Modèle en dix champs, exemples et méthode en trente jours pour cartographier les usages IA d’une PME sans créer une usine à gaz.
Un registre des usages IA est un tableau interne qui décrit, une ligne par usage, la tâche réalisée, l’outil, les données utilisées, les personnes concernées, le contrôle humain, le responsable et la prochaine revue. Pour une PME, il sert d’abord à rendre les pratiques visibles et à décider quelles règles, vérifications ou actions de sensibilisation engager.
À quoi sert un registre des usages IA ?
Dans de nombreuses PME, l’intelligence artificielle est utilisée avant même qu’un projet officiel existe : résumé de documents, création de contenus, analyse de tableaux, traduction, préparation de réponses clients ou fonction intégrée à un logiciel métier. La première difficulté n’est donc pas de remplir une longue grille. Elle consiste à savoir ce qui se passe réellement, dans quel but et sous la responsabilité de qui.
Le registre apporte une vue commune à la direction, aux métiers, à l’informatique et, selon les cas, aux personnes chargées de la sécurité ou de la protection des données. Il permet de retrouver une décision, d’identifier une information manquante et de déclencher une revue lorsqu’un outil, une finalité ou une catégorie de données change.
Il ne classe pas automatiquement un système au regard de l’AI Act, ne remplace pas le registre des traitements prévu par le RGPD et ne constitue pas une preuve générale de respect de toutes les règles applicables. C’est un support de cartographie et de pilotage à adapter au contexte de l’entreprise.
Registre interne, journaux techniques et base européenne : les différences
Le mot « registre » recouvre plusieurs réalités. Les confondre peut conduire à collecter trop d’informations ou, au contraire, à croire qu’un tableau interne remplit une formalité particulière.
| Support | Fonction | À retenir pour une PME |
|---|---|---|
| Registre interne des usages IA | Cartographier les tâches, outils, données, contrôles et décisions. | Bonne pratique volontaire dans de nombreux cas ; format libre et proportionné. |
| Journaux techniques | Conserver des événements générés par un système afin de suivre son fonctionnement. | Pour certains systèmes à haut risque, l’article 26 prévoit des règles spécifiques pour les journaux sous le contrôle du déployeur. |
| Base de données européenne | Enregistrer certains systèmes à haut risque dans les situations prévues par le règlement. | Elle ne concerne pas indistinctement tous les outils IA utilisés par toutes les PME. |
| Registre des traitements RGPD | Décrire des traitements de données personnelles lorsque ce cadre s’applique. | Sa finalité et son contenu sont différents ; des liens entre les deux supports peuvent être utiles sans les fusionner. |
Le registre interne peut contenir une colonne « vérification complémentaire » qui renvoie vers un autre dossier : analyse relative aux données personnelles, examen contractuel, sécurité, transparence envers les personnes ou étude plus poussée du rôle de l’entreprise. Il reste ainsi lisible sans prétendre concentrer toute la documentation.
Quelle granularité choisir ? Une ligne par usage
La bonne unité n’est ni le fournisseur ni le compte utilisateur : c’est l’usage. Un même assistant peut servir à reformuler un email public, analyser des CV et préparer une réponse à partir d’un dossier client. Ces trois situations n’ont pas la même finalité, n’utilisent pas les mêmes données et n’influencent pas les mêmes personnes.
Créez ou séparez une ligne si la tâche, les données, les personnes concernées, le résultat attendu, le niveau d’automatisation ou le contrôle humain diffèrent de manière significative. Une nouvelle fonction du même logiciel peut donc devenir un nouvel usage.
À l’inverse, ne créez pas une ligne pour chaque requête ou chaque conversation. Le registre décrit une pratique répétable et sa règle de fonctionnement. Il peut renvoyer vers un ticket d’incident ou une fiche d’analyse, mais il ne doit pas devenir une copie de tous les échanges avec l’outil.
Les dix champs utiles dans un modèle de registre IA
Un tableur suffit pour commencer. Utilisez des intitulés compréhensibles par les métiers et prévoyez une option « inconnu » : une lacune visible vaut mieux qu’une réponse inventée.
