Registre des systèmes IA : construire et maintenir un inventaire conforme AI Act & RGPD
L'entrée en vigueur progressive de l'AI Act européen oblige les organisations à documenter chaque système d'intelligence artificielle qu'elles déploient ou développent. Combinée aux exigences du RGPD en matière de traitement de données personnelles, cette obligation crée un nouveau chantier pour les DPO, RSSI et responsables conformité : le registre des systèmes IA. Voici comment le construire efficacement, sans partir de zéro.
Pourquoi un registre des systèmes IA est devenu incontournable
L'AI Act impose aux déployeurs et fournisseurs de systèmes à haut risque de tenir une documentation technique à jour (article 11) et de conserver des journaux automatiques (article 12). Mais au-delà de la conformité réglementaire stricte, un registre remplit trois fonctions opérationnelles essentielles :
- Cartographier le shadow AI : identifier les outils IA utilisés sans validation IT ou juridique (ChatGPT en usage personnel, plugins Copilot non maîtrisés…).
- Articuler AI Act et RGPD : un système de scoring RH automatisé est à la fois un système IA à haut risque (annexe III de l'AI Act) et un traitement de données à caractère personnel nécessitant une AIPD.
- Piloter le cycle de vie : documenter les mises à jour de modèles, les changements de fournisseurs ou les retraits de systèmes.
Les quatre étapes pour construire votre registre
1. Découverte et recensement initial
Commencez par un audit transversal impliquant les directions métier, l'IT et les achats. Les sources à croiser sont : le catalogue des applications, les contrats SaaS, les logs réseau (pour détecter les usages non déclarés) et les entretiens avec les équipes. Prévoyez un formulaire de déclaration volontaire simple — la plupart des collaborateurs ignorent qu'un outil embarque de l'IA.
2. Classification par niveau de risque AI Act
Une fois recensés, chaque système doit être classé selon la taxonomie de l'AI Act :
- Risque inacceptable : interdit (notation sociale, manipulation subliminale).
- Haut risque : obligations documentaires lourdes — RH, crédit, contrôle d'accès, éducation, infrastructures critiques.
- Risque limité : obligations de transparence (chatbots, deepfakes).
- Risque minimal : filtres anti-spam, recommandations de contenu sans impact significatif.
Cette classification détermine le niveau de détail requis dans la fiche du système et les contrôles à mettre en place.
3. Enrichissement des fiches système
Chaque entrée du registre doit contenir un socle d'informations standardisé. Voici un modèle de fiche par système IA applicable dès aujourd'hui :
- Identité : nom du système, version, fournisseur, date de déploiement, propriétaire métier, référent technique.
- Finalité et périmètre : description fonctionnelle, population concernée, flux de données entrants/sortants.
- Classification réglementaire : niveau de risque AI Act, qualification RGPD (traitement DCP ? AIPD requise ?), base légale.
- Architecture technique : type de modèle (LLM, modèle prédictif…), hébergement (cloud/on-premise), localisation des données, API tierces.
- Mesures de contrôle : supervision humaine, procédure de contestation, tests de biais réalisés, logs conservés.
- Statut de conformité : conforme / en cours / non conforme, date du dernier audit, prochaine révision planifiée.
- Liens documentaires : AIPD associée, contrat fournisseur, documentation technique, politique d'utilisation acceptable.
4. Gouvernance et maintien dans le temps
Un registre statique devient rapidement obsolète. Définissez un processus de mise à jour déclenché par trois événements : le déploiement d'un nouveau système, une mise à jour substantielle du modèle (changement d'architecture, nouveau jeu d'entraînement), ou un incident de conformité. Attribuez un owner par système et planifiez une revue annuelle globale du registre — idéalement synchronisée avec l'audit RGPD existant.
