Article 4 du règlement européen sur l'IA : ce que l'obligation de maîtrise de l'IA signifie pour les employeurs en Suisse

Introduction : pourquoi l'article 4 concerne aussi les employeurs en Suisse

Si votre entreprise utilise des outils d'intelligence artificielle, des agents conversationnels aux logiciels de recrutement, une règle européenne discrète mais contraignante peut déjà vous concerner. Il s'agit de l'article 4 du règlement européen sur l'intelligence artificielle (en anglais AI Act), qui porte sur la maîtrise de l'IA.

Pour les entreprises suisses, la situation est particulière : la Suisse ne fait pas partie de l'Union européenne et le règlement ne s'y applique pas directement. Une entreprise qui propose des systèmes d'IA dans l'UE, qui y exploite des succursales ou dont les résultats produits par l'IA sont utilisés dans l'UE peut toutefois entrer dans son champ d'application. Pour de nombreuses entreprises tournées vers l'exportation, l'article 4 constitue donc un enjeu bien réel.

L'article 4 s'applique formellement depuis le 2 février 2025. Deux évolutions l'ont toutefois remis sur le devant de la scène en 2026. La première est une modification introduite par l'omnibus numérique de l'UE sur l'IA, entrée en vigueur au milieu du mois de juillet 2026. La seconde est le début de la surveillance et du contrôle par les autorités nationales des États membres de l'UE, le 2 août 2026. Pour les employeurs, c'est le bon moment pour vérifier si leurs mesures en matière de maîtrise de l'IA sont réellement en place.

Ce guide explique simplement ce qu'exige l'article 4, ce qu'il n'exige pas, dans quels cas il concerne les entreprises suisses et ce que les employeurs devraient concrètement faire.

L'essentiel en bref :

• L'article 4 s'applique depuis le 2 février 2025, et les autorités nationales des États membres de l'UE en contrôlent le respect depuis le 2 août 2026.
• En Suisse, le règlement ne s'applique pas directement, mais il peut concerner les entreprises suisses actives dans l'UE.
• Aucun certificat, programme imposé ou nombre fixe d'heures de formation n'est exigé.
• Il est recommandé de documenter par écrit les mesures prises.

Que prévoit l'article 4 du règlement européen sur l'IA ?

L'article 4 fait partie du règlement (UE) 2024/1689, soit le règlement européen sur l'IA, première loi complète au monde consacrée à l'intelligence artificielle. Il impose aux fournisseurs et aux déployeurs de systèmes d'IA de prendre des mesures pour favoriser le développement de la maîtrise de l'IA de leur personnel et des autres personnes qui utilisent des systèmes d'IA pour leur compte.

L'obligation tient compte des connaissances techniques, de l'expérience, de l'éducation et de la formation de chaque personne, ainsi que du contexte dans lequel le système d'IA est utilisé. Autrement dit, la loi n'impose pas de norme unique et figée. Elle demande aux organisations d'adapter leurs mesures à leur propre situation.

Une nuance mérite d'être relevée. Le texte initial de 2024 demandait aux organisations de garantir, dans toute la mesure du possible, un niveau suffisant de maîtrise de l'IA. Depuis la modification introduite par l'omnibus numérique, entrée en vigueur au milieu du mois de juillet 2026, le texte leur demande seulement de favoriser le développement de cette maîtrise et précise expressément qu'aucun niveau individuel déterminé ne doit être garanti. L'obligation reste contraignante, mais sa formulation est plus souple afin d'être plus facile à appliquer pour les organisations de toute taille.

Que signifie concrètement l'exigence de maîtrise de l'IA ?

Sur le plan juridique, le règlement définit la maîtrise de l'IA comme les compétences, les connaissances et la compréhension qui permettent aux fournisseurs, aux déployeurs et aux personnes concernées de prendre des décisions éclairées au sujet des systèmes d'IA et d'avoir conscience des possibilités, des risques et des préjudices que l'IA peut causer.

