Le Règlement européen sur l'intelligence artificielle du 13 juin 2024 (« AI Act », publié au JOUE du 12 juillet 2024) impose aux fournisseurs et aux déployeurs de systèmes d’IA de garantir un niveau suffisant de connaissances en matière d’IA de leur personnel et des autres personnes traitant avec des systèmes d’IA en leur nom.
Rappel
Un règlement est un acte juridique européen, de portée générale, obligatoire dans toutes ses dispositions (TFUE, art. 288 al. 2). Un règlement est directement applicable dans l’ordre juridique des États membres (contrairement à une directive, qui devra être transposée dans leur droit interne). Il s’impose à tous les sujets de droit : États, particuliers, personnes morales, institutions.
Ce règlement, et en particulier son article 4, qui est entré en application le 2 février 2025, met donc une nouvelle obligation à la charge des employeurs : celle de former les salariés à la « maîtrise » de l’intelligence artificielle.
Dans un Questions/Réponses publié sur son site internet le 5 mai dernier, la Commission européenne apporte des précisions sur la portée de cette obligation.
1. Qu’est-ce qu’un « niveau suffisant de connaissances en matière d’IA » ?
La notion de « maîtrise de l’IA » ("AI literacy") est définie par le règlement (art. 3, point 56). Elle désigne l’ensemble des compétences, connaissances et compréhensions permettant un déploiement éclairé des systèmes d’IA, ainsi qu’une conscience des opportunités, des risques et des éventuels préjudices liés à leur utilisation.
Cela implique non seulement une compréhension technique, mais aussi une sensibilisation aux enjeux éthiques, juridiques et sociaux associés à l’usage de l’IA.
2. Comment garantir ce niveau suffisant de connaissance ?
La Commission indique qu’aucune exigence stricte ne sera imposée, soulignant la nécessité de souplesse, notamment en raison du caractère évolutif de l’IA. Néanmoins, elle précise que, a minima, les fournisseurs et déployeurs de systèmes d’IA devraient :
- Assurer une compréhension générale de l’IA au sein de leur organisation : qu’est-ce que l’IA ? Comment fonctionne-t-elle ? Quelle IA est utilisée dans l’entreprise ? Quelles sont ses opportunités et ses risques ?
- Clarifier le rôle de l’organisation : est-elle fournisseur de systèmes d’IA ou simplement déployeur de solutions développées par des tiers ?
- Apprécier le niveau de risque associé aux systèmes utilisés : quelles connaissances les employés doivent-ils avoir concernant ces systèmes ? Quels risques doivent-ils identifier ? Quelles mesures d’atténuation doivent-ils connaître ?
- Adapter les actions de sensibilisation en fonction :
- du niveau de connaissance, d’expérience, de formation et du rôle de chaque groupe de salariés,
- du contexte d’utilisation des systèmes d’IA : dans quel secteur, pour quelle finalité, et sur quelles personnes les systèmes interviennent.
La Commission insiste également sur l’importance d’intégrer une compréhension du cadre juridique et éthique, notamment des dispositions de l’AI Act.
3. La mise en place de formations est-elle obligatoire ?
Il n’existe pas d’obligation de mettre en place des formations, ni de mesurer les connaissances des salariés en matière d’IA.
Toutefois, la Commission rappelle que l’objectif de l’article 4 est de mettre en place les formations et orientations les plus adaptées au profil des utilisateurs et aux cas d’usage spécifiques. En effet, le simple fait de s’appuyer sur les instructions d’utilisation des systèmes d’IA ou de demander au personnel de les lire pourrait être inefficace et insuffisant.
Exemples pratiques
Une entreprise dont les employés utilisent ChatGPT doit-elle former ses salariés à l’IA ?
Certaines entreprises pourraient considérer qu’elles ne sont pas visées par l’obligation si leurs salariés utilisent des IA génératives telle que ChatGPT, sans en être les déployeurs au sens réglementaire.
La Commission considère cependant que tout usage professionnel de systèmes d’IA implique une obligation minimale de sensibilisation, en particulier sur les risques spécifiques, comme les phénomènes d’hallucination (invention de réponses erronées).
Un salarié diplômé ou expérimenté en IA doit-il suivre une formation ?
