AI Act : votre PME doit-elle tenir un registre de ses usages IA dès maintenant ?

L’application du règlement est progressive. Les dispositions générales, dont l’obligation de prendre des mesures pour assurer un niveau suffisant de maîtrise de l’IA, ainsi que les pratiques interdites, s’appliquent depuis le 2 février 2025. Les règles concernant les modèles d’IA à usage général sont entrées en application le 2 août 2025.

Depuis le 2 août 2026, la majorité des autres règles applicables, notamment certaines obligations de transparence, sont entrées en vigueur et leur contrôle a commencé. Les règles visant les systèmes à haut risque de l’annexe III doivent s’appliquer à partir du 2 décembre 2027 ; celles concernant les systèmes à haut risque intégrés à certains produits réglementés, à partir du 2 août 2028.

Ces échéances ne signifient pas qu’une PME peut attendre 2027 pour regarder ses usages. Elles signifient qu’elle doit distinguer ce qui s’applique déjà de ce qui demande une préparation progressive.

Dans cet article, le « registre des usages IA » désigne un inventaire interne décidé par l’entreprise. Il rassemble les systèmes et cas d’usage connus afin de permettre leur qualification et leur pilotage.

Ce registre ne doit pas être confondu avec :

• la documentation technique, les journaux ou le système de gestion des risques exigés de certains fournisseurs de systèmes à haut risque ;

• les obligations spécifiques des déployeurs de systèmes à haut risque ;

• l’enregistrement de certains systèmes à haut risque dans la base de données de l’Union européenne ;

• le registre des traitements tenu au titre du RGPD.

Une même application peut néanmoins apparaître dans plusieurs de ces dispositifs. Par exemple, un outil d’IA qui traite des données personnelles peut devoir être rapproché du registre RGPD, sans que les deux inventaires aient le même objet.

Toutes les utilisations ne demandent pas la même profondeur de contrôle. Une PME peut partir de trois niveaux.

Le classement dépend de l’usage réel, pas du nom commercial de l’outil. Un assistant généraliste peut rester au niveau 1 pour une tâche banale et relever du niveau 2 ou 3 s’il est intégré à un processus sensible.

Un inventaire utile peut commencer avec neuf champs :

1. Le nom du système ou du service et son fournisseur.

1. La finalité métier, formulée comme un résultat attendu et non comme « utiliser l’IA ».

1. L’équipe utilisatrice et le responsable interne de l’usage.

1. Les personnes concernées, si le système agit sur des salariés, candidats, clients ou partenaires.

1. Les données entrantes, notamment la présence éventuelle de données personnelles, confidentielles ou protégées.

1. La sortie produite et son influence sur une décision ou une action.

1. Le contrôle humain prévu, y compris la personne autorisée à corriger, arrêter ou contester le résultat.

1. Le statut de l’usage : test, autorisé, limité, suspendu ou retiré.

1. La date de la dernière revue et le prochain événement déclencheur : changement de modèle, nouvelle intégration, incident ou extension du périmètre.

Cette base suffit pour détecter les zones qui demandent une analyse plus poussée. Elle ne remplace pas les pièces détaillées exigées lorsqu’un système relève d’un régime particulier.

1. Définir le périmètre

Commencez par les outils achetés par l’entreprise, les fonctions d’IA intégrées aux logiciels existants et les usages individuels déjà tolérés. Le Shadow AI mérite une recherche dédiée : un inventaire limité aux factures de la DSI produira une fausse impression d’exhaustivité.

2. Nommer un propriétaire de l’inventaire

Il ne s’agit pas nécessairement de créer un poste. Une personne doit toutefois coordonner les réponses, arbitrer les entrées et organiser les revues. L’article sur le choix entre responsable IA et référent interne précise les options d’organisation possibles.

3. Interroger les métiers avec des questions concrètes

Demandez : « Quel outil utilisez-vous ? Pour quelle tâche ? Quelles données lui confiez-vous ? Que se passe-t-il si sa réponse est fausse ? Une personne est-elle évaluée ou affectée par le résultat ? » Ces questions révèlent mieux les risques qu’un questionnaire abstrait sur « l’intelligence artificielle ».

4. Classer et décider

Attribuez un niveau à chaque usage. La décision doit être explicite : poursuivre, limiter, renforcer les contrôles, faire expertiser ou arrêter. Un registre sans décision devient rapidement une liste obsolète.

5. Revoir lors des changements importants

Une revue annuelle peut être insuffisante pour un service dont le modèle, les fonctions ou les conditions contractuelles évoluent. Ajoutez des déclencheurs : connexion à une nouvelle base, changement de finalité, nouvelle population concernée, incident ou passage du test à la production.

Une PME industrielle teste un assistant qui classe les demandes reçues et propose une réponse. Au début, l’outil travaille sur des messages anonymisés et ne fait que suggérer une catégorie : l’usage peut être traité au niveau 1.