Cette notion dépasse la simple formation technique. Elle comprend le fait de savoir ce que fait un système d'IA, d'en reconnaître les limites (par exemple le risque de résultats inexacts ou inventés, les fameuses « hallucinations ») et de savoir quand le jugement humain doit l'emporter sur un résultat produit par l'IA.

Selon la foire aux questions officielle de la Commission européenne sur l'article 4, l'obligation n'impose pas aux organisations de mesurer ou de tester formellement les connaissances de leurs collaborateurs en matière d'IA. Elle leur demande de prendre des mesures raisonnables et proportionnées pour développer ces connaissances progressivement.

Article 4 : quelles conséquences pour les entreprises suisses ?

Le règlement sur l'IA est un acte de l'Union européenne et ne s'applique pas directement en Suisse. Son champ d'application dépasse toutefois les frontières de l'UE. Une entreprise suisse peut être concernée notamment lorsqu'elle met des systèmes d'IA sur le marché européen, lorsqu'elle utilise l'IA par l'intermédiaire de succursales ou de filiales situées dans l'UE, ou lorsque les résultats d'un système d'IA sont utilisés dans l'UE. Une entreprise qui fournit des services reposant sur l'IA à une clientèle en France, en Allemagne, en Italie ou en Autriche a donc tout intérêt à prendre l'article 4 au sérieux.

En matière de réglementation de l'IA en Suisse, la situation est différente : il n'existe pas, à ce jour, de loi spécifique sur l'IA. Le 12 février 2025, le Conseil fédéral a décidé de ratifier la convention du Conseil de l'Europe sur l'IA et d'adapter le droit suisse de manière ciblée, plutôt que de créer une réglementation complète sur le modèle européen. La Suisse a signé la convention le 27 mars 2025, et un projet mis en consultation est prévu d'ici la fin de 2026. D'ici là, c'est notamment la loi fédérale sur la protection des données (LPD) qui encadre l'utilisation de l'IA.

Pour les employeurs suisses ayant des relations d'affaires avec l'UE, il est donc judicieux de mettre en place dès maintenant des mesures de maîtrise de l'IA. Ils répondent ainsi aux éventuelles obligations découlant du règlement européen et posent une base solide, quelle que soit la forme que prendra la future réglementation suisse.

Qui est concerné ?

L'article 4 vise deux catégories définies dans le règlement : les fournisseurs (organisations qui développent des systèmes d'IA ou les mettent sur le marché) et les déployeurs (organisations qui utilisent des systèmes d'IA dans leurs propres activités). La plupart des employeurs entrent dans la catégorie des déployeurs du simple fait qu'ils utilisent des outils fondés sur l'IA au travail.

L'obligation ne se limite pas aux collaborateurs directs. Selon les lignes directrices de la Commission, elle couvre aussi d'autres personnes agissant pour le compte de l'organisation, comme des prestataires externes, des entreprises de services ou des clients, lorsqu'ils participent à l'exploitation ou à l'utilisation d'un système d'IA lié à l'organisation.

La règle s'applique quelle que soit la taille de l'entreprise. Une PME qui utilise un seul outil de rédaction fondé sur l'IA et une banque internationale qui exploite des dizaines de systèmes d'IA entrent toutes deux dans son champ d'application. Comme nous le verrons plus loin, les mesures « appropriées » seront toutefois très différentes dans ces deux cas.

À quoi ressemble la maîtrise de l'IA dans la pratique ?

La Commission européenne a esquissé un cadre de départ pratique pour aider les organisations à réfléchir à leurs obligations découlant de l'article 4. Il propose quatre grandes étapes :

• Développer une compréhension générale de l'IA au sein de l'organisation : ce qu'elle est, comment elle fonctionne et où elle est utilisée.
• Clarifier le rôle de l'organisation, à savoir fournisseur ou déployeur.
• Évaluer le niveau de risque des systèmes d'IA utilisés, car les systèmes à risque plus élevé exigent des mesures plus approfondies.
• Traduire cette analyse en actions concrètes, adaptées aux différentes fonctions, en tenant compte des connaissances techniques de chaque personne et du contexte d'utilisation du système d'IA.

