Contrôle AI Act : les pièces à pouvoir sortir
Aucun format de dossier n'est imposé par l'AI Act. Les cinq pièces qui tiennent en cas de contrôle : inventaire, plan, attestations, proportionnalité.
Vous avez décidé de former vos équipes, ou vous l'avez déjà fait, et une question vous taraude : si quelqu'un frappe à la porte demain, qu'est-ce que vous sortez ? Pas une explication orale. Un dossier, posé sur la table.
Aucun format imposé, mais un principe qui structure tout
Le règlement (UE) 2024/1689, à son article 4, impose aux fournisseurs et aux déployeurs de systèmes d'IA de prendre des mesures pour favoriser le développement de la maîtrise de l'IA de leur personnel, sans exiger de niveau spécifique par personne depuis la réécriture du 27 juillet 2026. Le texte ne dit rien du support que ces mesures doivent prendre. Pas de dossier type, pas de nombre de pièces minimal, pas d'organisme habilité à valider quoi que ce soit.
La Commission européenne le confirme dans ses questions-réponses sur la maîtrise de l'IA : aucun certificat n'est requis, une organisation peut se contenter d'une trace interne de ses formations. Elle va plus loin dans son recueil de pratiques sur la maîtrise de l'IA, en précisant que reproduire une pratique du recueil ne confère aucune présomption de conformité à l'article 4. Ce principe vaut pour n'importe quel document, qu'il vienne d'un organisme de formation, d'un consultant ou de vos propres services.
Les cinq pièces qui composent un dossier tenable
Ce ne sont pas cinq cases à cocher au hasard. Chacune répond à une question précise qu'un contrôle finit toujours par poser.
L'inventaire des systèmes d'IA effectivement utilisés
Avant de parler de formation, il faut pouvoir dire ce qu'on forme à utiliser. Un inventaire tient sur une page : le nom de l'outil, le service qui l'utilise, depuis quand, et pour quoi faire. Sans cette liste, tout le reste du dossier flotte dans le vide, faute d'objet.
C'est aussi à ce stade que se joue une distinction qui change la nature de vos obligations : êtes-vous simple déployeur d'un outil du marché, ou basculez-vous en fournisseur au sens du règlement, par exemple en modifiant substantiellement un système ou en le revendant sous votre marque ? Nous détaillons ce basculement dans notre article sur le moment où un déployeur devient fournisseur, un point que la plupart des dossiers d'entreprise ignorent complètement.
Le plan de formation, daté
Une décision de former, prise à une date identifiable, avec un périmètre défini : qui, sur quoi, à quel niveau. Ce document existe souvent déjà sous une forme informelle, un mail, un compte rendu de réunion. Ce qui manque presque toujours, c'est qu'il soit conservé et daté de façon vérifiable, plutôt que reconstitué de mémoire le jour où la question se pose.
Les attestations nominatives
C'est la pièce la plus concrète, celle qui rattache l'obligation à des personnes réelles. Nous avons consacré un article entier à ce qui distingue une attestation qui documente d'une attestation qui ne prouve rien, avec la grille de lecture à appliquer poste par poste : ce qui fait d'une attestation de formation IA une preuve. Vous pouvez regarder à quoi ressemble un exemple concret sur notre page dédiée. On ne la répète pas ici : le dossier complet a besoin de cette pièce, mais la pièce à elle seule ne fait pas le dossier.
La logique de proportionnalité, écrite
L'article 4 demande de prendre en considération les connaissances techniques, l'expérience, l'éducation et la formation des personnes concernées, ainsi que le contexte d'utilisation. Concrètement, cela veut dire qu'une entreprise de dix salariés et une entreprise de deux cents n'ont pas à produire le même programme, et qu'un commercial qui rédige des emails avec un assistant n'a pas besoin du même niveau qu'un développeur qui intègre un modèle dans un produit.
Ce qui compte pour un contrôle, ce n'est pas que cette logique existe dans votre tête. C'est qu'elle soit écrite quelque part : pourquoi ce niveau, pour ce poste, avec ce contenu. Nous détaillons qui est concerné et comment moduler selon la taille de l'entreprise dans notre article sur l'AI Act pour les TPE et PME, et le périmètre exact de l'obligation dans notre article sur qui est concerné par l'AI Act.
Un point à garder en tête pour cette pièce précisément : le train de mesures omnibus numérique sur l'IA, signé le 8 juillet 2026 et toujours en attente de publication au Journal officiel de l'Union européenne au moment où cet article est rédigé, réécrirait l'article 4 pour préciser explicitement que l'obligation ne contraint pas à garantir un niveau spécifique par individu. Le détail est dans notre article sur le Digital Omnibus et l'obligation de former. Si ce texte entre en vigueur, la note de proportionnalité gagne en poids : elle devient la preuve la plus directe que des mesures ont été prises, plutôt qu'une pièce parmi d'autres.