L’entreprise veut ensuite le connecter à la messagerie du support, au CRM et à l’historique contractuel. L’outil accède désormais à des données clients et influence la priorité de traitement. Il passe au niveau 2 : le registre doit documenter les flux, le fournisseur, les droits d’accès, les contrôles humains et la procédure en cas de mauvaise orientation.

Si l’entreprise lui confiait ensuite la décision automatique de refuser certaines demandes, une revue plus exigeante serait nécessaire. Le changement de niveau vient de l’effet du système sur le processus, pas d’un changement de marque ou de modèle.

Il n’existe pas de prix moyen sérieux applicable à toutes les PME. Le coût dépend moins du nombre de salariés que de la dispersion des usages, des intégrations et de la sensibilité des décisions.

Pour établir un budget, additionnez quatre postes :

1. Collecte métier : nombre d’équipes à interroger × temps d’entretien et de consolidation.

1. Qualification : nombre d’usages × profondeur de documentation requise.

1. Expertise ciblée : temps juridique, sécurité, données ou achats pour les cas sensibles.

1. Maintien : temps du propriétaire de l’inventaire, fréquence des revues et traitement des changements.

Une PME peut ainsi démarrer avec un tableur contrôlé si elle a peu d’usages. Un outil spécialisé devient pertinent lorsque les entrées se multiplient, que les validations doivent être tracées ou que plusieurs entités partagent le dispositif. Acheter une plateforme avant d’avoir défini les décisions à prendre déplace le problème au lieu de le résoudre.

Chercher l’exhaustivité avant d’agir

Attendre d’avoir recensé chaque usage retarde les décisions sur les cas déjà connus. Commencez par les usages intégrés, les décisions concernant des personnes et les données sensibles.

Confondre inventaire et conformité

Une ligne dans un tableur ne démontre ni la conformité du fournisseur ni la qualité du contrôle humain. Le registre sert à orienter les vérifications.

Documenter l’outil sans documenter la finalité

Le même outil peut être acceptable pour rédiger un brouillon et problématique pour classer des candidats. La finalité et l’effet doivent être décrits.

Ne pas relier le registre aux décisions d’investissement

L’inventaire doit permettre de voir les doublons, les usages sans propriétaire et les projets dont le risque dépasse la valeur attendue. Sinon, il reste un exercice administratif.

Chez Atalas, nous considérons que le registre doit devenir un outil de portefeuille : il relie chaque usage à une finalité, un responsable, un niveau de risque et une décision de financement. Cette approche évite deux écueils : attendre une certitude juridique complète avant d’expérimenter, ou multiplier les pilotes sans gouvernance commune.

La valeur du travail ne réside pas dans la création d’une liste. Elle réside dans la qualification des usages, les arbitrages et la feuille de route qui en découle.

Si votre inventaire révèle des usages dispersés, des décisions sensibles ou des projets sans responsable, Atalas peut cadrer votre gouvernance et transformer ce recensement en feuille de route de décision.

L’AI Act impose-t-il un registre de tous les usages IA aux PME ?

Non. Le règlement prévoit des obligations de documentation, de journaux, d’enregistrement ou de suivi pour certaines catégories et certains rôles, mais pas un registre universel de chaque usage pour toute PME. Un inventaire interne reste néanmoins le moyen le plus simple d’identifier les obligations applicables.

Faut-il inclure ChatGPT, Copilot, Claude ou Gemini utilisés ponctuellement ?

Oui si l’usage est professionnel, surtout lorsque des données de l’entreprise sont saisies ou que la sortie influence une décision. Une fiche légère peut suffire pour un usage assisté et encadré.

Le registre RGPD peut-il servir de registre IA ?

Il peut fournir des informations utiles lorsque des données personnelles sont traitées, mais il ne couvre pas nécessairement la finalité de l’IA, le fournisseur du modèle, le contrôle humain ou l’influence sur une décision. Les deux dispositifs peuvent être reliés sans être confondus.

Qui doit tenir l’inventaire ?

La coordination peut relever de la DSI, du DPO, des risques, de la transformation ou d’un référent IA. Le bon choix dépend de l’organisation. L’essentiel est d’avoir un propriétaire identifié et des contributeurs métier responsables de leurs usages.

À quelle fréquence faut-il le mettre à jour ?

À chaque changement important : nouvelle finalité, connexion à une source de données, nouveau fournisseur ou modèle, extension à d’autres utilisateurs, incident ou passage en production. Une revue périodique complète ce suivi, mais ne doit pas être le seul déclencheur.

Listez cette semaine les usages qui accèdent à des données internes, influencent une décision ou sont connectés à un processus métier. Pour chacun, renseignez les neuf champs et choisissez une décision : autoriser, encadrer, faire expertiser ou arrêter. Si cette première passe révèle des usages sans propriétaire ou des arbitrages difficiles, le besoin n’est plus seulement documentaire : il devient stratégique.

Avertissement : cet article propose une méthode de gouvernance et ne constitue pas un avis juridique. La qualification d’un système et des obligations applicables doit être vérifiée au regard de son contexte réel.