Maîtrise de l’IA au titre de l’AI Act : concevoir une formation utile et documenter les actions menées

La maîtrise de l’IA ne se résume pas à suivre une formation

La maîtrise de l’intelligence artificielle désigne la capacité pratique à comprendre un système d’IA et à l’utiliser avec discernement dans son contexte de travail. Pour une organisation, cela peut consister à savoir quelle tâche est confiée au système, quelles sont ses limites, quelles informations peuvent lui être transmises, comment vérifier une réponse et à qui s’adresser lorsque quelque chose semble incohérent. Cela ne signifie pas maîtriser l’ingénierie des modèles et ne confère pas, à lui seul, une certification.

L’article 4 du règlement européen sur l’intelligence artificielle — généralement appelé AI Act — constitue le point de départ juridique de cette obligation. La Commission européenne publie une foire aux questions spécifique sur la maîtrise de l’IA et l’article 4. L’AESIA propose également une page institutionnelle de questions-réponses sur ce même article. Ces sources peuvent guider la lecture, mais elles ne remplacent pas la consultation du texte juridique en vigueur lorsqu’il faut déterminer les obligations applicables à une organisation donnée.

Il est utile de distinguer trois niveaux. Le premier est ce que prévoit la réglementation : il faut le vérifier dans le texte officiel et dans les éclaircissements institutionnels pertinents. Le deuxième correspond aux choix de conception de chaque organisation, par exemple répartir la formation par fonctions ou recourir à des exercices. Le troisième concerne les éléments internes conservés pour gérer le programme. Une bonne pratique relevant du deuxième ou du troisième niveau ne doit pas être présentée comme une exigence expresse du règlement si la source juridique consultée ne l’indique pas.

La maîtrise de l’IA ne doit pas non plus être confondue avec d’autres mesures de gouvernance. Former les personnes ne remplace ni les contrôles techniques, ni les règles d’utilisation, ni la supervision requise, ni l’évaluation des risques. C’est un volet d’une gestion responsable, et non une solution qui garantirait, à elle seule, la sécurité du système ou la détection de toutes ses erreurs par toutes les personnes qui l’utilisent.

Commencer par délimiter l’obligation et son calendrier

Avant de concevoir une formation, il faut vérifier si l’organisation et les personnes concernées entrent dans le champ défini par la réglementation. Les sources fournies mentionnent les fournisseurs et les déployeurs de systèmes d’IA, mais elles ne suffisent pas à déterminer le rôle réglementaire de chaque entité ni à résoudre tous les cas particuliers. Une même organisation peut intervenir de différentes manières selon le système, le processus et ses relations avec des tiers. Il ne faut pas déduire sa classification d’une étiquette interne telle que « utilisateur » ou « client ».

La vérification doit s’appuyer sur la version en vigueur du règlement et sur les orientations institutionnelles pertinentes. Vérifiez la disposition exacte, ses destinataires, le lien qui doit exister avec le système et les conditions qu’elle prévoit. Si le rôle d’une entité, la nature de son activité ou l’application dans le temps soulève des questions, consignez-les et soumettez-les à une personne qualifiée en droit. Ce guide ne détermine pas ce rôle et ne fournit pas de conclusion juridique propre à une situation donnée.

Le calendrier doit faire l’objet d’une vérification distincte. Dans les éléments disponibles, la Commission européenne et l’AESIA confirment que leurs pages traitent de l’article 4, mais les extraits fournis ne vérifient aucune date précise d’application. Par rigueur, une date reprise dans une source secondaire ne doit pas être présentée comme une conclusion étayée par ces éléments. Consultez le calendrier dans le texte officiel et consignez la version ainsi que la date de consultation utilisées par l’organisation.

Il convient également de distinguer une obligation générale de prendre des mesures d’une liste détaillée de contenus ou de formats. Selon le résumé disponible, l’AESIA indique qu’il n’existe pas de format unique pour la maîtrise de l’IA et qu’il n’est pas prévu d’imposer des exigences strictes. Cela va dans le sens d’une approche adaptée au contexte, mais ne dispense pas de vérifier précisément le champ juridique et ne permet pas d’affirmer que toute initiative de formation serait suffisante.

Cartographier les tâches réelles avant d’attribuer les formations

Un programme identique pour tout le personnel peut passer à côté des décisions les plus importantes pour chaque poste. Avant de préparer les contenus, recensez les systèmes et les processus qui font appel à l’IA, puis décrivez le rôle de chaque personne. L’objectif n’est pas de classer les personnes selon leur prestige ou leur niveau technique, mais de déterminer ce qu’elles doivent savoir pour accomplir leurs tâches en connaissance de cause.

