Registre des systèmes d'IA en PME : modèle, colonnes et méthode pour inventorier vos usages (2026)

Registre des systèmes d'IA en PME : modèle, colonnes et méthode pour inventorier vos usages (2026)

Un client grand compte vous envoie un questionnaire fournisseur. Question 14 : « Listez les systèmes d'IA utilisés dans le cadre de la prestation, leur fournisseur et leur niveau de risque au sens du Règlement (UE) 2024/1689. » Vous savez que vos équipes utilisent ChatGPT, que le CRM a un assistant, que le marketing génère des visuels. Mais vous n'avez rien d'écrit.

C'est exactement ce que résout un registre des systèmes d'IA. Ce guide vous explique ce qu'il doit contenir, colonne par colonne, comment le remplir en une demi-journée, et comment l'articuler avec votre registre RGPD. Sans jargon, avec un exemple de PME.

Un registre des systèmes d'IA, est-ce obligatoire ?

Soyons précis, parce que la réponse est souvent mal présentée.

L'AI Act n'impose pas à tous les déployeurs de tenir un document nommé « registre des systèmes d'IA ». L'enregistrement dans la base de données de l'Union européenne (article 49) concerne les fournisseurs de systèmes à haut risque et certains déployeurs publics, pas une PME qui utilise Copilot.

En revanche, trois obligations rendent l'inventaire indispensable en pratique :

• L'article 4 (maîtrise de l'IA), applicable depuis le 2 février 2025, vous demande de soutenir la maîtrise de l'IA de votre personnel. Impossible de former sur des outils que vous n'avez pas identifiés.
• L'article 50 (transparence), applicable depuis le 2 août 2026, vous oblige à informer les personnes qui interagissent avec un chatbot et à marquer les contenus générés. Encore faut-il savoir quels outils produisent quoi.
• Le haut risque (annexe III), dont les obligations complètes s'appliquent au 2 décembre 2027 après le report décidé par l'omnibus numérique IA, concerne le recrutement, l'évaluation des salariés ou le scoring. Vous devez savoir aujourd'hui si un de vos outils entre dans cette catégorie.

Côté RGPD, l'article 30 impose un registre des activités de traitement. Chaque outil d'IA qui touche des données personnelles y a sa place. Le registre des systèmes d'IA ne le remplace pas : il le complète, et les deux documents se renvoient l'un à l'autre.

Enfin, les sanctions de l'AI Act vont jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial, le montant le plus bas des deux s'appliquant aux PME. Le risque réel pour une PME reste la mise en demeure et la perte d'un appel d'offres faute de documents. Dans les deux cas, le registre est la première pièce demandée.

Registre IA et registre RGPD : quelle différence ?

Les deux se confondent souvent. Voici la distinction utile.

Un outil d'IA peut apparaître dans plusieurs traitements RGPD (un assistant utilisé par le commerce et par les RH). Un traitement peut mobiliser plusieurs outils. D'où l'intérêt de deux registres reliés plutôt qu'un document unique illisible.

Le modèle : les colonnes d'un registre des systèmes d'IA

Voici la structure que nous utilisons avec les PME. Dix-huit colonnes, réparties en cinq blocs. C'est le format du fichier livré dans le Kit Conformité IA Act pour PME, en tableur, avec les listes déroulantes déjà paramétrées.

Bloc 1 : identification

1. Identifiant : un code court (IA-001, IA-002). Il sert de référence dans la charte, les attestations et les contrats.
2. Nom de l'outil : ChatGPT, Copilot, Gemini, Claude, ou le nom du module (« assistant de rédaction du CRM »).
3. Fournisseur : l'éditeur, et l'entité contractante si elle diffère (revendeur, intégrateur).
4. Type de système : IA générative texte, génération d'images, chatbot client, transcription, analyse prédictive, vision par ordinateur, agent automatisé.
5. Mode d'accès : compte entreprise, compte individuel, version gratuite, module intégré à un logiciel métier, API.

Bloc 2 : usage

6. Service utilisateur : commerce, marketing, RH, production, direction, comptabilité.
7. Finalité : en une phrase concrète. « Rédiger les premières versions des réponses aux appels d'offres », pas « productivité ».
8. Utilisateurs : nombre de personnes et profils (salariés, alternants, prestataires).
9. Fréquence : quotidien, hebdomadaire, ponctuel.

Bloc 3 : données

10. Catégories de données saisies : données publiques, données internes non sensibles, données personnelles clients, données personnelles salariés, secrets d'affaires.
11. Données personnelles : oui ou non, et si oui, référence du traitement dans le registre RGPD.
12. Conditions du fournisseur : vos données servent-elles à l'entraînement du modèle ? Où sont-elles hébergées ? Quelle durée de conservation ? Ces trois réponses se trouvent dans les conditions d'utilisation ou le contrat, et elles changent souvent entre version gratuite et version entreprise.

