Le 2 août 2026, la littératie IA est devenue contrôlable
Depuis le 2 août 2026, l'article 4 de l'AI Act européen n'est plus une ligne de texte théorique : les autorités disposent désormais d'un pouvoir de contrôle sur la formation IA obligatoire en entreprise. Concrètement, toute entreprise qui utilise l'IA doit pouvoir démontrer que ses collaborateurs disposent d'un niveau suffisant de littératie IA.
Cette semaine encore, en formation sur la gouvernance IA, une participante venue d'une mutuelle a réalisé en direct qu'elle était hors des clous sur ce point précis. Elle a remonté l'information à sa direction générale dans la foulée, sans attendre le prochain contrôle.
J'ai vécu la même scène il y a quelques années avec le RGPD. Les entreprises avaient mis un temps fou à s'y conformer, souvent dans l'urgence et à grands frais. Aujourd'hui, beaucoup redoutent une charge équivalente avec l'AI Act.
La bonne nouvelle, c'est que la plupart des projets IA démarrent tout juste. Intégrer ces exigences dès le départ coûte infiniment moins cher que de les rattraper après coup, comme l'a montré l'expérience RGPD.
En résumé
- 18 % des entreprises en France utilisent l'IA en 2025, un triplement en deux ans (Insee, 2026).
- Seulement 20 % des PME françaises forment leurs salariés à l'IA, contre 57 % au Royaume-Uni (baromètre ESSCA - Forvis Mazars, 2026).
- L'obligation de littératie IA (article 4 AI Act) existe depuis février 2025, mais elle est contrôlable depuis le 2 août 2026.
- Les pratiques interdites de l'AI Act sont sanctionnées jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial.
- Les obligations "haut risque" de l'annexe III ont été reportées à décembre 2027, mais la littératie IA et la transparence restent dues au 2 août 2026.
- La meilleure preuve de conformité reste une politique IA écrite, datée, avec un plan de formation documenté par métier.
Qu'est-ce que la littératie IA selon l'article 4 de l'AI Act ?
La littératie IA est l'obligation faite à tout fournisseur ou déployeur d'un système d'IA de garantir un niveau suffisant de compréhension de l'IA chez son personnel et chez toute personne qui utilise ces systèmes en son nom, selon le règlement (UE) 2024/1689.
Concrètement, cela dépasse la simple prise en main d'un outil. Un collaborateur formé à la littératie IA comprend le fonctionnement général du système qu'il utilise, ses limites, les risques associés (biais, hallucinations, fuite de données) et les règles internes qui encadrent son usage.
L'obligation s'applique dès qu'un système d'IA est déployé dans l'entreprise, qu'il s'agisse d'un copilote bureautique, d'un chatbot interne ou d'un outil de génération de contenu. Elle ne se limite pas aux systèmes classés à haut risque.
En pratique, cela veut dire qu'une entreprise qui a simplement activé Copilot pour ses équipes, sans cadrage ni formation, se trouve déjà dans le périmètre de l'article 4, même si elle n'a jamais entendu parler d'"IA à haut risque".
👉 Vous découvrirez dans notre article sur l'IA et la conformité RGPD les autres obligations qui s'ajoutent à la littératie IA dès qu'un LLM traite des données personnelles.
Ce qui change réellement le 2 août 2026 (et ce qui ne change pas)
Le 7 mai 2026, le Conseil et le Parlement européens ont conclu un accord provisoire sur le "Digital Omnibus" qui reporte l'application pleine des obligations "haut risque" de l'annexe III du 2 août 2026 au 2 décembre 2027. Une partie des directions IA en a conclu, à tort, à un report généralisé.
