Registre des outils d'IA : modèle et mode d'emploi

Un registre IA est un tableau qui recense chaque outil d'intelligence artificielle utilisé dans l'entreprise, avec ses usages autorisés, les données qu'on peut y saisir, son responsable et son niveau de risque. Aucun texte ne l'impose sous ce nom, mais il sert de base aux décisions et de preuve de votre démarche si on vous la demande.

Tenir le registre fait partie des missions du référent IA, qui le présente au comité IA. Cet article vous donne un modèle en 12 colonnes, la méthode pour classer chaque outil selon l'AI Act et la façon de le relier au registre RGPD.

Le registre IA est-il obligatoire ?

Pas en tant que tel. L'AI Act ne demande pas aux entreprises utilisatrices de tenir un inventaire de tous leurs outils d'IA. La base de données de l'Union européenne prévue par le règlement concerne surtout les fournisseurs de systèmes à haut risque et les déployeurs qui sont des autorités publiques. Elle ne remplace pas un inventaire interne.

Il reste très utile pour trois raisons :

• Il prouve votre démarche. L'article 4 de l'AI Act demande de prendre des mesures pour favoriser la maîtrise de l'IA du personnel. Savoir quels outils sont utilisés, par qui, est le point de départ de ces mesures. Notre article sur l'article 4 de l'AI Act détaille les preuves à conserver.
• Il alimente le registre RGPD. Chaque outil qui traite des données personnelles doit trouver sa place dans le registre des activités de traitement.
• Il rend les décisions traçables. Le comité IA sait ce qu'il a autorisé, à quelles conditions et jusqu'à quand.

Registre IA et registre RGPD : quelles différences ?

Les deux documents se ressemblent mais ne répondent pas à la même question. Le registre RGPD décrit des traitements de données personnelles. Le registre IA décrit des outils et leurs conditions d'usage.

Selon la CNIL, les organismes de moins de 250 salariés doivent inscrire au registre RGPD les traitements non occasionnels, ceux qui présentent un risque pour les droits des personnes et ceux qui portent sur des données sensibles. La CNIL recommande, en cas de doute, d'inscrire le traitement. Elle propose aussi un modèle de registre simplifié pour les petites structures. Pour le détail, voir notre article IA et RGPD en entreprise.

Que mettre dans un registre IA ? Le modèle en 12 colonnes

Un tableur partagé suffit. Voici les 12 colonnes que nous recommandons, avec un exemple pour chacune. Adaptez les intitulés à votre vocabulaire interne.

Conservez aussi les outils refusés avec leur statut « interdit » et le motif. Cela évite de réexaminer la même demande trois mois plus tard et cela informe les équipes.

Comment classer le niveau de risque de chaque outil ?

La colonne « Catégorie AI Act » est celle qui demande le plus de réflexion. Le classement dépend de l'usage, pas seulement de l'outil : un même assistant peut servir à reformuler un courriel ou à trier des candidatures. Le règlement (UE) 2024/1689 distingue quatre niveaux.

• Pratiques interdites (article 5). Elles le sont depuis le 2 février 2025. Exemple qui concerne directement les employeurs : la reconnaissance des émotions sur le lieu de travail, sauf raisons médicales ou de sécurité. Un tel usage doit figurer au registre avec le statut « interdit ».
• Systèmes à haut risque. L'annexe III vise notamment le recrutement, la sélection des candidats, les décisions sur les promotions ou les licenciements, l'évaluation des performances. Selon la Commission européenne, ces règles s'appliquent à partir du 2 décembre 2027, après le report décidé par le règlement (UE) 2026/1744. Voir notre article sur les obligations des DRH.
• Obligations de transparence (article 50). Applicables depuis le 2 août 2026. Pour un déployeur, elles concernent par exemple la diffusion d'hypertrucages ou de textes générés publiés pour informer le public sur des sujets d'intérêt général, sauf relecture humaine et responsabilité éditoriale.
• Risque minimal. C'est le cas de nombreux usages bureautiques courants : reformulation, synthèse, aide à la traduction. Ils restent soumis au RGPD et à vos règles internes.

En cas de doute sur une ligne, notez « à qualifier » et faites remonter la question au comité. Mieux vaut une case honnête qu'un classement hasardeux.

Mode d'emploi : remplir et tenir à jour le registre IA

Partir de la cartographie

Le registre se remplit à partir d'un recensement des usages réels, outils non validés compris. Notre méthode de cartographie des usages IA donne le questionnaire et la grille d'analyse. N'oubliez pas les fonctions d'IA intégrées aux logiciels déjà en place : messagerie, CRM, suite bureautique, logiciel de paie.

Faire valider chaque ligne

Une ligne n'a de valeur que si elle a été validée. Le référent IA prépare, le DPO vérifie la partie données personnelles, la DSI la partie sécurité, et le comité IA décide du statut. La date de validation figure dans la colonne 12.

Publier une version lisible

Les salariés n'ont pas besoin des 12 colonnes. Publiez sur l'intranet une version courte : outil, usages autorisés, données interdites, statut. Placez-la à côté de la charte IA, pour que les équipes trouvent les deux au même endroit.

Mettre à jour au bon rythme

Ajoutez une ligne à chaque demande d'outil, modifiez-la quand l'éditeur change ses conditions ou son offre, et revoyez l'ensemble au moins une fois par an. Archivez les anciennes versions : elles montrent l'historique de vos décisions.

Construire votre registre IA en formation

La formation Comité IA et référent IA de Skillevos aboutit, en 2 jours en intra-entreprise, à trois livrables : une charte, un registre des outils et un plan d'action à 6 mois. Le premier jour réunit l'équipe (jusqu'à 10 participants), le second le comité IA. Le tarif est de 4 600 € HT, avec un financement possible par votre OPCO, Skillevos étant certifié Qualiopi.

Questions fréquentes

Le registre IA remplace-t-il le registre RGPD ?

Non. Le registre RGPD est obligatoire et décrit les traitements de données personnelles. Le registre IA décrit les outils et leurs conditions d'usage. Les deux se complètent : chaque outil qui traite des données personnelles renvoie au traitement correspondant.

Qui doit tenir le registre IA ?

Le référent IA en est généralement responsable. Il le remplit avec l'aide du DPO pour les données personnelles et de la DSI pour la sécurité, et le comité IA valide le statut de chaque outil.

Faut-il inscrire les outils gratuits utilisés par les salariés ?

Oui. Le registre IA doit refléter les usages réels, y compris les outils gratuits ou utilisés avec des comptes personnels. S'ils ne sont pas autorisés, inscrivez-les avec le statut « interdit » et le motif, ou proposez une alternative validée.

À quelle fréquence mettre à jour le registre IA ?

À chaque nouvelle demande d'outil et à chaque changement important des conditions d'un éditeur. Prévoyez en plus une revue complète au moins une fois par an, présentée au comité IA.

Le registre IA suffit-il à respecter l'AI Act ?

Non. Il documente vos outils et vos décisions, mais l'article 4 demande aussi des mesures de formation et de sensibilisation. Pour les systèmes à haut risque, d'autres obligations s'ajoutent à partir du 2 décembre 2027.

Conclusion : un registre IA simple, tenu à jour, vaut mieux qu'un document parfait

Un registre efficace tient dans un tableur de 12 colonnes. Ce qui compte, c'est qu'il reflète les usages réels, qu'il soit relié au registre RGPD et que chaque ligne corresponde à une décision du comité. Commencez par les outils les plus utilisés, puis complétez au fil des demandes.

Pour construire votre registre avec vos équipes et votre comité, contactez-nous ou consultez la formation Comité IA et référent IA.