Formation et certification : que demande l'UE ?

C'est l'une des idées reçues les plus répandues au sujet de l'article 4, et il vaut la peine de le dire clairement : la Commission européenne a confirmé, dans sa foire aux questions officielle, qu'aucun certificat n'est nécessaire pour respecter l'article 4. Il n'existe pas non plus de programme unique imposé, de nombre fixe d'heures de formation ni de cours approuvé par l'UE qui remplirait automatiquement l'obligation. Selon les lignes directrices de la Commission, il n'existe pas de format universel, et les exigences dépendent du contexte concret dans lequel chaque organisation évolue. La forme que prend la formation à l'IA des collaborateurs relève donc de chaque entreprise.

On attend en revanche des organisations qu'elles tiennent un registre interne des mesures de formation et d'information qu'elles ont prises. Ce registre démontre que des mesures raisonnables et adaptées au contexte ont été mises en œuvre, sans constituer la preuve d'une qualification précise. La Commission a en outre publié un recueil régulièrement enrichi de plus de quarante pratiques concrètes d'entreprises et d'organismes publics en matière de maîtrise de l'IA. Ces exemples servent d'inspiration et non de liste de contrôle de conformité. Reprendre un exemple du recueil ne garantit pas, en soi, le respect de l'obligation.

Un autre point compte pour les employeurs qui utilisent des systèmes d'IA à risque plus élevé. L'article 26 du règlement exige séparément que les déployeurs de systèmes d'IA à haut risque veillent à ce que leur personnel soit suffisamment formé pour utiliser ces systèmes et en assurer la surveillance humaine. Cette obligation, plus précise, s'ajoute à l'obligation générale de l'article 4.

Ce que les employeurs devraient faire dès maintenant

Puisque les autorités nationales de surveillance du marché de chaque État membre de l'UE surveillent et contrôlent officiellement le respect de la règle depuis le 2 août 2026, les employeurs concernés ont tout intérêt à passer de la prise de conscience à l'action. Quelques mesures pratiques et peu contraignantes se distinguent particulièrement.

Commencez par recenser les outils d'IA réellement utilisés dans l'entreprise, y compris ceux que les collaborateurs ont adoptés de leur propre initiative, comme des comptes gratuits d'agents conversationnels utilisés pour rédiger des textes. Il est difficile de développer la maîtrise de systèmes qui n'ont pas d'abord été identifiés. Regroupez ensuite les collaborateurs selon leur usage de l'IA, par exemple utilisateurs occasionnels, utilisateurs réguliers et personnel technique qui développe ou configure des systèmes, car le niveau de formation nécessaire varie légitimement entre ces groupes. Documentez enfin toutes les mesures prises, même informelles, car c'est précisément ce type de trace écrite que les autorités et, le cas échéant, les tribunaux rechercheront en cas de litige.

Réexaminez par ailleurs régulièrement vos mesures de maîtrise de l'IA. Comme la technologie et les outils utilisés dans la plupart des entreprises évoluent rapidement, une séance d'introduction unique ne suffira sans doute pas longtemps.

Les compétences en IA dont les collaborateurs ont besoin au travail

Si l'article 4 ne dresse pas de liste précise de compétences en IA au travail, les lignes directrices de la Commission et les définitions du règlement indiquent un ensemble cohérent de compétences pratiques. Il s'agit notamment de comprendre dans les grandes lignes comment les outils d'IA utilisés produisent leurs résultats, d'être conscient que ces résultats peuvent être inexacts ou biaisés, et de disposer du discernement nécessaire pour savoir quand une personne doit vérifier ou corriger une décision assistée par l'IA. Les collaborateurs devraient aussi connaître les limites propres aux outils sur lesquels ils s'appuient. Un agent conversationnel généraliste utilisé pour des traductions ou des textes publicitaires peut par exemple produire des contenus factuellement faux.

