En bref : La question “combien dois-je comprendre de l’IA ?” a cessé d’être une affaire d’ambition personnelle pour devenir en partie une spécification juridique. L’article 4 du règlement européen sur l’IA, en vigueur depuis le 2 février 2025, impose aux fournisseurs et aux déployeurs de systèmes d’IA de garantir un niveau suffisant de maîtrise de l’IA chez leur personnel et chez toute personne exploitant des systèmes pour leur compte. Le reste du règlement est devenu généralement applicable le 2 août 2026. Le texte définit la maîtrise de l’IA à l’article 3, point 56, comme les compétences, les connaissances et la compréhension permettant un déploiement éclairé des systèmes d’IA ainsi qu’une prise de conscience des possibilités, des risques et des préjudices éventuels. L’article 14 va plus loin et énumère ce que la personne chargée de superviser un système à haut risque doit pouvoir faire : comprendre les capacités et les limites du système, résister au biais d’automatisation, interpréter correctement la sortie, décider de ne pas l’utiliser et l’arrêter. Par ailleurs, le cadre de gestion des risques liés à l’IA du NIST organise le travail sur les risques en quatre fonctions et nomme sept caractéristiques d’une IA digne de confiance. Aucun de ces documents n’a été écrit pour le professionnel non technique, mais lus ensemble ils le décrivent précisément. Voici la jonction : un tableau vérifié des dispositions qui lient déjà les salariés ordinaires, et une matrice de littératie de l’opérateur qui convertit ces obligations en cinq compétences que vous pouvez tester sur vous-même.
Il existe un genre familier d’article qui promet de vous rendre compétent en IA puis vous tend un glossaire. Jetons, paramètres, données d’entraînement, hallucination, affinage. Vous le refermez en connaissant plus de mots et sans aucune capacité nouvelle.
L’approche par glossaire échoue pour une raison structurelle. Le vocabulaire est ce qu’il faut pour suivre une conversation sur les systèmes d’IA. La compétence est ce qu’il faut pour répondre d’une décision que l’un de ces systèmes a influencée. Ce sont deux choses différentes, et seule la seconde est désormais demandée à des gens occupant des postes ordinaires.
Ce qui a changé, c’est que la question a reçu une réponse extérieure. Les régulateurs, ayant admis que les systèmes d’IA seraient largement exploités par des non-spécialistes, ont dû écrire ce dont ces non-spécialistes doivent être capables. Cette réponse écrite n’est pas complète et ce n’est pas un programme de formation. Mais c’est la première spécification d’une compréhension technique minimale viable qui ne provienne pas de quelqu’un cherchant à vous vendre un cours.
Les dispositions qui lient déjà les salariés ordinaires
La couverture médiatique du règlement se concentre sur les interdictions et sur les obligations des fournisseurs de modèles. Les deux comptent, et ni l’une ni l’autre n’est la partie qui touche une responsable marketing, un recruteur ou une analyste financière. Les parties qui les concernent sont plus étroites, et l’une d’elles est plus ancienne que la plupart ne l’imaginent.
Le tableau suivant reprend les dispositions telles qu’elles figurent au Journal officiel dans le règlement (UE) 2024/1689, avec les dates d’application fixées à l’article 113.