En réalité, ce report ne concerne qu'une fraction du règlement. Ce qui reste applicable au 2 août 2026 couvre l'essentiel de ce que les entreprises utilisent au quotidien : chatbots, agents IA, copilotes, outils génératifs.
| Obligation | Calendrier | Ce que ça vise |
|---|---|---|
| Pratiques interdites (art. 5) | En vigueur depuis le 2 février 2025 | Scoring social, manipulation subliminale, scraping biométrique non ciblé |
| Littératie IA (art. 4) | Due depuis février 2025, contrôlable depuis le 2 août 2026 | Formation et compréhension de l'IA par le personnel utilisateur |
| Transparence (art. 50) | Applicable au 2 août 2026, sans report | Signaler les chatbots, deepfakes et contenus générés diffusés au public |
| Systèmes à haut risque (annexe III) | Reportée au 2 décembre 2027 | Recrutement, notation, accès au crédit, infrastructures critiques |
Autrement dit, un chatbot support client ou un copilote commercial déployé en interne échappe souvent à l'annexe III, mais reste pleinement soumis à la littératie IA et à la transparence. Le report ne dispense donc presque aucune entreprise de se mettre en ordre de marche dès maintenant.
Combien coûte vraiment un manquement
L'article 4 ne prévoit pas de sanction autonome. Mais l'absence de plan de formation documenté joue systématiquement contre l'entreprise lors de tout contrôle lié à un usage problématique de l'IA, qu'il s'agisse d'un incident RGPD ou d'un signalement.
Pour les manquements les plus graves de l'AI Act, à savoir les pratiques interdites de l'article 5, les sanctions peuvent atteindre 35 millions d'euros ou 7 % du chiffre d'affaires mondial, le montant le plus élevé étant retenu. Pour les manquements aux obligations de transparence de l'article 50, le plafond est de 15 millions d'euros ou 3 % du chiffre d'affaires mondial.
La CNIL a annoncé, dans son programme 2026, se préparer à devenir autorité de surveillance de l'AI Act en complément de son rôle sur le RGPD, avec des contrôles croisés dès cette année. Un contrôle RGPD classique peut donc désormais révéler, en creux, une absence de conformité à l'article 4.
C'est précisément le mécanisme qu'a vécu la mutuelle évoquée plus haut : ce n'est pas un contrôle AI Act qui a révélé le problème, mais une session de formation. Autant l'anticiper avant qu'un organisme de contrôle ne s'en charge.
Pourquoi les entreprises françaises sont en retard sur la formation, pas sur l'adoption
Selon l'Insee, 18 % des entreprises implantées en France utilisaient au moins une technologie d'IA en 2025, soit 8 points de plus qu'en 2024 : un triplement en deux ans pour les entreprises de moins de 250 salariés. L'adoption de l'IA en entreprise progresse donc très vite.
La formation, elle, ne suit pas le même rythme. Selon le baromètre IA & Entreprises de l'ESSCA et Forvis Mazars, présenté au Sénat le 24 mars 2026, seulement 20 % des PME françaises proposent une formation IA à leurs salariés, contre 57 % des PME britanniques. L'écart se maintient chez les ETI (49 % contre 80 %) et les grandes entreprises (61 % contre 82 %).
En formation, l'objection la plus fréquente que j'entends est : "on n'a pas encore de vrai projet IA, on verra la formation plus tard". C'est exactement l'inverse de ce que dit l'article 4 : la littératie IA doit précéder ou accompagner l'usage, pas le suivre.
Ce décalage entre adoption rapide et encadrement lent est précisément ce que sanctionne, en creux, l'AI Act. Notre article sur la sensibilisation IA en PME détaille comment lancer cette étape sans attendre un projet IA "complet".
Les 4 actions concrètes à mener avant votre prochain contrôle
Face à ce calendrier, quatre actions permettent de couvrir l'essentiel de l'article 4 sans mobiliser des semaines de travail :
- Inventoriez tous les outils IA utilisés dans l'organisation, y compris les usages individuels informels (ChatGPT personnel, extensions IA, copilotes activés sans validation).
- Désignez un référent IA ou composez un comité restreint, chargé de suivre les usages et les évolutions réglementaires.
