Attestation de formation IA : ce qui en fait une preuve

Vous avez formé vos équipes à l'IA, ou vous êtes sur le point de le faire. Reste la question qui arrive juste après, et que personne ne traite vraiment : qu'est-ce que vous gardez dans le dossier ? Un PDF avec un logo ne vaut pas grand-chose. Un document qu'un tiers peut vérifier sans vous appeler, si.

Le texte n'exige aucun certificat, mais il exige des mesures

L'article 4 du règlement (UE) 2024/1689 impose aux fournisseurs et aux déployeurs de systèmes d'IA de prendre des mesures pour garantir, dans toute la mesure du possible, un niveau suffisant de maîtrise de l'IA de leur personnel et des personnes qui utilisent ces systèmes pour leur compte. Cette disposition est applicable depuis le 2 février 2025.

Ce que le règlement ne dit pas est au moins aussi important. Il ne fixe ni durée minimale, ni programme, ni format de document, ni organisme habilité à le délivrer. Le Bureau de l'IA de la Commission est allé jusqu'à l'écrire noir sur blanc dans ses questions-réponses sur la maîtrise de l'IA.

There is no need for a certificate. Organisations can keep an internal record of trainings and/or other guiding initiatives.

Autrement dit : une trace interne suffit sur le principe. Alors pourquoi s'embêter avec une attestation en bonne et due forme ? Parce qu'un tableur tenu par le service RH et une attestation nominative n'ont pas la même valeur le jour où quelqu'un d'extérieur pose la question. Les autorités nationales de surveillance du marché commencent à superviser et à faire appliquer l'article 4 à partir du 2 août 2026. Un document daté, émis par un tiers, avec un identifiant, se défend mieux qu'une ligne saisie a posteriori dans un fichier que vous contrôlez entièrement.

Les sept éléments qui rendent une attestation utilisable

Voici la grille que nous appliquons à nos propres documents. Elle vaut pour n'importe quel prestataire : sortez l'attestation que vous avez reçue et descendez les sept points, dans l'ordre où ils apparaissent sur la page. Chaque point se termine par la question à poser au document.

Les quatre premiers points sont du bon sens documentaire. Les trois derniers font la différence entre un souvenir et une preuve, et c'est là que la plupart des attestations du marché s'arrêtent.

Le troisième point est celui qu'on sous-estime le plus. Quand le contenu d'un programme est publié, exercice par exercice, sur une page que n'importe qui peut ouvrir, un tiers peut juger lui-même si le niveau correspondait au poste. C'est précisément ce que l'article 4 demande de prendre en considération : les connaissances, l'expérience, la formation des personnes et le contexte d'utilisation. Nos programmes par métier portent ce contenu en accès libre, et c'est lui qui donne du poids au document final.

La phrase qu'une attestation ne doit jamais porter

« Conforme à l'article 4 de l'AI Act. » Aucune attestation ne devrait porter cette mention, et celles qui la portent affaiblissent le dossier au lieu de le renforcer.

Trois raisons. D'abord, aucun format n'a valeur de présomption : la Commission précise à propos de son recueil de pratiques que reproduire une pratique du recueil ne confère aucune présomption de conformité à l'article 4. Ensuite, la conformité s'apprécie au niveau de l'organisation, pas de la personne formée : elle dépend de vos usages réels de l'IA, de qui les manipule, du contexte. Un prestataire qui n'a pas audité votre entreprise n'est pas en position de l'affirmer. Enfin, une allégation de conformité invérifiable est un risque en soi, plus qu'une protection.

Nos attestations portent la formulation inverse, imprimée sur le document : « Cette attestation est un document factuel sur la formation suivie. Elle n'engage pas Aiffut sur la conformité de votre démarche d'entreprise à l'AI Act. » Ça paraît contre-intuitif commercialement. C'est en réalité ce qui rend le document défendable, parce qu'il n'affirme que ce qu'il peut établir.

La vérification par un tiers, en pratique

C'est le point qui sépare un PDF d'une preuve, et c'est aussi le plus facile à tester : demandez à votre prestataire comment un auditeur vérifie l'authenticité d'une attestation sans passer par vous. S'il n'y a pas de réponse, le document est un fichier comme un autre, modifiable en trois minutes.

