Littératie IA : ce que l'article 4 impose vraiment depuis le Digital Omnibus

Correction du 25 août 2026. La première version de cet article, publiée le 18 août, écrivait que l’article 4 impose de « garantir un niveau suffisant de compétence » à ceux qui utilisent l’IA. Cette formulation n’est plus celle du texte. Le règlement de simplification dit Digital Omnibus, entré en vigueur le 27 juillet 2026, a modifié l’article 4 : l’exigence d’un niveau « suffisant » a été supprimée, au profit d’une obligation de soutenir le développement de la littératie en IA. Nous avions repris une formulation antérieure sans vérifier qu’elle tenait encore.

Deux autres passages étaient inexacts et sont corrigés ci-dessous : l’article affirmait que la CNIL, la DGCCRF et l’Arcom étaient les autorités françaises désignées — la France n’a notifié aucune autorité à la Commission — et il attachait à l’article 4 un barème d’amendes européen qui ne le vise pas. Nous avons également remplacé les deux sources non institutionnelles sur lesquelles la première version s’appuyait.

Une obligation existe depuis février 2025, elle est devenue contrôlable en août 2026, et son contenu a été allégé entre-temps. Voici où en est exactement l’article 4 du règlement européen sur l’intelligence artificielle.

Ce que le texte dit aujourd’hui

L’article 4 s’applique depuis le 2 février 2025, en même temps que les définitions générales et les pratiques interdites. Il s’adresse aux fournisseurs comme aux déployeurs de systèmes d’IA.

Sa formulation actuelle leur demande de prendre des mesures pour soutenir le développement de la littératie en IA de leur personnel et des personnes qui utilisent ces systèmes pour leur compte, en tenant compte des connaissances techniques, de l’expérience et de la formation de ces personnes.

Le changement introduit en juillet 2026 n’est pas cosmétique. La version antérieure demandait de veiller à un niveau suffisant de littératie. La Commission indique désormais explicitement qu’aucun niveau spécifique ou « suffisant » n’est imposé. La charge de démonstration se déplace : on ne vous demande plus d’atteindre un seuil, on vous demande d’agir.

Le même règlement confie à la Commission et aux États membres un rôle de soutien, avec publication d’exemples pratiques de conformité, et charge le Comité européen de l’IA d’adopter des recommandations fixant des objectifs communs.

Depuis quand c’est contrôlable

C’est le point qui n’a pas changé, et il reste le plus important.

Le calendrier officiel de la Commission est explicite : au 2 août 2026, l’application et l’exécution du règlement commencent, au niveau national comme européen, pour les modèles d’IA à usage général, les pratiques interdites, les règles de transparence et la littératie en IA.

Une obligation qui existait depuis dix-huit mois est donc entrée dans le champ du contrôle. Les États membres devaient, eux, avoir désigné leurs autorités compétentes et adopté leurs lois nationales sur les sanctions au 2 août 2025.

Qui est concerné : à peu près tout le monde

Le texte ne prévoit aucun seuil d’effectif. Une entreprise de cinq personnes qui rédige ses devis avec un assistant conversationnel entre dans le champ, au même titre qu’un grand groupe. Le critère n’est pas la taille mais l’usage.

La proportionnalité reste au cœur du dispositif : les mesures attendues dépendent du rôle de la personne, des outils qu’elle manipule et du contexte. Aucun programme type n’est imposé, aucun volume horaire n’est prescrit.

Ce que risque une entreprise, précisément

Il faut être exact ici, parce que des montants circulent qui ne correspondent pas.

Le règlement prévoit trois niveaux d’amendes : jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires mondial pour les pratiques interdites ; jusqu’à 15 millions ou 3 % pour les obligations relatives aux modèles à usage général et d’autres manquements ; jusqu’à 7,5 millions ou 1 % pour la fourniture d’informations inexactes.

