AI Act article 4 : quelles mesures de maîtrise de l’IA pour les SPSTI et ESSMS ?

Un médecin du travail qui prépare une synthèse avec un outil d'IA, une secrétaire médicale qui traite des demandes et un ESSMS qui teste un chatbot soulèvent des questions différentes. Depuis le 2 février 2025, l'article 4 du règlement européen sur l'IA demande aux fournisseurs et déployeurs de prendre des mesures adaptées pour favoriser la maîtrise de l'IA des personnes intervenant pour leur compte. Depuis sa modification par le règlement (UE) 2026/1744, le texte précise expressément qu'il n'impose pas de garantir un niveau de maîtrise particulier à chaque personne. Lire le texte officiel.

Les services de prévention et de santé au travail interentreprises (SPSTI) et les établissements et services sociaux et médico-sociaux (ESSMS) sont doublement concernés : parce que leurs équipes adoptent ces outils rapidement, et parce qu'elles les utilisent sur les données les plus protégées qui soient — des données de santé couvertes par le secret.

Ce que dit l'article 4, précisément

L'article 4, dans sa rédaction consolidée après le règlement (UE) 2026/1744, demande aux fournisseurs et déployeurs de prendre des mesures pour soutenir le développement de la maîtrise de l'IA du personnel et des autres personnes agissant pour leur compte. Il faut tenir compte des connaissances, expériences, formations, usages et personnes concernées. Le texte n'impose ni certificat individuel ni niveau uniforme de compétence. La Commission européenne explique la portée de l'obligation.

Trois points structurent cette obligation. D'abord, la nature des mesures dépend de l'usage et du contexte : une équipe administrative n'a pas nécessairement les mêmes besoins qu'un professionnel de santé utilisant une IA de soutien à la décision. Ensuite, la formation peut constituer une mesure pertinente mais le texte ne prescrit ni cursus identique ni certification individuelle obligatoire. Enfin, l'article 4 s'applique depuis février 2025, indépendamment du calendrier d'autres obligations de l'AI Act ; sa rédaction a évolué en juillet 2026.

Ce qu'une formation « article 4 » doit couvrir pour être sérieuse

Une sensibilisation générique et isolée peut être insuffisante lorsque les usages présentent des risques importants. Le texte ne fixe toutefois aucune durée minimale universelle. Pour un SPSTI ou un ESSMS, un programme pertinent peut notamment couvrir :

1. Les bases utiles : ce qu'un système d'IA sait faire, ne sait pas faire, et pourquoi il se trompe (biais, hallucinations, limites des données d'entraînement) ;
2. Le cadre juridique appliqué au métier : AI Act (catégories de risque, supervision humaine), RGPD et secret professionnel — que peut-on saisir dans quel outil, et que ne doit-on jamais y saisir ;
3. Les cas d'usage réels de l'équipe, passés en revue un par un : lesquels sont autorisés, sous quelles conditions, avec quelle vérification humaine ;
4. Les réflexes de gouvernance : à qui signaler un nouvel outil, comment remonter un doute ou un incident, où trouver la politique interne d'usage de l'IA.

La démarche gagne à être documentée : usages identifiés, mesures retenues, supports, participants et évaluations utiles selon le besoin. La simple présence à une session ne constitue ni une certification de conformité ni la preuve, à elle seule, du respect de l'ensemble des obligations.

Se mettre en règle : quatre étapes

Étape 1 — cartographier les usages réels, y compris les usages « officieux » d'outils grand public : c'est souvent là que dort le risque. Étape 2 — écrire une politique d'usage de l'IA courte et applicable : outils autorisés, données interdites, vérification humaine, signalement. Étape 3 — former par profils : un socle commun pour tous, un module renforcé pour les professionnels de santé et les fonctions qui manipulent des données sensibles. Étape 4 — documenter et actualiser : registre des usages, preuves de formation, revue annuelle — les outils changent vite, la formation doit suivre.

C'est précisément le format de notre formation « Maîtrise de l'IA (article 4) », conçue pour les organisations de santé et adaptée à chaque structure — SPSTI, ESSMS, établissements — avec vos cas d'usage réels comme matière première.