Passeport de prévention :
les obligations de l’employeur
Qui doit déclarer ? Quelles formations ? Quels délais ? Comment sécuriser les preuves ? Un guide premium pour les employeurs, DRH, RRH et responsables formation afin de piloter le Passeport de prévention, le plan de développement des compétences, le DUERP, l’IA Act, le RGPD et la cybersécurité sans confondre les obligations.
Passeport de prévention :
le guide RH sans jargon administratif
Le dispositif ne remplace pas l’obligation de former à la sécurité. Il ajoute une couche de traçabilité numérique : savoir ce qui a été suivi, qui l’a déclaré, quand la compétence doit être mise à jour et où retrouver la preuve.
Passeport de prévention :
les 6 repères à retenir en 2026
Le dispositif est déjà entré dans sa phase opérationnelle. Pour un employeur, l’enjeu n’est plus de savoir s’il arrivera, mais d’identifier ce qui doit être déclaré aujourd’hui et d’organiser la bascule vers le périmètre complet de 2027.
Qui est concerné ?
Le piège de 2026
Le régime est transitoire. Jusqu’au 31 décembre 2026, l’employeur ne déclare que les catégories 1 et 2 éligibles. À partir de 2027, le périmètre s’élargit aux catégories 3 et 4.
Ne construisez donc pas un processus limité aux seules habilitations : il devra absorber beaucoup plus de formations dès janvier.
Passeport de prévention :
à quoi sert-il ?
Le Passeport de prévention est un service numérique individuel qui retrace les formations en santé et sécurité au travail suivies par les travailleurs et rassemble les attestations, certificats, certifications professionnelles et diplômes concernés.
Il est intégré au système d’information du Compte personnel de formation et géré par la Caisse des dépôts et consignations.
Son objectif n’est pas de créer une formation supplémentaire. Il doit faciliter la preuve, la traçabilité et le suivi des compétences déjà acquises afin d’aider l’employeur à respecter son obligation de formation à la sécurité.
Ce que l’entreprise y gagne
Qui alimente le passeport ?
Le Code du travail prévoit aussi, depuis juin 2026, la possibilité d’un renseignement par l’expert-comptable, le comptable ou un tiers déclarant pour les formations à l’initiative de l’employeur.
Un passeport attaché à la personne, pas à l’entreprise
Le salarié reste titulaire de son passeport. Il peut conserver la trace de ses formations lorsqu’il change d’employeur. L’entreprise peut consulter les données nécessaires au suivi de ses obligations, sauf opposition du titulaire et dans le respect du RGPD.
Ce que l’employeur doit réellement faire
La responsabilité de l’employeur se répartit en deux scénarios : la formation est dispensée en interne ou elle est confiée à un organisme de formation.
Déclarer l’interne
Lorsque l’entreprise dispense elle-même une formation SST éligible, l’employeur doit la renseigner dans son espace déclaratif du Passeport de prévention dans le délai applicable.
Vérifier l’externe
Lorsque l’organisme de formation déclare une action réalisée pour l’entreprise, l’employeur peut en vérifier la véracité et la complétude et demander une correction dans le délai prévu.
Reprendre si nécessaire
Si l’organisme de formation n’a pas déclaré la formation dans le délai qui lui est imparti, le mécanisme réglementaire prévoit une reprise de la déclaration par l’employeur.
Organiser la preuve
L’entreprise doit conserver une organisation fiable : intitulé, dates, bénéficiaires, compétences transférables, attestation ou justificatif de réussite et suivi des échéances.
Qui peut déclarer pour l’employeur ?
Le Code du travail, modifié en juin 2026, prévoit que le passeport peut être rempli par l’employeur, l’expert-comptable, le comptable ou le tiers déclarant de l’entreprise pour les formations dispensées à l’initiative de l’employeur.
Cela permet d’intégrer la déclaration dans un processus RH/paie/comptabilité, à condition de définir clairement qui collecte les données et qui contrôle leur exactitude.
À ne pas confondre
Déclarer une formation n’est pas la même chose que délivrer l’autorisation ou l’habilitation elle-même. Exemple : on déclare la formation préalable à l’habilitation électrique, pas l’acte juridique interne d’habilitation.
Le passeport trace la compétence et la formation ; il ne remplace pas les décisions de l’employeur relatives au poste de travail.
