Depuis dimanche 2 août 2026, l'AI Act a franchi une étape que la plupart des dirigeants n'ont pas vue venir. Pas celle qu'on leur annonçait depuis des mois, le report des obligations sur les systèmes à haut risque, mais une autre, plus discrète et pourtant bien plus large : l'obligation de former ses équipes à l'IA est devenue sanctionnable au niveau national. 83 % des PME françaises n'ont formé aucun salarié à l'usage de l'IA, alors que la quasi-totalité en utilisent déjà au quotidien. Depuis cette date, ce vide documentaire a cessé d'être un simple retard de compétitivité. C'est désormais un risque juridique, daté, et pour la première fois assorti d'une autorité de contrôle prête à le vérifier.

Le 2 août 2026 n'est pas le report que tout le monde attend

Beaucoup d'entreprises ont soufflé en juin dernier. Le 16 juin 2026, le Parlement européen a approuvé le paquet Digital Omnibus, validé ensuite par le Conseil de l'UE le 29 juin. Résultat annoncé partout, y compris sur ce blog au moment de l'accord : un report de seize mois pour les obligations les plus lourdes de l'AI Act, celles qui pèsent sur les systèmes à haut risque de l'Annexe III (recrutement, notation de crédit, assurance). Nouvelle échéance : le 2 décembre 2027. Pour les systèmes intégrés dans des produits réglementés de l'Annexe I, comme les dispositifs médicaux ou les machines industrielles, le délai grimpe jusqu'au 2 août 2028.

Ce report, largement commenté, a occulté une partie du texte que peu d'articles ont pris la peine de détailler. Trois chantiers restent sur le calendrier d'origine, sans aucun sursis : les pouvoirs de contrôle et de sanction du Bureau de l'IA sur les fournisseurs de modèles à usage général (jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial pour les manquements les plus graves), les obligations de transparence de l'article 50 pour les nouveaux systèmes mis sur le marché après le 2 août 2026, et l'obligation de littératie IA de l'article 4. Ce dernier point concerne directement votre entreprise, quelle que soit sa taille et quel que soit son secteur d'activité.

Pourquoi si peu d'entreprises l'ont remarqué ? Sans doute parce que l'article 4 n'a jamais ressemblé à une échéance. Il est en vigueur depuis le 2 février 2025, en même temps que les premières pratiques interdites du règlement, sans jamais avoir fait l'objet d'un calendrier de sanctions clair. Un texte sans date butoir précise finit toujours en bas de la pile des priorités. C'est justement ce qui vient de changer avec ce 2 août : la date existe désormais, et elle est déjà derrière nous.

Ce que l'article 4 exige réellement des employeurs

L'article 4 du règlement (UE) 2024/1689 tient en une phrase dense : les fournisseurs et déployeurs de systèmes d'IA doivent prendre des mesures pour assurer, dans la mesure du possible, un niveau suffisant de littératie IA de leur personnel et de toute personne chargée d'utiliser ces systèmes en leur nom. Pas de programme type imposé par Bruxelles. Le texte fixe un principe de proportionnalité : le contenu de la formation doit s'adapter au rôle, à l'outil utilisé et au niveau de risque associé.

Concrètement, un juriste qui interroge Claude sur un contrat n'a pas besoin de la même formation qu'un data scientist qui entraîne un modèle prédictif de scoring. Mais les deux doivent comprendre ce qu'est un système d'IA, connaître ses limites (hallucinations, biais, failles de sécurité des données) et savoir vers qui se tourner en cas d'incident. Un commercial qui prépare ses rendez-vous avec un assistant IA et un ingénieur qui code avec un agent autonome n'ont, eux non plus, rien à faire du même module.

Est-ce que votre entreprise pourrait produire, aujourd'hui même, la liste des collaborateurs formés et la date de leur dernière session ? C'est exactement la question qu'un contrôleur posera. La CNIL, désignée comme autorité de contrôle en France, peut désormais l'exiger. Sans traçabilité, l'obligation de moyens se transforme en absence de moyens tout court, et c'est ce vide que les autorités regarderont en premier.

Un dossier de preuve solide tient en quatre éléments : le contenu exact de la formation dispensée, avec support et objectifs pédagogiques, la liste nominative des participants et la date de passage, le lien entre chaque module et le rôle occupé par le salarié, et la fréquence de mise à jour du programme quand un nouvel outil entre en service. Sans ces quatre éléments réunis, une attestation générique ne pèsera pas lourd face à un contrôle.

