Registre des systèmes d'IA : le constituer et le tenir

Aucun texte n'impose à toutes les entreprises un registre des systèmes d'IA généralisé. L'inventaire interne est une bonne pratique de gouvernance : il sert à repérer les systèmes soumis à des obligations précises et à démontrer votre maîtrise, exigée par le RGPD dès qu'un outil traite des données personnelles.

L'IA Act prévoit des obligations ciblées :

• Enregistrement dans la base de données de l'UE (article 49 et article 71) : pour les fournisseurs de systèmes d'IA à haut risque de l'annexe III, pour ceux qui estiment qu'un système de l'annexe III n'est pas à haut risque, et pour les déployeurs qui sont des autorités publiques. Un déployeur privé n'y inscrit rien.
• Journalisation (article 12 et article 26) : un système à haut risque enregistre automatiquement des événements ; le déployeur conserve ces journaux au moins six mois lorsqu'il en a la maîtrise.
• Documentation technique (article 11) : à la charge du fournisseur d'un système à haut risque, formulaire simplifié pour les PME.
• Maîtrise de l'IA (article 4) : fournisseurs et déployeurs prennent des mesures pour favoriser la maîtrise de l'IA de leur personnel, sans avoir à garantir un niveau donné par personne depuis l'omnibus.

Le règlement (UE) 2026/1744, entré en vigueur le 27 juillet 2026, a repoussé les règles relatives aux systèmes à haut risque de l'annexe III au 2 décembre 2027 et celles de l'annexe I au 2 août 2028 (Commission européenne, CNIL).

Côté RGPD, le principe de responsabilité, ou accountability, posé à l'article 5.2, vous oblige à démontrer la conformité de chaque traitement : un outil d'IA qui exploite des données de clients ou de salariés doit être connu pour être documenté.

Une ligne par système, huit colonnes au minimum. Le modèle ci-dessous couvre les besoins de l'IA Act et ceux du RGPD ; chaque colonne compte.

Un tableur suffit, à condition que le registre des systèmes d'IA ait un propriétaire désigné et une date de dernière mise à jour.

Le recensement part des métiers, pas de la seule DSI : la plupart des outils d'IA arrivent par un abonnement, une fonction activée ou l'initiative d'un salarié. Un inventaire des systèmes d'IA fiable croise donc plusieurs sources.

1. 1Interroger — Envoyez à chaque service un questionnaire court : outils, tâches, données.
2. 2Croiser — Comparez les réponses aux factures, abonnements, extensions de navigateur et fonctions d'IA activées.
3. 3Qualifier — Vérifiez que chaque outil répond à la définition juridique du système d'IA avant de l'inscrire.
4. 4Compléter — Renseignez la ligne avec le propriétaire métier, puis faites valider les colonnes juridiques par le DPO.
5. 5Arbitrer — Conserver, encadrer ou retirer ; un outil refusé reste inscrit comme « non autorisé ».

Le classement suit les quatre niveaux de l'IA Act : pratiques interdites, haut risque, obligations de transparence, autres systèmes. Vérifiez d'abord que l'outil est un système d'IA au sens de l'article 3 : notre article sur la définition juridique de l'intelligence artificielle détaille le test de qualification.

Le haut risque recouvre l'annexe I (composants de sécurité de produits réglementés) et l'annexe III (emploi, éducation, crédit, notamment). Un système de l'annexe III peut y échapper dans les cas de l'article 6.3, mais le fournisseur documente alors son évaluation et s'enregistre (article 49). Notez la justification et sa date : un contrôle l'examinera.

L'article 50 impose une information des personnes pour les systèmes conversationnels ou générant des contenus synthétiques, depuis le 2 août 2026 (calendrier officiel). Inscrivez-la dans la colonne risque.

Le registre des systèmes d'IA ne remplace pas le registre des traitements de l'article 30 du RGPD : les deux se renvoient. Chaque système traitant des données personnelles figure dans une fiche de traitement, et la fiche mentionne l'outil d'IA.

Ajoutez dans la fiche de traitement le nom du système, le rôle de l'éditeur (souvent sous-traitant) et les transferts hors UE, puis reportez l'identifiant de la fiche dans la ligne du registre IA. La CNIL présente ce registre comme un outil de pilotage et de démonstration de la conformité : l'inventaire IA en est le prolongement.

L'AIPD (article 35 du RGPD) et l'analyse d'impact sur les droits fondamentaux (article 27 de l'IA Act) peuvent former un document unique, selon la CNIL. La colonne « base légale » y renvoie.

Un registre figé perd vite sa valeur : fixez des déclencheurs et une revue périodique, sous un responsable nommé.

• Déclencheurs : nouvel abonnement, activation d'une fonction d'IA, changement de finalité, version majeure, incident, retrait.
• Revue : au moins une fois par an, et avant chaque échéance (2 décembre 2027, 2 août 2028).
• Preuve : versions successives datées, pour démontrer un inventaire vivant.

Le registre des systèmes d'IA alimente aussi les mesures de maîtrise de l'IA de l'article 4 : la colonne « usage » dit qui sensibiliser en priorité.

À vérifier avant de présenter le registre à la direction.

À retenir

• L'IA Act n'impose pas d'inventaire interne généralisé ; il impose l'enregistrement européen du haut risque, la journalisation et la documentation technique.
• L'inventaire est la bonne pratique qui révèle les obligations applicables et démontre l'accountability RGPD.
• Huit colonnes et un propriétaire par ligne suffisent pour démarrer.
• Échéances haut risque : 2 décembre 2027 (annexe III), 2 août 2028 (annexe I).