La Commission répond par l’affirmative lorsque l’outil d’IA utilisé est en lien avec la qualification spécifique du salarié. Elle précise par ailleurs qu’il est particulièrement important de tenir compte de la rapidité des évolutions technologiques : un diplôme ou une expérience spécifique dans le domaine de l’IA peut devenir rapidement obsolète.
La Commission souligne également que la formation permet de se conformer à d’autres dispositions de l’AI Act, tel que l’article 26 qui introduit l’obligation pour les déployeurs de systèmes à haut risque de veiller à ce que le personnel soit suffisamment formé pour gérer le système et assurer une surveillance humaine.
Ainsi, la formation des salariés n’est pas obligatoire, mais apparaît comme la mesure la plus pertinente pour répondre aux exigences du règlement.
Quel type de formation ?
Le Bureau de l’IA de l’UE a créé un référentiel destiné à fournir des exemples de pratiques afin d’encourager l’apprentissage et l’échange entre les fournisseurs et les déployeurs de systèmes d’IA. La Commission indique que - bien que la reproduction des pratiques collectées n’accorde pas automatiquement une présomption de conformité avec l’article 4 - , les organisations peuvent s’inspirer des initiatives de ce Répertoire vivant pour favoriser l'apprentissage et l'échange sur l'alphabétisation en IA.
4. Comment documenter les actions mises en œuvre ?
La Commission précise qu’il n’est pas nécessaire d’obtenir un certificat. Les employeurs peuvent simplement tenir un registre des formations et des actions de sensibilisation entreprises, ce qui constituera un élément probant en cas de contrôle.
5. Quelles sanctions en cas de non-conformité ?
L’AI Act ne prévoit pas de sanctions spécifiques en cas de non-conformité à l’article 4. Le règlement (art. 99) renvoie le soin aux États membres de fixer, d’ici le 2 août 2025, leur propre régime de sanctions, pouvant inclure avertissements, injonctions ou mesures non pécuniaires.
La Commission rappelle que toute sanction devra être proportionnée et fondée sur le cas d’espèce, en tenant compte de la nature, de la gravité et du caractère intentionnel ou non de l’infraction.
Remarque
Chaque État membre doit également identifier les autorités ou organismes publics nationaux qui supervisent ou font respecter les obligations au titre du droit de l’Union visant à protéger les droits fondamentaux, y compris le droit à la non-discrimination, en ce qui concerne l’utilisation des systèmes d’IA à haut risque visés par le règlement (AI Act, art. 77).
Les autorités françaises identifiées sont : la DGCCRF, la CNIL, et le Défenseur des Droits. Cette liste pourra être complétée.
Rappelons également que le Code du travail fait obligation à l'employeur, tenu d'exécuter de bonne foi le contrat de travail, d'assurer l'adaptation de ses salariés à l'évolution de leurs emplois, des technologies et des organisations pendant toute la durée de leur contrat (art. L. 6321-1).
💡Les points clés à retenir
L’article 4 de l’AI Act impose aux entreprises une vigilance accrue quant à la maîtrise de l’intelligence artificielle par leurs salariés. S’il n’instaure pas d’obligation de formation stricto sensu, il requiert néanmoins la mise en œuvre de mesures concrètes et adaptées pour garantir un niveau de connaissance suffisant des salariés en matière d’IA.
Dans un contexte d’évolution rapide des technologies, cette mise en œuvre suppose une approche dynamique, tenant compte à la fois des systèmes utilisés, des fonctions occupées et des risques spécifiques liés à l’IA. La formation, bien que non obligatoire, s’impose comme l’outil le plus pertinent pour répondre à ces exigences, en complément d’actions de sensibilisation ou de dispositifs internes d’accompagnement.
Au-delà du respect de l’AI Act, cette démarche s’inscrit d'ailleurs dans le prolongement des obligations générales de l’employeur en matière de formation professionnelle et d’adaptation à l’évolution des postes de travail.
Elle constitue, en somme, une opportunité de structurer une culture numérique responsable au sein des organisations, en engageant une réflexion notamment sur l’acculturation à l’IA (opportunités et risques, formations, GEPP, ...) et son encadrement (adoption d'une charte par exemple). Sur ces questions, voir « Intelligence artificielle au travail : n’attendez pas pour vous emparer du sujet ! »