Beaucoup d'entreprises pensent avoir rempli cette obligation avec une session de sensibilisation organisée en 2023 ou 2024, au moment de l'arrivée des premiers assistants IA dans l'entreprise. Le problème est simple. Un module figé, jamais mis à jour depuis l'arrivée de nouveaux outils ou de nouveaux usages, ne satisfait plus le principe de proportionnalité que la loi exige aujourd'hui. La littératie IA n'est pas un certificat qu'on obtient une fois : c'est un programme vivant, qui suit les outils que vos équipes utilisent réellement.

L'écart que les chiffres révèlent

72 % des salariés français disent vouloir se former à l'IA, selon une étude relayée début 2026. En face, seulement 12 % déclarent avoir suivi une formation réelle en entreprise. L'écart entre l'envie et la réalité donne la mesure du chantier qui reste à couvrir, et il ne se limite pas aux petites structures.

Le déséquilibre se creuse encore quand on regarde qui, dans l'entreprise, a été formé. 75 % des managers ont reçu une formation aux outils d'IA, contre 37 % seulement pour leurs équipes. C'est un peu comme équiper les officiers d'un régiment sans jamais entraîner la troupe : la chaîne de décision comprend l'outil, mais les mains qui l'utilisent au quotidien restent livrées à elles-mêmes. Un cabinet de conseil peut très bien avoir formé son comité de direction à l'IA générative tout en laissant ses consultants juniors, ceux qui produisent réellement les livrables, se débrouiller seuls avec des prompts appris sur le tas.

Le fossé est encore plus marqué chez les PME. 83 % d'entre elles n'ont formé personne à l'IA en France, quand 20 % seulement proposent un programme structuré à leurs salariés. Nous documentions déjà ce déficit dans un précédent article, avant même que la sanction ne devienne une menace concrète. Comparez ce chiffre aux 57 % de PME britanniques qui, elles, ont déjà mis en place une formation dédiée. Le Royaume-Uni n'est pas soumis à l'AI Act, mais l'écart montre que le retard français sur la littératie IA n'est pas qu'une question réglementaire. C'est aussi un vrai sujet de compétitivité.

Qui contrôle, et avec quel niveau de sanction réel

L'AI Act prévoit trois paliers de sanctions à l'article 99, tous calculés sur le chiffre d'affaires mondial annuel de l'entreprise. Le premier, réservé aux pratiques interdites comme la manipulation cognitive ou le scoring social, grimpe jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires. Le deuxième, pour les manquements aux obligations techniques des systèmes à haut risque et des modèles à usage général, plafonne à 15 millions d'euros ou 3 %. Le troisième, pour les informations trompeuses fournies aux autorités, atteint 7,5 millions d'euros ou 1 %. Les PME bénéficient de plafonds réduits sur ces trois paliers.

Ces chiffres impressionnent, mais ils ciblent d'abord les fournisseurs de systèmes à haut risque et de grands modèles généralistes, pas l'entreprise qui a simplement négligé de former ses équipes. Pour l'article 4, chaque autorité nationale fixe et applique sa propre grille. En France, la CNIL a déjà rodé son outil le plus rapide : la procédure simplifiée, où un seul membre de la formation restreinte instruit et tranche le dossier, sans passer par la procédure ordinaire, plus longue et plus formelle. Depuis janvier 2026, elle a prononcé 23 sanctions par cette voie, pour un total cumulé de 133 750 euros, avec un plafond fixé à 20 000 euros par dossier.

Le montant paraît presque anecdotique à côté des 35 millions d'euros affichés en une des articles sur l'AI Act. C'est bien le problème : la procédure simplifiée est rapide, peu coûteuse à instruire pour la CNIL, et représente déjà 80 % de ses sanctions prononcées en 2026. Un dossier de littératie IA mal documenté a bien plus de chances de finir devant cette procédure qu'une amende record devant la formation restreinte.

Autre détail qui mérite l'attention : sur les 23 dossiers traités depuis janvier, 19 ont pour origine une plainte déposée par une personne concernée, pas un contrôle proactif de la CNIL. De quoi donner un faux sentiment de sécurité aux entreprises qui n'ont reçu aucune réclamation. Sauf que la CNIL construit actuellement son programme de contrôle ciblé pour 2026, et l'IA en fait partie. Et si le manquement à la littératie s'accompagne d'un incident, une fuite de données par un salarié qui aurait collé des informations clients dans un outil IA public par exemple, le dossier peut basculer vers la procédure ordinaire, où les montants rejoignent ceux du RGPD classique.

