AI Act, article 4 : ce que le Digital Omnibus change pour la maîtrise de l'IA

Depuis le 2 février 2025, l'article 4 de l'AI Act (Règlement (UE) 2024/1689) demande aux entreprises qui utilisent l'IA de s'occuper de la « maîtrise de l'IA » de leur personnel. Le 24 juillet 2026, le Journal officiel de l'UE a publié le Règlement (UE) 2026/1744, appelé « Digital Omnibus on AI ». Il est entré en vigueur le 27 juillet 2026 et réécrit cet article 4.

Depuis, deux messages contradictoires circulent : « l'obligation de former a disparu » et « rien n'a changé ». Aucun des deux n'est exact. Voici ce que dit le texte, ce qu'il implique pour une PME belge et ce que vous pouvez faire sans y consacrer des semaines.

Ce qui a changé dans l'article 4

Avant : garantir un niveau suffisant

Dans sa version de 2024, l'article 4 imposait aux fournisseurs et aux déployeurs de prendre des mesures pour garantir, dans toute la mesure du possible, un niveau suffisant de maîtrise de l'IA. Ce niveau devait tenir compte des connaissances techniques, de l'expérience et de la formation des personnes, ainsi que du contexte d'utilisation des systèmes.

Après : prendre des mesures pour soutenir

Le Règlement 2026/1744 remplace cette formule. Les fournisseurs et les déployeurs doivent désormais prendre des mesures qui soutiennent le développement de la maîtrise de l'IA chez leur personnel et chez les personnes qui utilisent des systèmes d'IA pour leur compte. La Commission européenne précise dans sa FAQ, mise à jour le 27 juillet 2026, que l'obligation n'exige pas de garantir un niveau précis de maîtrise de l'IA pour une personne donnée.

Les commentateurs juridiques parlent d'un passage d'une obligation de résultat à une obligation de moyens. Le texte prévoit aussi que la Commission et les États membres aident les organisations, notamment en publiant des exemples pratiques, et que le Comité européen de l'IA adopte des recommandations.

Qui est concerné

L'article 4 vise tous les fournisseurs et tous les déployeurs de systèmes d'IA, quelle que soit leur taille et quel que soit le niveau de risque du système. Un déployeur est une organisation qui utilise un système d'IA sous sa propre autorité dans un cadre professionnel.

Concrètement, une PME qui laisse ses équipes utiliser ChatGPT, Microsoft Copilot, un outil de transcription de réunions ou un module d'IA intégré à son logiciel comptable est un déployeur. Elle est donc concernée, même si elle ne développe aucune IA.

Ce qui reste en place

• Le principe : prendre des mesures adaptées aux personnes et au contexte d'utilisation.
• La surveillance : selon la FAQ de la Commission, ce sont les autorités nationales de surveillance du marché, et non l'AI Office, qui contrôlent l'article 4. Leur supervision débute en août 2026.
• Les sanctions : l'article 99 de l'AI Act ne fixe pas d'amende spécifique pour l'article 4. Les éventuelles sanctions relèvent des règles nationales.
• Le haut risque : si vous déployez un système d'IA à haut risque, l'obligation de confier la surveillance humaine à des personnes qui ont la compétence et la formation nécessaires reste entière (article 26). La FAQ de la Commission le rappelle.

Le calendrier de l'AI Act après le Digital Omnibus

Le Règlement 2026/1744 a aussi déplacé plusieurs échéances. Voici les dates utiles pour une entreprise, telles que publiées par la Commission et par les cabinets Cuatrecasas, Abreu Advogados et Mayer Brown.

• 1er août 2024 : entrée en vigueur de l'AI Act
• 2 février 2025 : pratiques interdites et article 4 (maîtrise de l'IA)
• 2 août 2025 : obligations des modèles d'IA à usage général (GPAI) et gouvernance
• 27 juillet 2026 : entrée en vigueur du Digital Omnibus (Règlement 2026/1744)
• 2 août 2026 : application générale, dont les obligations de transparence de l'article 50
• 2 décembre 2026 : deux nouvelles interdictions (deepfakes sexuels non consentis, contenus pédocriminels) et fin de la période transitoire pour le marquage des contenus générés
• 2 décembre 2027 : systèmes à haut risque de l'annexe III (recrutement, éducation, crédit, etc.), au lieu du 2 août 2026
• 2 août 2028 : systèmes à haut risque intégrés à des produits réglementés (annexe I)

Le report de l'annexe III concerne directement les PME qui utilisent l'IA pour trier des candidatures ou évaluer des travailleurs. Elles disposent de seize mois de plus, mais l'échéance est désormais fixe : elle ne dépend plus de la publication de normes.

Cinq actions concrètes pour une PME

La FAQ de la Commission indique qu'aucun certificat n'est exigé et qu'un registre interne des formations et initiatives suffit comme trace. Elle suggère de couvrir trois sujets : ce qu'est l'IA et comment elle fonctionne, le rôle de l'organisation (fournisseur ou déployeur), et les risques des systèmes utilisés avec les moyens de les limiter.

La cinquième action consiste à revoir l'ensemble une fois par an, ou dès qu'un nouvel outil arrive. Les fonctions d'IA apparaissent souvent par simple mise à jour d'un logiciel existant.

Pourquoi former malgré l'assouplissement

L'argument n'est plus seulement juridique. Selon l'enquête Acerta publiée le 17 mai 2026 (2 000 travailleurs et 600 employeurs), 21,4 % des travailleurs belges ont suivi une formation à l'IA via leur employeur au cours des douze derniers mois, alors que 59,1 % souhaitent en suivre une. Côté employeurs, 32 % proposent déjà une formation à l'IA et 38,1 % n'en ont pas l'intention.

L'écart entre la demande des travailleurs et l'offre des employeurs est réel. Une formation courte et documentée répond à l'article 4. Elle limite aussi les erreurs les plus courantes : données confidentielles collées dans un outil public, réponses inventées reprises telles quelles, décisions RH prises sans contrôle humain.