Formation · 14 août 2026

Le 2 août 2026, l’article 50 de l’AI Act a monopolisé les titres: chatbots, filigranes, deepfakes. Une obligation plus ancienne est restée dans l’angle mort. Depuis le 2 février 2025, l’article 4 impose aux fournisseurs et aux déployeurs de garantir une littératie IA suffisante aux personnes qui s’occupent de l’IA pour eux. Une TPE qui a « laissé le commercial brancher ChatGPT » depuis dix-huit mois n’est pas dans une zone grise. Elle est en retard sur un texte déjà applicable, alors même qu’elle découvre seulement maintenant l’affichage du chatbot.

Ce que dit l’article 4, sans enjoliver

La littératie IA, dans le règlement, n’est pas un diplôme, ni un nombre d’heures imposé, ni un badge. C’est l’obligation, pour ceux qui mettent un système sur le marché (fournisseurs) et pour ceux qui l’utilisent sous leur autorité (déployeurs), de veiller à ce que leur personnel et les autres personnes qui s’occupent des systèmes en leur nom aient un niveau de compétence, de connaissance et de compréhension adapté au contexte. Le contexte d’une PME de 12 personnes n’est pas celui d’un laboratoire de fondation. L’obligation, elle, est la même dans son principe.

Une PME qui met un agent sur son site est déployeur. Elle doit informer les utilisateurs depuis le 2 août 2026 (article 50). Elle doit aussi, depuis le 2 février 2025, faire en sorte que la personne qui paramètre l’agent, qui alimente la base documentaire, qui lit les conversations ou qui coupe un filtre, comprenne ce qu’elle fait. Les deux articles se tiennent: un affichage mal rédigé est souvent le symptôme d’une équipe non formée, pas d’un oubli de juriste.

Pourquoi les dirigeants l’ont oubliée

Trois raisons, toutes prosaïques.

D’abord, l’article 4 n’a pas le même éclat médiatique que les amendes. Celles du volet transparence vont jusqu’à 15 millions d’euros ou 3 % du chiffre d’affaires mondial; celles des pratiques interdites jusqu’à 35 millions ou 7 %. L’article 4, lui, ressemble à une obligation de moyens. On le relègue après « les vrais sujets ».

Ensuite, beaucoup ont cru que la formation concernait uniquement les éditeurs de modèles. Le texte vise aussi les déployeurs. « On n’entraîne pas de modèle, donc on n’est pas concernés » est un faux raisonnement, le même qui fait dire « c’est l’éditeur qui doit afficher le bandeau ».

Enfin, les outils se sont diffusés par le bas: un abonnement personnel, un plugin CRM, un essai de trois semaines. Personne n’a ouvert un plan de formation parce que personne n’a ouvert un projet. L’AI Act ne distingue pas l’IA « projet » de l’IA « bricolée le soir ».

Ce que « suffisant » veut dire dans une TPE ou une PME

Il ne s’agit pas de transformer vos équipes en chercheurs. Il s’agit de couvrir, pour chaque rôle réel, un socle.

Dirigeant. Distinguer fournisseur et déployeur. Savoir ce qui est dû depuis février 2025, depuis août 2026, et ce qui est reporté (haut risque annexe III au 2 décembre 2027; annexe I au 2 août 2028, règlement UE 2026/1744). Décider quels flux restent humains.
Personne qui configure l’agent. Comprendre le périmètre des données, les droits d’outils, l’affichage utilisateur, les limites du modèle, le journal. Savoir qu’un RAG mal nettoyé invente une tarification à partir d’un PDF obsolète.
Personne qui parle au client. Savoir dire qu’un assistant est automatique, savoir reprendre la main, savoir ne pas coller une réponse non relue dans un devis.
Personne exposée aux contenus générés. Reconnaître un deepfake, connaître la règle d’étiquette visible depuis le 2 août 2026, ne pas republier un visuel « trop beau » sans mention.

Ce socle se documente: qui a été formé, sur quoi, à quelle date, avec quel support. Un registre d’une page vaut mieux qu’une slide « nos équipes sont sensibilisées ».

Cinq actions pour rattraper février 2025

Dresser la liste des personnes qui touchent un système d’IA (y compris ceux qui utilisent un outil grand public pour le travail).
Rattacher chaque personne à un rôle (dirigeant, configurateur, utilisateur métier, communication) et à un objectif de compétence.
Suivre un parcours de formation IA et cybersécurité adapté à ces rôles, pas un webinaire unique de 45 minutes pour tout le monde.
Relier la formation aux usages réels: vos agents TPE/PME, votre RAG, votre box ou votre cloud. Une formation générique qui n’ouvre pas votre outil ne change rien au bandeau du lendemain.
Recouper avec le RGPD: la personne formée doit savoir ce qu’on n’envoie pas dans un prompt. Un audit de conformité RGPD fournit les exemples concrets (pièce d’identité, paie, dossier médical d’un salarié, liste clients).

Littératie et sécurité: le même oubli

Former sans parler des droits de l’agent, c’est apprendre le code de la route sans parler du frein. Un configurateur compétent sait aussi ce qu’il ne faut pas connecter. Patrick Dajan Mouelle, dirigeant de Cybernecs, lie volontairement les deux sujets dans nos interventions: on ne « sensibilise » pas à l’IA d’un côté et on n’audite pas les accès de l’autre. Le même salarié fait les deux erreurs.

Passer de l’oubli à un plan daté

Si vous n’avez rien formalisé depuis février 2025, ne promettez pas un « academy » interne. Datez trois sessions, nommez les participants, gardez les supports. Pour construire ce plan avec un formateur qui connaît le terrain TPE/PME (agents, box, cloud France), contactez-nous via la page contact. L’article 4 n’attend pas 2027. Il attend depuis un an et demi.

Sources: règlement sur l’intelligence artificielle (AI Act), règlement UE 2026/1744 (Digital Omnibus), Touteleurope, L’Express.