Pour chaque usage, notez sa finalité, les personnes qui interagissent avec le système, les catégories de données qu’elles saisissent ou consultent, le degré d’autonomie du système et les conséquences possibles d’un résultat erroné. Incluez les outils achetés auprès de tiers comme les systèmes développés en interne, s’ils font partie des usages à examiner. Si le fonctionnement ou le champ d’utilisation d’un outil est mal connu, signalez ce manque d’information comme une question en suspens au lieu de le masquer par une séance de formation générique.

La matrice ci-dessous est un outil de planification interne, et non une classification juridique ni une évaluation de conformité. Ses colonnes aident à choisir les contenus pertinents et à repérer les endroits où des contrôles supplémentaires sont nécessaires. L’évaluation de l’impact doit être adaptée au processus et ne remplace pas les évaluations formelles qui pourraient être applicables.

Concevoir des modules liés à des décisions concrètes

Une fois les usages cartographiés, organisez les contenus autour de compétences que les personnes peuvent mobiliser dans leur travail. Il n’est pas nécessaire que chaque groupe étudie tous les sujets avec le même niveau de détail. Une personne qui utilise un outil pour rédiger des brouillons doit savoir reconnaître des erreurs plausibles et protéger les informations ; une personne qui configure des intégrations peut avoir besoin de contrôles techniques et de procédures de changement. Adapter la formation aux connaissances, à l’expérience, à la formation et au contexte d’utilisation est cohérent avec l’approche contextualisée décrite par l’AESIA. L’organisation doit néanmoins consulter les sources officielles pour préciser les exigences du texte juridique.

Le module consacré aux capacités et aux limites doit expliquer la tâche réalisée par le système, ce qu’il ne peut pas garantir et les signes qui appellent à la prudence. Évitez les affirmations absolues telles que « il a toujours raison » ou « il ne conserve jamais de données » si elles ne reposent pas sur des informations vérifiées du fournisseur et sur les conditions réelles de configuration. Apprenez aux personnes à distinguer une réponse bien formulée d’une réponse vérifiée.

La vérification des résultats doit être proportionnée à leurs conséquences. Un contrôle sommaire peut suffire pour un brouillon interne à faible impact ; il ne convient pas si un résultat influence une décision sensible. La personne doit savoir quelles sources utiliser pour recouper l’information, quels éléments vérifier et que faire lorsqu’elle ne peut confirmer une affirmation. Si le processus exige une décision humaine, la vérification doit disposer du temps, des informations et de l’autorité nécessaires : cocher une case sans pouvoir réellement contester le résultat n’est pas une pratique utile.

Le traitement des informations doit être conforme aux règles internes et aux conditions autorisées pour chaque outil. Le personnel doit savoir quelles données il peut saisir, lesquelles il doit exclure, comment reconnaître les informations sensibles et à qui poser une question en cas de doute. Ne supposez pas que tous les systèmes appliquent les mêmes pratiques de conservation, d’utilisation des entrées ou de paramétrage de la confidentialité.

Enfin, chaque personne devrait connaître une voie d’escalade clairement définie. Précisez quels comportements exigent l’interruption d’un processus, qui doit recevoir le signalement, quelles informations conserver et quelle solution de remplacement utiliser pendant l’analyse. Une formation perd de sa valeur si une personne repère un problème sans savoir à qui le signaler, ou si elle craint que déclarer une erreur soit considéré comme une faute individuelle.

S’exercer à partir de situations de travail

Il est plus facile de mettre une formation en pratique lorsqu’elle porte sur des décisions familières. Les exemples n’ont pas besoin de reproduire des situations réelles avec des données personnelles : ils peuvent utiliser des informations synthétiques ou des supports approuvés. Ils doivent présenter une tâche, un résultat imparfait et un choix que la personne participante doit expliquer. On peut ainsi observer si elle sait appliquer les consignes, et pas seulement si elle se souvient de certains termes.

Un premier exercice peut demander de comparer une réponse à une source autorisée. Un autre peut présenter une requête contenant des données qui ne doivent pas être communiquées à l’outil utilisé et demander à la personne de reformuler la tâche ou de choisir une autre solution. Un troisième peut simuler un résultat qui contredit la procédure interne. La bonne réponse ne consiste pas toujours à corriger le résultat : il peut falloir s’arrêter, demander une vérification ou ne pas utiliser le système pour cette tâche.

Évaluez les gestes de la personne et le raisonnement pratique qu’elle expose. Une feuille d’émargement, un questionnaire de satisfaction ou un certificat de fin de formation peuvent fournir des informations administratives, mais ne montrent pas à eux seuls que la personne sait repérer une réponse douteuse. À titre de recommandation opérationnelle, utilisez une courte liste de comportements observables : recouper les informations, protéger les données, reconnaître les limites et signaler les problèmes. Considérez les résultats comme des indications pour améliorer le programme, et non comme une garantie universelle de compétence.