Quelles formations faut-il déclarer ?
Les 4 catégories
Pour être éligible, une formation doit notamment viser la prévention des risques professionnels ou l’obligation générale de formation, donner lieu à une attestation ou un justificatif de réussite et développer des compétences transférables à des postes exposés à des risques similaires.
Obligatoire & très encadrée
La réglementation fixe l’objectif, le contenu, l’évaluation ou d’autres modalités. Exemples cités officiellement : radioprotection, prévention de l’exposition à l’amiante.
Poste avec autorisation / habilitation
La formation prépare un poste pour lequel l’employeur délivre ensuite une autorisation ou une habilitation. Exemples : conduite d’équipements, CACES, opérations électriques, risque pyrotechnique.
Objectif réglementaire spécifique
La réglementation fixe l’objectif, mais laisse davantage de liberté sur le contenu et l’évaluation. Exemples officiels : manutention de charges, risques chimiques, risques biologiques.
Obligation générale de prévention
Formations non spécifiquement prévues par un code mais organisées pour répondre aux risques de l’entreprise. Exemples : risques psychosociaux, TMS, risque routier.
Règle 2026 : du 16 mars au 31 décembre 2026, l’employeur déclare uniquement les formations éligibles des catégories 1 et 2. À compter du 1er janvier 2027, il déclare les quatre catégories.
Ce qui n’est pas à déclarer :
les exclusions à connaître
Toutes les formations “sécurité” ne vont pas automatiquement dans le Passeport. Le décret prévoit plusieurs exclusions qu’il faut vérifier avant de lancer une campagne de saisie massive.
Exclusions prévues par le décret
Point souvent contre-intuitif : une formation SSCT des élus du CSE est obligatoire dans son propre cadre, mais elle figure parmi les exclusions du Passeport de prévention.
Attestation ou justificatif de réussite ?
Attestation de formation : confirme une participation assidue et totale à une session.
Justificatif de réussite : confirme le suivi et l’acquisition de connaissances ou compétences après évaluation. Il peut s’agir d’un certificat, d’une habilitation, d’un titre, d’un diplôme ou d’une attestation d’évaluation.
Lorsqu’un justificatif de réussite existe, la plateforme évite le doublon : on déclare le justificatif avec les informations de formation associées.
Habilitation / autorisation
Le passeport contient la formation préalable. L’autorisation de conduite ou l’habilitation juridique délivrée ensuite par l’employeur n’est pas elle-même l’objet de la déclaration.
Quels délais pour déclarer ?
Le délai part de la fin du trimestre de référence. La date de référence dépend du document délivré : fin de la formation pour une attestation, début de validité pour un justificatif de réussite.
Exemple 1 · Formation terminée le 3 octobre 2026
Le 3 octobre appartient au 4e trimestre 2026. Le point de départ est la fin du trimestre, soit le 31 décembre 2026. Avec le délai transitoire de 9 mois, la déclaration doit être réalisée avant le 30 septembre 2027.
Cet exemple est celui présenté sur le portail officiel.
Exemple 2 · Formation terminée le 3 mars 2027
Le 3 mars appartient au 1er trimestre 2027. Le point de départ est le 31 mars 2027. Avec le délai de droit commun de 6 mois, la déclaration doit être réalisée avant le 30 septembre 2027.
2027 ne signifie pas “déclarer immédiatement”, mais il faut avoir un calendrier fiable par trimestre.
Comment éviter les erreurs de date
Ne calculez pas le délai à partir de la date du jour ou de la facture de formation. Utilisez le simulateur officiel et distinguez clairement attestation de formation et justificatif de réussite.
Accéder au simulateur officiel des délais ↗
Quand un organisme de formation intervient :
vérifier plutôt que ressaisir
L’organisme de formation renseigne les formations SST qu’il dispense pour le compte de l’entreprise. L’employeur dispose ensuite d’un rôle de contrôle : vérifier la déclaration et demander une correction si elle est incomplète ou inexacte.
Si vous ne vérifiez pas
Le décret prévoit qu’en l’absence de vérification de l’employeur dans le délai applicable, la déclaration de l’organisme est réputée vérifiée.
Autrement dit, la bonne pratique consiste à intégrer un contrôle périodique dans votre routine RH, plutôt que de compter sur une vérification occasionnelle.