Bloc 4 : conformité

13. Niveau de risque AI Act : interdit, haut risque, risque limité, risque minimal.
14. Obligations applicables et date : article 4 (depuis le 2 février 2025), article 50 (depuis le 2 août 2026), haut risque annexe III (2 décembre 2027), annexe I (2 août 2028).
15. Contrôle humain : qui relit, qui valide, qui décide. Obligatoire pour le haut risque, recommandé partout.
16. Transparence : mention « vous échangez avec une IA » en place ? Marquage des contenus générés vérifié ?

Bloc 5 : gouvernance

17. Statut : autorisé, toléré (tâches sans donnée sensible), interdit, en évaluation.
18. Responsable interne, date d'ajout, date de prochaine revue : sans ces trois informations, le registre meurt en six mois.

Dix-huit colonnes paraissent beaucoup. En pratique, les deux tiers se remplissent par une liste déroulante, et une PME de 30 personnes compte rarement plus de 10 à 15 lignes.

La méthode : remplir le registre en une demi-journée

Étape 1 : collecter (1 h 30)

Trois sources, à croiser.

Les équipes. Envoyez à chaque responsable de service un questionnaire de cinq questions : quels outils d'IA utilisez-vous, pour quoi, avec quelles données, à quelle fréquence, avec quel type de compte. Précisez que l'objectif est de cadrer, pas de sanctionner. Sinon, vous n'aurez que la moitié des réponses.

Les factures et abonnements. Passez en revue les abonnements SaaS, les notes de frais et les paiements par carte. Un abonnement ChatGPT Plus payé sur une carte personnelle et remboursé en note de frais est un signal clair.

Les logiciels existants. Votre CRM, votre suite bureautique, votre messagerie, votre logiciel de paie ou de comptabilité ont probablement activé un assistant IA depuis 2024. Vérifiez les paramètres d'administration. Ce sont les outils les plus souvent oubliés.

Étape 2 : qualifier (1 h)

Pour chaque ligne, renseignez les blocs 1 à 3. Le point qui prend du temps est la colonne « conditions du fournisseur ». Pour un outil grand public, la réponse tient généralement en une ligne : version gratuite, données potentiellement utilisées pour l'entraînement, hébergement hors UE. Pour une version entreprise, lisez l'addendum de traitement des données (DPA).

Étape 3 : classer (45 min)

Pour chaque outil, posez trois questions dans l'ordre.

1. L'usage entre-t-il dans une pratique interdite ? Reconnaissance des émotions au travail, notation sociale, manipulation. En PME, la réponse est presque toujours non. Si vous hésitez, lisez notre guide sur les systèmes interdits et à haut risque de l'AI Act.
2. L'usage relève-t-il de l'annexe III ? Tri de candidatures, évaluation ou surveillance des salariés, octroi de crédit, accès à des services essentiels. Si oui : haut risque, échéance du 2 décembre 2027, et contact immédiat avec le fournisseur.
3. L'outil interagit-il avec des personnes ou génère-t-il des contenus diffusés ? Si oui : risque limité, article 50 applicable.

Tout le reste est à risque minimal, avec l'article 4 comme seule obligation spécifique.

Étape 4 : décider (30 min)

Pour chaque ligne, le dirigeant ou le référent IA tranche : autorisé, toléré, interdit. La règle simple : un outil qui traite des données clients doit être autorisé, avec un compte entreprise et un contrat lisible. Un outil gratuit peut être toléré pour des tâches génériques. Un outil dont les conditions permettent l'entraînement sur vos données est interdit pour tout contenu confidentiel.

Ces décisions alimentent directement l'annexe « outils autorisés » de votre charte. Si vous n'en avez pas encore, notre guide sur la charte IA d'entreprise détaille la structure à adopter.

Étape 5 : faire vivre (15 min, puis en continu)

Fixez une date de revue (12 mois maximum) et une règle d'entrée : tout nouvel outil passe par le référent IA avant usage. Ajoutez une ligne à chaque demande, même refusée. Un registre avec des lignes « refusé » est plus crédible qu'un registre parfait.

Exemple : le registre d'une PME de services B2B de 35 salariés

Prenons une société de conseil en ingénierie de 35 personnes. Après la collecte, le registre tient en sept lignes. En voici quatre, simplifiées.

La ligne IA-004 a été découverte pendant la collecte : la fonction était activée par défaut dans le logiciel de recrutement, et personne ne l'avait signalée. C'est le cas le plus fréquent de « haut risque involontaire » en PME. Sans registre, cette entreprise l'aurait découvert en décembre 2027, ou lors d'un contrôle.

