La maîtrise de l’IA

Voici l’obligation la plus oubliée du texte, et paradoxalement la plus facile à satisfaire.

Elle ne dépend d’aucun niveau de risque, elle s’applique depuis février 2025, et elle concerne toute organisation dont des personnes utilisent des systèmes d’IA pour son compte.

Ce que dit l’obligation

Les fournisseurs et les déployeurs de systèmes d’IA prennent des mesures pour garantir, autant que possible, un niveau suffisant de maîtrise de l’IA chez leur personnel et chez les autres personnes qui utilisent ces systèmes pour leur compte.

Cette maîtrise s’apprécie en tenant compte des connaissances techniques, de l’expérience, de la formation des personnes concernées, et du contexte d’utilisation.

Autrement dit : les gens qui se servent de ces outils chez vous doivent comprendre ce qu’ils font.

Ce que ça ne demande pas

Autant écarter les surinterprétations, parce qu’elles font vendre des prestations inutiles.

Ce n’est pas une formation technique. Personne n’a à comprendre le fonctionnement d’un modèle.

Ce n’est pas une certification. Il n’existe pas de diplôme obligatoire ni d’organisme habilité pour cette obligation.

Ce n’est pas un volume horaire imposé. Le texte parle d’un niveau suffisant, apprécié selon le contexte, pas d’un nombre d’heures.

Et ce n’est pas la même chose pour tout le monde. Une personne qui reformule des courriers et une personne qui exploite un outil de présélection n’ont pas besoin du même niveau.

Ce que ça demande, concrètement

Que les personnes concernées sachent quatre choses.

Ce que l’outil produit, et comment. Qu’il génère un texte plausible et non une vérité vérifiée. Qu’il peut inventer une date, un chiffre, une référence, avec le même aplomb qu’une information exacte.

Ses limites. Ce qu’il ne sait pas faire, ce sur quoi il se trompe le plus, et le fait qu’une justification produite après coup n’est pas la raison d’un résultat.

Ce qui ne se confie pas. Les données qui ne sortent pas de l’organisation, et pourquoi.

Ce qui reste une décision humaine. Et ce qu’il faut en garder comme trace.

Deux heures suffisent pour la majorité des salariés. C’est le niveau de base, et il est atteignable.

Les deux niveaux qui suffisent, dans la plupart des organisations

Un socle court pour tout le monde, deux heures environ, centré sur ce que produit l’outil, ce qu’on ne lui confie pas et ce qu’on vérifie avant d’envoyer. Il vaut pour l’ensemble du personnel exposé.

Un approfondissement pour les postes exposés, une à deux journées, pour ceux dont l’usage touche des décisions ou des données sensibles : ressources humaines, encadrement, administratif, commerce, services au public.

Cette structure à deux niveaux est ce que je proposerais à une direction. Elle est proportionnée, elle se justifie, et elle se documente facilement.

Ce qu’il faut tracer

L’obligation porte sur les mesures prises. Comme pour toute obligation de ce type, ce qui n’est pas documenté n’existe pas en cas de question.

Quatre éléments suffisent, et vous savez déjà les tenir pour d’autres sujets.

Qui a été formé, quand, sur quoi. Le contenu délivré, même succinct. Les supports remis, notamment votre règle interne. Et la mise à jour prévue, parce que les outils changent.

Une feuille de présence, un support, une date. C’est tout.

Pourquoi cette obligation est une bonne nouvelle

Je le dis rarement d’une obligation, mais celle-ci mérite d’être vue autrement qu’une contrainte.

Elle finance ce dont vos équipes ont besoin de toute façon. Une organisation où les gens utilisent ces outils sans repères produit des erreurs, laisse partir des documents qui ne devraient pas sortir, et crée les usages sauvages dont personne ne sait rien.

Elle donne un cadre budgétaire à une dépense qui, sans elle, serait toujours reportée.

Et elle règle le problème par le bon bout. La plupart des incidents que je vois ne viennent pas d’une mauvaise intention ni d’un outil défaillant : ils viennent de gens à qui personne n’a jamais expliqué ce qu’ils manipulaient.

Par où commencer, si rien n’est fait

Trois étapes, sur un trimestre, et le coût est modeste.

Identifier les personnes concernées, à partir de l’inventaire de l’atelier 1. Les postes qui utilisent réellement ces outils, pas l’effectif total.

Délivrer le socle à ce périmètre. En interne si quelqu’un en est capable, à l’extérieur sinon.

Écrire la règle qui accompagne, celle d’une page dont il sera question à l’atelier 2. La formation sans règle écrite s’oublie, la règle sans formation ne se comprend pas.

Puis prévoir la mise à jour, une fois par an ou à chaque changement d’outil significatif.

Vérifie ta compréhension

Question : votre direction propose de satisfaire cette obligation en diffusant une note de service rappelant les consignes d’usage, signée par tous. Est-ce suffisant ?

Réponse : c’est un bon début et ce n’est pas la même chose. Le texte parle d’un niveau suffisant de maîtrise, apprécié selon le contexte : une note rappelle des consignes, elle ne fait pas comprendre ce que produit l’outil ni pourquoi certaines informations ne se confient pas. Garde la note, elle sert de règle écrite, et ajoute le socle de deux heures pour les personnes réellement concernées. Les deux ensemble sont proportionnés et documentables ; la note seule sera difficile à défendre.

Fiche suivante : les obligations du déployeur d’un système à haut risque.