Si l’organisme ne déclare pas
Le dispositif prévoit une reprise de la déclaration par l’employeur lorsque l’organisme n’a pas effectué sa déclaration dans le délai qui lui est imparti.
Le calendrier de cette reprise dépend du régime transitoire et du délai propre à l’organisme ; utilisez le simulateur officiel et votre tableau de suivi.
Automatique dans certains cas : le système d’information du CPF a vocation à alimenter automatiquement certaines certifications/habilitations SST et les formations bénéficiant de certains financements publics. Vérifiez avant de créer un doublon.
Comment déclarer concrètement ?
Deux portes d’entrée sont prévues pour l’employeur : le portail du Passeport de prévention ou l’accès au service depuis Net-entreprises.
Identifier la formation
Vérifiez son éligibilité avec le simulateur officiel avant toute saisie.
Choisir le type de déclaration
Attestation de formation ou justificatif de réussite.
Préparer les données
Intitulé, dates, modalité, bénéficiaires, compétences transférables et codes associés.
Choisir le canal
Saisie en ligne pour un volume limité ou import par fichier pour les déclarations nombreuses.
Contrôler le résultat
Conservez un tableau interne des sessions, dates de déclaration, anomalies et corrections.
Le portail officiel indique que l’import en masse est particulièrement utile lorsque les sessions concernent plus de 50 stagiaires.
Les 3 liens à garder
Conseil d’organisation
N’attendez pas la date limite : créez un rituel trimestriel. À chaque fin de trimestre, rapprochez formations internes + achats de formation + habilitations/autorisation + données RH et lancez les déclarations ou vérifications nécessaires.
Déclaration RH :
les données à préparer
La difficulté n’est pas le clic sur “Déclarer”. C’est la qualité des informations disponibles. Une entreprise qui structure les données en amont transforme la déclaration en routine, au lieu d’en faire une enquête de fin d’année.
Informations sur la formation
Informations sur le titulaire
Le fichier maître à créer dans l’entreprise
Construisez un tableau unique avec une ligne par salarié et par formation : salarié → formation → catégorie → preuve → date de référence → responsable de déclaration → date limite → statut → anomalie.
Ce tableau devient votre “tour de contrôle” pour 2027 et peut être rapproché du SIRH, du LMS, du plan de développement des compétences et de la GEPP/GPEC afin d’éviter les doubles saisies.
Droits des salariés :
mobilité, données RH et cas particuliers
Le Passeport de prévention est attaché au titulaire. Il n’est donc pas un simple “dossier employeur”. Cette logique change la manière de penser la portabilité des compétences et l’accès aux données.
Accès du titulaire
Le portail officiel annonce l’ouverture de l’espace travailleurs au 16 novembre 2026. Ils pourront consulter les déclarations effectuées et compléter leur passeport dans certains cas.
Consultation par l’employeur
L’employeur peut consulter et conserver les données nécessaires au suivi de ses obligations en matière de formation SST, sauf opposition du titulaire, et sous réserve du respect du RGPD, de la loi Informatique et Libertés et des règles d’accès définies dans le SIRH.
Cas de l’intérim
Le Code du travail prévoit un mécanisme spécifique : lorsque la formation est dispensée à un salarié temporaire à l’initiative de l’entreprise utilisatrice, l’entreprise de travail temporaire alimente le passeport après information de l’entreprise utilisatrice, sauf lorsqu’un organisme de formation déclare directement.
Le passeport facilite la traçabilité, mais il ne dispense jamais l’employeur de vérifier qu’un salarié dispose effectivement de la formation adaptée à son poste, à ses risques et aux exigences internes.
Risque juridique :
plan d’action employeur sur 30 jours
Le principal risque opérationnel n’est pas seulement “d’oublier une saisie”. C’est de ne pas savoir qui devait déclarer quoi, pour qui et avant quelle date.
Service-Public renvoie à l’article L4741-1 du Code du travail pour le manquement à l’obligation de renseignement. Cet article prévoit une amende de 10 000 € pour les manquements relevant de son champ.
Le même article prévoit, en cas de récidive, un an d’emprisonnement et 30 000 € d’amende ; l’amende est susceptible d’être appliquée autant de fois qu’il y a de travailleurs concernés.
