L’article 4 de l’AI Act a changé de nature en juillet 2026, et son contrôle a commencé le 2 août. Depuis le 27 juillet 2026, une entreprise qui utilise des systèmes d’IA doit prendre des mesures pour soutenir la maîtrise de l’IA de ses équipes, sans avoir à garantir un niveau donné pour chaque personne. Pour une équipe Salesforce, la question devient : quelles mesures avons-nous prises, pour quels rôles, et pouvons-nous le montrer ?
Que demandait l’article 4 jusqu’en juillet 2026 ?
Dans sa version de 2024, applicable depuis le 2 février 2025, l’article 4 du règlement (UE) 2024/1689 demandait aux fournisseurs et aux déployeurs de systèmes d’IA de prendre des mesures pour que leur personnel, et les personnes qui utilisent ces systèmes pour leur compte, atteignent dans toute la mesure du possible un niveau suffisant de maîtrise de l’IA. Le texte tenait compte des connaissances techniques, de l’expérience, de la formation et du contexte d’utilisation.
Ce « niveau suffisant » posait une question que personne ne savait trancher : suffisant pour qui, et mesuré comment ? La réponse la plus facile était un module en ligne identique pour tout le monde. Simple à prouver, et peu utile au commercial qui voit une fonction générative lui proposer un e-mail dans Salesforce.
Qu’est-ce qui a changé avec le règlement 2026/1744 ?
Le règlement (UE) 2026/1744, le volet IA de l’omnibus numérique, a été publié au Journal officiel le 24 juillet 2026 et s’applique depuis le 27 juillet. Il réécrit l’article 4 sur trois points.
- L’obligation reste à la charge des fournisseurs et des déployeurs : ils prennent des mesures pour soutenir le développement de la maîtrise de l’IA de leur personnel et des personnes qui agissent pour leur compte.
- Le texte précise qu’aucun niveau de maîtrise n’est à garantir pour une personne donnée. L’obligation porte sur les moyens, plus sur le résultat.
- La Commission et les États membres soutiennent ces efforts, en particulier ceux des PME, et la Commission publie des exemples pratiques.
La proposition de la Commission, en novembre 2025, allait plus loin et faisait porter l’effort sur les pouvoirs publics. Le texte adopté maintient une obligation pour les entreprises. Il ne change pas non plus la date d’application de l’article 4, qui reste le 2 février 2025.
Depuis quand l’article 4 est-il contrôlé ?
Depuis le 2 août 2026. L’obligation s’applique depuis le 2 février 2025, mais la FAQ de la Commission sur la maîtrise de l’IA situe à cette date le début de la supervision et du contrôle. Ce contrôle revient aux autorités nationales de surveillance du marché, pas au Bureau de l’IA de la Commission.
Le report voté en juillet ne touche pas tout le règlement. Restent en place : l’article 4, les interdictions de l’article 5, déjà applicables, et les obligations de transparence de l’article 50, applicables depuis le 2 août 2026, sauf l’article 50, paragraphe 2, pour les systèmes mis sur le marché avant cette date. Sont reportées : les obligations des systèmes à haut risque de l’annexe III, au 2 décembre 2027, et celles des systèmes à haut risque intégrés à des produits réglementés (annexe I), au 2 août 2028, selon la page de la Commission sur l’application du règlement.
Le prochain jalon utile tombe le 2 décembre 2026 : les fournisseurs de systèmes mis sur le marché avant le 2 août 2026 doivent alors appliquer le marquage et la détection des contenus générés prévus à l’article 50, paragraphe 2 (article 111, AI Act Service Desk), et de nouvelles interdictions entrent en application. Ce jalon vise d’abord les fournisseurs, comme Salesforce, plus que l’entreprise qui active leurs fonctions.
Une entreprise qui active l’IA dans Salesforce est-elle concernée ?
Oui, dans la plupart des cas. Le règlement appelle déployeur l’organisation qui utilise un système d’IA sous sa propre autorité. Une entreprise qui active des fonctions génératives dans son org (une synthèse de Case, un e-mail proposé, un template Prompt Builder, un agent) les utilise sous son autorité, même si Salesforce les fournit. La mesure vise les personnes qui s’en servent et celles qui les configurent : utilisateurs, administrateurs, et les managers qui décident de ce qui en sort.
Le risque concret se trouve dans l’écart entre ce que l’org fait et ce que les équipes croient qu’elle fait. Un utilisateur qui prend une synthèse générée pour un fait vérifié, ou un admin qui élargit les données lues par un template sans regarder qui verra la sortie : voilà les situations que la mesure doit prévenir.
Quelles mesures tiennent, et pour qui ?
Une mesure utile part des fonctions réellement activées dans l’org et des rôles qui les touchent. Un module générique ne dit rien de ce que fait votre template de synthèse, ni de qui peut le modifier.
Pour les utilisateurs, une heure sur leurs propres écrans apprend plus qu’une journée de théorie. Ils voient la fonction dans leur org, avec leurs enregistrements, et retiennent trois gestes : relire, corriger, signaler. Côté admin, la mesure reprend la discipline de sécurité déjà enseignée dans ADX201, appliquée à l’IA : savoir avec quels droits une fonction lit ses données, et où sa sortie atterrit. Pour les managers, elle porte sur la décision : qui valide qu’un texte généré peut partir chez un client, et sur quels signaux on étend la fonction à une autre équipe.
Que garder comme trace ?
Une obligation de moyens se montre par des traces, et celle-ci est contrôlée depuis le 2 août 2026. Une page par fonction suffit, tenue par le propriétaire admin : la fonction et sa version de configuration, les rôles qui l’utilisent, la formation reçue par chaque rôle et sa date, la date de la prochaine revue.
La revue suit un calendrier que l’org connaît déjà. Salesforce publie trois releases par an, et une fonction générative peut changer de comportement d’une release à l’autre sans que personne ait touché à la configuration. Chaque release est l’occasion de vérifier que la formation décrit encore ce que fait l’org. Le modèle opérationnel qui dit qui possède chaque changement après la mise en production est le bon endroit pour inscrire ce rendez-vous.
Par où commencer ce trimestre ?
C’est cette logique que je suis pour les deux programmes d’une journée « L’IA dans Salesforce », proposés sur demande, l’un pour les commerciaux, l’autre pour les administrateurs. Si vous en êtes à la première étape, la liste des fonctions activées suffit pour une première conversation.