Règlement IA, article 4 : qui supervise l’obligation de littératie en IA en France ?

Dernière mise à jour : 15 août 2026

L’article 4 du règlement sur l’IA est la seule obligation qui touche presque toute organisation utilisant l’IA au travail, et celle que l’on croit à tort reportée.

La réponse courte. En France, les désignations ne sont pas encore adoptées. Le schéma gouvernemental publié le 9 septembre 2025 propose la DGCCRF comme point de contact coordinateur et la CNIL comme autorité de fait pour l’IA touchant aux données personnelles et à la biométrie, aux côtés de l’Arcom, de l’ACPR et de l’ANSSI. Le règlement (UE) 2024/1689 s’applique néanmoins directement : son article 4 oblige fournisseurs et déployeurs à prendre des mesures soutenant un niveau suffisant de littératie en IA. L’obligation s’applique depuis le 2 février 2025 et la surveillance nationale a débuté le 2 août 2026.

Qui supervise le règlement IA en France ?

À ce jour, personne de manière définitive. La France a retenu un modèle sectoriel avec point de contact coordinateur, mais les désignations figurent dans un schéma gouvernemental encore soumis au Parlement. Les dispositions de désignation avaient été retirées d’un texte antérieur puis redéposées.

Le schéma du 9 septembre 2025 prévoit :

DGCCRF — Direction générale de la concurrence, de la consommation et de la répression des fraudes, comme point de contact coordinateur.
CNIL — autorité de fait pour les systèmes d’IA traitant des données personnelles et pour la biométrie. La CNIL a publiquement plaidé pour être désignée autorité de surveillance du marché.
Arcom, ACPR et ANSSI pour leurs secteurs respectifs : communication audiovisuelle et numérique, banque et assurance, sécurité des systèmes d’information.

Ce que cela change concrètement : le règlement étant un règlement et non une directive, il s’impose déjà aux organisations françaises, sans attendre la loi de désignation. Ce qui reste incertain, c’est l’interlocuteur, la procédure de contrôle et l’existence éventuelle de sanctions nationales — pas l’obligation elle-même.

Que demande précisément l’article 4 ?

Il demande de prendre des mesures visant à soutenir un niveau suffisant de littératie en IA chez les personnes qui utilisent des systèmes d’IA pour votre compte. Il n’exige ni certificat, ni formation particulière, ni qualification nommée, ni nombre minimal d’heures. Le règlement ne fixe volontairement aucun standard rigide.

Après le Digital Omnibus — approuvé par le Parlement européen le 16 juin 2026 et adopté par le Conseil le 29 juin 2026 — l’exigence a été assouplie : de l’obligation de garantir un niveau suffisant à celle d’en soutenir le développement. On passe d’une obligation de résultat à une obligation de moyens. La question posée par une autorité n’est plus « avez-vous garanti la littératie ? » mais « qu’avez-vous fait, et pouvez-vous le démontrer ? ».

La Commission européenne a fixé un minimum de travail dans sa FAQ de mai 2025 sur la littératie en IA. Les organisations devraient :

Assurer une compréhension générale de l’IA — le personnel doit savoir ce qu’est l’IA, comment elle fonctionne, quels systèmes sont utilisés et quels bénéfices et risques y sont attachés.
Définir les rôles dans l’organisation — développez-vous des systèmes d’IA ou utilisez-vous ceux d’autrui ? Les obligations diffèrent.
Identifier les risques — ceux que présentent les systèmes effectivement utilisés, et les mesures d’atténuation applicables.

À qui s’applique l’obligation ?

Aux fournisseurs et aux déployeurs de systèmes d’IA. Un fournisseur développe un système d’IA ou le fait développer et le met sur le marché sous son propre nom. Un déployeur utilise un système d’IA sous sa propre autorité dans le cadre de son activité professionnelle. La plupart des organisations sont déployeurs.

L’obligation couvre votre personnel et, selon les termes du règlement, « les autres personnes s’occupant du fonctionnement et de l’utilisation des systèmes d’IA pour votre compte ». Cela dépasse les salariés : prestataires, intérimaires et indépendants sont concernés.

