AI Act : ce que change vraiment l’allègement de l’article 4 pour votre entreprise

Depuis le 27 juillet 2026, l’article 4 de l’AI Act ne dit plus la même chose. Le règlement européen 2026/1744 a remplacé l’obligation de « garantir un niveau suffisant » de maîtrise de l’IA par celle de « prendre des mesures pour favoriser son développement ». Un allègement qui ne dispense pas les entreprises de documenter leur conformité.

Un virage d’obligation de résultat à obligation de moyens

Pendant dix-huit mois, l’article 4 de l’AI Act a semé l’incertitude. Applicable depuis le 2 février 2025, il imposait aux fournisseurs et déployeurs de systèmes d’IA de garantir, « dans toute la mesure du possible », un niveau suffisant de maîtrise de l’IA chez leur personnel. Aucun texte ne précisait ce qu’était ce « niveau suffisant », ni comment le mesurer.

Le règlement (UE) 2026/1744, publié au Journal officiel le 24 juillet 2026 et entré en vigueur trois jours plus tard, a tranché. L’article 4 réécrit demande désormais de « prendre des mesures pour favoriser le développement » de cette maîtrise, en tenant compte des connaissances, de l’expérience, de l’éducation, de la formation et du contexte d’utilisation. Selon les analyses de cabinets spécialisés comme StandardCompute et Rillor, cette réécriture fait basculer l’obligation d’un résultat mesurable vers une démarche proportionnée et documentable.

Concrètement, une entreprise n’a plus à démontrer qu’un collaborateur atteint un seuil de compétence précis. Elle doit en revanche pouvoir montrer qu’elle a mis en place des actions adaptées : sensibilisation, formation ciblée, documentation accessible, ou encore accompagnement au cas par cas selon les profils et les usages.

Ce qui reste obligatoire : inventaire, registre et responsable

L’allègement ne signifie pas l’abandon de toute exigence. Trois piliers documentaires demeurent, selon les recommandations croisées de la Commission européenne et des autorités nationales :

L’inventaire des systèmes d’IA. Chaque organisation doit recenser les outils d’intelligence artificielle qu’elle utilise ou déploie. Ce registre doit mentionner le nom du système, son fournisseur, son usage (recrutement, marketing, production, etc.), son niveau de risque et la date de mise en service. Un tableur Excel suffit pour une PME ; les grandes structures peuvent s’appuyer sur des solutions RegTech spécialisées.

Le registre de conformité. Distinct de l’inventaire, ce document trace les actions de mise en conformité : audits réalisés, formations dispensées, incidents détectés et corrigés, mises à jour de systèmes. Il sert de preuve en cas de contrôle par les autorités de surveillance nationales, dont les pouvoirs d’inspection se renforcent depuis août 2026.

La désignation d’un responsable IA. L’article 4 réécrit n’impose pas explicitement cette fonction, mais la FAQ de la Commission européenne, publiée en avril 2025 puis mise à jour en novembre 2026, la recommande fortement. Ce responsable supervise la conformité, sert de point de contact avec les autorités et coordonne les actions de sensibilisation. Il peut s’agir d’un directeur de la conformité digitale, d’un juriste spécialisé ou, dans les PME, d’un dirigeant lui-même, à condition que la mission soit formalisée.

Les systèmes à haut risque restent sous surveillance stricte

L’allègement de l’article 4 ne touche pas les obligations spécifiques aux systèmes d’IA à haut risque, listés dans l’annexe III de l’AI Act. Sont concernés les outils de recrutement, d’évaluation de solvabilité, de gestion de services essentiels (énergie, transports), de contrôle aux frontières ou encore de notation éducative.

Pour ces systèmes, les fournisseurs doivent toujours fournir une documentation technique complète, réaliser des évaluations de conformité, assurer la traçabilité des décisions et garantir la supervision humaine. Les déployeurs, de leur côté, conservent l’obligation de vérifier la conformité de leurs fournisseurs, de surveiller le fonctionnement en conditions réelles et de signaler tout incident grave.

Le règlement 2026/1744 a d’ailleurs repoussé au 2 décembre 2027 l’entrée en application de certaines de ces obligations, initialement prévue pour août 2026. Ce délai supplémentaire vise à laisser aux entreprises le temps d’adapter leurs processus, selon les explications fournies par le cabinet Pitch.law dans son analyse du « Digital Omnibus ».

