L’AI Act impose de savoir precisement quels systemes d’intelligence artificielle tournent dans votre organisation. Mais votre registre RGPD, aussi complet soit-il, ne repond pas a cette question. Voici pourquoi un second inventaire devient vite indispensable.
Qu’est-ce qu’un registre des systemes d’IA ?
C’est l’inventaire structure de tous les systemes d’intelligence artificielle utilises par votre organisation. Il recense chaque outil, son fournisseur, sa finalite et son niveau de risque.
L’AI Act ne raisonne pas en traitement de donnees, mais en systeme. La logique change. Un meme logiciel peut porter plusieurs fonctions IA a cartographier separement.
Ce registre devient votre socle de preuve. En cas de controle, il montre que vous maitrisez ce que vos outils font reellement, et pas seulement ce qu’ils promettent.
Le point de depart le plus efficace existe deja chez vous. Votre registre des traitements, avec son guide et son modele, liste toutes les activites qui mobilisent des donnees. Il suffit d’y reperer celles portees par de l’IA.
Pourquoi le registre RGPD ne suffit-il pas ?
Le registre des traitements decrit des finalites, des donnees et des bases legales. Il ignore la dimension technique propre a l’IA.
Un systeme d’IA souleve des questions absentes du registre classique : entrainement du modele, jeux de donnees sources, biais, explicabilite, surveillance humaine. Ces elements n’ont aucune case dediee.
Beaucoup d’usages echappent au radar. L’IA arrive souvent par le shadow IT, ce phenomene massif et silencieux : un assistant integre a une suite bureautique, une fonction de scoring activee par defaut. Ces briques ne figurent nulle part.
L’enjeu n’est pas theorique. Un systeme mal classe expose a des obligations manquees. A l’inverse, un usage anodin surdocumente fait perdre un temps precieux. La classification par risque oriente donc tout l’effort de conformite.
Recenser tous vos systemes d’IA, les classer par risque et documenter la surveillance humaine demande une methode et du temps. Un accompagnement par un DPO externe pour piloter votre conformite IA securise cette double cartographie sans mobiliser vos equipes en interne.
Comment cartographier concretement vos usages d’IA ?
Commencez par une collecte terrain, service par service. Interrogez les metiers sur les outils qu’ils utilisent vraiment, y compris les abonnements souscrits sans validation.
Pour chaque systeme identifie, documentez les memes champs.
| Champ | Ce qu’il faut documenter |
|---|---|
| Nom et fournisseur | Editeur, version, role tenu (fournisseur ou deployeur) |
| Finalite | Usage metier precis du systeme |
| Niveau de risque | Inacceptable, haut, limite ou minimal |
| Donnees traitees | Categories concernees et personnes visees |
| Surveillance humaine | Qui controle et comment intervenir |
Classez ensuite chaque systeme selon les quatre niveaux de risque du reglement. Ce classement conditionne vos obligations, de la simple transparence a l’analyse d’impact complete.
Croisez le tableau avec les bases legales du RGPD pour reperer les systemes les plus sensibles.
Comment relier les deux registres sans tout dupliquer ?
La cle est le point de jonction. Chaque systeme d’IA qui traite des donnees personnelles doit pointer vers le traitement correspondant dans votre registre.
Vous evitez ainsi la double saisie. Le registre RGPD garde les finalites et les bases legales, le registre IA ajoute la couche technique et le niveau de risque.
Reliez les deux avec quelques informations simples.
- Un identifiant commun entre les deux registres
- Un renvoi vers la base legale du traitement
- La mention du fournisseur et du sous-traitant
- La date de derniere revue du systeme
Une revue reguliere maintient l’ensemble vivant. Fixez une frequence, par exemple semestrielle, et un declencheur a chaque nouvel outil deploye. Un registre fige perd sa valeur de preuve en quelques mois.
Cette articulation transforme deux documents separes en une vue unique de votre conformite. Pour anticiper les zones de friction, comprendre l’intelligence artificielle face au defi du RGPD reste un prealable utile. La CNIL detaille ses attentes sur l’intelligence artificielle et actualise ses recommandations.
FAQ
Le registre des systemes d’IA est-il obligatoire ?
L’AI Act n’impose pas un document unique nomme registre des systemes d’IA. En revanche, il exige une documentation, une classification par risque et une gouvernance des systemes. Tenir un inventaire structure reste le moyen le plus fiable de prouver cette maitrise lors d’un controle.
Qui doit tenir ce registre dans l’entreprise ?
La responsabilite revient au responsable de traitement, souvent epaule par le delegue a la protection des donnees. Les directions metiers, l’informatique et les achats alimentent l’inventaire. Sans cette collecte transversale, des systemes restent invisibles. Une gouvernance claire evite que la cartographie ne devienne l’affaire d’une seule personne debordee.
Quelle difference entre fournisseur et deployeur d’IA ?
Le fournisseur developpe ou met sur le marche le systeme d’IA sous son nom. Le deployeur l’utilise sous sa propre autorite dans un cadre professionnel. La plupart des entreprises francaises sont deployeurs. Ce statut declenche des obligations precises : information des personnes, surveillance humaine et suivi des incidents.
A quelle date l’AI Act devient-il applicable ?
Le reglement europeen sur l’intelligence artificielle s’applique par etapes. Les pratiques interdites le sont depuis fevrier 2025. Le 2 aout 2026 marque une etape majeure, avec une large part du dispositif de gouvernance et des obligations pour de nombreux systemes deployes dans les organisations.
