En bref : une formation AI Act et RGPD doit permettre à une entreprise de recenser ses outils d’IA, de les classer par niveau de risque, de connaître les pratiques interdites et les obligations de transparence, et de traiter correctement les données personnelles qui passent dans ces outils. Elle s’adresse d’abord à la direction, au DPO ou au responsable conformité, aux managers RH et aux personnes qui achètent ou paramètrent les outils. Une journée de 7 heures suffit pour poser le cadre, à condition de repartir avec des livrables : inventaire des outils, charte d’usage, plan d’action. Elle se finance par l’OPCO ou le plan de développement des compétences.
Qui doit suivre une formation AI Act et RGPD ?
L’article 4 du règlement (UE) 2024/1689 demande aux entreprises qui utilisent des systèmes d’IA de prendre des mesures pour la maîtrise de l’IA de leur personnel, en tenant compte du rôle et du contexte de chacun. Tout le monde n’a pas besoin du même niveau.
| Profil | Pourquoi | Format conseillé |
|---|---|---|
| Direction | Arbitre les outils et porte la responsabilité | Journée complète |
| DPO, juriste, conformité | Relie AI Act, RGPD et contrats éditeurs | Journée complète |
| RH | Le recrutement est un domaine à haut risque (annexe III) | Journée complète |
| Achats, DSI | Choisissent et paramètrent les outils | Journée complète |
| Marketing, communication | Concernés par la transparence des contenus générés | Demi-journée |
| Utilisateurs | Doivent connaître la charte et les données interdites | Une à deux heures |
Quels sujets de l’AI Act la formation doit-elle couvrir ?
Le cœur du programme est la classification des risques. Les pratiques interdites de l’article 5 s’appliquent depuis le 2 février 2025 : manipulation ou exploitation des vulnérabilités, notation sociale, reconnaissance des émotions sur le lieu de travail (hors raisons médicales ou de sécurité), constitution de bases de reconnaissance faciale par moissonnage non ciblé d’images. Viennent ensuite les systèmes à haut risque de l’annexe III, parmi lesquels le recrutement, l’évaluation des salariés et l’accès à la formation professionnelle.
La formation doit aussi traiter l’article 50 sur la transparence, applicable depuis le 2 août 2026 : informer les personnes qu’elles échangent avec une IA quand ce n’est pas évident, signaler les hypertrucages. Pour les entreprises qui déploient un système à haut risque, l’article 26 impose de confier le contrôle humain à des personnes qui ont la compétence, la formation et l’autorité nécessaires, et d’informer les représentants du personnel avant tout usage au travail.
Exigez un programme à jour. Le règlement (UE) 2026/1744, entré en vigueur le 27 juillet 2026, a modifié le calendrier : les obligations des systèmes à haut risque de l’annexe III s’appliquent à partir du 2 décembre 2027 (au lieu du 2 août 2026), celles de l’annexe I à partir du 2 août 2028. Il a aussi réécrit l’article 4 et ajouté des pratiques interdites, applicables au 2 décembre 2026, sur la génération de contenus sexuels sans consentement ou impliquant des mineurs. Un support qui annonce encore l’échéance d’août 2026 pour le haut risque date d’avant ce texte. Pour la vue d’ensemble, lisez notre article sur les obligations de l’AI Act.
Quels sujets RGPD relier à l’IA ?
La plupart des usages d’IA en entreprise touchent des données personnelles : un compte rendu de rendez-vous, un CV, un échange client. La formation doit revenir sur quatre points.
- La base légale et les rôles : l’entreprise est-elle responsable de traitement, l’éditeur est-il sous-traitant, un accord de traitement des données est-il signé ?
- La minimisation : ne donner à l’outil que les données nécessaires, anonymiser quand c’est possible.
- Les données saisies dans l’IA générative : la CNIL recommande de ne jamais partager de données personnelles ou confidentielles avec un service grand public, et de privilégier des solutions déployées en interne pour les données sensibles.
- L’analyse d’impact (AIPD), que la CNIL recommande de réaliser avant de déployer un système d’IA générative.
Le registre des traitements de l’article 30 fait le lien : chaque usage IA qui traite des données personnelles doit y figurer.
Quelle durée et quel format prévoir ?
Une journée de 7 heures couvre le cadre pour les décideurs : le matin pour l’AI Act et le RGPD, l’après-midi pour un atelier sur les outils réels de l’entreprise. Un webinaire de deux heures sensibilise, mais ne produit ni inventaire ni plan d’action. En intra-entreprise, l’atelier porte directement sur vos propres outils. Les utilisateurs reçoivent ensuite une session courte, animée par le référent IA formé.
Quels livrables exiger en fin de formation ?
Une formation qui ne laisse que des supports de présentation ne vous fait pas avancer. Demandez :
- un inventaire des outils et des usages, classés par niveau de risque ;
- une charte d’usage de l’IA, ou un modèle à adapter ;
- une mise à jour du registre des traitements pour les usages IA ;
- un plan d’action daté, avec un responsable par action ;
- une attestation de formation, qui documente les mesures prises au titre de l’article 4.
Avant de signer, posez les questions à poser à un organisme de formation : qui anime, sur quelle version du texte, avec quels exercices.
Comment financer une formation AI Act et RGPD ?
Pour une entreprise, la voie habituelle est l’OPCO ou le plan de développement des compétences. Les règles de prise en charge dépendent de votre OPCO et de votre effectif : notre page financement détaille les dispositifs. Le CPF ne finance que les formations certifiantes (inscrites au RS ou au RNCP). Une formation courte sur l’AI Act et le RGPD ne l’est généralement pas.
Questions fréquentes
Une formation AI Act est-elle obligatoire ?
L’AI Act n’impose pas une formation précise, mais son article 4 demande des mesures pour la maîtrise de l’IA du personnel qui utilise ces systèmes. Une formation documentée est le moyen le plus simple de le démontrer.
Le DPO doit-il suivre une formation AI Act ?
C’est conseillé. Le DPO connaît le RGPD, mais l’AI Act ajoute une classification des risques, des pratiques interdites et des obligations de transparence qu’il devra croiser avec le registre des traitements.
Une journée suffit-elle ?
Pour poser le cadre et produire un plan d’action, oui. Si vous déployez un système à haut risque, prévoyez ensuite un accompagnement plus long.
Faut-il refaire la formation chaque année ?
Le texte évolue : l’omnibus de juillet 2026 a déjà modifié l’article 4 et le calendrier. Une mise à jour d’une demi-journée par an évite de travailler sur des dates dépassées.
Qui doit animer la formation ?
Un formateur qui connaît le droit et les outils. Un cours purement juridique ne montre pas où les données partent quand un salarié colle un document dans un assistant IA.
Aller plus loin
La formation IA en entreprise : cadre légal, audit et conformité dure 7 heures. Vous recensez vos outils, croisez vos usages avec l’AI Act et le RGPD, et repartez avec une grille d’audit, un modèle de politique IA, un modèle de registre article 30 et un plan d’action à 90 jours. Elle existe en intra-entreprise, dans vos locaux ou à distance.
