Maîtrise de l'IA et gestion des connaissances

Ce que l'IA fait bien ici, ce qu'elle fait mal

Ce qu'elle fait bien

• Décliner la politique par groupe: le modèle tire d'une même politique d'usage un module pour chaque groupe.
• Rédiger des exercices: il transforme un cas anonymisé du service en exercice avec le résultat attendu.
• Traduire les modules: il livre une version allemande ou italienne que le réseau relit avant la diffusion.
• Regrouper les questions du réseau: il classe les questions du trimestre par thème et signale les doublons.
• Tenir la foire aux questions: il propose une réponse tirée des réponses que les spécialistes ont validées.

Ce qu'elle fait mal

• Citer l'art. 4 à jour: le modèle peut reproduire l'ancien texte, qui exigeait un «niveau suffisant» de maîtrise.
• Connaître l'usage réel: il ignore quels outils les équipes utilisent sans autorisation.
• Mesurer la maîtrise d'une personne: il corrige un quiz mais ignore comment la personne travaille avec l'outil.
• Choisir les utilisateurs clés: il ignore quels collègues les équipes consultent déjà.
• Trancher une question de risque: il répond avec assurance là où seul le spécialiste peut décider.
• Attester la conformité: il déclare un plan «conforme» alors que seule l'autorité de surveillance du marché en juge.

Déroulé

Ce que couvre la maîtrise de l'IA

L'AI Act définit la maîtrise de l'IA à l'art. 3, point 56. Elle réunit les compétences, les connaissances et la compréhension qui permettent de déployer un système d'IA en connaissance de cause. Elle comprend la conscience des possibilités, des risques et des préjudices que l'IA peut causer. La Commission européenne précise la portée de l'art. 4 dans ses questions et réponses. Les mesures visent le personnel qui utilise un système d'IA et le personnel technique qui le fait fonctionner. Elles visent aussi les personnes qui agissent pour le compte de l'organisation: un sous-traitant, un prestataire de services ou un client.

Le savoir sur l'IA vieillit vite. Un outil change de version, une règle interne change, une équipe découvre un piège. La gestion des connaissances garde ce savoir dans l'organisation quand les personnes changent de poste. Le plan de formation transmet ce que l'organisation sait déjà. Le réseau d'utilisateurs clés recueille ce qu'elle apprend.

Des mesures sans niveau exigé

Depuis le règlement (UE) 2026/1744, l'art. 4, par. 1, précise que l'obligation n'impose de garantir aucun niveau de maîtrise. Vous trouverez le texte de l'obligation dans La conduite du changement.

Selon la Commission, l'organisation veille à ce que son personnel comprenne l'IA dans ses grandes lignes. Elle établit si elle est fournisseur ou déployeur de chaque système. Elle évalue le risque de ses systèmes. Elle adapte les mesures aux connaissances, à l'expérience et à la formation du personnel et au contexte d'usage. La Commission n'exige aucun certificat. Elle propose un relevé interne des formations et des autres initiatives d'accompagnement.

L'art. 4, par. 2, charge la Commission et les États membres de soutenir les fournisseurs et les déployeurs. Il vise en particulier les PME. Il prévoit que la Commission publie des exemples pratiques de mise en conformité. Le répertoire des pratiques de la Commission en fournit. L'art. 4, par. 3, charge le Comité européen de l'intelligence artificielle d'adopter des recommandations qui s'appuient sur les cadres européens de compétences. L'organisation vérifie si le Comité en a publié avant de fixer ses niveaux de formation.

Un plan par groupe

Le Playbook du NIST AI RMF recommande une formation continue sur le droit applicable, les effets négatifs possibles, les politiques internes et les caractéristiques d'une IA digne de confiance (GOVERN 2.2). Il recommande aussi une formation adaptée à chaque groupe d'acteurs. Il recommande enfin que le personnel reconnaisse ses responsabilités et qu'une voie de signalement recueille les risques que les personnes constatent.

