Registre des systèmes d'IA : modèle et mode d'emploi

Ce que l’AI Act exige vraiment, les dix colonnes utiles, et comment le relier au registre RGPD que vous devez sans doute déjà tenir.

À jour au 14 septembre 2026 — AI Act & RGPD

L’AI Act n’impose pas à une PME qui utilise l’IA de tenir un « registre des systèmes d’IA » sous ce nom. C’est pourtant le premier document à produire : sans liste de vos outils et de leurs usages, vous ne pouvez démontrer le respect d’aucune des obligations qui, elles, s’appliquent.

Obligatoire ou pas ? La réponse exacte

Commençons par dissiper une confusion fréquente, entretenue par certaines offres commerciales.

  • Pas d’obligation autonome pour les entreprises utilisatrices. Aucun article du règlement (UE) 2024/1689 ne demande à une entreprise privée qui utilise l’IA de tenir un inventaire en tant que tel.

  • L’enregistrement dans la base de données européenne ne vous concerne pas. L’article 49 vise les fournisseurs de systèmes à haut risque et les autorités publiques qui en déploient, pas les PME utilisatrices.

  • Mais trois obligations supposent de savoir ce que vous utilisez. Les mesures de littératie IA de l’article 4 se ciblent sur les personnes qui utilisent des outils précis. Les obligations de transparence de l’article 50 dépendent des usages. Et les obligations de l’article 26 ne visent que les usages à haut risque — encore faut-il les avoir repérés.

Autrement dit, le registre n’est pas l’obligation : c’est la preuve. En l’absence de standard officiel, c’est la pièce la moins coûteuse pour démontrer votre bonne foi.

Le registre que vous devez sûrement déjà tenir : celui du RGPD

Il existe en revanche un registre obligatoire que beaucoup de PME croient ne pas les concerner : le registre des activités de traitement de l’article 30 du RGPD.

Les entreprises de moins de 250 salariés bénéficient d’une dérogation, mais elle est étroite. Selon la CNIL, doivent tout de même y figurer les traitements non occasionnels (paie, gestion des clients), les traitements susceptibles de présenter un risque (géolocalisation, vidéosurveillance) et ceux qui portent sur des données sensibles. En pratique, presque toutes les entreprises sont concernées.

Conséquence directe : un outil d’IA qui traite des données personnelles — un logiciel qui trie des CV, un assistant qui résume des échanges avec des clients — doit apparaître dans votre registre RGPD. Le registre des systèmes d’IA et le registre RGPD ne se remplacent pas : ils se complètent.

À vérifier en même temps. La CNIL range parmi les traitements qui exigent une analyse d’impact (AIPD) ceux qui établissent des profils de personnes à des fins de gestion des ressources humaines, comme la sélection de candidats par algorithme. Si votre inventaire fait apparaître un tel usage, l’AIPD est une obligation du RGPD, applicable dès maintenant.

Les dix colonnes utiles

Un registre utile tient dans un tableur. Pour chaque usage — et non pour chaque outil, nous y revenons —, renseignez :

  1. L’outil et son éditeur.

  2. L’offre souscrite — gratuite, individuelle ou entreprise — et l’existence d’un accord de traitement des données.

  3. L’usage précis : ce que l’outil fait chez vous, en une phrase.

  4. Le service et les utilisateurs.

  5. Les données transmises : aucune donnée personnelle, données personnelles, données sensibles, secrets d’affaires.

  6. Le niveau de risque au sens de l’AI Act — interdit, haut risque, risque limité, risque minimal — avec une phrase de justification.

  7. Les obligations qui en découlent : transparence, supervision humaine, information des personnes, AIPD.

  8. Les mesures en place : formation, règle de relecture, mention d’information.

  9. Le responsable de l’usage.

  10. La date de la dernière revue.

Classer le risque : l’usage, pas l’outil

C’est l’erreur la plus répandue. Le même logiciel peut relever de deux niveaux différents selon ce que vous en faites.

  • Interdit — par exemple, analyser les émotions de salariés ou de candidats à partir de leur visage ou de leur voix. L’usage doit cesser.

  • Haut risque — les usages de l’annexe III, dont le tri de candidatures, l’évaluation des salariés ou la notation de crédit des particuliers. Régime complet à partir du 2 décembre 2027, RGPD applicable dès aujourd’hui.

  • Risque limité — un chatbot qui dialogue avec vos clients, des images ou vidéos générées d’apparence réelle : obligations de transparence de l’article 50, applicables depuis le 2 août 2026.

  • Risque minimal — rédiger un brouillon de courrier, résumer un document interne sans donnée sensible. Pas d’obligation spécifique au titre de l’AI Act, mais les mesures de l’article 4 valent pour tous les usages.

Exemple : trois lignes remplies

  • Assistant de rédaction, offre entreprise, service commercial. Rédaction de propositions commerciales, sans donnée personnelle de clients. Risque minimal. Mesures : règle écrite sur les données interdites, relecture avant envoi. Responsable : directrice commerciale. Revue : septembre 2026.

