Acheter un « certificat AI Act obligatoire »
Il n'existe ni certificat exigé, ni organisme accrédité pour l'article 4. Une offre qui le prétend vous renseigne sur son sérieux. Exigez des contenus et des traces, pas des tampons.
Mis à jour le
Sur cette page
Lucidité opérationnelle
Conformité article 4 : mettre son équipe en règle.
Ce que l'AI Act exige vraiment de votre organisation depuis le 2 août 2026, ce qu'il n'exige pas, et le kit minimal pour le démontrer.
⏱ 7 min de lecture⚖️ 4 obligations réelles📋 1 registre type
ChatGPTClaudeGeminiVibe
L'article 4 de l'AI Act demande depuis février 2025 de soutenir la maîtrise de l'IA des équipes. Depuis le 2 août 2026, les autorités de surveillance peuvent contrôler et sanctionner. Le marché vend de la peur, le texte demande des preuves raisonnables.
Promesse
À la fin de cette leçon
Vous saurez cartographier les usages IA réels de votre organisation, bâtir un registre de formation opposable en cas de contrôle, et reconnaître les obligations inventées que le marché tente de vous vendre.
Pourquoi maintenant
Le 2 août 2026 a changé la donne
L'obligation de maîtrise de l'IA (article 4) s'applique depuis le 2 février 2025. Ce qui a changé le 2 août 2026 : les autorités de surveillance disposent de leurs pouvoirs de sanction, et l'obligation devient opposable. Le règlement omnibus (UE) 2026/1744 a assoupli la formulation (« soutenir le développement » de la maîtrise plutôt que la « garantir ») et reporté les obligations haut-risque au 2 décembre 2027, mais il n'a pas touché l'article 4.
Le barème général du règlement atteint 15 M€ ou 3 % du CA mondial selon les manquements. L'article 4 n'a pas d'amende dédiée : le risque concret est un contrôle ou un incident où l'organisation ne peut rien démontrer.
Côté France : la loi désignant les autorités de surveillance (DGCCRF coordinatrice, CNIL, Arcom selon les domaines) n'était toujours pas votée à l'été 2026. Le cadre s'applique, l'exécution locale monte en puissance : c'est la fenêtre pour se mettre en règle sans pression.
Le concept central
Quatre obligations réelles, trois mythes
Réel : prendre des mesures pour soutenir un niveau suffisant de maîtrise de l'IA. Réel : couvrir toute personne qui utilise l'IA pour votre compte, prestataires inclus. Réel : adapter les mesures aux profils (connaissances, expérience, contexte d'usage). Réel : pouvoir le démontrer.
Mythe : un certificat individuel obligatoire (« There is no need for a certificate », écrit la Commission). Mythe : un programme ou une durée imposés. Mythe : une échéance haut-risque qui obligerait tout le monde dès 2026 : elle est reportée à décembre 2027 et ne concerne que des systèmes spécifiques (RH, scoring, biométrie).
La logique du texte : la proportionnalité. Une TPE qui rédige ses devis avec ChatGPT n'a pas les obligations d'une banque qui score des crédits. Le niveau attendu suit le risque de vos usages.
Méthode
-
Inventorier
Quels outils IA sont réellement utilisés, par qui, pour quoi. Y compris le non déclaré : le shadow IT IA est la norme, pas l'exception.
-
Évaluer les risques
Pour chaque usage : données saisies, conséquences d'une erreur, exposition juridique. Reprenez la boussole du module Lucidité opérationnelle.
-
Former de façon adaptée
Par population : sensibilisation générale, formation outillée pour le quotidien, approfondissement pour les cas sensibles (RH, juridique, données clients).
-
Tracer
Programme, dates, participants, contenus, scores. C'est la trace qui fait foi, pas le papier à en-tête.
Qui est couvert
L'obligation vise fournisseurs et déployeurs : dès que votre organisation utilise un système d'IA dans un cadre professionnel, vous êtes déployeur. Salariés, alternants, prestataires et sous-traitants qui opèrent l'IA pour votre compte entrent dans le périmètre. Le télétravailleur qui utilise son ChatGPT personnel sur des données de l'entreprise aussi : c'est précisément l'angle mort à traiter en premier.
Adapter les mesures aux profils suppose de savoir lesquels sont réellement concernés. C'est l'objet de la leçon sur l'IA et votre métier, qui distingue exposition et remplacement à partir des seules données solides disponibles.