| Champ | Question simple | Exemple |
|---|---|---|
| Identifiant et équipe | Qui utilise l’IA et comment retrouver la ligne ? | MKT-03 — Marketing |
| Outil et offre | Quel service, fonction, modèle et type de compte ? | Assistant rédactionnel, compte professionnel approuvé |
| Finalité | Pour quelle tâche précise ? | Préparer trois variantes d’un titre |
| Données d’entrée | Quelles informations sont saisies, importées ou accessibles ? | Pages publiques et consigne éditoriale |
| Résultat et destinataire | Que produit l’outil et qui reçoit le résultat ? | Proposition de texte relue avant publication |
| Personnes concernées | Une personne peut-elle être évaluée, orientée ou affectée ? | Lecteurs du site, sans décision individuelle |
| Contrôle humain | Qui vérifie quoi, à quel moment et selon quels critères ? | Responsable marketing : faits, ton, sources et promesses |
| Rôle et fournisseur | Qui exploite l’outil, qui le fournit et sous quelle marque ? | PME utilisatrice ; éditeur SaaS identifié |
| Décision et actions | L’usage est-il accepté sous conditions, à examiner, suspendu ou arrêté ? | Accepté sur le compte professionnel ; consigne à rappeler |
| Responsable et revue | Qui suit la ligne et quand la réexaminer ? | Direction marketing ; 30 novembre 2026 |
Ajoutez une colonne uniquement si elle sert une décision. Par exemple : obligation de transparence à examiner, lien vers une analyse de données, référence du contrat ou date de sensibilisation de l’équipe. Évitez les scores globaux opaques : un statut doit toujours être expliqué par des faits et des actions.
Trois exemples de lignes pour une PME
| Usage fictif | Points à documenter | Première décision |
|---|---|---|
| Préparer le plan d’un article à partir de pages publiques | Compte approuvé, sources publiques, relecture des faits et publication humaine. | Usage courant sous conditions ; revue lors d’un changement d’outil ou de finalité. |
| Suggérer une réponse à partir d’un message client | Données transmises, réglages du compte, accès du fournisseur, validation avant envoi et information éventuelle du client. | À examiner avant extension ; tester avec des données fictives ou expurgées. |
| Classer des candidatures ou recommander des profils | Influence sur la décision, critères, données, biais possibles, information des personnes, supervision et rôle du fournisseur. | Priorité élevée ; suspendre l’automatisation tant que les questions essentielles restent ouvertes. |
Ces exemples ne déterminent pas à eux seuls une catégorie juridique. Ils montrent pourquoi la description de la tâche et de son effet est plus utile que la mention isolée du nom d’un outil.
Comment découvrir les usages réels sans braquer les équipes
Un questionnaire très juridique produit souvent des réponses abstraites. Partez des tâches réalisées pendant la semaine et expliquez que l’objectif est de rendre les pratiques visibles, d’autoriser les usages utiles dans un cadre clair et d’obtenir de l’aide lorsqu’une question apparaît. Une démarche punitive nourrit le shadow AI et les usages invisibles.
- Demander la tâche. « Pour quelle activité avez-vous utilisé une fonction d’IA cette semaine ? »
- Identifier l’entrée. « Quelles informations l’outil a-t-il reçues ou pouvait-il consulter ? »
- Comprendre la sortie. « Qu’avez-vous fait du résultat et qui l’a reçu ? »
- Nommer le contrôle. « Qui a vérifié, quand et selon quels critères ? »
- Repérer le compte. « Quel outil, quelle offre et quel type de compte avez-vous utilisés ? »
- Accueillir les inconnues. Transformer chaque « je ne sais pas » en question assignée, avec un responsable et une date.
Combinez trois sources : un questionnaire court, un atelier par équipe et l’observation des fonctions IA déjà intégrées aux logiciels. Ne demandez pas les mots de passe, les conversations privées ou les contenus complets si leur collecte n’est pas nécessaire à la cartographie.
Comment prioriser les lignes sans produire une conclusion automatique
Le registre rassemble des faits ; il ne doit pas transformer un score en verdict. Utilisez des signaux d’attention pour décider quelles lignes examiner en premier, puis appliquez une première méthode de tri des usages potentiellement à haut risque lorsque la situation le justifie.
| Signal | Question de contrôle | Action documentaire |
|---|---|---|
| Effet sur une personne | L’outil influence-t-il un recrutement, un accès à un service, une évaluation ou une décision importante ? | Décrire précisément l’influence et demander une analyse adaptée. |
| Données sensibles | Des données personnelles, confidentielles, financières, médicales ou des secrets d’affaires sont-ils accessibles ? | Limiter l’usage et vérifier les règles de données et de sécurité avant extension. |
| Transparence | Une personne interagit-elle avec l’IA ou reçoit-elle un contenu généré dans une situation visée par l’article 50 ? | Documenter l’information ou l’étiquetage à examiner. |
| Autonomie | Le résultat déclenche-t-il une action sans validation humaine effective ? | Définir un point d’arrêt, une autorité et des critères de vérification. |
| Fournisseur inconnu | Les conditions, la localisation, les réglages ou la conservation restent-ils inconnus ? | Suspendre les données réelles et attribuer la vérification. |
Responsables, revues et conservation : faire vivre le registre
Désignez un propriétaire par usage et un coordinateur du registre. Le propriétaire connaît la tâche et signale les changements. Le coordinateur garantit que les questions ont un responsable, rapproche les doublons et prépare une synthèse courte pour la direction. Les personnes compétentes en informatique, sécurité, ressources humaines ou données interviennent selon le sujet ; elles n’ont pas à remplir seules tout le registre.