Documenter et gouverner : la vraie priorité de la rentrée

65 % des collaborateurs des entreprises du Fortune 500 utilisent au moins un outil d'IA non approuvé par leur service informatique, selon une étude Gartner. En France, la proportion est plus faible mais loin d'être nulle : 61 % des utilisateurs d'IA en entreprise passent par leurs comptes personnels au moins une fois par semaine, d'après une étude Microsoft France et YouGov de janvier 2026. Difficile de prouver la littératie IA de vos équipes si vous ignorez, au départ, quels outils elles utilisent réellement.

La priorité opérationnelle tient en trois mots : inventaire, formation, preuve. L'inventaire recense chaque outil d'IA utilisé, son éditeur, le pays d'hébergement des données et le niveau de risque associé. Beaucoup d'organisations découvrent à cet exercice qu'elles utilisent bien plus d'outils qu'elles ne le pensaient, souvent installés par un service isolé sans validation centrale. La formation s'adapte ensuite au rôle et au risque identifié, comme l'exige l'article 4. La preuve, enfin, conserve les dates, les contenus et les participants de chaque session, prête à être présentée en cas de contrôle.

C'est là que le choix des outils compte presque autant que le programme de formation lui-même. Un outil comme Claude Cowork, identifié, avec des journaux d'utilisation et des contrôles d'accès par rôle, facilite mécaniquement cette preuve : chaque usage est tracé, contrairement aux comptes personnels utilisés en dehors de tout cadre. Nous détaillions déjà comment gouverner les accès aux connecteurs IA dans un précédent article. La littératie documentée et la gouvernance technique avancent main dans la main. L'une sans l'autre laisse toujours un angle mort en cas de contrôle, quel que soit le sérieux du programme sur le papier.

Ce qui change concrètement selon votre secteur

Dans le recrutement, les outils de tri de CV et d'évaluation des candidats restent classés à haut risque par l'Annexe III, mais leur échéance de mise en conformité complète a été repoussée au 2 décembre 2027. Cela ne dispense pas de former les recruteurs qui utilisent ces outils dès à présent : l'article 4 s'applique indépendamment du report. Nous avions détaillé les enjeux de biais et de conformité propres à ce secteur dans un article dédié au recrutement.

Même logique en assurance et pour le crédit : le scoring automatisé figure aussi à l'Annexe III et profite du même sursis jusqu'à fin 2027. Mais un chatbot de service client ou un outil de génération de courriers reste soumis, lui, à la transparence de l'article 50 depuis le 2 août. Le client doit savoir qu'il échange avec une IA, sans ambiguïté possible.

Pour les directions juridiques, les cabinets de conseil, l'asset management ou les directions financières, la question du haut risque se pose rarement au sens de l'Annexe III. Ce qui reste incontournable, en revanche, c'est la littératie IA pour chaque collaborateur qui rédige, analyse ou décide avec un outil d'IA, qu'il s'agisse d'un rapport de due diligence, d'un reporting trimestriel ou d'une note pour un comité d'investissement. Combien de vos associés pourraient expliquer, en une phrase, pourquoi un modèle de langage peut se tromper sur un chiffre qu'il cite avec assurance ? Si la réponse tarde à venir, la formation n'est pas terminée.

Les secteurs de la santé, de l'immobilier et du courtage ne sont pas épargnés non plus. Un laboratoire qui utilise l'IA pour accélérer une revue de littérature scientifique, un promoteur qui automatise l'analyse de foncier ou un courtier qui génère des comparatifs de contrats sont tous, sans exception, des déployeurs au sens de l'article 4. La taille de l'entreprise n'entre jamais en ligne de compte pour cette obligation précise. Seul le rôle exact du salarié face à l'outil détermine le contenu de la formation à mettre en place.

Le report obtenu par le Digital Omnibus a donné un vrai bol d'air aux entreprises qui craignaient l'échéance des systèmes à haut risque. Il n'a rien changé, en revanche, à l'obligation de former vos équipes et de le prouver. La CNIL dispose désormais d'un calendrier clair et d'une procédure rapide pour vérifier ce point précis, et la majorité des PME françaises n'y sont pas prêtes. Parlons-en : nos équipes vous aident à cartographier vos usages IA, structurer un plan de formation Claude Cowork proportionné à vos rôles et à vos risques, et documenter chaque étape pour le jour où un contrôle arrivera. Réservez un créneau de 30 minutes pour faire le point sur votre exposition.