Articulation avec le registre des traitements RGPD
Une erreur fréquente consiste à créer un registre IA en silo, déconnecté du registre des traitements RGPD (article 30). La bonne pratique est de les relier explicitement : chaque fiche système IA doit pointer vers le ou les traitements RGPD correspondants, et inversement. Lorsqu'un système IA traite des données personnelles, la fiche RGPD doit mentionner le recours à l'IA et renvoyer vers l'évaluation AI Act. Ce double pointage évite les angles morts lors d'un contrôle de la CNIL ou d'un audit interne.
Le cas particulier du shadow AI
Les enquêtes terrain montrent que 30 à 60 % des usages IA en entreprise sont non déclarés. Un outil de transcription automatique utilisé par une équipe commerciale pour enregistrer des appels clients, un générateur de contrats basé sur GPT-4 installé sans validation juridique — ces usages créent des risques réels (fuites de données, décisions non auditables) que seul un registre vivant permet de détecter. Intégrez dans votre processus une déclaration obligatoire avant tout usage d'outil IA externe, même en mode test.
Outiller son registre : tableur ou plateforme dédiée ?
Pour moins de vingt systèmes, un tableur partagé structuré suffit à démarrer. Au-delà, les limites apparaissent vite : gestion des versions, contrôle d'accès, traçabilité des modifications. Des plateformes de gouvernance IA comme Yvoria AI permettent de centraliser le registre, d'automatiser les alertes de révision, de cartographier les dépendances entre systèmes et de générer des rapports de conformité à destination des autorités de contrôle. L'enjeu n'est pas l'outil en lui-même, mais la capacité à produire une preuve documentée en moins de 48 heures en cas de demande réglementaire.
Ce que votre registre doit pouvoir démontrer en cas de contrôle
La Commission nationale de l'informatique et des libertés (CNIL) et les futures autorités de surveillance AI Act attendront de vous que vous puissiez prouver :
- Que vous connaissez l'ensemble des systèmes IA déployés et leurs finalités.
- Que les systèmes à haut risque font l'objet d'une supervision humaine effective.
- Que les droits des personnes concernées (contestation, explication) sont opérationnellement garantis.
- Que le registre est maintenu à jour et revu régulièrement.
Un registre bien tenu n'est pas qu'un outil de conformité : c'est un actif stratégique qui accélère l'onboarding de nouveaux systèmes IA en donnant aux équipes juridiques et techniques un cadre d'évaluation reproductible.
FAQ
Le registre des systèmes IA est-il obligatoire pour toutes les entreprises ?
L'AI Act impose une documentation formelle principalement aux fournisseurs et déployeurs de systèmes à haut risque. Cependant, même pour les systèmes à risque limité, tenir un registre constitue une bonne pratique recommandée par les autorités et facilite la démonstration de conformité en cas de contrôle.
Faut-il créer un registre IA séparé du registre des traitements RGPD ?
Non, les deux doivent être articulés. Chaque système IA traitant des données personnelles doit être lié au traitement RGPD correspondant. Créer un registre IA totalement isolé génère des angles morts et des doublons documentaires difficiles à maintenir.
Comment détecter les usages de shadow AI dans mon organisation ?
Combinez plusieurs approches : analyse des logs réseau et proxy pour identifier les appels vers des API IA externes, audit des contrats SaaS en cours, formulaire de déclaration volontaire auprès des équipes, et entretiens ciblés avec les directions métier les plus susceptibles d'expérimenter des outils IA.
À quelle fréquence faut-il mettre à jour le registre des systèmes IA ?
Une révision annuelle globale est un minimum. Elle doit être complétée par des mises à jour événementielles : déploiement d'un nouveau système, mise à jour substantielle d'un modèle existant, changement de fournisseur ou survenance d'un incident de conformité.
Un chatbot de service client doit-il figurer dans le registre ?
Oui. Un chatbot est un système IA soumis aux obligations de transparence de l'AI Act (risque limité). S'il traite des données personnelles, il doit également figurer dans le registre des traitements RGPD. La fiche système devra préciser les mécanismes d'identification du bot vis-à-vis des utilisateurs.