- Rédigez une politique IA écrite, datée et signée par la direction : outils autorisés, usages interdits, rôles, et plan de formation associé.
- Formez par groupe métier, pas en session générique : les risques et les usages d'un commercial, d'un RH ou d'un juriste ne sont pas les mêmes.
C'est ce document de politique IA, plus que la formation elle-même, qui constitue la preuve de conformité présentable lors d'un contrôle. Notre guide pour bien choisir sa formation IA en entreprise détaille comment structurer cette quatrième étape.
Un exemple concret : former 200 salariés dans le médical, productivité et conformité en même temps
Récemment, une entreprise du secteur médical nous a sollicités pour former 200 salariés à Copilot pour Office. L'objectif de départ était simple : aider les équipes à mieux utiliser les outils déjà à leur disposition.
Très vite, un second objectif s'est imposé naturellement : profiter de cette formation pour couvrir l'obligation de littératie IA de l'article 4. Les deux besoins se recoupaient presque entièrement.
Nous avons organisé huit sessions d'une demi-journée, réparties par groupe métier plutôt qu'en formation généraliste. Chaque groupe a travaillé sur ses propres cas d'usage : rédaction de comptes rendus, synthèse de documents, préparation de présentations.
Le retour a été très positif, aussi bien sur l'adoption des outils que sur la clarté apportée sur ce qui est autorisé ou non. C'est cette double lecture, productivité et conformité, qui rend ce type de formation rentable plutôt que perçu comme une contrainte de plus.
Le parallèle avec le RGPD : ne refaites pas la même erreur deux fois
Le RGPD a mis des années à s'imposer dans les PME françaises, souvent dans l'urgence, avec des budgets gonflés par le retard pris. L'AI Act suit une trajectoire similaire, et la même crainte d'une charge écrasante circule aujourd'hui dans les comités de direction.
Mais la situation n'est pas identique. La plupart des projets IA dans les entreprises françaises démarrent tout juste, contrairement au RGPD qui a dû s'appliquer à des systèmes d'information déjà en place depuis des décennies.
C'est justement là que se trouve l'opportunité : intégrer la littératie IA et la gouvernance dès le lancement d'un projet coûte une fraction de ce que coûte une mise en conformité a posteriori. Le cas de la mutuelle évoqué plus haut illustre bien ce point : un simple constat en formation a suffi à déclencher une remontée à la direction générale, avant qu'un contrôle externe ne le fasse à un coût bien plus élevé.
Ce qu'il faut décider maintenant
L'article 4 de l'AI Act n'est pas un audit de plus à subir : c'est l'occasion de cadrer une gouvernance IA que la plupart des entreprises françaises devront de toute façon construire, avec ou sans réglementation.
La vraie décision n'est pas "faut-il s'y conformer", mais "à quel moment du projet IA cette conformité doit-elle entrer". Attendre le prochain contrôle coûte systématiquement plus cher que l'intégrer dès la formation des équipes.
👉 Découvrir nos formations IA 👉 Lancer votre diagnostic IA
Sources & ressources
- Journal du Net, EU AI Act, le piège du report (18 mai 2026) : calendrier détaillé du Digital Omnibus, sanctions par article
- Journal du Net, AI Act : à compter du 2 août 2026, le droit de savoir qui (ou quoi) a produit l'information (3 août 2026) : confirmation des obligations de transparence de l'article 50
- Insee, Les technologies de l'information et de la communication dans les entreprises en 2025, Insee Première n°2120 : taux d'adoption de l'IA par les entreprises françaises
- ESSCA / Forvis Mazars, Baromètre IA & Entreprises, 2e édition, présenté devant la délégation sénatoriale (24 mars 2026) : écart de formation IA entre PME françaises et britanniques
- Union européenne, Règlement (UE) 2024/1689 sur l'intelligence artificielle (AI Act) : texte de référence, article 4 sur la littératie IA