| Disposition | Ce qu’elle exige | Qui elle lie | Applicable à partir du |
|---|---|---|---|
| Article 4 (maîtrise de l’IA) | Prendre des mesures pour garantir, dans toute la mesure du possible, un niveau suffisant de maîtrise de l’IA du personnel et des autres personnes exploitant des systèmes pour leur compte, en tenant compte de leurs connaissances techniques, de leur expérience, de leur éducation, de leur formation et du contexte d’utilisation | Fournisseurs et déployeurs de systèmes d’IA | 2 février 2025 (chapitre I) |
| Article 3, point 56 (définition) | Définit la maîtrise de l’IA comme les compétences, connaissances et compréhension permettant un déploiement éclairé et la conscience des possibilités, des risques et des préjudices éventuels | Définitionnel ; encadre l’article 4 | 2 février 2025 (chapitre I) |
| Article 5 (pratiques interdites) | Énumère les pratiques d’IA qui ne peuvent être mises sur le marché, mises en service ni utilisées | Tous les opérateurs | 2 février 2025 (chapitre II) |
| Article 14 (contrôle humain) | Les systèmes à haut risque doivent pouvoir être contrôlés efficacement par des personnes physiques ; la personne chargée du contrôle doit pouvoir comprendre les capacités et les limites, rester attentive au biais d’automatisation, interpréter correctement la sortie, refuser d’utiliser le système et l’interrompre | Fournisseurs, avec des mesures à mettre en oeuvre par les déployeurs | 2 août 2026 |
| Article 50 (transparence) | Les personnes doivent être informées qu’elles interagissent avec un système d’IA sauf si cela est évident ; les contenus audio, image, vidéo et texte synthétiques doivent être marqués dans un format lisible par machine | Fournisseurs et déployeurs de certains systèmes | 2 août 2026 (chapitre IV) |
| Annexe III, point 4 (emploi) | Classe à haut risque l’IA utilisée pour le recrutement et la sélection, y compris le ciblage des offres d’emploi, le filtrage des candidatures et l’évaluation des candidats, ainsi que celle utilisée pour les décisions de promotion ou de rupture, l’attribution des tâches et le suivi ou l’évaluation des performances | Détermine quels outils professionnels portent des obligations de haut risque | 2 août 2026 |
| Voie de l’article 6, paragraphe 1 | Classification à haut risque des systèmes d’IA constituant des composants de sécurité de produits couverts par la législation d’harmonisation de l’Union | Systèmes intégrés à des produits | 2 août 2027 |
Deux éléments de ce tableau méritent plus d’attention qu’ils n’en reçoivent d’ordinaire.
Le premier est la date de l’article 4. La maîtrise de l’IA est devenue une obligation dix-huit mois avant l’entrée en application du gros du règlement. Elle a été placée au chapitre I, les dispositions générales, et le chapitre I s’applique depuis le 2 février 2025. Les organisations qui attendaient août 2026 pour réfléchir aux compétences de leur personnel étaient déjà en retard.
Le second est le point 4 de l’annexe III. On imagine souvent la catégorie haut risque comme quelque chose d’exotique : dispositifs médicaux, identification biométrique, infrastructures critiques. Elle couvre aussi le filtrage des candidatures et le suivi des performances des salariés. C’est du logiciel de ressources humaines ordinaire. Autrement dit, la personne la plus susceptible de se voir désignée comme contrôleur humain d’un système d’IA à haut risque n’est pas ingénieure. C’est une recruteuse.
Ce que la loi dit d’un opérateur compétent
L’article 14 est le seul endroit du règlement où les capacités requises d’un être humain sont énumérées plutôt qu’évoquées. Il prévoit que le système soit fourni de telle sorte que la personne chargée du contrôle soit en mesure, selon ce qui est approprié et proportionné, de faire cinq choses.
Comprendre correctement les capacités et les limites pertinentes du système. Rester consciente de la tendance possible à se fier automatiquement ou excessivement à la sortie, que le texte nomme biais d’automatisation, en particulier lorsque le système fournit des informations ou des recommandations pour une décision que prendra une personne physique. Interpréter correctement la sortie. Décider, dans une situation donnée, de ne pas utiliser le système ou d’ignorer, d’annuler ou d’inverser sa sortie. Et intervenir sur le fonctionnement ou interrompre le système au moyen d’un bouton d’arrêt ou d’une procédure équivalente permettant un arrêt en toute sécurité.
Lisez cette liste comme une fiche de poste plutôt que comme une clause de conformité, et une chose devient évidente. Aucune de ces cinq capacités ne suppose de savoir comment fonctionne un transformeur. Chacune suppose de savoir à quoi sert ce système précis, où il échoue et ce que signifie sa sortie. C’est un type de connaissance technique différent de celui des ingénieurs, et ce n’est pas un type inférieur.
La quatrième capacité recadre tout le reste. La loi présume que la compétence inclut la légitimité de refuser. Un opérateur incapable de dire “je n’utilise pas cette sortie” n’a pas été rendu compétent, quelle qu’ait été sa formation.
L’autre moitié : ce qu’apporte le cadre de gestion des risques
Le règlement vous dit ce dont vous devez être capable. Il ne vous dit pas quoi regarder. Pour cela, la référence publique la plus utilisée est le cadre de gestion des risques liés à l’IA du NIST, publié sous la référence NIST AI 100-1 et conçu pour être volontaire, indépendant du secteur et utilisable par des organisations de toute taille.
