Chargement...
Ressources · Guides · IA et conduite du changement
Guide · IA et conduite du changement
Dans la plupart des organisations, les collaborateurs utilisent déjà l’IA générative, souvent sans règle commune. Pour une mutuelle ou un organisme de protection sociale, qui manipule des données de santé, ce constat appelle une démarche : comprendre ce que demande l’article 4 de l’AI Act, puis former chaque population au bon niveau.
Par Franck Droin, associé fondateur · publié le 10 novembre 2026 · mis à jour le 11 novembre 2026 · 7 minutes de lecture
L’article 4 du règlement européen sur l’intelligence artificielle (AI Act, règlement (UE) 2024/1689) demande aux organisations qui utilisent l’IA de prendre des mesures pour développer la maîtrise de l’IA de leurs équipes. Il ne fixe pas un volume de formation ni un diplôme : il demande une démarche adaptée aux personnes et aux usages. Pour une mutuelle, elle commence par savoir qui utilise quoi, avec quelles données, puis par former d’abord les dirigeants, ensuite les métiers.
L’article 4 s’applique aux fournisseurs et aux déployeurs de systèmes d’IA, c’est-à-dire aussi aux organisations qui se contentent d’utiliser un outil d’IA générative dans leur activité. Il vise leur personnel et les autres personnes qui utilisent ces systèmes pour leur compte. Il est applicable depuis le 2 février 2025.
Dans sa rédaction issue de l’omnibus numérique, publiée sur le site de la Commission européenne, le texte demande de « prendre des mesures pour favoriser le développement de la maîtrise de l’IA » et précise que cette obligation ne contraint pas à garantir un niveau spécifique. La Commission et les États membres soutiennent ces efforts, et la Commission doit publier des exemples pratiques.
En pratique, une organisation qui peut montrer ce qu’elle a fait (état des lieux, règles, formations adaptées, suivi) est en bonne position. Une organisation qui n’a rien formalisé ne l’est pas, quel que soit le niveau précis attendu.
Une mutuelle ou un organisme de protection sociale traite des données de santé, que le RGPD classe parmi les données particulières (article 9). Copier le contenu d’un dossier d’adhérent dans un outil d’IA grand public, résumer un échange avec un assuré ou rédiger une réponse à partir de données personnelles peuvent exposer ces données hors du cadre prévu.
Le risque ne vient pas seulement de l’outil. Il vient d’usages dispersés que personne n’a recensés, de règles que les équipes ne connaissent pas, et de décisions prises à partir d’une réponse de l’IA que personne n’a vérifiée. C’est pourquoi la démarche commence par les usages réels plutôt que par un catalogue de formations.
Cette démarche est celle que KAISSA propose aux mutuelles et aux acteurs de la protection sociale.
Les dirigeants ont besoin de repères de décision : où l’IA crée de la valeur, où elle expose l’organisation, quelles règles fixer. Les équipes de gestion et de relation client ont besoin d’exemples concrets sur leur poste et d’une règle simple pour les données. Les responsables de la conformité et des systèmes d’information ont besoin d’une lecture précise des risques, des contrats avec les fournisseurs et de l’hébergement des données.
Pour les formations qui s’adressent à des équipes entières, le format court et répété (quelques minutes, plusieurs fois) retient mieux qu’une journée unique. KAISSA s’appuie pour cela sur sa plateforme LUMEN, qui suit la progression par groupe et permet de tracer la formation suivie.
KAISSA Consulting accompagne mutuelles et acteurs de la protection sociale face à l’IA : sensibilisation des dirigeants, diagnostic des usages réels et des données sensibles, conduite du changement, cadre d’usage, puis formation et suivi de la montée en compétence. Les solutions conçues par le cabinet s’appuient sur une IA supervisée et un hébergement en France.
Questions fréquentes
Oui. Il concerne les fournisseurs et les déployeurs de systèmes d’IA, donc aussi les organisations qui utilisent un outil d’IA dans leur activité, quel que soit le niveau de risque du système.
L’article 4 est applicable depuis le 2 février 2025. L’omnibus numérique a reformulé le texte, qui demande de prendre des mesures pour favoriser la maîtrise de l’IA sans garantir un niveau précis.
Non. Les besoins diffèrent entre dirigeants, métiers et fonctions de contrôle : mieux vaut des formations courtes et adaptées à chaque population.
Il faut poser une règle explicite avant tout usage : les données de santé sont des données sensibles au sens du RGPD. Le cadre d’usage précise ce qui peut être saisi dans quel outil.
Par un état des lieux des usages réels et un séminaire de sensibilisation des dirigeants, avant de rédiger un cadre d’usage et de former les équipes.
Aller plus loin
Sources. Règlement (UE) 2024/1689 (AI Act), article 4 ; texte de l’article 4 sur le site AI Act Service Desk de la Commission européenne (ai-act-service-desk.ec.europa.eu), consulté le 10 novembre 2026. ActuIA, « Calendrier de l’AI Act : ce qui s’applique, ce que l’omnibus reporte », consulté le 10 novembre 2026. Règlement (UE) 2016/679 (RGPD), article 9 (catégories particulières de données). Constats issus de missions de KAISSA auprès de mutuelles et d’acteurs de la protection sociale, non chiffrés.
Publié le 10 novembre 2026 par Franck Droin, associé fondateur, KAISSA Consulting, mis à jour le 11 novembre 2026. Contenu d’information générale, à adapter à votre situation.