Registre des systèmes d’IA : modèle et mode d’emploi
Ce que l’AI Act exige vraiment, les dix colonnes utiles, et comment le relier au registre RGPD que vous devez sans doute déjà tenir.
À jour au 14 septembre 2026 — AI Act & RGPD
L’AI Act n’impose pas à une PME qui utilise l’IA de tenir un « registre des systèmes d’IA » sous ce nom. C’est pourtant le premier document à produire : sans liste de vos outils et de leurs usages, vous ne pouvez démontrer le respect d’aucune des obligations qui, elles, s’appliquent.
Check-list gratuite. Faites le point en 15 minutes sur les 10 points AI Act et RGPD à vérifier dans votre PME. Ouvrir la check-list →
Obligatoire ou pas ? La réponse exacte
Commençons par dissiper une confusion fréquente, entretenue par certaines offres commerciales.
-
Pas d’obligation autonome pour les entreprises utilisatrices. Aucun article du règlement (UE) 2024/1689 ne demande à une entreprise privée qui utilise l’IA de tenir un inventaire en tant que tel.
-
L’enregistrement dans la base de données européenne ne vous concerne pas. L’article 49 vise les fournisseurs de systèmes à haut risque et les autorités publiques qui en déploient, pas les PME utilisatrices.
-
Mais trois obligations supposent de savoir ce que vous utilisez. Les mesures de littératie IA de l’article 4 se ciblent sur les personnes qui utilisent des outils précis. Les obligations de transparence de l’article 50 dépendent des usages. Et les obligations de l’article 26 ne visent que les usages à haut risque — encore faut-il les avoir repérés.
Autrement dit, le registre n’est pas l’obligation : c’est la preuve. En l’absence de standard officiel, c’est la pièce la moins coûteuse pour démontrer votre bonne foi.
Les quatre documents, déjà rédigés. Le kit de conformité AI Act réunit la politique d’usage, le registre des systèmes d’IA, le journal des usages sensibles et la note d’information au personnel. Vous saisissez vos informations, chaque document se met en forme, vous l’imprimez ou vous l’enregistrez en PDF.
Essayer un des quatre documents — remplir et voir le résultat →
Facture fournie. Remboursement sous 14 jours, sans justification.
Le registre que vous devez sûrement déjà tenir : celui du RGPD
Il existe en revanche un registre obligatoire que beaucoup de PME croient ne pas les concerner : le registre des activités de traitement de l’article 30 du RGPD.
Les entreprises de moins de 250 salariés bénéficient d’une dérogation, mais elle est étroite. Selon la CNIL, doivent tout de même y figurer les traitements non occasionnels (paie, gestion des clients), les traitements susceptibles de présenter un risque (géolocalisation, vidéosurveillance) et ceux qui portent sur des données sensibles. En pratique, presque toutes les entreprises sont concernées.
Conséquence directe : un outil d’IA qui traite des données personnelles — un logiciel qui trie des CV, un assistant qui résume des échanges avec des clients — doit apparaître dans votre registre RGPD. Le registre des systèmes d’IA et le registre RGPD ne se remplacent pas : ils se complètent.
À vérifier en même temps. La CNIL range parmi les traitements qui exigent une analyse d’impact (AIPD) ceux qui établissent des profils de personnes à des fins de gestion des ressources humaines, comme la sélection de candidats par algorithme. Si votre inventaire fait apparaître un tel usage, l’AIPD est une obligation du RGPD, applicable dès maintenant.
Les dix colonnes utiles
Un registre utile tient dans un tableur. Pour chaque usage — et non pour chaque outil, nous y revenons —, renseignez :
-
L’outil et son éditeur.
-
L’offre souscrite — gratuite, individuelle ou entreprise — et l’existence d’un accord de traitement des données.
-
L’usage précis : ce que l’outil fait chez vous, en une phrase.
-
Le service et les utilisateurs.
-
Les données transmises : aucune donnée personnelle, données personnelles, données sensibles, secrets d’affaires.
-
Le niveau de risque au sens de l’AI Act — interdit, haut risque, risque limité, risque minimal — avec une phrase de justification.
-
Les obligations qui en découlent : transparence, supervision humaine, information des personnes, AIPD.
-
Les mesures en place : formation, règle de relecture, mention d’information.
-
Le responsable de l’usage.
-
La date de la dernière revue.
Classer le risque : l’usage, pas l’outil
C’est l’erreur la plus répandue. Le même logiciel peut relever de deux niveaux différents selon ce que vous en faites.
-
Interdit — par exemple, déduire les émotions de salariés ou de candidats à partir de leur visage ou de leur voix, hors raisons médicales ou de sécurité. L’usage doit cesser.
-
Haut risque — les usages visés par l’annexe III, point 4 notamment, dont le tri de candidatures et l’évaluation des salariés, ou la notation de crédit des particuliers : en principe à haut risque, sauf exceptions de l’article 6, paragraphe 3. Régime complet à partir du 2 décembre 2027, RGPD applicable dès aujourd’hui.