Les 5 erreurs qui rendent un registre inutile

1. Le registre sans propriétaire. Un fichier créé par un stagiaire, jamais rouvert. Nommez un référent IA et mettez son nom sur le document.
2. Tout classer à risque minimal. C'est tentant, et c'est faux dès que vous avez un chatbot, un générateur de contenus ou un module RH. Suivez les trois questions de l'étape 3.
3. Ignorer les outils intégrés. L'assistant de votre suite bureautique est un système d'IA. Il traite probablement vos documents les plus sensibles.
4. Confondre registre IA et registre RGPD. Deux documents, deux logiques, reliés par une colonne. Un seul document finit illisible et ne satisfait ni l'un ni l'autre.
5. Ne pas dater. Un registre sans version ni date de revue ne prouve rien. Un contrôleur ou un client veut savoir quand l'inventaire a été fait et quand il sera refait.

Ce que le registre vous permet ensuite

Le registre n'est pas une fin en soi. C'est le socle de trois actions qui suivent.

La sensibilisation de l'article 4. Vous formez vos équipes sur les outils réellement utilisés, avec les règles réellement décidées. Notre guide sur la formation à l'IA imposée par l'article 4 explique comment construire une session de 45 minutes et conserver la preuve.

La transparence de l'article 50. Chaque ligne à risque limité indique la mesure à prendre : mention sur le chatbot, marquage des contenus, étiquetage des images retouchées.

La relation avec le RGPD. Chaque ligne avec des données personnelles renvoie à un traitement documenté. Si vos équipes utilisent des outils grand public avec des données clients, lisez d'abord notre article sur RGPD et IA générative en PME.

Pour vérifier que vous n'oubliez rien avant de vous lancer, téléchargez la checklist de conformité AI Act pour PME : trois pages, et la liste des points à passer en revue avant, pendant et après l'inventaire.

Si vous préférez que l'inventaire soit fait avec vous, l'Audit IA Express cartographie vos outils, vos risques et vos priorités en une session, avec le registre rempli en livrable.

Et si vous voulez le modèle prêt à l'emploi, avec la charte, la politique d'usage, le module de sensibilisation et le guide qui indique l'ordre des étapes, c'est l'objet du Kit Conformité IA Act pour PME.

FAQ – Registre des systèmes d'IA

Le registre des systèmes d'IA est-il obligatoire pour une PME ?

L'AI Act n'impose pas formellement un registre interne à tous les déployeurs. Mais il impose de soutenir la maîtrise de l'IA du personnel (article 4, depuis le 2 février 2025), d'assurer la transparence des chatbots et des contenus générés (article 50, depuis le 2 août 2026) et de préparer les obligations du haut risque (2 décembre 2027). Sans inventaire, aucune de ces obligations ne peut être démontrée. Le registre est l'outil de preuve le plus simple.

Quelle différence entre le registre IA et le registre RGPD ?

Le registre RGPD (article 30) liste les traitements de données personnelles : finalité, base légale, durée, destinataires. Le registre des systèmes d'IA liste les outils : fournisseur, usage, niveau de risque, obligations, statut. Un outil d'IA qui traite des données personnelles apparaît dans les deux, avec une référence croisée.

Faut-il inscrire ChatGPT en version gratuite dans le registre ?

Oui, s'il est utilisé dans un cadre professionnel, même occasionnellement et même sur un compte personnel. C'est précisément l'usage qu'il faut cadrer : données saisies, statut toléré ou interdit, règle de relecture. Un registre qui ne liste que les outils officiels passe à côté de l'essentiel.

Combien de temps faut-il pour construire un registre en PME ?

Une demi-journée pour une PME de 10 à 50 salariés, si la collecte est bien préparée (questionnaire aux équipes, revue des abonnements, vérification des modules intégrés). Comptez une journée au-delà de 100 salariés ou si plusieurs sites sont concernés. La revue annuelle prend ensuite une à deux heures.

Qui doit tenir le registre dans une PME ?

Le référent IA, désigné dans la charte. En pratique, c'est souvent le dirigeant, le DAF, le DSI ou le responsable qualité. Si vous avez un DPO, il tient le registre RGPD et travaille avec le référent IA sur les lignes communes. L'important est qu'une personne nommée soit responsable de la mise à jour.

Pour aller plus loin

• AI Act : ce qui s'applique à votre PME en 2026 (et après)
• Charte IA d'entreprise : modèle, contenu et exemple (2026)
• AI Act 2026 : quels systèmes IA sont interdits ou à haut risque dans votre PME ?
• Formation AI Act : l'obligation de l'article 4 en PME
• RGPD et IA générative : utiliser ChatGPT, Copilot ou Gemini en PME sans enfreindre le RGPD

Ce document est un modèle générique d'aide à la conformité, il ne constitue pas un conseil juridique. Adaptez-le à votre situation et faites-le valider si nécessaire.