En bref. Le règlement européen sur l'IA laisse le registre interne des systèmes d'IA facultatif pour une entreprise privée. En pratique, il est indispensable : chaque obligation du texte suppose de savoir quels systèmes vous utilisez, à quoi ils servent et à quel niveau de risque ils appartiennent.
- Le registre des traitements exigé par le RGPD couvre déjà les traitements de données personnelles réalisés à l'aide d'un système d'IA.
- Le registre des systèmes d'IA le complète : il recense les outils, votre rôle, la classification de risque et les mesures prises.
- Les deux registres se relient par une référence croisée, chaque fiche renvoyant à l'autre.
- Les interdictions et la transparence s'appliquent déjà. Les obligations des systèmes à haut risque de l'annexe III s'appliqueront le 2 décembre 2027.
Le règlement européen sur l'intelligence artificielle est entré en application générale le 2 août 2026. Quelques jours plus tôt, le 27 juillet, le règlement (UE) 2026/1744 en avait décalé une partie : les obligations des systèmes à haut risque de l'annexe III sont reportées au 2 décembre 2027.
Pour une PME, le sujet est très concret. Vous utilisez un assistant de rédaction, un outil de tri de candidatures, un agent conversationnel sur votre site. Certaines fonctions sont arrivées avec la mise à jour d'un logiciel déjà en place. Un client, un assureur ou une autorité vous posera tôt ou tard la même question : quels systèmes d'IA utilisez-vous ? Ce guide explique ce que la loi exige, ce que le registre doit contenir et comment le relier à votre registre des traitements.
Le registre des systèmes d'IA est-il obligatoire ?
L'article 49 du règlement IA prévoit un enregistrement dans la base de données de l'Union européenne dans trois cas, qui concernent peu les PME utilisatrices. Les fournisseurs de systèmes à haut risque de l'annexe III s'y enregistrent avant la mise sur le marché ou la mise en service, sauf pour les infrastructures critiques, enregistrées au niveau national. Les fournisseurs qui estiment que leur système de l'annexe III échappe au haut risque s'y enregistrent aussi. Les autorités publiques qui déploient ces systèmes, ou les personnes agissant en leur nom, y enregistrent leur utilisation.
Pour une entreprise privée qui utilise des systèmes d'IA, le texte laisse le registre interne à votre initiative. Le besoin est d'abord pratique, car cinq séries de règles supposent un inventaire :
- Les pratiques interdites (article 5), applicables depuis le 2 février 2025. Elles incluent la reconnaissance des émotions sur le lieu de travail, sauf raisons médicales ou de sécurité. L'inventaire vous permet de vérifier, et de montrer en cas de contrôle, que vos outils restent en dehors de ces pratiques.
- La maîtrise de l'IA (article 4). Fournisseurs et déployeurs prennent des mesures pour favoriser la maîtrise de l'IA de leur personnel et des personnes qui utilisent les systèmes pour leur compte. Depuis le règlement 2026/1744, l'obligation porte sur ces mesures, sans garantie d'un niveau de maîtrise pour chaque individu.
- La classification à haut risque (article 6 et annexe III). Elle vise notamment le recrutement et le tri de candidatures, les décisions sur les conditions de travail, la promotion et l'évaluation des performances, ainsi que l'évaluation de la solvabilité des personnes physiques, hors détection de la fraude.
- Les obligations du déployeur d'un système à haut risque (article 26) : suivre la notice d'utilisation, confier le contrôle humain à des personnes compétentes, conserver les journaux au moins six mois, informer les travailleurs, leurs représentants et les personnes concernées. Ces obligations s'appliqueront le 2 décembre 2027. Un système mis sur le marché ou mis en service avant cette date y sera soumis seulement s'il subit ensuite une modification importante de sa conception (article 111, paragraphe 2). Les logiciels évoluent souvent : nous conseillons de préparer ces obligations sans compter sur cette exception.
- La transparence (article 50) : informer les personnes exposées à un système de reconnaissance des émotions ou de catégorisation biométrique, signaler les hypertrucages ainsi que les textes générés par IA et publiés pour informer le public sur des questions d'intérêt public, sauf examen humain ou contrôle éditorial, avec une personne qui assume la responsabilité éditoriale.