Documenter le programme sans confondre suivi et conformité

Les sources fournies ne permettent pas d’affirmer quels documents l’article 4 exige expressément, ni si le règlement prescrit un format, un relevé de présence ou une évaluation particulière. La liste ci-dessous doit donc être considérée comme une proposition de gestion interne, et non comme une obligation documentaire prévue par la loi. Vérifiez le texte officiel et les orientations applicables avant de présenter l’un de ces éléments comme une exigence.

Un registre proportionné peut aider à déterminer qui a reçu quels contenus, pour quel usage ils ont été préparés, quand ils ont été présentés et quelles modifications sont nécessaires. Il est utile de conserver une version des supports et de noter qui a approuvé le module, quand il a été mis à jour et quelles questions restent en suspens. Si vous consignez la participation ou les résultats des exercices, limitez les informations au nécessaire, contrôlez les accès et respectez les politiques applicables en matière de confidentialité et de conservation.

La documentation doit aider à comprendre et à corriger, et non simplement à accumuler des fichiers. Si un incident révèle que plusieurs personnes ne savaient pas comment vérifier un résultat, mettez à jour le contenu et examinez le processus qui a permis au problème de se poursuivre. N’utilisez pas un relevé de présence comme preuve automatique qu’une personne a compris les limites du système, ni comme démonstration de la conformité de toute l’organisation. La formation ne transfère pas à l’utilisateur la responsabilité de l’organisation.

Mettre à jour la formation lorsque le système ou le travail évolue

Un module peut devenir obsolète même si le nom commercial de l’outil ne change pas. Réexaminez le programme lorsque le système, sa finalité, sa configuration, les données qu’il traite, le groupe de personnes qui l’utilise ou sa place dans une décision évolue. Il est également utile de le revoir si les consignes internes changent, si des erreurs se répètent ou si les personnes ne savent pas comment signaler un incident.

La révision n’exige pas de recommencer l’ensemble de la formation pour tout le personnel à chaque changement. Déterminez ce qui a changé, quelles fonctions sont concernées et quel comportement doit être actualisé. Une consigne précise destinée à un groupe, un nouvel exercice ou une modification de la procédure peut suffire. Si le changement modifie sensiblement l’usage ou ses conséquences, il peut être nécessaire de réévaluer la pertinence des contenus précédents.

Définissez des signaux pratiques permettant de repérer les besoins encore insatisfaits : questions fréquentes sur les données, résultats copiés sans vérification, confusion entre suggestion et décision, utilisation en dehors de la finalité prévue ou difficulté à trouver le canal d’escalade. Ces signaux sont des outils d’amélioration interne ; ils ne constituent pas en eux-mêmes des critères juridiques et ne remplacent pas les évaluations des risques qui pourraient être nécessaires.

Liste de vérification et limites

Avant de lancer le programme, vérifiez que vous avez recensé les usages réels de l’IA et les fonctions qui interagissent avec eux ; que vous avez vérifié le champ d’application et le calendrier dans le texte officiel en vigueur ; et que chaque module enseigne des comportements observables liés à une tâche. Vérifiez également que les personnes connaissent les limites des outils qu’elles utilisent, les règles de traitement des informations et une voie claire pour interrompre un processus et signaler une situation douteuse.

Assurez-vous qu’une personne est responsable des contenus, qu’un moyen de réviser les supports est prévu et qu’un mécanisme permet de recueillir les questions. Conservez une documentation interne proportionnée et distinguez-la explicitement des éléments de preuve que le règlement pourrait exiger, le cas échéant. Si vous ne pouvez pas vérifier un point juridique à partir des sources institutionnelles disponibles, signalez-le comme une question en suspens plutôt que de le combler par une affirmation issue d’une source secondaire.

La formation ne remédie pas à des contrôles techniques insuffisants, ne rend pas approprié un usage qui ne l’était pas et ne garantit pas qu’une personne repérera tous les résultats erronés. Elle ne détermine pas non plus, à elle seule, le rôle réglementaire de l’organisation et ne remplace pas un examen juridique. Sa fonction est de renforcer la capacité des personnes à comprendre l’usage concret, à agir avec prudence et à demander de l’aide. Une étape raisonnable consiste à associer ce travail aux processus de sécurité et de gouvernance existants, puis à réexaminer les orientations officielles lorsque le cadre réglementaire évolue.

Poursuivre l’exploration

Corrections et transparence

Si vous repérez une information incorrecte ou obsolète, envoyez-nous la page et la source à vérifier.