Une formation de sensibilisation ISO 42001 satisfait-elle à l'obligation de littératie en IA de l'AI Act ?

De plus en plus d'entreprises s'intéressent à ISO 42001, la norme internationale de gestion responsable de l'IA. En même temps, ces mêmes entreprises doivent se conformer à l'article 4 de l'AI Act, qui exige une littératie en IA chez les collaborateurs. La question surgit alors naturellement : si nos collaborateurs suivent une formation de sensibilisation ISO 42001, avons-nous ainsi satisfait d'emblée à l'article 4 ?

La réponse honnête : les deux se recoupent largement, mais ne se confondent pas. Il existe une différence importante dans la manière dont cette couverture fonctionne, et dans ce qu'une formation générale peut ou ne peut pas couvrir. C'est cela qui détermine la voie adaptée à votre organisation.

Deux points de départ, un même besoin sous-jacent

L'article 4 et ISO 42001 semblent désigner la même chose, mais ce sont deux cadres de nature différente.

L'article 4 est une obligation légale. Si vous relevez du champ d'application de l'AI Act, vous devez prendre des mesures appropriées concernant la littératie en IA de vos collaborateurs. Ce n'est pas un choix, elle s'impose à vous.

ISO 42001 est une norme de système de management volontaire pour laquelle une organisation peut se faire certifier. Vous vous y engagez parce que vous voulez démontrer une gestion responsable de l'IA, renforcer votre positionnement international ou parce qu'un client ou un partenaire le demande. C'est un choix, pas une obligation.

Points de départ différents, donc. Mais les besoins se recoupent fortement : des personnes qui travaillent avec l'IA et comprennent ce qu'elles font, quels risques y sont associés et quelle responsabilité elles portent.

Ce que l'article 4 demande à vos collaborateurs

L'article 4 exige que vous preniez des mesures appropriées concernant la littératie en IA de vos collaborateurs, proportionnées à leur rôle, à leurs connaissances et à leur expérience ainsi qu'au risque lié à l'usage de l'IA. Le but : que les personnes comprennent ce que l'IA peut et ne peut pas faire, reconnaissent les risques et les dommages possibles, et utilisent l'IA de manière responsable.

Ce que l'article 4 ne fait pas, c'est prescrire une méthode. Il n'y a pas de programme de formation obligatoire, pas de test obligatoire, pas de certificat obligatoire ni de responsable IA obligatoire. Il n'existe aucun niveau de connaissances prescrit que chaque collaborateur devrait atteindre individuellement. Ce qui compte, c'est que vous preniez des mesures appropriées et puissiez justifier les mesures prises. Sans le moindre enregistrement, cela devient difficile en pratique.

L'obligation est en vigueur depuis le 2 février 2025. Les autorités de surveillance nationales pourront commencer à faire appliquer activement l'article 4 à partir du 2 août 2026, mais l'obligation s'applique déjà maintenant. Le Digital Omnibus assouplit la formulation, en passant de la garantie d'un niveau suffisant à des mesures qui soutiennent l'amélioration de la littératie en IA. Tant que cette modification n'est pas publiée au Journal officiel, le texte original s'applique. L'essentiel demeure : vos collaborateurs doivent développer leur littératie en IA et vous devez pouvoir montrer ce que vous faites à cet effet.

Ce qu'ISO 42001 demande à vos collaborateurs

ISO 42001 encadre la gestion de l'IA bien plus largement que la seule formation. Deux clauses concernent directement vos collaborateurs.

La clause 7.2, compétence, concerne toute personne dont le travail influe sur les performances du système de management de l'IA. L'organisation doit déterminer la compétence nécessaire, s'assurer que les personnes concernées la possèdent sur la base de leur formation, de leur expérience ou d'un apprentissage approprié, prendre des mesures là où c'est nécessaire, évaluer leur efficacité et en conserver des informations documentées. Une attestation de réussite atteste qu'une personne a suivi et réussi la formation. En soi, elle ne prouve pas encore que la compétence requise a été déterminée, atteinte et évaluée.

La clause 7.3, sensibilisation, exige que les personnes concernées connaissent la politique d'IA de l'organisation, comprennent comment leur travail y contribue et comprennent les conséquences du non-respect des règles.

Un point important à saisir : ce sont deux rouages d'un ensemble bien plus vaste. La certification ISO 42001 requiert bien davantage, d'une politique d'IA et d'analyses de risques et d'impact jusqu'aux mesures de maîtrise, à la communication, à la documentation et à un audit de certification externe réalisé par un organisme de certification indépendant, de préférence accrédité.