Deux de ses structures sont directement utiles à un non-spécialiste.
Le cadre organise le travail sur les risques en quatre fonctions : GOVERN, MAP, MEASURE et MANAGE, la gouvernance étant conçue pour traverser les trois autres plutôt que de se placer à côté d’elles. Et il nomme sept caractéristiques des systèmes d’IA dignes de confiance : valides et fiables ; sûrs ; sécurisés et résilients ; responsables et transparents ; explicables et interprétables ; respectueux de la vie privée ; et équitables, les biais préjudiciables étant maîtrisés.
Le NIST a ensuite publié un document complémentaire consacré aux systèmes génératifs, le Generative AI Profile, paru en juillet 2024 sous la référence NIST AI 600-1. Il énumère douze risques propres à l’IA générative ou aggravés par elle, et deux d’entre eux ont leur place sur la liste de tout opérateur non technique. Le premier est la confabulation, que le NIST définit comme la production de contenus énoncés avec assurance mais erronés ou faux, et qu’il identifie explicitement au phénomène communément appelé hallucination. Le second est la configuration humain-IA, que le NIST décrit comme les agencements ou interactions entre une personne et un système d’IA pouvant conduire à anthropomorphiser indûment le système, ou à l’aversion algorithmique, au biais d’automatisation, à la confiance excessive ou à l’attachement émotionnel.
Ce second risque mérite qu’on s’y arrête. Le mode de défaillance nommé par le NIST n’est pas le modèle. C’est la relation entre le modèle et la personne qui l’utilise, et elle joue dans les deux sens : trop faire confiance est un risque, se méfier par réflexe en est un aussi. Personne ne peut résoudre cela pour vous du côté de l’ingénierie.
Les sept caractéristiques sont, en somme, les modes de défaillance énoncés comme objectifs. Chacune décrit une manière dont un système peut vous faire défaut, et sur chacune un opérateur non technique peut se forger un avis sans lire la documentation du modèle. Qu’une sortie ait été correcte est une question de validité. Que vous puissiez dire pourquoi elle a été produite est une question d’explicabilité. Qu’elle se comporte de la même façon pour différents groupes de personnes est une question d’équité. Aucune n’exige de code.
La matrice de littératie de l’opérateur
C’est ici que les deux documents font ensemble ce qu’aucun ne fait seul. Le règlement précise des capacités sans dire quoi examiner. Le NIST précise quoi examiner sans dire qui doit en être capable. Les joindre produit un ensemble de compétences pour le professionnel non technique.
La matrice ci-dessous est un cadre éditorial CEOtudent. Les deux colonnes de gauche sont sourcées, les deux de droite relèvent de notre synthèse et doivent se lire comme un argument, non comme un résultat.
| Compétence | Ancrage juridique (règlement, art. 14, par. 4) | Grille de risque (NIST AI 100-1) | La question à laquelle vous devez pouvoir répondre | À quoi ressemble l’incompétence |
|---|---|---|---|---|
| 1. Périmètre | Comprendre les capacités et limites pertinentes du système | Valide et fiable | À quoi ce système a-t-il été conçu, et sur quel type d’entrée cesse-t-il d’être fiable ? | Utiliser un outil hors de sa destination parce qu’il a produit une réponse fluide |
| 2. Suspicion | Rester conscient de la tendance à trop se fier à la sortie (biais d’automatisation) | Responsable et transparent | Dans quelles conditions douterais-je de cette sortie, et en ai-je vérifié une aujourd’hui ? | Valider les sorties de plus en plus vite à mesure qu’une confiance sans preuve s’accumule |
| 3. Interprétation | Interpréter correctement la sortie du système | Explicable et interprétable | Est-ce que je sais ce que ce score, ce classement ou cet indice de confiance mesure réellement ? | Prendre un classement pour un jugement, ou un indice de confiance pour une probabilité d’avoir raison |
| 4. Refus | Décider de ne pas utiliser le système, ou ignorer, annuler ou inverser sa sortie | Équitable, biais préjudiciables maîtrisés | Sur quels motifs puis-je rejeter cette sortie, et l’ai-je déjà fait ? | N’avoir jamais outrepassé le système et ne disposer d’aucun processus le permettant |
| 5. Interruption | Intervenir ou interrompre le système en toute sécurité | Sûr ; sécurisé et résilient | Qui arrête cela, comment, et combien de temps l’arrêt prend-il ? | Personne dans la pièce ne sait qui a le pouvoir de l’éteindre |
La matrice est volontairement courte. Cinq compétences, chacune traçable jusqu’à une capacité juridique précise et une caractéristique de fiabilité précise. Si un programme de formation ne peut pas montrer où il développe chacune des cinq, il enseigne du vocabulaire.