Prudence juridique : l’application d’une sanction dépend de la qualification précise du manquement et de la situation. Ce guide est informatif et ne remplace pas un conseil juridique.
Votre plan d’action en 6 étapes
Nommer un pilote
RH, prévention, formation ou tiers déclarant : une personne doit être responsable de la chaîne de déclaration.
Cartographier les formations SST
Listez les formations internes et externes réalisées depuis le 16 mars 2026 et classez-les par catégorie.
Calculer les échéances
Ajoutez une date limite à chaque ligne via le simulateur officiel.
Vérifier les organismes
Contrôlez les déclarations des prestataires, surtout sur les formations structurantes : CACES, amiante, habilitations.
Préparer 2027
Ajoutez dès maintenant les catégories 3 et 4 à votre fichier maître même si l’obligation employeur débute au 1er janvier.
Mettre en place un contrôle trimestriel
À chaque fin de trimestre : déclaration, vérification, correction et archivage des preuves.
IA Act & prévention :
intégrer l’IA dans la maîtrise des risques
L’IA devient un sujet de prévention lorsqu’elle modifie le travail, l’organisation ou la décision. Mais l’AI Act et le Passeport de prévention sont deux cadres différents : une formation IA n’est donc pas automatiquement à renseigner dans le Passeport.
Depuis le 2 février 2025, fournisseurs et déployeurs doivent prendre des mesures pour soutenir le développement de la maîtrise de l’IA des personnes qui utilisent ou exploitent ces systèmes pour leur compte.
Le règlement (UE) 2026/1744, entré en vigueur en juillet 2026, n’impose plus de garantir un niveau individuel déterminé. Les mesures restent à adapter aux connaissances, à l’expérience, à la formation et au contexte d’usage.
Les autorités nationales de surveillance du marché peuvent superviser et faire appliquer l’article 4 depuis août 2026.
Traçabilité RH : conserver les preuves des sensibilisations, formations, guides, consignes, chartes IA et procédures internes. Aucun certificat externe spécifique n’est imposé par l’article 4.
Quand l’IA rejoint la prévention SST
Plafond maximal pour les pratiques d’IA prohibées ; pour une entreprise, référence au CA annuel mondial total.
Notamment obligations des déployeurs de l’art. 26 et certaines obligations de transparence de l’art. 50, lorsqu’elles sont applicables.
Informations inexactes, incomplètes ou trompeuses fournies à une autorité ou à un organisme notifié en réponse à une demande.
Charte IA : attention au raccourci. L’AI Act n’impose pas un document obligatoirement nommé « charte IA » et il n’existe pas une amende autonome de 35 M€ / 7 % pour « absence de charte ». La charte est un outil de gouvernance et de preuve. Un manquement aux obligations qu’elle doit concrétiser peut, lui, relever du régime applicable : article 4 via les mesures et sanctions nationales ; article 26 ou 50 jusqu’à 15 M€ / 3 % lorsqu’ils s’appliquent. Pour les PME, l’article 99 prévoit le plafond le plus faible entre le montant fixe et le pourcentage.
RH & IA :
les usages qui demandent le plus de vigilance
L’Annexe III de l’AI Act classe certains usages RH parmi les systèmes à haut risque. L’objectif n’est pas d’interdire l’IA, mais de renforcer gouvernance, compétences, contrôle humain et traçabilité.
Sélection & filtrage
Analyse ou filtrage des candidatures et évaluation de candidats lorsque le système entre dans le périmètre à haut risque.
Promotion & mobilité interne
IA utilisée pour recommander, filtrer ou décider une promotion, une mobilité interne, un changement de poste ou une rupture lorsqu’elle entre dans le périmètre de l’Annexe III.
Affectation des tâches
Attribution de tâches fondée sur le comportement ou certaines caractéristiques individuelles.
Suivi & performance
Surveillance ou évaluation des performances et du comportement lorsqu’elles relèvent des usages visés par l’Annexe III.
Après l’AI Omnibus de juillet 2026, les règles concernant les systèmes à haut risque de l’Annexe III doivent s’appliquer à compter du 2 décembre 2027.
L’article 26 prévoit notamment une supervision humaine confiée à des personnes ayant la compétence, la formation, l’autorité et le soutien nécessaires.
