégration des nouvelles recrues |
Un cadre en quatre étapes pour construire le programme
- Cartographiez qui touche à l’IA, et comment. Partez de l’usage réel, pas de l’organigramme. Une démarche de détection de l’IA fantôme (ou, à tout le moins, un sondage interne) fait en général apparaître plus de rôles concernés que ce qu’anticipait la DSI ou le service des TI. Regroupez-les selon les cinq publics ci-dessus.
- Concevez le contenu à partir de vos obligations réelles. Retenez celles qui vous concernent : l’article 4 du règlement sur l’IA si vous opérez ou touchez des personnes dans l’UE ; le Code du travail et la consultation du CSE en France ; la Loi 25 si vous traitez des renseignements personnels au Québec ; les lignes directrices de l’AMF ou du BSIF si vous êtes une institution financière ; l’ISO/IEC 42001 si vous visez la certification. Posez-vous les questions que suggère la Commission : que sait déjà chaque public, quels systèmes utilise-t-on, quels risques doit-on connaître ? Pour le personnel québécois, prévoyez les contenus en français.
- Déployez la formation et gardez la trace. Qui a suivi quelle formation, quand, au regard de quelle exigence. La Commission confirme qu’un registre interne suffit : pas besoin de certificat. C’est pourtant l’étape qu’on sacrifie quand le temps manque, et la première qu’un contrôle ou un audit réclame. Un tableur tient jusqu’au deuxième ou troisième cadre ; la plupart des organisations le dépassent vite.
- Actualisez à intervalles réguliers. Les recommandations que le Comité européen de l’IA doit adopter sur l’article 4, les exemples de conformité que la Commission publie sur sa plateforme d’information unique, la désignation des autorités françaises, l’entrée en vigueur des lignes directrices de l’AMF et du BSIF le 1er mai 2027 : le cadre bouge encore. Un programme conçu une fois en 2025 et jamais revu échouera au prochain contrôle pour la même raison que la politique rangée dans un dossier partagé.
Les échéances à garder en tête
| Date | Échéance | Territoire |
| 2 février 2025 | Application de l’article 4 du règlement sur l’IA | UE (France) |
| 27 juillet 2026 | Entrée en vigueur du règlement (UE) 2026/1744 (article 4 reformulé) | UE (France) |
| Août 2026 | Début du contrôle national de l’article 4 par les autorités de surveillance du marché | UE (France ; autorités françaises en cours de désignation) |
| 1er mai 2027 | Entrée en vigueur de la ligne directrice de l’AMF et de la ligne directrice E-23 du BSIF | Québec / Canada |
| 2 décembre 2027 | Application reportée des obligations des systèmes d’IA à haut risque de l’annexe III (la supervision humaine formée reste attendue des déployeurs) | UE (France) |
Points clés
La formation à l’IA n’est pas facultative : l’article 4 du règlement européen s’applique depuis février 2025 (sous sa forme assouplie depuis juillet 2026), le Code du travail impose l’adaptation des salariés, et au Québec la Loi 25 et les lignes directrices financières supposent un personnel compétent et des rôles clairs.
Une séance générique ne suffit pas. Formez par paliers (direction, conformité, RH et représentants du personnel, équipes techniques, utilisateurs) et documentez chacun séparément. La Commission européenne dit qu’un registre interne suffit.
Le personnel non formé est le terreau de l’IA fantôme : en France, près de deux salariés sur trois disent que leur entreprise n’offre aucune formation aux outils d’IA.
Prochaine étape : découvrez comment la plateforme de gouvernance de l’IA de Fruggr aide à rattacher chaque preuve de formation à l’exigence réglementaire qu’elle couvre, plutôt que de gérer un journal de formation dans un tableur que personne ne consulte avant l’audit.
FAQ
C’est une formation structurée et adaptée aux rôles qui apprend à utiliser les systèmes d’IA de façon responsable et conforme aux lois applicables et aux politiques internes. Elle se distingue de la formation générale aux outils d’IA, qui enseigne à s’en servir efficacement sans nécessairement aborder les risques, la conformité ou les responsabilités.
Oui, sous une forme d’obligation de moyens. L’article 4 du règlement européen sur l’IA, applicable depuis le 2 février 2025, impose aux fournisseurs et aux déployeurs de prendre des mesures pour favoriser la maîtrise de l’IA de leur personnel, sans garantir un niveau précis par individu depuis l’omnibus de juillet 2026. S’y ajoutent l’obligation d’adaptation des salariés à leur poste (article L. 6321-1 du Code du travail) et la consultation du CSE lors de l’introduction de nouvelles technologies (article L. 2312-8).
Il n’existe pas, à notre connaissance, de loi québécoise qui impose spécifiquement une formation à l’IA. Plusieurs textes la rendent toutefois nécessaire en pratique : la Loi 25 (transparence des décisions automatisées, ÉFVP, rôles et responsabilités du personnel), la ligne directrice de l’AMF (entrée en vigueur le 1er mai 2027) pour les institutions financières provinciales, la ligne directrice E-23 du BSIF pour les institutions fédérales, et l’article 4 du règlement européen si vos systèmes ou leurs effets touchent l’UE. La Loi sur les compétences peut par ailleurs financer la formation (1 % de la masse salariale au-delà de 2 M$).
Non. La Commission européenne précise qu’aucun certificat n’est requis et que l’article 4 n’oblige pas à mesurer le niveau de connaissance des employés. Un registre interne des formations et des autres actions suffit, à condition qu’elles soient adaptées aux publics et aux systèmes utilisés.
Pour l’introduction d’un outil d’IA, oui dans les entreprises d’au moins 50 salariés : le juge des référés de Nanterre a suspendu en février 2025 le déploiement d’outils d’IA tant que la consultation du CSE n’était pas terminée. La question se pose aussi pour les dispositifs de formation qui accompagnent ces outils. En cas de doute, faites valider la démarche par votre conseil juridique.
Au minimum cinq groupes, avec des contenus distincts : la direction et le conseil d’administration, la conformité (juridique, audit, DPO ou responsable de la protection des renseignements personnels), les RH et les représentants du personnel, les équipes techniques et les personnes qui utilisent des outils d’IA au quotidien. Les prestataires et autres personnes qui utilisent l’IA pour votre compte sont aussi concernés.
Au moins une fois par an pour la plupart des rôles, plus souvent pour les équipes techniques, et à chaque changement important d’outil, de loi ou de norme. Le cadre réglementaire continue d’évoluer en 2026 et 2027.
Cet article a été rédigé avec l’aide de l’IA et relu par notre équipe éditoriale avant publication.