Le responsable de la formation répartit le personnel en groupes. La direction décide des usages et accepte les risques. Les utilisateurs emploient les outils autorisés. Les utilisateurs clés aident leur équipe et relaient ses questions. Les spécialistes conçoivent, intègrent ou contrôlent les systèmes: informatique, sécurité de l'information, protection des données et droit. Aucune des sources citées ne fixe ce découpage. Il suit la règle de la Commission: des mesures selon le rôle et l'expérience. Chaque organisation l'ajuste à ses rôles et à ses systèmes.

«Notions» donne le vocabulaire et les règles. «Pratique» fait exercer la tâche sur un cas du service. «Avancé» prépare la personne à expliquer le thème à d'autres et à reconnaître les cas limites. Le cours gratuit AI Fluency d'Anthropic donne une trame au module des utilisateurs. L'utilisateur choisit ce qu'il confie à l'outil, décrit sa demande, juge le résultat et répond de l'usage. Le cours nomme ces compétences délégation, description, discernement et diligence.

Les utilisateurs clés et la communauté de pratique

Etienne et Beverly Wenger-Trayner définissent une communauté de pratique comme un groupe de personnes qui partagent une préoccupation ou une passion pour une activité. Ses membres apprennent à mieux la pratiquer en échangeant régulièrement. Les auteurs distinguent le domaine, la communauté et la pratique. Pour l'IA, le domaine est l'usage de l'IA dans le travail de l'organisation. La communauté réunit les utilisateurs clés. La pratique rassemble les cas, les contrôles et les erreurs que ses membres partagent.

Les auteurs réfutent plusieurs idées reçues. La plupart des communautés ont besoin qu'on les entretienne. Une personne les anime: un coordinateur ou une coordinatrice. Une communauté peut être formelle. Elle partage le savoir existant et résout aussi des problèmes nouveaux. La direction nomme donc la coordination et lui accorde du temps de travail. Les prompts que la communauté valide entrent dans la bibliothèque de prompts d'équipe.

Un réseau de relais pour les risques

Le même réseau porte les questions de risque. Une utilisatrice demande si elle peut soumettre un contrat à l'assistant. L'utilisateur clé de son équipe répond quand la politique d'usage règle le cas. Il transmet la question au spécialiste quand elle touche la protection des données, la sécurité, le droit ou l'éthique. La réponse redescend par le même chemin. Elle entre dans la foire aux questions et dans le module suivant. Si la politique ne règle pas le cas, son propriétaire précise l'article. Aucune des sources citées ne mesure l'effet d'un tel réseau. Il s'appuie sur la communauté de pratique et sur la voie de signalement que recommande GOVERN 2.2.

Les étapes

1. Le propriétaire de la politique dresse l'inventaire. Il liste les systèmes d'IA que l'organisation utilise ou fournit et son rôle pour chacun. Il reprend les outils et les données qu'autorise la politique d'usage. Il évalue le risque de chaque système avec Évaluer les risques de l'IA.
2. Le responsable de la formation répartit les personnes. Il range chaque rôle dans un groupe. Il ajoute les prestataires et les sous-traitants qui utilisent un système pour l'organisation. Un sondage anonyme relève ce que chaque groupe sait et ce qu'il utilise déjà.
3. Le modèle propose les modules. Le responsable lui fournit l'inventaire, la politique et les groupes. Le modèle propose un module par groupe et par thème. Chaque module porte un exercice tiré du travail du groupe.
4. Le propriétaire de la politique et un spécialiste relisent chaque module. Ils vérifient que chaque point renvoie à un article de la politique ou à un système de l'inventaire. Ils comparent chaque règle de droit au texte en vigueur. Ils écartent les modules sans rattachement.
5. La direction désigne les utilisateurs clés et la coordination. Elle retient dans chaque équipe la personne que ses collègues consultent déjà. Elle nomme le spécialiste qui reçoit chaque type de question. La matrice RACI fixe qui répond et qui tranche.
6. Les formateurs donnent les modules. Les utilisateurs clés suivent le leur en premier. Ils animent ensuite les ateliers de leur équipe. Le responsable consigne chaque séance: la date, le module et les participants.
7. La communauté se réunit. La coordination fixe une rencontre mensuelle. Chaque utilisateur clé apporte un cas de son équipe: une erreur de l'outil, un contrôle qui a fonctionné, une question transmise. La coordination tient le compte rendu.
8. Le modèle regroupe les questions du trimestre. La coordination lui fournit les questions sans nom de personne. Il les classe par thème et propose une entrée de la foire aux questions pour chaque réponse validée.
9. La coordination vérifie le regroupement. Elle compare chaque entrée à la réponse du spécialiste. Elle signale au propriétaire de la politique chaque question que la politique ne règle pas.
10. Le responsable révise le plan. Il reprend le plan à chaque nouveau système, à chaque révision de la politique et chaque trimestre. Les questions de la communauté entrent dans le module suivant. La veille sur l'IA signale les changements d'outil qui rendent un module caduc.