La durée de conservation, assumée
Le règlement ne fixe aucune durée de conservation pour ce dossier, ni pour les pièces qui le composent. C'est un vide qu'il faut combler soi-même, par une règle interne écrite, plutôt que de laisser la question ouverte jusqu'au jour où elle se pose. En pratique, un plancher raisonnable consiste à garder le dossier tant que le système d'IA concerné reste en usage, et à le mettre à jour à chaque changement d'outil ou de périmètre, pas seulement à sa création. Un dossier figé depuis dix-huit mois, sur des outils qui ont changé trois fois depuis, vaut moins qu'un dossier plus récent mais réellement à jour.
| Pièce | Ce qu'elle établit | Ce qu'elle n'établit pas |
|---|---|---|
| Inventaire des systèmes d'IA | Quels outils sont utilisés, par qui, depuis quand | Le niveau de maîtrise réel des utilisateurs |
| Plan de formation daté | Qu'une décision de former a été prise, avec un périmètre | Que la formation a effectivement eu lieu |
| Attestations nominatives | Qu'une personne a suivi un contenu identifié, à une date donnée | La conformité de l'entreprise à l'article 4 |
| Note de proportionnalité | Pourquoi ce niveau a été retenu pour ce poste | Que le niveau retenu était le bon |
| Politique de conservation | Que le dossier est tenu à jour dans la durée | Une durée légale, qui n'existe pas |
Faites glisser le tableau pour voir toutes les colonnes.
Ce qui se passe réellement si un contrôle a lieu
Deux choses à ne jamais séparer. L'article 4 ne figure dans aucune des listes de l'article 99 qui fixent les plafonds d'amende du règlement : il n'existe donc pas de plafond d'amende européen attaché au défaut de formation. Mais l'article 99, paragraphe 1, impose aux États membres de déterminer un régime de sanctions applicable aux violations du règlement, sans exclure l'article 4, et la Commission européenne écrit elle-même que les autorités nationales de surveillance du marché pourront sanctionner des manquements à l'article 4 à partir du 2 août 2026. Nous détaillons les montants réels, palier par palier, dans notre article sur les sanctions de l'AI Act.
Questions fréquentes
Qui peut contrôler l'application de l'AI Act en France ?
Aucune loi française n'a encore désigné d'autorité compétente au 24 juillet 2026. Le schéma envisagé par le gouvernement confierait la coordination à la DGCCRF, aux côtés de la CNIL, de l'Arcom et d'autorités sectorielles, mais il dépend d'un projet de loi encore en première lecture. Au niveau européen, les autorités nationales de surveillance du marché commencent à superviser l'article 4 à partir du 2 août 2026.
Un format de dossier est-il imposé par le règlement ?
Non. L'AI Act ne fixe ni format, ni durée minimale, ni programme, ni organisme habilité à délivrer un document de conformité. La Commission européenne précise même qu'aucun document ne confère de présomption de conformité à l'article 4, quel que soit son émetteur.
Un contrôle peut-il déboucher directement sur une amende de plusieurs millions d'euros ?
Non pour l'article 4 spécifiquement : il ne figure dans aucune des listes de l'article 99 qui fixent les plafonds d'amende du règlement, donc aucun plafond européen n'y est attaché. Les États membres doivent néanmoins prévoir un régime de sanctions pour les violations du règlement, l'article 4 compris.
Combien de temps conserver les pièces du dossier ?
Le règlement ne fixe aucune durée de conservation. Un plancher raisonnable consiste à garder le dossier tant que les systèmes d'IA concernés restent en usage, et à le mettre à jour à chaque changement d'outil plutôt que de le laisser figé depuis sa création.
Le Digital Omnibus change-t-il ce qu'il faut préparer pour un contrôle ?
Le règlement (UE) 2026/1744, publié au Journal officiel le 24 juillet 2026 et en vigueur depuis le 27 juillet, a réécrit l'article 4 pour en faire explicitement une obligation de moyens : il s'agit de favoriser le développement de la maîtrise de l'IA, sans avoir à garantir un niveau spécifique par personne. Les cinq pièces du dossier restent pertinentes, et elles gagnent même en poids : c'est la preuve d'avoir agi qui compte, pas celle d'un résultat garanti.
Aucune de ces cinq pièces ne suffit seule. C'est leur ensemble, tenu à jour, qui transforme une obligation abstraite en quelque chose que vous pouvez poser sur une table. La partie la plus rapide à combler reste les attestations nominatives : c'est la seule des cinq qui se produit en formant réellement vos équipes, plutôt qu'en écrivant un document sur ce que vous comptez faire. Notre page sur l'AI Act et l'obligation de former résume l'ensemble de la démarche si vous partez de zéro.