  • Chatbot du site internet, prestataire externe, service client. Réponses aux questions des visiteurs, données personnelles possibles. Risque limité. Obligations : informer le visiteur qu’il échange avec une IA, inscrire le traitement au registre RGPD. Responsable : responsable marketing. Revue : septembre 2026.

  • Module de présélection d’un logiciel de recrutement, service RH. Classement des candidatures, données personnelles. Haut risque (annexe III). Obligations : décision humaine réelle et information des candidats dès maintenant au titre du RGPD, AIPD, régime de l’article 26 à partir du 2 décembre 2027. Responsable : DRH. Revue : chaque trimestre.

Sur ce dernier cas, voyez notre article Trier des candidatures avec l’IA : est-ce autorisé ?

Les quatre erreurs qui vident le registre de sa valeur

  1. Ne recenser que les outils officiels. Les outils gratuits utilisés à titre personnel par les salariés sont souvent les plus nombreux. Posez la question à chaque service, sans esprit de sanction.

  2. Classer l’outil au lieu de l’usage. Voyez plus haut.

  3. Ne pas dater. Un registre sans date ne démontre aucune antériorité.

  4. Ne jamais le relire. Revoyez-le à chaque nouvel outil et au moins une fois par an. Une colonne « revu le » suffit à montrer que le dispositif est vivant.

Par où commencer, cette semaine

  1. Envoyez à chaque responsable de service une question simple : « Quels outils utilisant de l’IA, gratuits ou payants, votre équipe utilise-t-elle, et pour quoi faire ? »

  2. Reportez chaque réponse dans le tableur, une ligne par usage.

  3. Classez le risque, en commençant par écarter tout usage interdit.

  4. Pour chaque usage qui traite des données personnelles, vérifiez qu’il figure dans votre registre RGPD.

  5. Datez, et fixez la prochaine revue.

Le kit de conformité — 199 €

Le kit fait les étapes 2, 3 et 5 avec vous. Vous renseignez votre raison sociale et vos outils ; il classe chaque usage par niveau de risque, vous alerte en cas de pratique interdite et génère à votre nom votre registre des systèmes d’IA avec les obligations applicables, votre politique d’usage de l’IA, votre journal des usages sensibles et une note d’information au personnel.

Obtenir le kit →

Pas encore prêt ? Commencez par la check-list AI Act gratuite : 10 points à vérifier en 15 minutes.

À lire ensuite

Sources

Cet article présente l’état du droit à la date indiquée. Il ne constitue pas un conseil juridique et ne se substitue pas à l’analyse d’un conseil pour une situation particulière.

Recevez les prochains articles par email. Un article par semaine sur l'IA, le RGPD et l'AI Act en entreprise, gratuit : s'abonner à IA en Règle.

Commentaires

Enregistrer un commentaire

Posts les plus consultés de ce blog

ChatGPT en entreprise : ce qui est autorisé, et ce qui ne l'est pas

Oui, vous pouvez utiliser ChatGPT au travail. Les vraies questions sont : quelle version, avec quelles données, et selon quelle règle. À jour au 14 septembre 2026 — IA générative, RGPD & AI Act Utiliser ChatGPT ou un autre assistant d’IA en entreprise est autorisé. Ce qui pose problème, ce sont trois pratiques très répandues : utiliser une version grand public pour des données de travail, y coller des données personnelles sans cadre, et laisser chacun faire sans règle écrite. La différence qui compte : offre grand public ou offre professionnelle Tout se joue sur l’offre utilisée, pas sur le nom de l’outil. Prenons l’exemple de ChatGPT, d’après les informations publiées par OpenAI. Versions gratuite et Plus. Les conversations peuvent servir à améliorer les modèles, sauf si l’utilisateur désactive l’option dans Paramètres, Contrôles des données, « Améliorer le modèle pour tout le monde ». Aucun accord de traitement des données n’est signé avec l’entreprise. Offres Business et Enter...
Lire la suite

Conformité AI Act pour les PME : ce qu'il faut faire, concrètement

Cinq actions, dans l'ordre, et le calendrier exact de ce qui s'applique déjà — ou pas encore. À jour au 14 septembre 2026 — AI Act & PME Pour une PME qui utilise l’IA sans la développer, la conformité AI Act tient en cinq actions. Trois concernent des obligations déjà applicables, une prépare l’échéance de décembre 2027, et la dernière vous sert de preuve si la question vous est un jour posée. Avant de commencer, une précision qui évite beaucoup d’inquiétudes inutiles : la grande majorité des obligations lourdes du règlement pèsent sur ceux qui fabriquent les systèmes d’IA, pas sur ceux qui les utilisent. Êtes-vous concerné ? Le règlement distingue le fournisseur , qui développe et met sur le marché un système d’IA, et le déployeur , qui l’utilise dans le cadre de son activité professionnelle. Si votre entreprise utilise un outil qui contient de l’IA, vous êtes déployeur. Et c’est plus fréquent qu’on ne le pense : un assistant de rédaction, un CRM qui note vos prospects, ...
Lire la suite