Voici le dispositif que nous avons construit, décrit pour qu'il soit reproductible ailleurs. Chaque attestation reçoit un numéro déterministe dérivé du couple titulaire et programme. Au moment de l'émission, un JSON canonique figé (numéro, prénom et nom, programme, niveau, nombre d'exercices, période, horodatage) est signé cryptographiquement en Ed25519, et une empreinte courte de son SHA-256 est imprimée en pied de page. Le QR code du document pointe vers une page publique qui affiche le verdict de vérification, les données signées en clair, et un lien vers la clé publique permettant de refaire le calcul soi-même. Aucun email ni aucune adresse IP n'entre dans les données signées, puisqu'elles sont affichées publiquement.

Concrètement : si le PDF qu'on vous présente a été retouché, les informations affichées sur la page de vérification ne correspondront plus à celles du document, et ce sont les données signées qui font foi. Vous pouvez regarder à quoi ressemble le document sur notre exemple d'attestation.

L'attestation seule ne fait pas le dossier

Un contrôle ne se joue pas sur une pièce. Si la question vous est posée, ce sont plutôt quatre ou cinq éléments qu'il faut pouvoir sortir : l'inventaire des systèmes d'IA effectivement utilisés chez vous, la décision datée de former et son périmètre, les attestations nominatives des personnes concernées, et la logique de proportionnalité qui explique pourquoi telle fonction a été formée à tel niveau. L'attestation répond à un quart de la question.

Il faut aussi garder en tête que le socle réglementaire bouge. Le train de mesures omnibus numérique sur l'IA, signé le 8 juillet 2026 et en attente de publication au Journal officiel de l'Union européenne au moment où nous écrivons, réécrit l'article 4 : les fournisseurs et les déployeurs devraient prendre des mesures pour « favoriser le développement de la maîtrise de l'IA » de leur personnel, le texte précisant que cette obligation « ne contraint pas les fournisseurs ou les déployeurs à garantir un niveau spécifique de maîtrise de l'IA par un individu ». L'obligation de former subsiste et devient explicitement une obligation de moyens. Ce qui, au passage, renforce la valeur d'une trace datée : montrer qu'on a pris des mesures devient l'enjeu principal. Le détail est dans notre article sur ce que le Digital Omnibus change à l'obligation de former.

Dernier point, souvent mal compris : l'article 4 ne figure dans aucune des listes de l'article 99 qui fixent les plafonds d'amende, donc aucun plafond européen ne lui est attaché. Cela ne veut pas dire qu'un manquement est sans conséquence, les États membres devant prévoir un régime de sanctions pour les violations du règlement. Nous avons détaillé les montants réels et ce qu'ils couvrent dans notre article sur les sanctions de l'AI Act, et la vue d'ensemble de l'obligation se trouve sur notre page dédiée à l'AI Act et à l'obligation de former.

Questions fréquentes

Une attestation de formation IA est-elle obligatoire ?

Non. Le règlement (UE) 2024/1689 n'impose aucun certificat ni aucun format d'attestation, et la Commission européenne indique qu'une trace interne des formations suffit. L'attestation nominative reste plus solide qu'un tableur, parce qu'elle est datée, émise par un tiers et vérifiable.

Une attestation prouve-t-elle que mon entreprise est conforme à l'article 4 ?

Non. Elle établit qu'une personne nommée a suivi un contenu identifié à une date donnée. La conformité s'apprécie au niveau de l'organisation, en fonction de vos usages réels de l'IA. Aucun document délivré par un organisme de formation ne confère de présomption de conformité.

Que doit contenir une attestation de formation IA ?

Le nom du titulaire, les dates de début et de fin, l'objet de la formation avec un contenu consultable, le volume réellement suivi, l'émetteur et un signataire identifiés, un identifiant unique, et un moyen de vérifier l'authenticité du document sans passer par l'entreprise formée.

Combien de temps faut-il conserver les attestations ?

Le règlement ne fixe pas de durée de conservation pour ces pièces. En pratique, conserver les attestations tant que la personne est en poste et que les usages d'IA concernés se poursuivent est un minimum raisonnable, avec une durée écrite dans votre politique interne.

Si vous devez retenir une chose : une attestation ne vous met pas en conformité, elle documente ce que vous avez fait. C'est déjà beaucoup, à condition qu'elle nomme une personne, une date, un contenu, et qu'un tiers puisse la vérifier sans vous. Le reste du dossier, c'est votre travail, et il n'est pas si lourd pour une PME.