Formation des salariés à l’IA : 5 questions sur vos obligations d’employeur

Le Règlement européen sur l’intelligence artificielle du 13 juin 2024 (« AI Act », publié au JOUE du 12 juillet 2024) impose aux fournisseurs et aux déployeurs de systèmes d’IA de garantir un niveau suffisant de connaissances en matière d’IA de leur personnel et des autres personnes traitant avec des systèmes d’IA en leur nom.
Ce règlement, et en particulier son article 4, qui est entré en application le 2 février 2025, met donc une nouvelle obligation à la charge des employeurs : celle de former les salariés à la « maîtrise » de l’intelligence artificielle.

Dans un Questions/Réponses publié sur son site internet le 5 mai dernier, la Commission européenne apporte des précisions sur la portée de cette obligation.

1. Qu’est-ce qu’un « niveau suffisant de connaissances en matière d’IA » ?

La notion de « maîtrise de l’IA » (« AI literacy ») est définie par le règlement (art. 3, point 56). Elle désigne l’ensemble des compétences, connaissances et compréhensions permettant un déploiement éclairé des systèmes d’IA, ainsi qu’une conscience des opportunités, des risques et des éventuels préjudices liés à leur utilisation.
Cela implique non seulement une compréhension technique, mais aussi une sensibilisation aux enjeux éthiques, juridiques et sociaux associés à l’usage de l’IA.

2. Comment garantir ce niveau suffisant de connaissance ?

La Commission indique qu’aucune exigence stricte ne sera imposée, soulignant la nécessité de souplesse, notamment en raison du caractère évolutif de l’IA. Néanmoins, elle précise que, a minima, les fournisseurs et déployeurs de systèmes d’IA devraient :
• Assurer une compréhension générale de l’IA au sein de leur organisation : qu’est-ce que l’IA ? Comment fonctionne-t-elle ? Quelle IA est utilisée dans l’entreprise ? Quelles sont ses opportunités et ses risques ?
• Clarifier le rôle de l’organisation : est-elle fournisseur de systèmes d’IA ou simplement déployeur de solutions développées par des tiers ?
• Apprécier le niveau de risque associé aux systèmes utilisés : quelles connaissances les employés doivent-ils avoir concernant ces systèmes ? Quels risques doivent-ils identifier ? Quelles mesures d’atténuation doivent-ils connaître ?
• Adapter les actions de sensibilisation en fonction :
 du niveau de connaissance, d’expérience, de formation et du rôle de chaque groupe de salariés,
 du contexte d’utilisation des systèmes d’IA : dans quel secteur, pour quelle finalité, et sur quelles personnes les systèmes interviennent.
La Commission insiste également sur l’importance d’intégrer une compréhension du cadre juridique et éthique, notamment des dispositions de l’AI Act.

3. La mise en place de formations est-elle obligatoire ?

Il n’existe pas d’obligation de mettre en place des formations, ni de mesurer les connaissances des salariés en matière d’IA.
Toutefois, la Commission rappelle que l’objectif de l’article 4 est de mettre en place les formations et orientations les plus adaptées au profil des utilisateurs et aux cas d’usage spécifiques. En effet, le simple fait de s’appuyer sur les instructions d’utilisation des systèmes d’IA ou de demander au personnel de les lire pourrait être inefficace et insuffisant.
La Commission souligne également que la formation permet de se conformer à d’autres dispositions de l’AI Act, tel que l’article 26 qui introduit l’obligation pour les déployeurs de systèmes à haut risque de veiller à ce que le personnel soit suffisamment formé pour gérer le système et assurer une surveillance humaine.
Ainsi, la formation des salariés n’est pas obligatoire, mais apparaît comme la mesure la plus pertinente pour répondre aux exigences du règlement.

4. Comment documenter les actions mises en œuvre ?

La Commission précise qu’il n’est pas nécessaire d’obtenir un certificat. Les employeurs peuvent simplement tenir un registre des formations et des actions de sensibilisation entreprises, ce qui constituera un élément probant en cas de contrôle.

5. Quelles sanctions en cas de non-conformité ?

L’AI Act ne prévoit pas de sanctions spécifiques en cas de non-conformité à l’article 4. Le règlement (art. 99) renvoie le soin aux États membres de fixer, d’ici le 2 août 2025, leur propre régime de sanctions, pouvant inclure avertissements, injonctions ou mesures non pécuniaires.

La Commission rappelle que toute sanction devra être proportionnée et fondée sur le cas d’espèce, en tenant compte de la nature, de la gravité et du caractère intentionnel ou non de l’infraction.

Remarque :

Chaque État membre doit également identifier les autorités ou organismes publics nationaux qui supervisent ou font respecter les obligations au titre du droit de l’Union visant à protéger les droits fondamentaux, y compris le droit à la non-discrimination, en ce qui concerne l’utilisation des systèmes d’IA à haut risque visés par le règlement (AI Act, art. 77).

Les autorités françaises identifiées sont : la DGCCRF, la CNIL, et le Défenseur des Droits. Cette liste pourra être complétée.

Rappelons également que le Code du travail fait obligation à l’employeur, tenu d’exécuter de bonne foi le contrat de travail, d’assurer l’adaptation de ses salariés à l’évolution de leurs emplois, des technologies et des organisations pendant toute la durée de le