Prompt modèle

Tu prépares le plan de formation à l'IA de [ORGANISATION]. Le plan propose des mesures par groupe de personnes.

<inventaire>
[SYSTÈMES D'IA]
</inventaire>

<politique>
[POLITIQUE D'USAGE]
</politique>

<groupes>
[GROUPES ET EFFECTIFS]
</groupes>

<consignes>
1. Pour chaque groupe de <groupes>, traite ces thèmes: ce que l'IA fait et ne fait pas, la politique d'usage, les données et la confidentialité, la vérification d'un résultat, les risques et leur signalement, les outils de <inventaire>.
2. Donne pour chaque thème la profondeur, le format et la durée. La profondeur vaut «notions» (le vocabulaire et les règles), «pratique» (la tâche exercée sur un cas du service) ou «avancé» (expliquer le thème à d'autres et reconnaître les cas limites).
3. Propose pour chaque thème un exercice tiré du travail du groupe.
4. Rattache chaque thème à un article de <politique> ou à un système de <inventaire>. Écris «sans rattachement» là où tu n'en trouves pas.
5. N'énonce aucune règle de droit. Écris «à vérifier par un spécialiste» là où le plan dépend du droit.
6. Ne nomme aucune personne. Ne propose aucune note individuelle.
7. Rends un tableau: groupe, thème, profondeur, format, durée, exercice, rattachement.
8. Termine par la liste des systèmes de <inventaire> qu'aucun thème ne traite.
</consignes>

• [ORGANISATION] donne le secteur, la taille et les langues de travail.
• [SYSTÈMES D'IA] reçoit l'inventaire de l'étape 1: chaque système, son usage et le rôle de l'organisation.
• [POLITIQUE D'USAGE] reçoit le texte de la politique avec ses articles numérotés.
• [GROUPES ET EFFECTIFS] reçoit les groupes de l'étape 2 avec leurs rôles et leur effectif. Il comprend les prestataires et les sous-traitants qui utilisent un système pour l'organisation. Il ne porte aucun nom.

La consigne 5 écarte l'ancien texte de l'art. 4, que le modèle peut reproduire. La consigne 4 signale les thèmes que rien ne fonde. La consigne 8 montre les systèmes que le plan oublie.

Exemple

Un fabricant de composants horlogers de Bienne emploie 220 personnes. Sa filiale de Pforzheim utilise le même assistant génératif. La direction a fait vérifier que l'AI Act vise la filiale. Elle applique un seul plan aux deux sites. Les modules existent en français et en allemand. Trois bureaux de traduction utilisent l'assistant pour l'entreprise. Les valeurs sont inventées.

Malgré la consigne 6, le modèle a proposé un quiz noté pour les utilisateurs. La juriste l'a remplacé par un exercice sur un cas du service. Une note individuelle aurait créé une donnée sur la performance de chaque personne. Le modèle a aussi rattaché le module des prestataires à un article de la politique qui ne vise que le personnel. Le propriétaire de la politique a complété l'article.

