Formation à l'IA : l'obligation de l'article 4 de l'AI Act pour les SPSTI et les ESSMS

Un médecin du travail qui s'aide d'un outil d'IA pour préparer ses synthèses, une secrétaire médicale qui trie les demandes de visites avec un assistant intelligent, un ESSMS qui teste un chatbot d'accueil : dans chacun de ces cas, l'article 4 du règlement européen sur l'intelligence artificielle s'applique déjà. Il impose aux organisations qui fournissent ou utilisent des systèmes d'IA de garantir un « niveau suffisant de maîtrise de l'IA » à leur personnel — et il est en vigueur depuis le 2 février 2025.

Les services de prévention et de santé au travail interentreprises (SPSTI) et les établissements et services sociaux et médico-sociaux (ESSMS) sont doublement concernés : parce que leurs équipes adoptent ces outils rapidement, et parce qu'elles les utilisent sur les données les plus protégées qui soient — des données de santé couvertes par le secret.

Ce que dit l'article 4, précisément

Le texte demande aux fournisseurs et aux déployeurs de systèmes d'IA de prendre « des mesures pour garantir, dans toute la mesure du possible, un niveau suffisant de maîtrise de l'IA » de leur personnel et des personnes qui utilisent ces systèmes pour leur compte — en tenant compte de leurs connaissances techniques, de leur expérience, de leur formation, et du contexte d'utilisation.

Trois points structurent l'obligation. D'abord, c'est une obligation de moyens : on vous demande des mesures proportionnées et documentées, pas un diplôme d'ingénieur pour chaque infirmière. Ensuite, elle est graduée : le niveau attendu dépend de l'usage réel — celui qui rédige un courriel avec une IA générative et celui qui s'appuie sur un outil d'aide à la décision médicale n'ont pas besoin de la même formation. Enfin, elle est déjà applicable : le report des obligations « haut risque » acté par le règlement (UE) 2026/1744 ne concerne pas l'article 4, qui s'applique depuis février 2025 quelle que soit la catégorie de risque des outils utilisés.

Pourquoi les SPSTI sont en première ligne

Un SPSTI concentre tout ce qui rend la question sensible : des données de santé au travail couvertes par le secret médical, des volumes importants (des milliers de salariés suivis), des équipes pluridisciplinaires aux profils très différents — médecins du travail, infirmiers, assistants, préventeurs, fonctions support — et une adoption rapide d'outils intégrant de l'IA : aide à la rédaction des comptes rendus, pré-analyse de questionnaires, priorisation des visites, transcription de consultations.

Chaque usage soulève les mêmes questions : quelles données sortent de l'organisme quand on utilise un outil grand public ? Qui vérifie la production de la machine avant qu'elle n'entre dans le dossier médical en santé au travail ? Que dit-on au salarié suivi ? La formation exigée par l'article 4 est exactement le lieu où ces réflexes se construisent — et elle s'articule avec le RGPD, qui continue de régir chaque traitement de données de santé sous-jacent.

Et les ESSMS : mêmes outils, publics plus vulnérables

Dans le médico-social — EHPAD, services d'aide à domicile, structures du handicap, protection de l'enfance — l'IA arrive par les dossiers de l'usager, les plannings, les transmissions, parfois des dispositifs de surveillance ou d'assistance. Les personnes concernées sont souvent vulnérables, ce qui élève l'exigence éthique et juridique d'un cran.

Le calendrier ne doit pas endormir : si certaines obligations « haut risque » de l'annexe III ne s'appliqueront qu'au 2 décembre 2027, la maîtrise de l'IA de l'article 4, elle, est due dès aujourd'hui — et les autorités de contrôle comme les financeurs commencent à poser la question. Pour un directeur d'ESSMS, former ses équipes maintenant, c'est aussi préparer sereinement les échéances de 2027.

Ce qu'une formation « article 4 » doit couvrir pour être sérieuse

Une sensibilisation générique d'une heure sur « l'IA en général » ne répond pas à l'objectif du texte. Une formation adaptée à un SPSTI ou un ESSMS couvre au minimum :

1. 1Les bases utiles : ce qu'un système d'IA sait faire, ne sait pas faire, et pourquoi il se trompe (biais, hallucinations, limites des données d'entraînement) ;
2. 2Le cadre juridique appliqué au métier : AI Act (catégories de risque, supervision humaine), RGPD et secret professionnel — que peut-on saisir dans quel outil, et que ne doit-on jamais y saisir ;
3. 3Les cas d'usage réels de l'équipe, passés en revue un par un : lesquels sont autorisés, sous quelles conditions, avec quelle vérification humaine ;
4. 4Les réflexes de gouvernance : à qui signaler un nouvel outil, comment remonter un doute ou un incident, où trouver la politique interne d'usage de l'IA.

Et elle se documente : programme, participants, dates, supports. C'est cette trace qui, le jour venu, démontre que l'obligation de moyens a été remplie.

Se mettre en règle : quatre étapes

Étape 1 — cartographier les usages réels, y compris les usages « officieux » d'outils grand public : c'est souvent là que dort le risque. Étape 2 — écrire une politique d'usage de l'IA courte et applicable : outils autorisés, données interdites, vérification humaine, signalement. Étape 3 — former par profils : un socle commun pour tous, un module renforcé pour les professionnels de santé et les fonctions qui manipulent des données sensibles. Étape 4 — documenter et actualiser : registre des usages, preuves de formation, revue annuelle — les outils changent vite, la formation doit suivre.

C'est précisément le format de notre formation « Maîtrise de l'IA (article 4) », conçue pour les organisations de santé et adaptée à chaque structure — SPSTI, ESSMS, établissements — avec vos cas d'usage réels comme matière première.

Les questions qu'on nous pose

« Est-ce vraiment obligatoire, même si nous n'utilisons pas d'IA “à haut risque” ? » Oui : l'article 4 s'applique dès qu'un système d'IA est utilisé, quelle que soit sa catégorie de risque. « Y a-t-il une sanction spécifique ? » L'article 4 n'a pas d'amende dédiée dans le règlement, mais l'obligation est bien juridique : elle pèse dans l'appréciation globale de la conformité, engage la responsabilité de l'organisation en cas d'incident, et les exigences de formation se retrouvent déjà dans les référentiels et les appels d'offres. « Qui doit être formé ? » Toute personne qui utilise un système d'IA dans le cadre professionnel — pas seulement l'équipe informatique, et pas seulement les médecins. « À quelle fréquence ? » Le texte n'en fixe pas ; la logique de l'obligation de moyens plaide pour une actualisation régulière, a fortiori quand de nouveaux outils entrent dans la structure.