Point décisif : l’article 4 ne se limite pas à l’IA à haut risque. Si votre organisation utilise un assistant généraliste pour rédiger sa correspondance, elle entre dans le champ. La classification du risque détermine ce qui s’ajoute, non l’applicabilité de l’article 4.

Mon organisation utilise-t-elle vraiment des systèmes d’IA ?

Presque certainement oui, et à davantage d’endroits qu’on ne l’imagine. Les fonctions d’IA se sont glissées dans les logiciels professionnels ordinaires ces deux dernières années, souvent sans qu’aucune décision d’« adopter l’IA » ait été prise.

Assistants génératifs dans les suites bureautiques — rédaction, synthèse, reformulation, comptes rendus de réunion.
CRM et outils commerciaux qui notent les prospects ou suggèrent l’étape suivante.
Logiciels comptables qui catégorisent les écritures ou signalent des anomalies.
Plateformes de recrutement qui classent, filtrent ou apparient les candidatures.
Outils marketing qui génèrent textes, images ou segments d’audience.
Agents conversationnels du service client et routage automatique des tickets.
Services de traduction et de transcription.

S’y ajoutent les logiciels que les collaborateurs apportent eux-mêmes. Lorsque des salariés utilisent des outils d’IA grand public pour travailler sans validation formelle, l’organisation reste en pratique le déployeur.

Depuis quand s’applique l’obligation et qu’a changé le 2 août 2026 ?

L’obligation elle-même s’applique depuis le 2 février 2025. Le 2 août 2026, les autorités nationales de surveillance du marché ont acquis des pouvoirs formels de supervision et d’exécution.

Date	Ce qui est devenu applicable
1er août 2024	Entrée en vigueur du règlement IA.
2 février 2025	Pratiques d’IA interdites et obligation de littératie de l’article 4.
2 août 2025	Règles sur les modèles à usage général, chapitre gouvernance, régime de sanctions, échéance de désignation des autorités nationales.
2 août 2026	Début de la surveillance nationale de l’article 4.
2 décembre 2027	Obligations haut risque pour les systèmes autonomes de l’annexe III, reportées par le Digital Omnibus.
août 2028	Obligations haut risque pour l’IA intégrée aux produits réglementés de l’annexe I.

Le Digital Omnibus a-t-il reporté les règles de littératie en IA ?

Non. C’est le contresens le plus répandu sur les réformes de 2026. Le Digital Omnibus a reporté l’applicabilité des obligations haut risque des annexes III et I. Il n’a pas reporté l’article 4.

Il a assoupli l’exigence — de garantir un niveau suffisant à en soutenir le développement — en laissant intacts l’obligation, la date d’application et le début de la surveillance au 2 août 2026. Qui a lu les titres sur un « report du règlement IA » comme un répit général se trouve depuis dix-huit mois dans une obligation en vigueur.

Pour les organisations dont les systèmes ne sont pas à haut risque, l’article 4 est à court terme la seule obligation exécutoire du règlement.

Quelles sanctions en cas de manquement à l’article 4 ?

Aucune amende n’est attachée à l’article 4 lui-même. C’est le point le plus souvent mal restitué.

L’article 99 prévoit trois niveaux : jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires mondial annuel pour les pratiques interdites de l’article 5 ; jusqu’à 15 millions ou 3 % pour les obligations énumérées à l’article 99, paragraphe 4 ; et jusqu’à 7,5 millions ou 1 % pour la fourniture d’informations inexactes ou trompeuses. Pour les PME et jeunes entreprises, le plafond s’inverse : c’est le montant le plus faible qui s’applique.

L’article 99, paragraphe 4, contient une liste limitative dans laquelle l’article 4 ne figure pas. Une amende fondée sur le seul manquement à la littératie ne peut donc pas s’appuyer sur le règlement. De nombreux résumés commerciaux affirment le contraire et citent les 15 millions ; le texte ne le dit pas.