Le recoupement

Sur un point, les deux se rejoignent clairement. Toutes deux exigent que les personnes qui travaillent avec l'IA la comprennent réellement, de façon responsable et consciente des risques, et pas seulement sur le plan technique. Et toutes deux exigent des preuves : l'article 4 exige que vous puissiez justifier les mesures prises, ISO 42001 exige un enregistrement de la compétence et de la sensibilisation. Une formation de sensibilisation bien conçue en pose la base à l'échelle de l'organisation. L'attestation de réussite constitue un élément de votre dossier de preuves.

Pourquoi le recoupement ne fonctionne que dans un sens

Un programme ISO 42001 bien mis en œuvre peut couvrir une grande partie des mesures et des preuves attendues au titre de l'article 4. L'inverse n'est pas vrai. Une formation consacrée au seul article 4 ne suffira jamais à obtenir une certification ISO 42001. Pour cela, il vous manque tout le système de management, les analyses de risques, les mesures de maîtrise et l'audit. ISO 42001 est donc l'ensemble plus vaste dans lequel l'obligation de littératie s'inscrit en grande partie, et non l'inverse.

Attention à un malentendu : la certification ISO 42001 n'est pas une preuve automatique de conformité à l'AI Act. La norme soutient votre conformité. Elle ne remplace pas la loi et ne confère aucune présomption légale de conformité.

Là où une formation générale demande un complément

Une formation de sensibilisation à l'échelle de l'organisation est une base solide, mais elle ne suffit pas à elle seule. Les compétences propres à chaque fonction nécessitent un approfondissement. Des rôles clés comme les développeurs, les collaborateurs RH qui utilisent des outils de recrutement basés sur l'IA, les gestionnaires de risques ou les personnes chargées de la supervision humaine ont besoin d'un approfondissement en plus de la base. Cela rejoint à la fois la proportionnalité de l'article 4 et la clause 7.2.

En outre, une formation externe ne peut pas familiariser vos collaborateurs avec votre propre politique d'IA et vos propres procédures, alors que la clause 7.3 l'exige précisément. Un complément propre à l'organisation y a donc sa place. Et lorsque les rôles, les systèmes ou les risques évoluent, vos mesures doivent évoluer avec eux.

Qu'est-ce que cela signifie pour votre choix ?

Les différences rendent justement le choix limpide.

Si vous voulez simplement satisfaire à l'article 4, une formation de sensibilisation forme le cœur de votre approche, complétée par un approfondissement pour vos rôles clés et une prise de conscience de votre propre politique. Vous n'avez pas besoin de parcourir tout le chemin jusqu'à ISO 42001 pour cela.

Si vous optez malgré tout pour ISO 42001, par exemple pour renforcer votre positionnement international, ce programme couvre également une grande partie des mesures attendues au titre de l'article 4.

Chez AIAdopt, vous trouvez les briques pour les deux voies : une formation de sensibilisation ISO 42001 pour les collaborateurs, des modules de base sur la littératie en IA au titre de l'article 4 et un approfondissement sectoriel pour des rôles spécifiques. Le tout disponible en trois langues, avec test et certificat. Quelle que soit la norme que vous choisissez, le besoin sous-jacent est le même. C'est autour de cela que notre offre est construite.

Questions fréquentes

Une formation de sensibilisation ISO 42001 satisfait-elle à l'AI Act ?

Pour la base de littératie en IA à l'échelle de l'organisation, elle contribue fortement. Une formation de sensibilisation assortie d'une attestation de réussite est un élément important de votre dossier de preuves au titre de l'article 4. Elle ne couvre pas automatiquement les compétences propres à chaque fonction ni la connaissance de votre propre politique : pour les rôles clés et vos procédures internes, un complément est nécessaire.

Un certificat est-il obligatoire au titre de l'AI Act ?

Non. L'article 4 ne prescrit ni certificat ni test. Ce que la loi demande, c'est que vous preniez des mesures appropriées et puissiez justifier les mesures prises. Une formation assortie d'une attestation de réussite est un moyen pratique de l'étayer, mais c'est un choix, pas une obligation légale.

ISO 42001 remplace-t-elle l'AI Act ?

Non. ISO 42001 est une norme volontaire, l'AI Act est une législation. Quiconque relève du champ d'application de l'AI Act doit s'y conformer, avec ou sans certification ISO 42001. ISO 42001 soutient votre conformité mais ne confère aucune présomption légale de conformité.

L'article 4 s'applique-t-il encore après le Digital Omnibus ?

Oui. Le Digital Omnibus assouplit la formulation de l'article 4 mais n'abolit pas l'obligation de littératie. De plus, tant que la modification n'est pas publiée au Journal officiel, le texte original s'applique. La littératie en IA de vos collaborateurs reste donc nécessaire.

Rédigé par Rob Ummels en collaboration avec Claude (Anthropic). Responsabilité éditoriale : AIAdopt.