Registre des usages IA : à quoi il sert, ce qu'il contient

Un registre des usages IA est la liste, tenue à jour, de tous les usages de l'intelligence artificielle dans votre entreprise. Il dit qui utilise quel outil, pour quelle tâche, avec quelles données et sous quelle responsabilité. Il contient dix colonnes, décrites une par une ci-dessous. C'est la pièce que vous sortez quand un client, un assureur ou une autorité demande à voir ce que vous avez mis en place.

Ce n'est pas un document réglementaire imposé sous ce nom. C'est l'outil de travail qui rend tout le reste possible.

Pourquoi c'est la pièce maîtresse de la preuve

Une charte dit ce qui est autorisé. Une formation explique pourquoi. Seul le registre montre ce qui se passe réellement, à une date donnée, dans votre entreprise.

Le règlement (UE) 2024/1689, dit AI Act, n'impose ni inventaire ni registre à une entreprise qui se contente d'utiliser des systèmes d'IA. L'intérêt du registre est ailleurs : il est le seul moyen de prouver ce que vous avancez. Sans inventaire, vous ne pouvez pas démontrer que vos mesures de littératie correspondent à vos usages réels, faute de savoir à quoi elles s'appliquent. Pour resituer l'ensemble des obligations qui pèsent sur une PME, voyez ce qui s'applique vraiment en 2026.

L'usage le plus fréquent du registre est d'ailleurs commercial. Un appel d'offres qui demande comment vous encadrez l'IA se répond en dix minutes avec un registre à jour, et en trois semaines de panique sans.

Le parallèle avec le registre RGPD, sans les confondre

Si vous tenez déjà un registre des traitements au titre du RGPD, la mécanique vous est familière : une ligne par objet, des colonnes stables, une revue périodique. La logique de tenue est la même, et la personne qui s'en occupe est souvent la même.

Les deux registres ne recensent pourtant pas la même chose. Le registre des traitements recense des traitements de données personnelles, avec leur finalité et leur base légale. Le registre des usages IA recense des usages de systèmes d'IA, y compris ceux qui ne touchent aucune donnée personnelle. Traduire une notice technique, générer une illustration, résumer un compte rendu interne : tout y entre.

Ne les fusionnez pas. Un usage d'IA qui traite des données personnelles apparaît dans les deux, avec un renvoi de l'un vers l'autre. Le détail de l'articulation est traité dans ce qui distingue l'AI Act du RGPD.

Les dix colonnes du registre des usages IA

Chaque ligne du registre décrit un usage, pas un outil. Le même assistant utilisé par le commerce pour rédiger des propositions et par les ressources humaines pour trier des candidatures fait deux lignes, car le risque n'est pas le même.

Usage

L'intitulé de la tâche, en langage courant et en une ligne. Par exemple : « rédaction des propositions commerciales », « résumé des comptes rendus de chantier », « traduction des fiches produit ». Évitez les libellés vagues du type « productivité ». Un usage mal nommé est un usage qu'on ne saura pas réévaluer dans six mois.

Service

Le service ou l'équipe qui pratique cet usage : commerce, comptabilité, ressources humaines, production, direction. Cette colonne sert à deux choses. Cibler la formation là où les usages sont réels, d'abord. Repérer ensuite les services où personne ne déclare rien, ce qui est rarement une bonne nouvelle.

Outil

Le nom exact du système utilisé et, surtout, sa version d'accès : offre gratuite, abonnement individuel, licence professionnelle de l'entreprise, fonction d'IA intégrée à un logiciel déjà en place. Le nom seul ne dit rien du traitement réservé aux données saisies. C'est la mention du type de compte qui rend cette colonne utile.

Finalité

Ce que l'usage produit et à quoi sert le résultat : un document interne, un livrable client, une décision, une publication. Une même tâche change de niveau d'exigence selon sa finalité. Un brouillon interne se relit vite ; un document envoyé à un client engage l'entreprise.

Données saisies

Les catégories de données réellement entrées dans l'outil : aucune donnée sensible, données internes non confidentielles, données personnelles de clients, données personnelles de salariés, informations contractuelles, éléments techniques protégés. C'est la colonne qui déclenche les décisions. Une ligne portant des données personnelles et un compte gratuit se traite dans la semaine.

Criticité

Une échelle à trois niveaux suffit : faible, moyenne, élevée. La criticité combine la sensibilité des données saisies et l'effet d'une erreur non détectée. Un résumé de réunion interne reste faible. Une aide au tri de candidatures ou à l'évaluation de salariés est élevée, car ces domaines figurent à l'annexe III du règlement.

Responsable

Une personne nommée, pas un service. C'est elle qui répond des règles applicables à cet usage, valide les évolutions et signale les incidents. Sans nom dans cette colonne, la ligne n'est tenue par personne, et le registre se périme en silence.

