Il existe une obligation légale que la plupart des dirigeants français découvrent avec dix-huit mois de retard : former leur personnel à l'IA. Elle est en vigueur depuis le 2 février 2025, elle concerne toute entreprise qui utilise des systèmes d'IA, et elle est probablement déjà applicable chez vous.

Ce retard n'est pas une faute, le texte est passé sous les radars, éclipsé par les débats sur les systèmes à haut risque. Mais il crée un marché de la peur : des offres de mise en conformité qui agitent des exigences que le règlement ne contient pas. Cet article remet les choses à leur place, ce que le texte dit vraiment, ce que la Commission attend vraiment, qui contrôle vraiment, et surtout ce qu'une organisation intelligente fait de cette obligation : pas une case à cocher, une occasion.

Que dit exactement l'obligation de formation à l'IA ?

L'article 4 du règlement (UE) 2024/1689, applicable depuis le 2 février 2025, tient en une phrase, la voici dans sa version officielle :

Les fournisseurs et les déployeurs de systèmes d'IA prennent des mesures pour garantir, dans toute la mesure du possible, un niveau suffisant de maîtrise de l'IA pour leur personnel et les autres personnes s'occupant du fonctionnement et de l'utilisation des systèmes d'IA pour leur compte, en prenant en considération leurs connaissances techniques, leur expérience, leur éducation et leur formation, ainsi que le contexte dans lequel les systèmes d'IA sont destinés à être utilisés, et en tenant compte des personnes ou des groupes de personnes à l'égard desquels les systèmes d'IA sont destinés à être utilisés.Règlement (UE) 2024/1689, article 4, Journal officiel de l'Union européenne

Deux mots décident de qui est concerné : « les déployeurs ». Un déployeur est toute organisation qui utilise un système d'IA dans le cadre de son activité. Pas besoin de développer des modèles ni de vendre de la technologie : l'entreprise dont les équipes utilisent un assistant conversationnel, un outil de tri de candidatures ou un agent de service client est un déployeur. Autrement dit, presque tout le monde, très bientôt.

Et ce que le texte appelle « maîtrise de l'IA » est défini à l'article 3 : les compétences, les connaissances et la compréhension qui permettent de déployer les systèmes d'IA en toute connaissance de cause, et de prendre conscience de leurs possibilités, de leurs risques et des préjudices qu'ils peuvent causer. Notez ce que cette définition ne dit pas : elle ne parle ni de savoir écrire des prompts, ni de maîtriser un outil particulier. Elle parle de discernement.

Que faut-il faire concrètement pour être en règle ?

Beaucoup moins que ce qu'on vous vend. La Commission européenne a publié des questions-réponses officielles sur la maîtrise de l'IA, mises à jour le 27 juillet 2026, et elles désamorcent une à une les exigences imaginaires du marché de la conformité.

La logique du texte est celle d'une obligation de moyens contextualisée : prendre des mesures raisonnables, adaptées à vos usages réels, et pouvoir en rendre compte. Une PME qui utilise un assistant conversationnel et un grand groupe qui déploie des agents dans ses processus RH n'ont pas le même chantier, et le règlement le dit lui-même.

Qui contrôle, et que risque-t-on vraiment ?

Personne, pour l'instant, et c'est le constat le plus étonnant du dossier. La France a désigné ses autorités de surveillance du règlement sur une page officielle publiée en septembre 2025 : la DGCCRF coordonne et sert de point de contact unique, la CNIL couvre les usages interdits et une partie des systèmes à haut risque, l'ACPR le secteur financier. Aucune de ces autorités n'y est rattachée à l'article 4. L'obligation de formation existe, et son contrôleur n'a pas de nom.

La fausse échéance qui circule

On lit un peu partout qu'une « tolérance » courrait jusqu'au 2 août 2026, date à laquelle les sanctions s'activeraient. C'est inexact. L'article 113 du règlement est sans ambiguïté : le chapitre consacré aux sanctions s'applique depuis le 2 août 2025. Ce qui est vrai, c'est que l'article 99 confie aux États membres la définition du régime des sanctions, effectives, proportionnées, dissuasives, et tenant compte des intérêts des PME, et que la France n'a pas encore attribué l'article 4 à un contrôleur.

La lecture honnête tient en trois points. Il n'y a pas d'amende automatique pour défaut de formation. Il n'y a pas, à ce jour, d'autorité française qui contrôle ce point précis. Mais le jour où un usage problématique de l'IA déclenche un contrôle, une fuite de données, une décision contestée, un incident client, l'absence de toute mesure de formation documentée pèsera dans le dossier. Le registre recommandé par la Commission n'est pas une paperasse, c'est votre preuve de diligence.

Pourquoi la conformité est-elle le mauvais objectif ?

