Mettre en place un registre de l’IA : l’inventaire de toute l’IA de votre organisation
En bref
Un registre de l’IA recense tous les systèmes d’IA utilisés par votre organisation : quoi, pour quoi, avec quelles données, chez quel fournisseur et à quel niveau de risque. Il n’est pas légalement obligatoire pour toutes les organisations, mais sans cette vue d’ensemble, impossible de répondre aux questions de l’AI Act, du RGPD ou de NIS2. Commencez simple, avec les dix champs qui comptent, et reliez-le à votre registre des traitements.
Pourquoi un registre de l’IA est nécessaire
- Règlement sur l’IA : vous devez savoir si vous utilisez des pratiques interdites, où s’appliquent les obligations de transparence et quelles applications seront à haut risque. Voir Le règlement européen sur l’IA en 2026.
- RGPD : les applications d’IA qui traitent des données personnelles figurent au registre des traitements et exigent souvent une AIPD. Voir L’AIPD pour l’IA générative.
- NIS2 : les services d’IA sont des fournisseurs de votre chaîne. Voir NIS2 et IA.
- Maîtrise de l’IA : la formation nécessaire découle de l’IA que chacun utilise.
Les organismes publics ont leur propre voie : ceux qui déploient une IA à haut risque devront en enregistrer l’usage dans la base de données de l’UE. Aux Pays-Bas, l’administration publie déjà ses algorithmes à impact dans un registre national.
Quels champs y faire figurer ?
| Champ | Exemple |
|---|---|
| Nom et description | Assistant de synthèse du service client |
| Finalité | Résumer les demandes clients pour les transmissions |
| Responsable | Responsable du service client |
| Modèle et fournisseur | Modèle open-weight sur nœud interne ; ou service externe X |
| Où tourne-t-il ? | Salle serveur interne ; datacenter UE ; hors UE |
| Données | Nom du client, coordonnées, demande |
| Utilisateurs | Service client, 40 collaborateurs |
| Niveau de risque AI Act | Minimal ; transparence ; haut risque |
| AIPD et contrat de sous-traitance | AIPD réalisée le … ; non nécessaire (infrastructure interne) |
| Contrôle humain | Le collaborateur relit la synthèse avant envoi |
Comment le mettre en place
- Recenser largement. Pas seulement les outils connus de la DSI, mais aussi l’IA intégrée aux logiciels existants (CRM, SIRH, suite bureautique) et ce que les salariés utilisent d’eux-mêmes. Voir Shadow AI.
- Commencer simple. Dix champs dans un tableau partagé valent mieux qu’un système complexe que personne ne met à jour.
- L’intégrer aux processus existants. N’autoriser un nouvel outil d’IA qu’une fois inscrit au registre, et le relier au registre des traitements du DPO.
- Désigner un responsable du registre et un responsable par système.
- Réviser régulièrement, par exemple chaque trimestre et à chaque nouvel outil.
Moins de services d’IA dispersés, registre plus court
Chaque service d’IA externe est une ligne du registre avec ses propres questions : fournisseur, localisation, contrat de sous-traitance, transfert. Les organisations qui regroupent l’IA dans un environnement interne ont moins de lignes et des réponses plus simples.
Avec werqly, vos modèles et automatisations tournent sur un seul nœud interne. werqly AI Control indique par rôle quel modèle et quelle automatisation sont disponibles, et le journal d’audit montre ce qui est réellement utilisé. C’est la partie vivante de votre registre. Voir Qu’est-ce que l’IA privée ?
Questions fréquentes
Questions sur ce sujet
Un registre de l’IA est-il obligatoire ?
Pas pour toutes les organisations. Les organismes publics qui déploient une IA à haut risque devront en enregistrer l’usage dans la base de données de l’UE. Pour les autres, le registre est surtout le moyen de se conformer à l’AI Act, au RGPD et à NIS2.
Quelle différence avec le registre des traitements ?
Le registre des traitements du RGPD décrit les traitements de données personnelles. Le registre de l’IA décrit les systèmes d’IA, même sans données personnelles, avec des champs propres comme le modèle, le niveau de risque et le contrôle humain. Reliez les deux.
L’IA intégrée aux logiciels existants doit-elle y figurer ?
Oui. Les fonctions d’IA des CRM, SIRH et suites bureautiques traitent souvent les mêmes données sensibles que les outils d’IA dédiés. Elles ont leur place au registre, avec l’éditeur du logiciel comme acteur.
Qui gère le registre de l’IA ?
Désignez un responsable du registre, souvent issu des risques, de la conformité ou de l’équipe du RSSI, et un responsable métier par système. Travaillez étroitement avec le DPO, qui tient le registre des traitements.
Sources
- Règlement sur l’IA — règlement (UE) 2024/1689
- CNIL — Les fiches pratiques IA
- Registre des algorithmes de l’administration néerlandaise (néerlandais)
Cet article est une information générale, pas un conseil juridique. Les règles et les recommandations évoluent ; en cas de doute, consultez les sources citées ou votre juriste ou DPO.