Date de déclaration

La date à laquelle l'usage a été déclaré ou constaté. Cette colonne est votre historique : elle montre qu'une démarche existe depuis une date donnée et qu'elle continue de vivre. Une trace datée pèse beaucoup plus lourd qu'un document parfait sans repère temporel.

Validation

Le statut de l'usage : autorisé, autorisé sous conditions, en attente d'examen, refusé. Ajoutez la date et l'auteur de la décision, et la condition quand il y en a une, par exemple « autorisé sans donnée client ». C'est la colonne qui relie le registre à votre charte : ce qui est validé ici alimente la liste des outils autorisés annexée à votre charte d'usage de l'IA.

Révision

La date de la prochaine revue de la ligne. Alignez-la sur la criticité : une fois par an pour les usages faibles, deux fois pour les moyens, à chaque changement d'outil ou de périmètre pour les élevés. Une échéance vide finit toujours par ne jamais arriver.

Qui le tient, et à quelle fréquence il vit

Une seule personne tient la plume. Dans une PME, c'est le plus souvent le dirigeant, le responsable administratif et financier, le référent informatique ou la personne qui porte déjà le RGPD. Le partage de la tenue entre plusieurs mains produit des doublons et des colonnes remplies au hasard.

Le registre se remplit en trois temps. Un recensement initial d'abord, qui reste le gros du travail. Il se mène en deux semaines calendaires, dont environ une demi-journée de travail effectif : la méthode complète est détaillée dans recenser les usages IA de votre entreprise. Puis une alimentation au fil de l'eau, chaque nouvelle déclaration créant une ligne. Enfin une revue annuelle, courte, qui vérifie les échéances et supprime les usages abandonnés.

Comptez deux heures pour le premier remplissage après le recensement, puis une à deux heures par trimestre. Au-delà, c'est le signe que le registre est trop détaillé pour votre taille.

Ce que le registre alimente ensuite

Le registre n'est pas un document d'archive. Il commande les autres pièces de votre gouvernance IA.

Il donne d'abord le plan de formation : les services qui utilisent l'IA intensivement et les usages à criticité élevée définissent qui doit être formé en priorité et sur quoi. Il donne ensuite la liste des outils autorisés annexée à la charte, sans avoir à réinventer une liste théorique. Il donne enfin la réponse aux questions extérieures. Un client qui demande si vous utilisez l'IA sur son dossier, un assureur, un partenaire qui audite ses sous-traitants : la réponse est écrite.

C'est aussi lui qui révèle les décisions à prendre. Trois lignes portant des données clients sur des comptes personnels : il faut fournir un outil professionnel. Un usage à criticité élevée sans responsable nommé : il faut en désigner un. Le registre ne se contente pas de décrire, il ordonne le travail.

Un tableur suffit, jusqu'à un certain point

Commencez par un tableur. Dix colonnes, une ligne par usage, un onglet d'historique des versions : c'est parfaitement suffisant pour une vingtaine d'usages et cela évite de retarder le démarrage.

Le tableur cesse de suffire à trois signaux. Quand le fichier n'est plus à jour parce que la collecte des déclarations coûte plus cher que la tenue elle-même. Quand vous n'arrivez plus à relier une ligne du registre à la preuve correspondante, comme l'accusé de réception de la charte ou la feuille de présence d'une session de formation. Quand vous devez produire un état daté pour un tiers et que vous n'avez aucune façon de démontrer que le fichier n'a pas été retouché la veille.

À ce stade, l'enjeu n'est plus le tableau mais la chaîne complète : déclaration, validation, formation, trace horodatée. C'est exactement ce que couvre l'approche en quatre documents décrite dans la gouvernance IA qui tient en quatre documents.

Questions fréquentes

Le registre des usages IA est-il obligatoire ?

Aucune disposition du règlement n'impose un document portant ce nom aux entreprises qui utilisent l'IA dans un cadre courant. En revanche, il faut pouvoir montrer que vos mesures de littératie et vos règles internes correspondent à vos usages réels. Cela suppose de les connaître et de les avoir écrits. Le registre est le moyen le plus économique d'y parvenir.

Faut-il y inscrire les fonctions d'IA intégrées à nos logiciels habituels ?

Oui, dès qu'elles produisent un contenu, un tri, un score ou une recommandation utilisée dans le travail. La fonction de résumé automatique d'un outil de visioconférence ou l'aide à la rédaction d'une messagerie professionnelle sont des usages d'IA à part entière. Ce sont souvent les plus oubliés, parce que personne ne les a choisis explicitement.

Qui peut consulter le registre ?

Il n'a pas vocation à être public. En interne, le responsable et la direction y accèdent, et chaque service peut consulter les lignes qui le concernent. En externe, vous en communiquez un extrait à un client ou à un partenaire qui pose la question, sans détailler vos données ni vos configurations techniques.

Où en est votre entreprise ?

L'audit de maturité IA d'Harmonia évalue vos usages, votre exposition et vos priorités. Gratuit en 5 min.

Lancer l'audit de maturité IA