AI Act : organiser la montée en compétences des équipes

L’AI Act n’est plus un horizon lointain. Le règlement européen sur l’intelligence artificielle (UE 2024/1689) est applicable depuis le 2 août 2026 et concerne toute organisation qui fournit, déploie ou distribue un système d’IA dans l’Union — y compris une PME qui utilise un assistant comme Copilot ou un agent conversationnel sur son site.

Pour les entreprises, l’enjeu n’est pas de former tout le monde de la même manière, mais de donner à chaque équipe les repères nécessaires face aux outils qu’elle utilise réellement. Les sanctions les plus lourdes prévues par le règlement (jusqu’à 35 M€ ou 7 % du chiffre d’affaires mondial) visent les pratiques interdites ; pour la maîtrise de l’IA, l’enjeu est surtout de pouvoir montrer les mesures prises.

Partir des usages plutôt que d’un catalogue d’outils

Commencez par inventorier les usages existants, y compris ceux qui ne sont pas encore officiellement déclarés. Un atelier court peut faire émerger les outils employés, les données saisies, les résultats attendus et les décisions influencées par une sortie générée. Cette cartographie permet de distinguer une aide à la rédaction d’un système qui contribue à évaluer un candidat, orienter un client ou prioriser une intervention.

Le règlement raisonne selon le rôle joué dans la chaîne de valeur et le niveau de risque du système : une personne qui utilise un assistant conversationnel n’a pas les mêmes besoins qu’un responsable qui sélectionne un système. La cartographie donne aussi l’ordre de priorité : les obligations les plus lourdes, portant sur les systèmes à haut risque, ont été repoussées à décembre 2027 et août 2028, tandis que la transparence et la compétence des équipes s’appliquent, elles, dès maintenant.

Relier chaque compétence à un risque concret

Le socle commun peut tenir en quatre réflexes. D’abord, formuler une demande vérifiable et conserver le contexte utile. Ensuite, contrôler la réponse : une sortie plausible n’est pas nécessairement exacte, complète ou adaptée. Puis, protéger les informations confidentielles et les données personnelles avant toute saisie. Enfin, savoir quand interrompre l’usage, demander un avis ou reprendre la décision manuellement.

À ces réflexes s’ajoute une obligation précise. Depuis le 2 août 2026, l’article 50 du règlement impose d’annoncer à l’utilisateur qu’il échange avec un agent conversationnel ou vocal, sauf si c’est évident, et de signaler les hypertrucages (images, sons ou vidéos) ainsi que les textes publiés pour informer le public sur des questions d’intérêt général lorsqu’ils n’ont pas fait l’objet d’une relecture humaine sous responsabilité éditoriale. Le marquage technique des contenus générés, lisible par une machine, incombe au fournisseur de l’outil. Ce n’est pas une consigne abstraite, c’est un geste de production. Une équipe marketing doit donc savoir quand un visuel de synthèse doit être signalé ; une équipe support doit savoir annoncer un robot conversationnel et organiser l’escalade vers un humain ; une équipe informatique doit tester les droits d’accès, la journalisation et la sécurité des connecteurs. La protection des données personnelles reste le second pilier : finalité, minimisation, information des personnes, exercice de leurs droits et sécurité.

Construire des parcours par rôle

Un parcours de sensibilisation commun doit expliquer le fonctionnement général d’un système d’IA, ses erreurs possibles, les biais, la confidentialité, les règles internes et le circuit de signalement. Il peut être complété par des modules ciblés : les managers travaillent la validation des usages et la responsabilité de la décision, les métiers apprennent à évaluer les réponses et à documenter les contrôles, les fonctions juridiques et sécurité approfondissent la qualification des traitements et la gestion des fournisseurs.

Ce dispositif doit laisser des traces. L’obligation de maîtrise de l’IA, portée par l’article 4 du règlement, s’impose déjà à toute organisation qui déploie de l’IA : depuis le 27 juillet 2026, il s’agit de prendre des mesures pour favoriser cette maîtrise, sans certificat ni durée imposés, et la Commission européenne suggère d’en tenir un registre interne. En France, au 6 novembre 2026, aucune autorité n’est encore désignée pour la contrôler et aucun régime de sanctions n’est adopté. Une formation non documentée reste difficile à prouver : conservez les supports, les listes de participants, les scénarios travaillés et les évaluations.

La compétence ne se mesure d’ailleurs pas à la présence à une session. Demandez aux participants de traiter un scénario proche de leur quotidien : identifier les données sensibles, repérer une affirmation non étayée, choisir une vérification, puis expliquer la décision finale.

Installer une boucle d’amélioration

Les outils évoluent, les modèles changent et les usages se déplacent. Prévoyez donc un registre simple des cas d’usage, une procédure de remontée des incidents ou des doutes, et un responsable chargé de maintenir les supports à jour. Les retours du terrain doivent modifier les exercices : une erreur récurrente de confidentialité appelle un rappel ciblé ; des réponses trop confiantes appellent un entraînement à la vérification.

Cette veille a un versant technique. L’alerte CERTFR-2026-ACT-016 demande de ne pas déployer d’agents IA autonomes sur les postes de production et recommande de les réserver à un environnement de test sans données sensibles. Cinq risques sont identifiés : compromission par des outils encore en version bêta, fuite de données vers des ressources externes, droits excessifs sur les applications métier, partage de secrets d’authentification et perte de contrôle avec des actions destructives irréversibles. La formation doit donc aussi expliquer pourquoi certaines fonctionnalités séduisantes restent hors du cadre.

En organisant la montée en compétences autour des outils et des risques réellement rencontrés, l’entreprise évite la sensibilisation abstraite. Elle transforme le règlement en pratiques quotidiennes : comprendre avant d’utiliser, protéger avant de transmettre, vérifier avant de décider et signaler dès qu’une situation sort du cadre. METERIS accompagne les organisations qui souhaitent structurer cette démarche.

Mis à jour le 6 novembre 2026 : le règlement européen sur l’IA a été modifié le 8 juillet 2026 (règlement (UE) 2026/1744, en vigueur le 27 juillet 2026). Cet article tient compte du texte publié au Journal officiel.