-
Risque limité — un chatbot qui dialogue avec vos clients, des images ou vidéos générées d’apparence réelle : obligations de transparence de l’article 50, applicables depuis le 2 août 2026.
-
Risque minimal — rédiger un brouillon de courrier, résumer un document interne sans donnée sensible. Pas d’obligation spécifique au titre de l’AI Act, mais les mesures de l’article 4 valent pour tous les usages.
Exemple : trois lignes remplies
-
Assistant de rédaction, offre entreprise, service commercial. Rédaction de propositions commerciales, sans donnée personnelle de clients. Risque minimal. Mesures : règle écrite sur les données interdites, relecture avant envoi. Responsable : directrice commerciale. Revue : septembre 2026.
-
Chatbot du site internet, prestataire externe, service client. Réponses aux questions des visiteurs, données personnelles possibles. Risque limité. À vérifier : la mention indiquant au visiteur qu’il échange avec une IA (obligation du fournisseur, article 50, paragraphe 1) et l’inscription du traitement au registre RGPD. Responsable : responsable marketing. Revue : septembre 2026.
-
Module de présélection d’un logiciel de recrutement, service RH. Classement des candidatures, données personnelles. Haut risque (annexe III). Obligations : décision humaine réelle et information des candidats dès maintenant au titre du RGPD, AIPD, régime de l’article 26 à partir du 2 décembre 2027. Responsable : DRH. Revue : chaque trimestre.
Sur ce dernier cas, voyez notre article Trier des candidatures avec l’IA : est-ce autorisé ?
Les quatre erreurs qui vident le registre de sa valeur
-
Ne recenser que les outils officiels. Les outils gratuits utilisés à titre personnel par les salariés sont souvent les plus nombreux. Posez la question à chaque service, sans esprit de sanction.
-
Classer l’outil au lieu de l’usage. Voyez plus haut.
-
Ne pas dater. Un registre sans date ne démontre aucune antériorité.
-
Ne jamais le relire. Revoyez-le à chaque nouvel outil et au moins une fois par an. Une colonne « revu le » suffit à montrer que le dispositif est vivant.
Par où commencer, cette semaine
-
Envoyez à chaque responsable de service une question simple : « Quels outils utilisant de l’IA, gratuits ou payants, votre équipe utilise-t-elle, et pour quoi faire ? »
Reportez chaque réponse dans le tableur, une ligne par usage.
-
Classez le risque, en commençant par écarter tout usage interdit.
-
Pour chaque usage qui traite des données personnelles, vérifiez qu’il figure dans votre registre RGPD.
Datez, et fixez la prochaine revue.
Le modèle de politique d’usage — gratuit
Les neuf clauses d’une politique d’usage de l’IA, déjà rédigées. Vous saisissez votre raison sociale, vos outils autorisés et votre responsable désigné ; le document se met en forme, vous l’imprimez ou vous l’enregistrez en PDF. Sans installation, sans compte à créer.
Gratuit. Une adresse email suffit pour le recevoir.
Le kit de conformité — 199 €
Le kit sert de support aux étapes 2, 3 et 5. Vous renseignez votre raison sociale, votre effectif et vos outils, et vous choisissez vous-même la catégorie de risque de chaque usage à l’aide d’un rappel des règles. Le kit met en forme votre registre des systèmes d’IA tel que vous l’avez renseigné, votre politique d’usage de l’IA, votre journal des usages sensibles et une note d’information au personnel.
Pas encore prêt ? Faites l’auto-diagnostic en 3 minutes ou commencez par la check-list AI Act gratuite : 10 points à vérifier en 15 minutes.
La newsletter. Un numéro tous les quinze jours : une question de conformité IA traitée avec les textes applicables et leurs dates, chaque affirmation sourcée. Gratuite, sans publicité. Lire le premier numéro — « Le premier risque de l’IA en entreprise n’est pas européen ».
À lire ensuite
Attestation de conformité AI Act : que répondre à un client qui la demande ?
-
Data Privacy Framework : ce qu’une PME doit vérifier avant d’utiliser une IA américaine
Sources
-
Règlement (UE) 2024/1689 sur l’intelligence artificielle, articles 4, 26, 49, 50 et annexe III, modifié par le règlement (UE) 2026/1744
Règlement (UE) 2016/679 (RGPD), articles 30 et 35
-
CNIL — Liste des traitements pour lesquels une analyse d’impact est requise
-
Praxikon — Un inventaire des systèmes d’IA est-il obligatoire ? (en anglais)
-
Commission européenne — Article 26 : obligations des déployeurs (en anglais)
Rédigé par Adrien Bano, fondateur d’IA en Règle. Nous ne sommes pas avocats : cet article a été préparé avec l’aide d’outils d’IA et vérifié sur les textes officiels cités.
Cet article présente l’état du droit à la date indiquée. Il ne constitue pas un conseil juridique et ne se substitue pas à l’analyse d’un conseil pour une situation particulière.