IA Act ≠ Passeport de prévention
Approche Avantage Digital : relier charte IA + DUERP + SIRH + plan de développement des compétences lorsque l’usage modifie réellement le travail : outils autorisés, données RH interdites, niveau de risque, validation humaine, procédure d’escalade et compétence attendue.
Cybersécurité :
transformer les salariés en première ligne de vigilance
Phishing, piratage de comptes, rançongiciels, appareils mobiles ou fraude par ingénierie sociale touchent directement le travail. La sensibilisation cyber est une mesure de prévention utile, mais elle n’entre pas automatiquement dans le Passeport de prévention.
Les 6 réflexes à entraîner
Cybermalveillance.gouv.fr recommande de sensibiliser les collaborateurs aux principales menaces et aux comportements à adopter.
SensCyber propose trois modules, environ deux heures d’e-sensibilisation et une attestation. SecNumAcadémie complète cette approche avec les fondamentaux de la cybersécurité.
À ne pas confondre : l’existence d’une attestation de sensibilisation cyber ne suffit pas, à elle seule, à rendre la formation éligible au Passeport de prévention.
IA & cybersécurité :
quand l’IA élargit la surface de risque
L’IA accélère les usages, mais aussi certaines erreurs : partage de données, outils non validés, fraude plus crédible et automatisations qui exécutent trop vite. La prévention doit donc combiner règles, compétences et contrôle humain.
Fuite d’informations
Copie de données clients, RH, techniques ou confidentielles dans un outil non autorisé.
Prompt injection
Une IA connectée à des documents ou au web peut recevoir des instructions malveillantes cachées.
Deepfakes & fraude
Imitation de voix, vidéo ou identité pour provoquer un paiement, une divulgation ou une action urgente.
Shadow AI
Multiplication d’outils non validés et de comptes personnels utilisant des données de l’entreprise.
Dépendance automatique
Exécution d’une recommandation IA sans contrôle lorsqu’elle touche un processus critique.
Réaction à l’incident
Le salarié doit savoir suspendre l’action, alerter et conserver les éléments nécessaires à l’analyse.
Est-ce déclarable dans le Passeport ?
Pas par principe. Le décret ne crée pas de catégorie autonome « cybersécurité ».
Si un risque numérique est directement lié à la santé ou à la sécurité au travail - par exemple dans un environnement industriel ou un système pouvant affecter la sécurité physique - l’éligibilité éventuelle doit être appréciée au cas par cas.
Le socle de prévention 2027
Une même logique : identifier le risque → former → tracer → tester les réflexes → améliorer. Les cadres juridiques restent distincts, mais la gouvernance peut être cohérente.
Passeport de prévention :
votre organisation RH est-elle prête pour 2027 ?
Utilisez cette page en réunion RH / prévention. Une case non cochée signale un point à sécuriser avant la prochaine échéance.
Organisation
Déclaration
Données & preuves
Préparation 2027
Objectif : passer d’une logique “on déclarera quand il faudra” à une logique processus → données → échéance → preuve.
Sources officielles :
les liens à conserver dans vos favoris
Le Passeport de prévention continue de se déployer. Pour toute décision, vérifiez la version la plus récente des sources officielles ci-dessous.
Note méthodologique
Le présent guide synthétise les informations officielles disponibles au 1er septembre 2026. Il privilégie les textes et portails publics. Le dispositif étant encore en phase de déploiement, certaines interfaces, dictionnaires de données ou échéances pratiques peuvent être précisées ultérieurement.
Ce document est informatif et ne constitue pas un avis juridique.
Avantage Digital
Nous accompagnons les entreprises dans la structuration des compétences, des processus RH, de la formation professionnelle et de la transformation digitale. Le bon réflexe : partir du processus avant d’ajouter un outil.
Passeport de prévention 2027 :
évitez l’urgence administrative
La bonne méthode tient en quatre mots : recenser, qualifier, déclarer, vérifier. En structurant les données maintenant, l’élargissement aux quatre catégories au 1er janvier 2027 devient un processus maîtrisé plutôt qu’un rattrapage.
Échanger sur votre plan de développement des compétences & vos processus RHLa règle simple
« Une obligation devient coûteuse lorsqu’elle arrive sans processus. Avec un responsable, une donnée fiable et une échéance connue, elle redevient une routine. »
