Ce qu'un contrôle exige pour valider la formation à l'IA

La plupart des entreprises qui prennent l'article 4 au sérieux organisent une session, la dispensent et considèrent le sujet réglé. Des mois plus tard, quand quelqu'un pose la question par écrit, elles découvrent qu'elles ne peuvent pas démontrer ce qui a été enseigné, à qui, ni si ces personnes ont compris quoi que ce soit. Avoir formé et pouvoir le prouver sont deux problèmes distincts, et devant une autorité seul le second existe.

Pourquoi le règlement ne fournit pas de liste

Disons-le clairement : le règlement ne publie aucune liste de preuves. L'article 4 fixe un résultat — un niveau suffisant de maîtrise de l'IA — et laisse à chaque organisation le choix des moyens. Cette ouverture est délibérée, car un cabinet d'architecture n'est pas un hôpital.

Ce que l'on sait, en revanche, c'est comment travaillent les autorités de surveillance du marché face à une obligation de résultat : elles demandent de la traçabilité. Non pas « avez-vous formé ? », mais « démontrez-moi quoi, à qui, quand et avec quel résultat ».

Les quatre données qui transforment une affirmation en preuve

• Qui : identification individuelle de chaque personne formée. Une feuille de présence sans noms, ou un « le service a été formé », n'identifie personne.
• Quoi : le contenu précis, avec la référence à l'article 4 et aux risques couverts. L'intitulé de la session ne suffit pas.
• Quand : une date vérifiable. Une formation postérieure à l'incident examiné n'a pas la même valeur probante qu'une formation antérieure.
• Avec quel résultat : une forme de vérification que la personne a assimilé le contenu. C'est ce qui sépare avoir assisté d'avoir appris.

Ce qui ne suffit généralement pas

Une note signalant l'existence du règlement. Une vidéo enregistrée sans relevé de qui l'a visionnée. Une feuille d'émargement scannée sans contenu associé. Une politique interne d'usage de l'IA, mesure utile mais qui atteste des règles, non des compétences. Tout cela vaut mieux que rien, mais aucun de ces éléments ne répond aux quatre questions ci-dessus.

Le problème des preuves modifiables

Voici une nuance que presque personne n'envisage. Un certificat en PDF portant un nom et une date est un document que n'importe qui peut éditer. Si la preuve que vous produisez est modifiable sans laisser de trace, sa valeur probante est limitée précisément au moment où vous en avez le plus besoin.

C'est pourquoi l'accréditation devrait être vérifiable de façon indépendante : un registre consultable où un tiers peut constater que ce code existe, correspond à cette personne et n'a pas été modifié depuis son émission. Une empreinte cryptographique calculée sur les données du diplôme remplit cette fonction : toute modification ultérieure du nom, de la date ou de la note rompt la vérification.

Questions fréquentes

Comment nous le résolvons

Chaque personne qui réussit notre formation reçoit un diplôme nominatif avec un code unique et une empreinte SHA-256 calculée sur ses données réelles, y compris la note de chaque examen. Ce code se vérifie dans un registre public : tout auditeur, client ou autorité peut le contrôler sans rien vous demander. Et le portail entreprise exporte le dossier complet de vos effectifs — qui, quoi, quand et avec quel résultat — c'est-à-dire exactement ce qui est demandé.