L’autorité conserve des pouvoirs non pécuniaires — demandes d’information, mesures correctives et injonctions de mise en conformité.
Les États membres peuvent créer leurs propres sanctions. L’article 99, paragraphe 1, les oblige à fixer un régime de sanctions ; que la France rattache une sanction nationale à l’article 4 dépendra de la loi de transposition encore en discussion.
L’absence de formation constitue une circonstance aggravante. Le risque réaliste n’est pas une amende autonome mais une position affaiblie dès qu’une autorité vous examine pour autre chose.

Par où commencer ?

Inventoriez les systèmes d’IA. Incluez les fonctions d’IA présentes dans des logiciels déjà sous licence, pas seulement les outils achetés comme « IA ».
Déterminez votre rôle — fournisseur ou déployeur, système par système.
Identifiez qui utilise chaque système, prestataires compris.
Donnez à ces personnes une compréhension générale — ce que font les systèmes, où ils échouent, ce que l’organisation attend.
Consignez ce que vous avez fait et quand. Dans une obligation de moyens, la preuve de l’effort constitue la conformité.

La proportionnalité traverse l’ensemble. Une entreprise de douze personnes utilisant un assistant pour sa correspondance n’est pas jugée à l’aune d’une banque déployant des modèles de scoring.

Questions fréquentes

L’article 4 s’applique-t-il aux petites entreprises ?

Oui. Le règlement IA ne prévoit aucun seuil de taille ni effectif minimal pour l’article 4. Un indépendant qui utilise un assistant d’IA pour ses courriels clients est déployeur. Seule la proportionnalité des mesures attendues varie avec la taille : une petite structure doit faire moins, mais certainement pas rien.

Faut-il un certificat pour le prouver ?

Non. Le règlement ne mentionne aucune qualification, aucun certificat ni aucune formation accréditée, et il n’existe pas de dispositif d’accréditation propre à l’article 4. Ce qui compte est d’avoir pris des mesures et de pouvoir en justifier : contenu, participants, date et lien avec les systèmes réellement utilisés.

Si les désignations ne sont pas adoptées, sommes-nous tenus ?

Oui. Le règlement (UE) 2024/1689 est un règlement, directement applicable en France sans texte national. Le retard porte sur l’identité de l’autorité compétente, la procédure de contrôle et les éventuelles sanctions nationales ; il ne suspend ni l’obligation ni sa date d’application depuis février 2025.

L’article 4 ne vise-t-il que les systèmes à haut risque ?

Non. L’article 4 s’applique indépendamment de la classification du risque du système utilisé. Une qualification de haut risque déclenche seulement des obligations supplémentaires, comme la supervision humaine de l’article 26. L’obligation de littératie vise tout fournisseur et tout déployeur de tout système d’IA.

Les prestataires et indépendants sont-ils concernés ?

Oui. L’article 4 couvre le personnel et les autres personnes s’occupant du fonctionnement et de l’utilisation des systèmes d’IA pour le compte de l’organisation. Prestataires, intérimaires et indépendants qui utilisent vos systèmes d’IA sont inclus : c’est l’obligation la plus large du règlement.

Que se passe-t-il si nous ne faisons rien ?

L’article 4 ne porte pas d’amende propre, faute de figurer dans la liste limitative de l’article 99, paragraphe 4. L’autorité de surveillance peut néanmoins exiger informations et mesures correctives, la France peut instaurer des sanctions nationales, et l’absence de formation affaiblit votre position dès qu’un contrôle porte sur autre chose.

L’échéance de littératie en IA a-t-elle été repoussée ?

Non. Le Digital Omnibus a repoussé les obligations haut risque à décembre 2027 et août 2028, et c’est cela qu’a relayé la presse. L’article 4 n’était pas concerné. Seule l’exigence a été assouplie, de garantir à soutenir, mais ni la date d’application ni celle du début de la surveillance n’ont bougé.

Sources

Cet article présente le règlement de manière générale et ne constitue pas un conseil juridique. Les obligations exactes dépendent de vos systèmes et de votre juridiction.