Une revue trimestrielle courte peut convenir à des usages stables. N’attendez pas cette date lorsqu’un nouvel outil, une nouvelle finalité, une nouvelle catégorie de données, un incident ou une modification importante des conditions du fournisseur apparaît. Reliez ces déclencheurs à la politique IA interne pour que les équipes sachent quand déclarer un changement.
Ne stockez pas dans le registre les conversations complètes, les CV, les dossiers clients, les secrets, les mots de passe ou des captures inutiles. Décrivez les catégories de données, la décision et le lien vers le dossier autorisé. Le registre ne doit pas créer un nouveau gisement d’informations sensibles.
Plan de démarrage en trente jours
| Période | Travail à réaliser | Livrable léger |
|---|---|---|
| Semaine 1 | Nommer le coordinateur, fixer le périmètre et choisir les dix colonnes utiles. | Tableur vide, définitions des statuts et message aux équipes. |
| Semaine 2 | Interroger deux ou trois équipes à partir des tâches réelles. | Premières lignes avec inconnues visibles. |
| Semaine 3 | Examiner les signaux d’attention et assigner les questions prioritaires. | Décisions provisoires, responsables et échéances. |
| Semaine 4 | Valider les règles simples, partager le canal de déclaration et planifier la revue. | Version 1 du registre et synthèse d’une page pour la direction. |
Commencez par cinq à dix usages significatifs plutôt que par tous les logiciels de l’entreprise. La qualité des informations, l’existence d’un responsable et la capacité à revoir une décision comptent davantage que le nombre de lignes.
Préparer votre première cartographie
Le diagnostic gratuit Cap IA Responsable aide à rendre visibles les usages, les points d’attention et jusqu’à trois priorités documentaires. Le Pack Starter propose ensuite un projet de registre et un projet de politique interne à relire et adapter à votre PME.
Questions fréquentes sur le registre des usages IA
Un registre des usages IA est-il obligatoire pour toutes les PME ?
Non, ce guide ne présente pas le registre interne comme une obligation universelle. Il s’agit d’un outil documentaire pratique. Des exigences spécifiques peuvent toutefois concerner certains systèmes, certains rôles ou d’autres cadres applicables ; elles doivent être examinées selon le contexte.
Faut-il enregistrer chaque conversation avec une IA ?
Non. Une ligne par usage est généralement plus proportionnée. Décrivez la tâche, les catégories de données, le résultat, le contrôle et la décision sans collecter automatiquement le contenu des conversations.
Un même outil peut-il apparaître plusieurs fois ?
Oui. Un assistant utilisé pour un texte public et le même assistant utilisé sur des candidatures correspondent à des finalités, données, effets et contrôles différents. Deux lignes rendent ces différences visibles.
Peut-on tenir le registre dans Excel ou un tableur partagé ?
Oui, pour une première version. Protégez les accès, évitez d’y copier des données sensibles et conservez un historique simple des décisions. Un outil plus complexe n’est utile que si le volume, les responsabilités ou les processus le justifient.
Qui doit mettre à jour le registre ?
Le plus efficace est de combiner un coordinateur et un propriétaire par usage. Le coordinateur maintient la structure ; le propriétaire métier signale les changements et répond sur la tâche. Les spécialistes interviennent sur les questions qui relèvent de leur compétence.
Le registre démontre-t-il à lui seul le respect de l’AI Act ?
Non. Il documente des faits et des décisions internes. Il ne constitue ni une certification, ni une reconnaissance délivrée par une autorité, ni une analyse juridique complète du système et du rôle de l’entreprise.
Sources officielles consultées
- EUR-Lex — règlement (UE) 2024/1689 consolidé au 27 juillet 2026.
- EUR-Lex — règlement (UE) 2026/1744 modifiant le calendrier et certaines dispositions.
- Commission européenne — Navigating the AI Act.
- Commission européenne — lignes directrices sur les obligations de transparence de l’article 50.
- CNIL, France Num et CPME — utiliser l’IA générative dans les TPE et PME.
- ANSSI — recommandations de sécurité pour un système d’IA générative.
Sources relues le 27 août 2026. Ce modèle de registre constitue une aide documentaire et doit être adapté aux usages, aux rôles et aux règles applicables à l’entreprise.
Ce document constitue une aide documentaire et pédagogique. Il ne remplace pas un conseil juridique personnalisé.