Chacune de ces vérifications commence par un inventaire. Le registre des systèmes d'IA est cet inventaire, tenu à jour et daté. Il constitue un élément de preuve utile en cas de contrôle. Pour les manquements aux obligations de transparence et, à partir du 2 décembre 2027, aux obligations du déployeur, le règlement prévoit une amende pouvant atteindre 15 millions d'euros ou 3 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. Pour une PME, le plafond est le plus faible des deux montants. Chaque État membre fixe son régime de sanctions dans ce cadre.
Quelle différence avec le registre des traitements du RGPD ?
Les deux registres répondent à deux questions distinctes. Le registre des traitements décrit ce que vous faites des données personnelles. Le registre des systèmes d'IA décrit les outils que vous utilisez et leur niveau de risque. Une réforme en cours de l'article 30, paragraphe 5, du RGPD pourrait alléger la tenue du registre des traitements pour une partie des entreprises. Elle reste à adopter.
| Critère | Registre des traitements | Registre des systèmes d'IA |
|---|---|---|
| Fondement | Article 30 du RGPD | Bonne pratique, preuve du respect du règlement IA |
| Unité décrite | Une finalité : la paie, le recrutement, la prospection | Un outil : l'assistant, le moteur de tri, l'agent conversationnel |
| Périmètre | Les données personnelles | Tous les systèmes d'IA, avec ou sans données personnelles |
| Question centrale | Pourquoi et comment traitez-vous ces données ? | Quel système utilisez-vous, dans quel rôle et à quel niveau de risque ? |
| Pilote habituel | DPO ou référent RGPD | Référent IA, avec le DPO et la direction informatique |
La CNIL distingue quatre situations, selon qu'un système relève du règlement IA, du RGPD, des deux ou d'aucun. Elle rappelle que le règlement IA « ne remplace pas les exigences du RGPD ». Un outil de tri de candidatures cumule les deux textes : il figure au registre des systèmes d'IA comme système en principe à haut risque, et le recrutement figure au registre des traitements.
Un même système peut servir plusieurs traitements, et un traitement peut mobiliser plusieurs systèmes. La solution la plus simple est une référence croisée : la fiche du système cite les traitements concernés, et la fiche du traitement cite les systèmes utilisés.
Que doit contenir la fiche d'un système d'IA ?
Le format est libre, puisque ce registre relève de votre initiative. Voici les rubriques que nous recommandons. La plupart se rattachent à une obligation du règlement IA ou du RGPD :
- L'identité : nom, version, éditeur, date de mise en service.
- L'usage : à quoi sert le système, dans quel service, pour quels utilisateurs.
- Votre rôle : déployeur ou fournisseur. Vous devenez fournisseur d'un système à haut risque si vous y apposez votre nom ou votre marque, si vous le modifiez substantiellement, ou si vous changez la destination d'un système au point de le rendre à haut risque (article 25).
- La classification : pratique interdite, haut risque avec le point de l'annexe III, obligation de transparence ou risque minimal, avec la justification et la date de l'analyse. Notre guide sur la classification des risques détaille la méthode.
- Les données : présence de données personnelles, catégories sensibles, renvoi vers la fiche du registre des traitements.
- Le contrôle humain : la personne chargée de superviser le système.
- Les journaux : lieu et durée de conservation, au moins six mois pour un système à haut risque.
- L'information : les mentions fournies aux salariés, aux candidats et aux clients.
- Les analyses : analyse d'impact relative à la protection des données et, pour les déployeurs visés à l'article 27, analyse d'impact sur les droits fondamentaux.
- Le fournisseur et le contrat : documentation reçue, notice d'utilisation, hébergement, clause sur la réutilisation de vos données.
- La formation : les actions de sensibilisation menées auprès des utilisateurs.
- La revue : statut du système (test, production, retiré) et date du prochain réexamen.
Comment construire le registre, étape par étape ?
- Recensez les outils. Interrogez chaque service, relevez les abonnements logiciels, repérez les fonctions d'IA activées dans les logiciels déjà en place et les assistants grand public utilisés à titre individuel.