Parce que pendant que le marché vend des attestations, l'écart réel se creuse ailleurs. Les chiffres français tiennent en une ligne : 50 % des cadres utilisent l'IA au moins une fois par semaine, et 29 % se déclarent formés (Apec, mai 2026). L'usage court trois fois plus vite que la formation, et il courait déjà pendant toute la période où l'obligation était en vigueur.

Cet écart n'est pas un problème de conformité, c'est le problème de management que j'ai décrit dans l'article sur l'usage de l'IA sans règle écrite : des milliers de personnes décident seules, chaque jour, de ce qu'elles délèguent à une machine, sans que personne ne leur ait jamais appris à en juger. Une attestation de formation générique n'y change rien. Ce qui y change quelque chose, c'est d'apprendre aux gens à exercer leur discernement, exactement ce que la définition officielle de la maîtrise de l'IA demande, littéralement, « en toute connaissance de cause ».

D'où le renversement que je propose aux organisations que j'accompagne : ne visez pas la conformité, visez la capacité. Une organisation dont les équipes savent travailler avec l'IA, en parler et capitaliser dessus est conforme par construction. L'inverse est faux : une organisation conforme sur le papier peut être parfaitement incapable. La conformité est un sous-produit d'une organisation qui apprend, jamais l'inverse.

Par qui commencer, et que leur apprendre ?

Par tout le monde en même temps, et c'est une position que j'assume contre les deux réflexes dominants. Le bottom-up, équiper la base et attendre que ça remonte, ne fonctionne pas : les usages explosent sans cadre et la direction découvre des pratiques qu'elle ne comprend pas. Le top-down fonctionne encore moins : le temps que la cascade descende, la réalité du terrain a changé deux fois. Dans une transformation qui bouscule tout aussi vite que l'IA, il faut avancer à tous les niveaux hiérarchiques en parallèle, et se synchroniser régulièrement sur trois choses : les visions, les appréhensions et les suppositions. C'est la désynchronisation entre étages qui tue les déploiements, pas le manque de compétences.

Et il y a un levier que presque toutes les organisations sous-exploitent : les power-users. À chaque niveau, quelques personnes ont déjà dix coups d'avance. Leur donner un rôle explicite de relais, du temps pour partager leurs pratiques et un canal pour remonter ce qu'ils découvrent est l'accélérateur le plus économique qui existe. Ils sont déjà là, déjà compétents, déjà motivés. Il suffit de les nommer.

Ce que je mets au centre du contenu

Pas l'outil. La relation de travail. Ce que j'apprends aux équipes que je forme tient en une idée : travailler avec un agent IA, c'est collaborer avec un équipier d'un genre nouveau. On lui exprime un besoin et on le valide ensemble. On lui pose des rôles et des responsabilités. On les révise en rétrospective, comme avec n'importe quel collègue. Et on capitalise sur cette collaboration, étrange au début, mais qui devient un levier d'accélération formidable dès qu'on la traite sérieusement. Cette approche a un mérite pédagogique immense : tout manager sait déjà faire ça. Exprimer un besoin, déléguer, débriefer, ajuster, c'est son métier. La compétence IA n'est pas à construire de zéro, elle est à transposer.

À quoi ressemble un parcours qui tient ?

À cinq étapes, dont aucune ne commence par un catalogue de formations. Le contenu vient en quatrième position, et c'est voulu : ce qui précède détermine s'il servira.

1. L'état des lieux des usages et des craintes. Recenser ce que chacun fait déjà, sans sanction rétroactive, et ce que chacun redoute. Les craintes non dites, pour son poste, sa valeur, sa légitimité, freinent plus que les compétences manquantes.
2. La démystification commune. Une session où l'on montre, sur des cas réels de l'entreprise, ce que l'IA fait bien, ce qu'elle rate et pourquoi. Avant toute technique.
3. La formation par niveau, menée en parallèle. Dirigeants, managers et équipes avancent en même temps, avec des contenus adaptés, et des points de synchronisation réguliers entre niveaux, visions, appréhensions, suppositions. C'est l'anti-cascade.
4. Les power-users nommés et outillés. Un rôle explicite, du temps dédié, un canal de partage. Ce sont eux qui transforment des sessions de formation en pratique quotidienne, et l'apprentissage réel se joue dans la répétition accompagnée, pas dans la session elle-même.
5. Le registre et les rituels de capitalisation. Consigner ce qui a été mené, comme la Commission le recommande, et faire vivre les moments où les équipes partagent ce qui marche et ce qui échoue. C'est la partie que votre charte d'usage de l'IA devrait déjà prévoir, et c'est elle qui rend l'apprentissage durable.

Vous remarquerez la boucle : le registre que Bruxelles recommande arrive en dernier, comme trace naturelle d'un dispositif qui vit. C'est toute la différence entre une organisation qui se met en conformité et une organisation qui apprend. La première produit des attestations. La seconde produit des compétences, et les attestations avec.