Comment s’y prendre concrètement

Les entreprises qui ont déjà lancé un plan de formation à l’IA se demandent si elles doivent le poursuivre. La réponse est oui, mais avec une approche révisée. Il ne s’agit plus de viser un certificat ou un examen standardisé, mais de proportionner les actions aux profils et aux usages.

Un responsable RH utilisant un outil de présélection de CV doit comprendre les biais possibles, savoir interpréter les recommandations de l’algorithme et connaître les recours en cas de décision contestée. Un développeur intégrant une API d’IA générative doit maîtriser les limites du modèle, les risques de hallucinations et les règles de confidentialité des données. Un dirigeant, lui, doit saisir les enjeux stratégiques, les risques réglementaires et les responsabilités encourues.

Selon StandardCompute, qui a publié un guide pratique mis à jour le 9 novembre 2026, les entreprises doivent documenter ces actions dans le registre de conformité : qui a été formé, quand, sur quels sujets, avec quels supports. Aucun format n’est imposé, mais la traçabilité reste la clé en cas de contrôle.

Le marché de la conformité IA en pleine structuration

L’émergence de l’obligation de responsable IA crée de facto une nouvelle fonction professionnelle, comparable au délégué à la protection des données (DPO) institué par le RGPD. Cabinets de conseil, universités et organismes de formation lancent déjà des certifications spécialisées. Rillor, dans son rapport du 13 novembre 2026, estime que 50 000 à 100 000 postes de « AI Officers » pourraient être créés en Europe d’ici 2028.

Les éditeurs de solutions RegTech, eux, adaptent leurs outils pour répondre aux nouvelles exigences. Des plateformes comme Confir.eu ou CTAIO proposent des tableaux de bord permettant de gérer inventaire, registre et échéances réglementaires de manière centralisée. Le marché se structure autour de trois segments : les grandes entreprises qui internalisent la fonction, les PME qui externalisent auprès de cabinets, et les startups qui automatisent via des logiciels.

Questions ouvertes et prochaines étapes

Plusieurs zones d’incertitude demeurent. Les autorités nationales n’ont pas encore publié de lignes directrices détaillées sur le niveau de détail attendu pour l’inventaire et le registre. Les premières FAQ de la Commission européenne, disponibles sur le portail AI Act Service Desk, restent générales. Les entreprises attendent des précisions sur les modalités de contrôle et les sanctions applicables en cas de non-conformité aux nouvelles dispositions.

Autre question : le responsable IA peut-il être externalisé, ou doit-il obligatoirement être un employé interne ? La pratique du DPO externe, courante dans le cadre du RGPD, pourrait-elle s’appliquer ? Les cabinets juridiques comme Houthoff et Nietzer anticipent une jurisprudence à venir, qui clarifiera ces points dans les prochains mois.

Enfin, d’autres articles de l’AI Act feront-ils l’objet d’ajustements similaires ? Le règlement 2026/1744 a aussi modifié les règlements sur l’aviation civile et la sécurité des machines, suggérant une approche globale de simplification. Les observateurs s’attendent à de nouvelles évolutions d’ici 2027, au rythme du cycle d’ajustement de 24 mois que l’UE semble avoir institutionnalisé.

Conclusion : un allègement qui ne dispense pas de rigueur

L’allègement de l’article 4 ne transforme pas l’AI Act en cadre facultatif. Il déplace simplement le curseur de la preuve : moins de formalisme bureaucratique, plus de responsabilité ciblée. Les entreprises qui documentent leurs actions, tiennent un inventaire à jour et désignent un responsable clairement identifié seront en mesure de démontrer leur conformité. Celles qui interprètent l’allègement comme une dispense s’exposent à des sanctions lors des premiers contrôles, attendus dès 2027.

La vraie question n’est plus « doit-on former à l’IA ? », mais « comment documenter ce qu’on fait déjà ? ». Et pour beaucoup d’organisations, la réponse passe par un simple tableur, une lettre de mission et une heure de réunion. L’AI Act, version 2026, mise sur le pragmatisme. Reste à voir si les autorités nationales suivront la même ligne.