L’article 4 ne dispose pas d’un barème propre. La Commission indique que sa supervision relève des autorités nationales de surveillance du marché, qui peuvent prononcer des pénalités et d’autres mesures d’exécution selon une approche proportionnée — les régimes de sanction étant fixés par chaque État membre.

Le risque réel se situe donc moins dans une amende autonome que dans le facteur aggravant. En cas d’incident lié à un usage d’IA, l’absence de dispositif documenté pèsera dans l’appréciation de la responsabilité de l’organisation.

Qui contrôle en France : la réponse est « on ne sait pas encore »

C’est le point sur lequel notre première version se trompait, et il mérite d’être dit franchement.

Le tableau des points de contact nationaux publié par la Commission ne fait apparaître aucune autorité pour la France. L’échéance de désignation était pourtant fixée au 2 août 2025, et la Commission rappelle sur cette même page qu’un retard peut donner lieu à une procédure d’infraction.

Un schéma de gouvernance a été rendu public côté français, articulé autour de la DGCCRF pour la coordination opérationnelle, mais il suppose un véhicule législatif qui n’a pas achevé son parcours parlementaire. Écrire que la CNIL, la DGCCRF et l’Arcom « sont les autorités désignées » était donc prématuré.

Nous mettrons cette section à jour dès qu’une désignation officielle sera vérifiable. En attendant, l’incertitude porte sur qui contrôlera — pas sur l’existence de l’obligation.

L’écart entre l’obligation et la réalité

Il reste considérable. Selon l’étude de l’Apec publiée le 21 mai 2026, 29 % des cadres du secteur privé déclarent avoir été formés à l’IA, contre 24 % un an plus tôt. Dans le même temps, la moitié d’entre eux utilisent l’IA générative au travail au moins une fois par semaine — quinze points de plus qu’en 2025.

Autrement dit : l’usage progresse deux fois plus vite que la formation. Sept cadres sur dix utilisent ou côtoient des outils sur lesquels ils n’ont reçu aucun accompagnement formel.

Ce qu’il faut mettre en place, concrètement

Le contenu de l’obligation s’est allégé ; la logique d’un dispositif défendable, elle, ne change pas.

Un inventaire des usages. Recenser quels systèmes d’IA sont effectivement utilisés, par qui, et pour quelles tâches. On ne dimensionne pas un accompagnement sans savoir ce qu’on accompagne.

Une segmentation par niveau de risque. Trois profils suffisent dans la plupart des organisations : l’utilisateur occasionnel, qui a besoin d’une sensibilisation ; l’utilisateur métier régulier, qui a besoin d’une formation outillée sur ses cas d’usage ; le décideur ou super-utilisateur, pour qui un parcours approfondi se justifie.

Une trace. C’est le point le plus souvent négligé, et celui que l’allègement du texte ne dispense pas de tenir. Puisqu’il s’agit désormais de démontrer qu’on a pris des mesures, l’absence de toute trace reste le seul cas clairement indéfendable.

Une gouvernance nommée. Le calendrier réglementaire bouge — cet article en est la démonstration. Quelqu’un doit en assurer le suivi.

Pourquoi ça change la donne pour les salariés

Vu du côté des actifs, l’obligation reste un point d’appui, même allégée. La montée en compétence sur l’IA n’est pas une initiative individuelle à financer sur son propre compte de formation : le règlement en fait une charge que l’employeur doit prendre en considération.

Pour les métiers dont l’exposition est élevée — comptabilité, assistanat, rédaction, juridique — c’est aussi une fenêtre. Les budgets qui se débloquent aujourd’hui sont dirigés vers la conformité ; autant les orienter vers des compétences qui ont une valeur durable.

Une dernière remarque, sur notre propre travail. Cet article a dû être corrigé une semaine après sa publication parce que le texte européen avait changé six jours avant que nous l’écrivions. C’est un rappel utile : sur un calendrier réglementaire mouvant, la date d’une source compte autant que son contenu.