L'article 4 est l'obligation du règlement sur l'IA que presque toutes les entreprises de l'Union ont déjà, et celle dont le texte a changé cet été. Il s'applique aux fournisseurs et aux déployeurs de systèmes d'IA, c'est-à-dire à toute entreprise qui utilise un système d'IA dans son activité, depuis le 2 février 2025, et le règlement (UE) 2026/1744, l'omnibus numérique sur l'IA, en a remplacé le libellé avec effet au 27 juillet 2026. Cet article est le texte réécrit, ce qu'il demande et ne demande pas, comment l'enregistrement se produit, et un programme qui tient sur une page, lus dans les deux règlements sur CELLAR le 12 septembre 2026. Ce n'est pas un avis juridique.

Le texte, avant et après

L'article 4 d'origine exigeait des fournisseurs et des déployeurs qu'ils prennent des mesures pour garantir, dans toute la mesure du possible, un niveau suffisant de maîtrise de l'IA de leur personnel et des autres personnes s'occupant du fonctionnement et de l'utilisation des systèmes d'IA pour leur compte. L'article 4(1) réécrit exige d'eux qu'ils prennent « des mesures pour favoriser le développement de la maîtrise de l'IA » des mêmes personnes, « en prenant en considération leurs connaissances techniques, leur expérience, leur éducation et leur formation, ainsi que le contexte dans lequel les systèmes d'IA sont destinés à être utilisés, et en tenant compte des personnes ou des groupes de personnes à l'égard desquels les systèmes d'IA sont destinés à être utilisés », puis ajoute la phrase qui change la conversation : « Cette obligation ne contraint pas les fournisseurs ou les déployeurs à garantir un niveau spécifique de maîtrise de l'IA par un individu. »

Deux nouveaux paragraphes suivent. Article 4(2) : la Commission et les États membres soutiennent et facilitent les efforts des fournisseurs et déployeurs, « en particulier les PME », et la Commission publie « des exemples pratiques sur la manière de respecter cette obligation » sur la plateforme d'information unique de l'article 62(3). Article 4(3) : le Comité IA adopte des recommandations, en tenant compte des cadres européens de compétences, pour aider à promouvoir la maîtrise de l'IA, notamment en fixant des objectifs communs.

La définition n'a pas bougé. Article 3(56) : la maîtrise de l'IA est l'ensemble des compétences, des connaissances et de la compréhension qui permettent aux fournisseurs, aux déployeurs et aux personnes concernées de procéder à un déploiement des systèmes d'IA en connaissance de cause et de prendre conscience des possibilités et des risques de l'IA et des préjudices qu'elle peut causer.

Ce qu'il demande, et à qui

L'obligation pèse sur l'organisme, pas sur l'individu, et c'est une obligation de moyens : prendre des mesures, proportionnées aux personnes et au contexte. Trois choses en découlent.

D'abord, qui est couvert : le personnel et « les autres personnes s'occupant du fonctionnement et de l'utilisation des systèmes d'IA » pour le compte de l'organisme, ce qui atteint les sous-traitants et les intérimaires qui exploitent un système pour vous. Pas les clients ni le public, même si les mesures doivent tenir compte « des personnes ou des groupes de personnes à l'égard desquels les systèmes d'IA sont destinés à être utilisés ».

Ensuite, ce que sont les « mesures » : l'article ne dit pas formation, cours ou certificats. Il dit des mesures qui tiennent compte des connaissances techniques, de l'expérience, de l'éducation et de la formation, et du contexte d'utilisation. Un développeur qui construit des modèles, un recruteur qui lit un classement produit par un système et un assistant qui rédige avec un modèle à usage général ont besoin de choses différentes, et la mesure pour chacun est celle qui convient.

Enfin, ce qu'il n'exige pas : un niveau garanti de maîtrise pour un individu, un test, un certificat ou un cours nommé. Une entreprise peut satisfaire à l'article par un briefing interne, un guide écrit par système, une politique d'utilisation et un enregistrement de qui a reçu quoi et quand, pourvu que les mesures conviennent aux personnes et au contexte.

L'exécution

L'article 4 se trouve au chapitre I, applicable depuis le 2 février 2025. Il ne figure pas parmi les dispositions auxquelles l'article 99(4) attache les amendes pouvant atteindre 15 000 000 euros ou 3 % du chiffre d'affaires ; ce sont les articles 16, 22 à 26 et 50, les obligations des opérateurs pour le haut risque et la transparence. Aux termes de l'article 99(1) tel que modifié, les États membres fixent des sanctions pour toute infraction au règlement, qui peuvent comprendre des amendes administratives, des avertissements et des mesures non pécuniaires, proportionnées et tenant compte des intérêts des PME, des jeunes pousses et des petites entreprises à moyenne capitalisation. La conséquence pratique de l'article 4 est donc ailleurs : un déployeur d'un système à haut risque doit confier le contrôle humain à des personnes qui ont la compétence, la formation et l'autorité nécessaires (article 26(2)), et la notice d'utilisation d'un fournisseur suppose un lecteur capable de s'en servir ; une entreprise qui ne peut pas montrer ce qu'elle a fait au titre de l'article 4 se verra poser la question au titre de ces articles, et par ses clients.