Remarquez ce qui manque. Aucune ligne sur l’architecture des modèles, aucune sur le volume des données d’entraînement, aucune sur la technique de prompt. Cela vaut la peine d’être appris et ce n’est pas le socle. Le socle, c’est la capacité de répondre d’une décision que le système a influencée, et la liste du règlement est sur ce point un meilleur guide que n’importe quel programme actuellement vendu.
Lire la matrice à l’aune de votre semaine réelle
La matrice devient utile lorsque vous l’appliquez à un système que vous utilisez déjà plutôt qu’à l’IA en général.
Choisissez un outil sur lequel votre équipe s’est appuyée cette semaine. Un filtre de candidatures, un modèle de prévision, un assistant de rédaction, une alerte de fraude. Répondez ensuite par écrit aux cinq questions, dans l’ordre, et notez celles auxquelles vous ne savez pas répondre.
La plupart des gens constatent qu’ils répondent partiellement à la première et à la troisième. Ils savent à peu près à quoi sert l’outil et à peu près ce que signifie sa sortie. Ils échouent sur la deuxième, la quatrième et la cinquième. Ils n’ont aucune condition énoncée sous laquelle ils douteraient, aucun motif sur lequel ils pourraient refuser, et aucune idée de qui l’arrête.
Cette répartition mérite d’être prise au sérieux, car ce sont la deuxième, la quatrième et la cinquième qui rendent le contrôle réel. La première et la troisième font de vous un utilisateur informé. La deuxième, la quatrième et la cinquième font de vous un opérateur. C’est la seconde chose que demande le règlement.
Pour développer la capacité de fond plutôt que la liste de contrôle, les travaux liés sur ce site sont l’endroit où poursuivre : la distinction entre connaître l’IA et travailler avec aisance avec elle dans littératie et aisance en IA, la raison pour laquelle la seule maîtrise des prompts ne suffit pas dans le prompt engineering ne suffit pas, les notions à posséder avant de confier du travail à des systèmes autonomes dans la littératie des agents, la compétence qui supplante l’art du prompt dans qu’est-ce que l’ingénierie du contexte, et la question du temps d’apprentissage dans quels outils d’IA méritent un apprentissage approfondi.
Les limites de ce cadrage
Trois réserves honnêtes.
Le règlement sur l’IA est du droit européen. Si vous travaillez hors de l’Union européenne et que votre employeur ne met pas de systèmes sur le marché de l’Union et n’utilise pas de sorties dans l’Union, rien de tout cela ne vous lie. Les compétences restent transposables, parce qu’elles ont été déduites de ce que le contrôle exige réellement, mais l’obligation, elle, ne l’est pas.
L’article 4 est rédigé de façon souple. Il exige des mesures visant à garantir, dans toute la mesure du possible et compte tenu du contexte, un niveau suffisant de maîtrise. Ce n’est pas une norme vérifiable, et le règlement n’y attache aucune obligation de formation précise. Le traiter comme un mandat précis force le texte.
Et la matrice est une synthèse, non une norme codifiée. Le règlement ne renvoie pas au NIST, et le NIST ne renvoie pas au règlement. Les mettre en correspondance relève de notre jugement éditorial sur ce que le recoupement implique. Quelqu’un d’autre pourrait établir une autre correspondance, tout aussi défendable.
Rien de cela ne change le déplacement de fond. Pendant la majeure partie de la décennie écoulée, comprendre les systèmes d’IA était facultatif pour les professionnels non techniques et récompensait les curieux. C’est désormais spécifié, daté et, dans une juridiction, obligatoire. Ceux qui s’en sortiront ne sont pas ceux qui auront mémorisé le glossaire. Ce sont ceux qui savent dire, d’un système précis, un mardi précis, exactement ce qu’il fait mal et ce qu’ils comptent y faire.