La direction a désigné un utilisateur clé par équipe. La business analyste du service des méthodes coordonne le réseau. Elle y consacre un jour par mois. Au premier trimestre, le réseau a reçu 41 questions. Les utilisateurs clés ont répondu à 29 d'entre elles et transmis les 12 autres. Un acheteur voulait soumettre à l'assistant l'offre d'un fournisseur. La politique ne réglait pas les offres non signées. La juriste a rangé l'offre parmi les documents confidentiels, que seul le compte d'entreprise reçoit. Sa réponse est entrée dans la foire aux questions et dans le module suivant. Le propriétaire de la politique a précisé l'article.

Essayer avec le répertoire de la Commission

La Commission européenne publie un répertoire des pratiques de maîtrise de l'IA que des organisations lui ont soumises. On le consulte sans compte. Choisissez «Peer learning» dans le filtre du type de pratique puis cliquez sur «Apply». La liste montre des organisations qui font apprendre leur personnel entre pairs. Comparez leur format et leur cadence à votre réseau. La Commission précise qu'une organisation qui reprend ces pratiques n'obtient aucune présomption de conformité.

Vérifier le résultat

• L'inventaire liste-t-il chaque système d'IA et le rôle de l'organisation pour chacun?
• Chaque rôle de l'organisation appartient-il à un groupe?
• Le plan couvre-t-il les prestataires et les sous-traitants qui utilisent un système pour l'organisation?
• Chaque module renvoie-t-il à un article de la politique ou à un système de l'inventaire?
• Un spécialiste a-t-il comparé chaque règle de droit du plan au texte en vigueur?
• Le plan cite-t-il l'art. 4 sans l'exigence d'un niveau suffisant?
• Chaque système de l'inventaire est-il traité par au moins un module?
• Le plan est-il libre de toute note individuelle?
• Chaque équipe a-t-elle un utilisateur clé?
• La coordination du réseau a-t-elle un nom et du temps de travail?
• La matrice RACI nomme-t-elle le spécialiste qui reçoit chaque type de question?
• Chaque entrée de la foire aux questions renvoie-t-elle à une réponse validée par un spécialiste?
• Le relevé porte-t-il la date, le module et les participants de chaque séance?
• La date de la prochaine révision du plan est-elle fixée?

Limites et risques

Le relevé contient des données personnelles. Une liste de présence nomme des personnes. La LPD limite le traitement à ce que sa finalité exige (art. 6, al. 2 et 3 LPD). Le responsable consigne la participation et n'en tire aucune appréciation individuelle. Il fixe la durée de conservation du relevé. Vous trouverez les règles sur les données dans La LPD et les données confidentielles.

Le relevé prouve la participation, pas la compétence. Une personne formée peut encore mal utiliser l'outil. La question de vérification que décrit La conduite du changement reste posée à chaque revue.

Le réseau repose sur quelques personnes. Un utilisateur clé qui quitte l'organisation emporte ce qu'il sait. La coordination tient les comptes rendus et la foire aux questions à jour. Chaque équipe forme un suppléant.

L'utilisateur clé répond dans les limites de la politique. Il transmet toute autre question de risque. La responsabilité de la réponse reste au spécialiste nommé dans la matrice RACI.

L'utilisateur clé signale l'outil, jamais la personne. Il voit quels outils non autorisés son équipe utilise. S'il signale des collègues par leur nom, l'équipe cesse de lui poser des questions. Il signale l'outil et l'usage au propriétaire de la politique. Le sondage anonyme de l'étape 2 mesure cet usage.

Techniques liées

• Référentiel de compétences: le niveau attendu par rôle, qui fonde la profondeur de chaque groupe.
• Matrice RACI: la personne qui répond à une question du réseau et celle qui la tranche.
• Sondage ou questionnaire: les besoins de formation relevés avant le plan.
• Leçons apprises: les cas de la communauté transmis à l'organisation.
• Glossaire: les termes de l'IA sur lesquels l'organisation s'accorde.
• La conduite du changement: la préparation des équipes dont l'IA modifie le travail.
• Une politique d'usage de l'IA: qui forme le personnel et avant quelle date.
• Une bibliothèque de prompts d'équipe: les prompts que la communauté valide.