L'enregistrement, à partir de l'ISO 42001

Pour une entreprise qui fait tourner un système de management, l'article 4 est déjà un ensemble d'enregistrements qu'elle tient. L'ISO/IEC 42001:2023 exige, au paragraphe 7.2, que l'organisme détermine les compétences nécessaires aux personnes dont le travail influe sur sa performance en IA, s'assure qu'elles les ont, agisse là où elles ne les ont pas, et conserve des preuves ; au paragraphe 7.3, que les personnes soient sensibilisées à la politique d'IA et à leur contribution au système de management ; et à l'annexe A, la mesure A.4.6 couvre les personnes et les compétences dont dépend un système d'IA, et les mesures A.9 couvrent l'utilisation de l'IA par l'organisme lui-même : les règles d'utilisation (A.9.2), les objectifs d'utilisation responsable (A.9.3) et l'utilisation d'un système pour ce pour quoi il a été conçu (A.9.4). L'enregistrement de compétence du 7.2 est l'enregistrement de l'article 4 : qui exploite quel système, ce qu'il devait savoir, quelle mesure il a reçue, quand, et la preuve.

Les mêmes paragraphes existent dans l'ISO 27001, 7.2 et 7.3, et une entreprise qui détient ce certificat peut verser les mesures IA dans les enregistrements de compétence et de sensibilisation qu'elle tient déjà plutôt que de constituer un dossier parallèle. Ce que demande l'ISO 42001, et où les autres obligations du règlement sur l'IA se posent sur elle, est dans la correspondance ; les 38 mesures de la norme en français clair sont l'article compagnon.

Un programme qui tient sur une page

Notre exemple, en nos propres mots ; les mesures qui conviennent à une entreprise sont celles qui conviennent à ses systèmes et à ses gens, et le texte ne les prescrit pas.

  1. Un inventaire : les systèmes d'IA que l'entreprise fournit ou utilise, chacun avec sa destination, qui l'exploite et à l'égard de qui il est utilisé. Sans cela, il n'y a rien à propos de quoi prendre des mesures.
  2. Trois catégories de personnes : celles qui construisent ou configurent des systèmes, celles qui les exploitent et agissent sur leurs sorties, et toutes les autres qui utilisent un outil à usage général. Les mesures diffèrent par catégorie.
  3. Pour la première catégorie, la documentation technique du système et la notice d'utilisation du fournisseur, lues et reconnues, et l'appréciation des risques à laquelle elles ont contribué.
  4. Pour la deuxième, un guide d'une page par système : ce qu'il fait, ce qu'il ne fait pas, ses limites connues et son exactitude, l'avertissement sur le biais d'automatisation de l'article 14(4)(b) dans les mots de l'entreprise, quand passer outre, et à qui demander.
  5. Pour la troisième, la politique d'utilisation : quels outils sont approuvés, ce qui ne doit pas y être saisi, comment les sorties sont vérifiées, et les obligations d'information de l'article 50 là où elles s'appliquent.
  6. Un briefing sur les risques et les possibilités de l'IA, une fois à l'arrivée et une fois par an, la moitié « prise de conscience » de la définition de l'article 3(56).
  7. Un enregistrement par personne : catégorie, systèmes, mesures reçues, dates. C'est l'enregistrement de compétence du 7.2, et ce qu'il faut montrer quand on le demande.
  8. Un réexamen quand un système est ajouté, modifié ou retiré, et quand les exemples pratiques de la Commission ou les objectifs communs du Comité sont publiés.

Voilà l'article 4. Le détail, c'est qu'il est proportionné : un cabinet de huit personnes utilisant deux outils à usage général y satisfait avec les points 1, 5, 6 et 7 ; un fournisseur d'un système de recrutement à haut risque, non.

Sources

  • Règlement (UE) 2024/1689 (le règlement sur l'IA), article 3(56), article 4 tel qu'adopté à l'origine, article 14(4), article 26(2), article 50, article 62(3), article 99(1) et (4), article 113.
  • Règlement (UE) 2026/1744 du 8 juillet 2026 (l'omnibus numérique sur l'IA), article 1, points (5) et (38) ; Journal officiel du 24 juillet 2026, en vigueur le 27 juillet 2026. Tous deux lus sur CELLAR le 12 septembre 2026.
  • ISO/IEC 42001:2023, paragraphes 7.2 et 7.3 et mesures A.4.6, A.9.2, A.9.3 et A.9.4 de l'annexe A, cités par numéro ; le texte est celui de l'ISO et n'est pas reproduit.

Ceci n'est pas un avis juridique. Les mesures qui satisfont à l'article 4 pour une entreprise donnée dépendent de ses systèmes et de ses gens ; le texte est celui du règlement, et les exemples pratiques seront ceux de la Commission.