Questions fréquentes
L’article 4 signifie-t-il que mon employeur doit m’envoyer en formation IA ?
Non. Le texte impose aux fournisseurs et aux déployeurs de prendre des mesures pour garantir, dans toute la mesure du possible, un niveau suffisant de maîtrise de l’IA, en tenant compte des connaissances techniques, de l’expérience, de l’éducation, de la formation et du contexte d’utilisation. Il ne précise ni format, ni programme, ni certificat, ni nombre d’heures. Une session interne structurée portant sur les systèmes que vous exploitez réellement est plus proche de ce que décrit la disposition qu’un cours généraliste.
Je ne suis pas technique. Suis-je vraiment censé superviser un système à haut risque ?
Souvent, oui. Le point 4 de l’annexe III classe à haut risque l’IA utilisée pour le recrutement, le filtrage des candidatures, l’évaluation des candidats, les décisions de promotion et de rupture, l’attribution des tâches et le suivi des performances. Ces systèmes sont exploités par les ressources humaines et les managers, pas par des ingénieurs. L’article 14 place la capacité de contrôle sur la personne physique qui en est chargée, quelle qu’elle soit.
Qu’est-ce que le biais d’automatisation, et pourquoi figure-t-il dans la loi ?
C’est la tendance à se fier automatiquement ou excessivement à la sortie d’un système automatisé. Le règlement le nomme explicitement à l’article 14 comme quelque chose dont la personne chargée du contrôle doit rester consciente, et souligne le cas où un système fournit des informations ou des recommandations pour une décision formellement prise par une personne. C’est le cas courant en entreprise : le système ne décide pas, il suggère, et l’humain approuve.
Le cadre du NIST est-il obligatoire ?
Non. NIST AI 100-1 est un cadre volontaire. Il figure ici parce qu’il fournit les catégories d’examen que le règlement laisse ouvertes, et parce que ses sept caractéristiques de fiabilité sont utilisables par quelqu’un qui ne peut pas lire la documentation d’un modèle.
Quand le règlement européen sur l’IA est-il réellement entré en application ?
L’article 113 fixe la date générale d’application au 2 août 2026. Les chapitres I et II, qui contiennent les définitions, l’article 4 sur la maîtrise de l’IA et les pratiques interdites, se sont appliqués plus tôt, à compter du 2 février 2025. Le chapitre III section 4, le chapitre V, le chapitre VII, le chapitre XII et l’article 78 se sont appliqués à compter du 2 août 2025. L’article 6, paragraphe 1, qui vise les systèmes d’IA constituant des composants de sécurité de produits réglementés, et les obligations correspondantes s’appliquent à compter du 2 août 2027.
Quelle compétence construire en premier ?
Le refus. C’est celle que la plupart n’ont jamais exercée, celle qui révèle si le contrôle est réel ou cérémoniel, et la seule qui exige un changement de processus plutôt qu’un changement de connaissance. S’il n’existe aucun chemin par lequel vous pouvez rejeter une sortie et que ce rejet tienne, les quatre autres compétences n’ont nulle part où aller.
Sources
- Règlement (UE) 2024/1689 du Parlement européen et du Conseil du 13 juin 2024 établissant des règles harmonisées concernant l’intelligence artificielle, Journal officiel de l’Union européenne, article 3, point 56, sur la définition de la maîtrise de l’IA
- Règlement (UE) 2024/1689, article 4 sur la maîtrise de l’IA et article 5 sur les pratiques interdites en matière d’IA, chapitre I et chapitre II
- Règlement (UE) 2024/1689, article 14 sur le contrôle humain et article 50 sur les obligations de transparence
- Règlement (UE) 2024/1689, article 113 sur l’entrée en vigueur et l’application, et annexe III point 4 sur l’emploi et la gestion des travailleurs
- National Institute of Standards and Technology, Artificial Intelligence Risk Management Framework (AI RMF 1.0), NIST AI 100-1, département du Commerce des États-Unis, janvier 2023
- National Institute of Standards and Technology, Artificial Intelligence Risk Management Framework : Generative Artificial Intelligence Profile, NIST AI 600-1, juillet 2024
Ce contenu a été compilé avec le soutien de l’IA à la suite d’une recherche approfondie, puis rédigé et préparé pour publication par l’équipe éditoriale de CEOtudent.
This post is also available in:
