Une obligation déjà en vigueur, et largement ignorée L'article 4 de l'AI Act s'applique depuis février 2025. Il vise toute organisation qui déploie un système d'IA. Pas de seuil d'effectif. Pas de condition de niveau de risque. Un cabinet de douze personnes qui révise ses dossiers avec un assistant est concerné autant qu'un groupe industriel. Le texte a été réécrit. Depuis la révision issue du règlement Omnibus, entrée en vigueur le 27 juillet 2026, les fournisseurs et les déployeurs doivent prendre des mesures pour soutenir le développement de la maîtrise de l'IA de leur personnel. Et il est précisé qu'aucun niveau particulier n'est exigé. La version de 2024, elle, parlait d'assurer un niveau suffisant. Le certificat ne prouve pas grand-chose Le marché a fixé le standard tout seul : une sensibilisation de deux heures, un quiz, une attestation. Souvent vendue avec la menace de 15 millions d'euros ou 3 % du chiffre d'affaires. Problème, ce barème de l'article 99 ne vise pas l'article 4. La Commission a elle-même mis ses réserves par écrit. Se contenter de la notice d'utilisation risque d'être inefficace, et reproduire les pratiques de son propre répertoire ne confère aucune présomption de conformité. Une attestation dit qu'une formation a eu lieu. Pas qu'une compétence a été conservée. Où se situe le vrai risque Les contrôles relèvent des autorités nationales. Et selon la Commission, une sanction devient surtout probable quand un incident survient et que la formation des personnes en cause se révèle insuffisante. Un devis erroné, une clause oubliée, un diagnostic manqué. Ce jour-là, on ne demandera pas l'attestation. On demandera si l'équipe pouvait voir que l'outil se trompait. Construire une preuve utile Pour le DPO, c'est un exercice d'accountability, à traiter comme une mise en conformité rgpd classique. Recenser les outils d'IA réellement utilisés, y compris via des comptes personnels. Rattacher à chaque cas d'usage le public concerné, le contexte d'emploi, les mesures prises. Puis suivre des indicateurs d'usage réel : la part des propositions de l'IA modifiées ou refusées avant validation, par exemple. Une équipe qui accepte presque tout tel quel ne maîtrise pas son outil. Quel que soit son certificat.
