Ce que le règlement impose, et ce qu'il n'impose pas
L'article 12 prévoit des obligations d'enregistrement automatique pour les systèmes à haut risque, et l'article 26 impose aux déployeurs de ces systèmes de conserver les journaux générés. Pour un usage courant d'IA générative en PME, aucune obligation formelle de registre n'existe.
Nous préférons le dire plutôt que de vendre une obligation imaginaire. Le registre ne se justifie pas par le texte. Il se justifie par la preuve.
Trois situations où il change tout
Un contrôle. L'autorité ne demandera pas votre registre par son nom. Elle demandera quels systèmes d'IA vous utilisez, pour quelles finalités, depuis quand, et quelles mesures vous avez prises. Sans document, la réponse se construit dans l'urgence et se contredit d'un interlocuteur à l'autre.
Un appel d'offres. Les questionnaires fournisseurs des grands comptes intègrent désormais des rubriques sur l'usage de l'IA. Un tableur à jour se joint en trente secondes. Sans lui, le dossier part incomplet.
Un incident. Une fuite de données clients dans un prompt, une décision fondée sur une sortie erronée. Le registre est ce qui permet de dire quel outil, quel service, quelles données, et de circonscrire.
Les colonnes à prévoir
| Colonne | Pourquoi elle sert |
|---|---|
| Nom de l'outil et éditeur | Identifie le fournisseur et donc le partage des responsabilités |
| Usage et finalité | Détermine si l'article 50 s'applique |
| Service ou personne responsable | Désigne un interlocuteur en cas de question |
| Types de données traitées | Fait le lien avec votre registre RGPD |
| Contact avec le public, oui ou non | Déclenche ou non l'obligation de signalement |
| Lieu d'hébergement des données | Question systématique en appel d'offres |
| Date de mise en service | Situe l'usage par rapport aux échéances réglementaires |
| Mesures prises | Mention affichée, charte signée, formation suivie |
Huit colonnes suffisent. Un registre de trente colonnes n'est jamais tenu à jour, et un registre obsolète est pire qu'aucun registre : il documente votre négligence.
L'erreur la plus fréquente
Ne recenser que les outils achetés. Dans la plupart des PME, l'essentiel de l'usage réel passe par des comptes gratuits ouverts par les salariés eux-mêmes, sans validation, souvent sans que la direction le sache.
Le recensement honnête commence par une question posée à chaque service : quels outils utilisez-vous réellement, y compris ceux que vous n'avez pas déclarés. Sans reproche, sinon la réponse sera fausse. C'est aussi la raison pour laquelle la charte d'usage et le registre se construisent ensemble.
Articulation avec le registre RGPD
Les deux documents se recoupent sans se confondre. Le registre des traitements de l'article 30 du RGPD décrit des traitements de données personnelles. Le registre des usages d'IA décrit des systèmes, y compris ceux qui ne touchent aucune donnée personnelle, comme un générateur d'images.
La bonne pratique consiste à ajouter une colonne de renvoi de l'un vers l'autre. Un outil d'IA qui traite des données personnelles doit apparaître dans les deux.
À quelle fréquence le mettre à jour
Deux fois par an suffit pour une PME stable, plus une mise à jour à chaque nouvel outil déployé. Ce qui compte, c'est que la date de dernière revue figure en tête du document. Un registre daté de dix-huit mois envoie un signal plus mauvais qu'un registre plus court mais revu le mois dernier.
Le modèle
Notre pack Conformité Article 50 livre le registre sous forme de tableur éditable, préstructuré par outil et par usage, avec les colonnes ci-dessus et un onglet d'exemples remplis correspondant aux outils les plus courants en PME. Il est accompagné de la charte d'usage salariés et de la procédure de marquage des contenus.
Questions fréquentes
Le registre des usages d'IA est-il obligatoire ?
Non, pas pour un usage courant d'IA générative en PME. Les obligations d'enregistrement des articles 12 et 26 visent les systèmes à haut risque. Le registre reste toutefois le moyen le plus simple de prouver votre conformité en contrôle ou en appel d'offres.
Peut-on fusionner le registre IA et le registre RGPD ?
Ce n'est pas recommandé. Ils n'ont pas le même objet : l'un décrit des traitements de données personnelles, l'autre des systèmes d'IA, y compris ceux qui n'en traitent aucune. Mieux vaut deux documents avec une colonne de renvoi.
Faut-il y inscrire les comptes ChatGPT gratuits des salariés ?
Oui, et c'est souvent l'essentiel de l'usage réel. Un registre qui ne recense que les outils achetés donne une image fausse de votre exposition.
Où en est votre entreprise ?
25 questions, cinq minutes, et vous obtenez votre score, vos trois priorités et votre exposition chiffrée. Gratuit, sans engagement et sans carte bancaire.
Faire mon diagnostic gratuit