Le registre
Le registre type en six colonnes
Un tableur suffit. La Commission ne prescrit aucun format : elle demande de pouvoir démontrer.
| Colonne | Contenu |
|---|---|
| Usage | Rédaction commerciale, synthèse de réunions, analyse de données |
| Outil | ChatGPT Business, Copilot M365, Vibe Pro |
| Population | Qui utilise : équipe, effectif, profils |
| Risque | Données saisies, conséquences d'erreur, exposition |
| Mesure | Formation suivie, charte signée, restriction d'outil |
| Trace | Dates, participants, scores de quiz, attestations internes |
Ce que Distil fournit : chacun peut télécharger depuis son compte sa propre trace, leçons terminées avec dates et scores de quiz, au titre de la portabilité RGPD. C’est une pièce pour la colonne Trace du volet formation, pas le registre. Le registre, l’inventaire et l’adaptation aux profils vous appartiennent.
Exemple concret
Une PME de 30 personnes en 4 semaines
Semaine 1 : inventaire par un questionnaire interne de 5 questions. Résultat type : 12 usages réels, dont 4 non déclarés. Semaine 2 : classement en trois populations (usage quotidien, occasionnel, sensible RH et finance). Semaines 3 et 4 : formation différenciée, charte d'usage d'une page, ouverture du registre.
Coût réel : quelques jours de coordination et une formation par population. Aucun consultant « certifié AI Act » requis : cette certification n'existe pas dans le règlement.
À éviter
Former tout le monde pareil
Une formation unique pour 200 personnes coche une case mais ne démontre pas l'adaptation aux profils que le texte demande. Trois populations bien servies valent mieux qu'un séminaire générique.
Confondre report du haut risque et pause de l'article 4
Le haut risque glisse à décembre 2027, l'article 4 est exécutoire depuis le 2 août 2026. Attendre 2027 pour former les équipes, c'est confondre deux calendriers distincts.
Quiz de validation
Quiz de validation
8 questions. 60 % de bonnes réponses pour valider la leçon.
Synthèse
Cinq points pour ancrer la leçon
Article 4 actif, exigible depuis le 2 août 2026. Mesures de maîtrise adaptées, prestataires inclus. L'article 4 ne figure pas au barème de l'article 99 : la sanction relève du régime national, que la France n'a pas encore arrêté.
Cartographier, évaluer, former, tracer. Le kit tient en 4 étapes et un tableur 6 colonnes.
Ni certificat, ni durée, ni curriculum imposés. La Commission l'écrit. Méfiez-vous de qui vend le contraire.
Haut risque reporté, article 4 maintenu. 2 décembre 2027 pour l'Annexe III, aujourd'hui pour la maîtrise de l'IA.
La France finalise ses autorités. DGCCRF coordinatrice prévue. La fenêtre idéale pour se mettre en règle sans pression.
Mise en pratique
10 minutes pour amorcer
Listez les cinq outils IA réellement utilisés autour de vous cette semaine, avec qui les utilise et sur quelles données. Créez le tableur registre avec les six colonnes. Remplissez une seule ligne complètement : la première trace vaut plus que le plan parfait.
Critère de réussite : vous pouvez répondre en une minute à « qui utilise quoi, sur quelles données, avec quelle formation » pour au moins un usage réel de votre organisation.
Questions fréquentes
Que demande l'article 4 de l'AI Act ?
Des mesures de maîtrise de l'IA proportionnées à l'usage réel de l'organisation, prestataires compris. Ni certificat, ni durée, ni programme ne sont imposés : la Commission l'écrit noir sur blanc.
Comment se mettre en règle concrètement ?
Quatre étapes : cartographier les usages, évaluer les niveaux, former, tracer. L'ensemble tient dans un tableur à six colonnes. C'est un dispositif documenté qui est attendu, pas des attestations nominatives.
L'article 4 impose-t-il une certification ?
Non. La Commission écrit explicitement qu'aucun certificat n'est requis, et il n'existe aucun organisme accrédité pour cet article. Les offres qui vendent une « certification article 4 obligatoire » vendent quelque chose que le texte ne demande pas.
Mon entreprise est-elle concernée si elle a dix salariés ?
Oui. L'article 4 ne fixe aucun seuil d'effectif. Il demande des mesures proportionnées aux profils et aux usages, ce qui pour une petite structure peut tenir en une note de cadrage et une session de sensibilisation documentée.
Faut-il attendre décembre 2027 pour agir ?
Non, c'est la confusion la plus répandue. Décembre 2027 concerne les obligations des systèmes haut risque de l'Annexe III. L'article 4 s'applique depuis le 2 février 2025 et est opposable depuis le 2 août 2026, date à laquelle les autorités ont reçu leurs pouvoirs de sanction.