Pour les collaborateurs dont les fonctions font un usage plus intensif de l'IA, des connaissances supplémentaires sur la protection des données, les règles européennes ou sectorielles applicables et les enjeux éthiques des décisions assistées par l'IA prennent de l'importance, en particulier lorsque les outils utilisés sont classés à haut risque selon le règlement. En Suisse, cela inclut aussi la LPD, qui s'applique au traitement de données personnelles au moyen de l'IA.

Il est utile de distinguer cette maîtrise du quotidien de l'expertise en IA. La maîtrise de l'IA consiste à donner aux collaborateurs ordinaires, notamment dans la communication, les ressources humaines ou le service à la clientèle, une compréhension suffisante pour utiliser les outils d'IA de manière responsable. L'expertise désigne les connaissances techniques plus approfondies des spécialistes des données ou des développeurs de systèmes d'IA. Selon les lignes directrices de la Commission, les personnes titulaires d'une formation pertinente en IA ou disposant d'une expérience professionnelle dans ce domaine peuvent en général être considérées comme maîtrisant l'IA sans mesure formelle supplémentaire, mais les organisations devraient vérifier que ces connaissances couvrent bien les systèmes utilisés. La plupart des employeurs n'ont donc pas besoin de faire de chaque collaborateur un spécialiste de l'IA : l'exigence légale est une sensibilisation proportionnée, et non une expertise technique pointue.

Exemples concrets de maîtrise de l'IA au travail

Une équipe de communication qui utilise un outil d'IA générative pour rédiger des publications sur les réseaux sociaux doit savoir que l'outil peut produire des affirmations plausibles mais fausses. Elle doit donc vérifier les contenus avant publication plutôt que de les considérer comme exacts d'office.

Un service des ressources humaines qui utilise l'IA pour trier les candidatures doit connaître le risque de biais dans la présélection automatisée et impliquer réellement une personne dans les décisions finales. C'est d'autant plus important que de nombreux outils d'IA utilisés pour le recrutement peuvent relever de la catégorie à haut risque du règlement.

Conclusion

L'article 4 du règlement européen sur l'IA demande relativement peu aux employeurs : prendre des mesures raisonnables et proportionnées pour que les personnes qui utilisent l'IA au travail comprennent ce qu'elle peut faire et ce qu'elle ne peut pas faire. Il n'impose ni certificat, ni programme fixe, ni responsable de la conformité dédié à l'IA.

Il exige en revanche un effort réel et documenté : recenser les usages de l'IA, adapter les consignes aux différentes fonctions et les tenir à jour à mesure que les outils évoluent. Comme les autorités nationales de l'UE sont habilitées depuis août 2026 à surveiller et à faire respecter la règle, les entreprises concernées, y compris en Suisse, qui n'ont pas encore défini d'approche de base en matière de maîtrise de l'IA ont tout intérêt à s'y mettre maintenant.

Sources

Les pages de la Commission européenne sont en anglais, tandis que les règlements européens sont disponibles en français sur EUR-Lex.

• Commission européenne, Talents, compétences et maîtrise de l'IA, Façonner l'avenir numérique de l'Europe
• Commission européenne, Maîtrise de l'IA : questions et réponses, foire aux questions officielle sur l'article 4
• Commission européenne, Recueil de pratiques en matière de maîtrise de l'IA
• Règlement (UE) 2024/1689 (règlement sur l'IA), Journal officiel de l'Union européenne, EUR-Lex
• Règlement (UE) 2026/1744, omnibus numérique sur l'IA, EUR-Lex
• Office fédéral de la justice, Intelligence artificielle : état de la réglementation en Suisse (page en allemand, également disponible en français)