IA dans un organisme de formation : ce qu'on peut automatiser, ce qui doit rester sous contrôle humain

Quelles règles, et à partir de quand ?

Quand un organisme de formation branche un outil d'IA, trois textes se croisent : l'AI Act européen, le référentiel national qualité (Qualiopi) et le RGPD. Beaucoup de pages donnent encore des dates dépassées. Voici celles que j'ai lues dans les textes, à la date où j'écris.

Le calendrier qui vous concerne

1. 2 février 2025

   Développer la maîtrise de l'IA de vos équipes (article 4). Interdiction d'inférer les émotions en formation (article 5).

2. 2 août 2026

   Un outil qui dialogue doit dire qu'il est une IA (article 50, à la charge du fournisseur).

3. 1er novembre 2026

   Nouveau référentiel qualité, 33 indicateurs (décret n° 2026-728).

4. 2 décembre 2027

   Obligations des usages à haut risque en formation (annexe III).

Deux précisions. Le texte initial de l'AI Act fixait le haut risque au 2 août 2026 : le règlement (UE) 2026/1744, publié le 24 juillet 2026, l'a reporté au 2 décembre 2027 et a réécrit l'article 4, en vigueur depuis le 27 juillet 2026 : favoriser la maîtrise de l'IA du personnel, sans niveau imposé à chacun. Le décret n° 2026-728 ne prévoit pas de transition : votre certificateur vous dira sur quelle version portera votre prochain audit.

Ce que l'AI Act classe à haut risque en formation

L'annexe III vise quatre usages : décider de l'accès ou de l'admission à une formation, évaluer les acquis, y compris pour orienter, évaluer le niveau qu'une personne pourra atteindre, et surveiller les examens. Pour ces usages, l'organisme devra confier le contrôle humain à des personnes compétentes, formées et habilitées (article 26).

L'article 6 prévoit une exception pour un outil qui reste sur une tâche procédurale étroite, préparatoire, ou qui détecte des écarts sans remplacer l'évaluation humaine. Elle suppose en plus que l'outil ne présente pas de risque important pour les droits des personnes ni n'influence sensiblement le résultat de la décision : une tâche préparatoire ne suffit pas, à elle seule, à en bénéficier. Elle tombe dès qu'il y a profilage de personnes. C'est au fournisseur de documenter son analyse : demandez-la lui par écrit.

Processus par processus : que confier à l'IA ?

J'ai classé les treize processus d'un organisme de formation en trois niveaux.

Les 13 processus, par niveau de contrôle

Automatisable 3 processus

L'IA ou de simples règles font le travail, un humain contrôle par sondage.

• Réponse aux demandes d'information
• Suivi administratif : conventions, convocations, émargements, relances
• Veille légale, métiers, pédagogique (la collecte)

Sous contrôle humain 7 processus

L'IA prépare, un humain relit et valide chaque sortie avant usage.

• Devis, cas particuliers, financement, handicap
• Analyse du besoin et positionnement à l'entrée
• Conception de programmes
• Production de supports
• Dossiers de financement
• Suivi des apprenants et prévention des ruptures
• Réclamations et amélioration continue

Humain seul 3 processus

Mon choix prudent : l'IA peut au mieux fournir une information, jamais une proposition de décision.

• Évaluation des acquis (la décision)
• Surveillance d'examens
• Violences, harcèlement, discriminations, situations de handicap

La frontière entre « sous contrôle » et « humain seul » ne dépend pas de l'outil, elle dépend de la conséquence pour l'apprenant.

Trois remarques sur ce classement :

• Une bonne partie de l'automatisable n'a pas besoin d'IA. Relancer une convention non signée ou vérifier qu'un dossier est complet, des règles écrites le font de façon fiable.
• Le positionnement et l'évaluation basculent vite. L'IA peut synthétiser un questionnaire ou générer un quiz. Admettre, orienter, noter ou décider d'une suite de parcours relève, à ma lecture, de l'annexe III et de l'article 22 du RGPD.
• Les supports se relisent toujours. La CNIL rappelle que ces systèmes produisent des résultats inexacts qui paraissent plausibles.

Et le référentiel qualité ?

J'ai lu les 33 indicateurs du décret : aucun ne mentionne l'IA. Plusieurs s'appliqueront pourtant là où vous l'utilisez, à ma lecture : l'indicateur 1 (une information vérifiable, jamais trompeuse : un texte commercial généré se relit), les indicateurs 8 et 11 (positionnement et évaluation : expliquer comment un humain valide), l'indicateur 22 (compétences des salariés, qui rejoint l'article 4), l'indicateur 25 (veille technologique) et l'indicateur 32 (analyse des risques). C'est une lecture de praticien : votre auditeur reste la référence.

Côté données, la CNIL recommande notamment d'écrire la liste des usages autorisés et interdits, de former les utilisateurs et de vérifier si le prestataire réutilise vos données. En pratique : pas de nom d'apprenant, de note ou de situation personnelle dans un service d'IA grand public dont vous n'avez pas vérifié les conditions.

Ce que m'a appris un outil de vérification

J'ai monté et fait certifier un organisme de formation. L'équipe y utilisait déjà l'IA sur deux tâches : concevoir les contenus pédagogiques, plus de 200 unités, et rapprocher les formateurs des missions de formation, parmi plusieurs milliers de profils. Dans les deux cas, l'IA proposait et une personne décidait : relecture pédagogique avant diffusion, choix final du formateur.

J'ai aussi construit un produit qui vérifie un dossier face à un référentiel officiel : l'IA analyse, un programme vérifie que chaque preuve citée existe mot pour mot. Sur un référentiel officiel, 21 preuves sur 21 retrouvées : cela vérifie la présence des citations, pas leur pertinence ni la conformité du dossier. Face à un référentiel sans rapport, aucune preuve inventée sur 8 exigences, dans ce test. Sur le dossier de ma propre structure, une analyse d'écart a trouvé une contradiction qu'une relecture rapide laisse passer : 5 jours ouvrés pour accuser réception d'une réclamation dans le programme, 48 heures dans la procédure. L'outil est encore en test et ne remplace pas un auditeur : sa valeur vient du contrôle ajouté autour de l'IA.

Avant de brancher un outil : sept questions

La liste à passer avec la direction

1. Quel processus précis, et qui s'en sert lundi matin ?
2. La sortie influence-t-elle l'admission, l'orientation ou l'évaluation d'un apprenant ? Si oui, demandez la position écrite du fournisseur.
3. Quelles données y entrent, et le prestataire peut-il les réutiliser ?
4. Qui valide chaque sortie, et en a-t-il le temps et l'autorité ?
5. L'outil dit-il clairement qu'il est une IA ?
6. Vos équipes sont-elles formées à ses limites, et pouvez-vous le montrer ?
7. Comment saurez-vous, dans trois mois, qu'il est utilisé et qu'il ne se trompe pas ?

Pour choisir par quel processus commencer, voir comment choisir son premier cas d'usage IA. Pour placer la validation humaine au bon endroit, voir humain dans la boucle.

Cet article n'est pas un avis juridique. Les textes sont en lien pour que vous puissiez les lire, et votre certificateur reste l'interlocuteur pour votre audit.