- Vérifiez la définition. Le règlement vise un système automatisé, conçu pour fonctionner à différents niveaux d'autonomie, qui déduit, à partir des entrées qu'il reçoit, la manière de générer des prédictions, du contenu, des recommandations ou des décisions. Un logiciel qui applique uniquement des règles définies par des personnes reste en dehors du champ. Un système qui fait des inférences à partir de connaissances encodées peut y entrer.
- Qualifiez votre rôle. Vous êtes déployeur quand vous utilisez un système sous votre autorité. Vous êtes fournisseur quand vous développez ou faites développer un système et que vous le mettez sur le marché ou en service sous votre nom ou votre marque, y compris pour votre propre usage.
- Classez le risque. Commencez par les pratiques interdites, poursuivez avec l'annexe III, terminez par les obligations de transparence.
- Reliez au registre des traitements. Ajoutez la référence croisée dès que le système traite des données personnelles.
- Désignez un responsable par système. Fixez une revue à chaque nouvel outil, à chaque changement d'usage et au moins une fois par an.
Pour l'IA générative, la CNIL recommande de partir d'un besoin concret et de définir « une liste d'utilisations autorisées et interdites ». Cette liste trouve naturellement sa place à côté du registre.
Quelles échéances garder en tête ?
| Date | Ce qui s'applique |
|---|---|
| 2 février 2025 | Pratiques interdites et maîtrise de l'IA |
| 2 août 2025 | Règles de gouvernance et obligations des modèles d'IA à usage général |
| 2 août 2026 | Application générale du règlement, dont les obligations de transparence |
| 2 décembre 2026 | Fin du délai de marquage des contenus pour les systèmes d'IA générative déjà sur le marché, et nouvelles interdictions issues du règlement 2026/1744 |
| 2 décembre 2027 | Obligations des systèmes à haut risque de l'annexe III |
| 2 août 2028 | Obligations des systèmes à haut risque intégrés à des produits réglementés (annexe I) |
Le report du haut risque vous laisse un peu plus d'un an pour classer vos systèmes et préparer les obligations du déployeur. Les interdictions, la maîtrise de l'IA et la transparence, elles, s'appliquent déjà.
Qui tient le registre dans une PME ?
Confiez le registre à un référent IA. Dans une PME, ce rôle revient souvent au DPO ou au référent conformité, qui tient déjà le registre des traitements. Il travaille avec la direction informatique, qui connaît les outils, et avec les services, qui connaissent les usages. Pour le déploiement d'une IA générative, la CNIL recommande une gouvernance associant dès le début le délégué à la protection des données, le responsable des systèmes d'information, le responsable de la sécurité et les responsables métiers. Cette organisation convient aussi à la tenue du registre.
Un outil unique pour les deux registres évite la double saisie et garde les références croisées à jour.
Ce que cela change pour une PME. Cinq actions pour démarrer :
- lancez le recensement auprès de chaque service, fonctions d'IA des logiciels existants comprises ;
- examinez en premier les outils de ressources humaines : le tri de candidatures et l'évaluation des salariés relèvent en principe du haut risque ;
- écartez tout outil de reconnaissance des émotions au travail, pratique interdite depuis février 2025 sauf raisons médicales ou de sécurité ;
- ajoutez à chaque fiche de traitement la référence des systèmes d'IA utilisés ;
- diffusez la liste des usages autorisés et interdits de l'IA générative, puis formez les équipes.
Willaw réunit les deux registres dans une même plateforme : le registre des traitements au titre de l'article 30 du RGPD, et le module AI Act avec son registre des systèmes d'IA et la classification des risques. Demandez une démonstration pour le voir sur vos propres outils.
Sources
- Règlement (UE) 2024/1689 sur l'intelligence artificielle, articles 3, 4, 5, 6, 25, 26, 27, 49, 50, 99, 111 et 113, annexe III.
- Règlement (UE) 2026/1744 du 8 juillet 2026, dit omnibus numérique sur l'IA, qui modifie notamment les articles 4, 99, 111 et 113.
- Règlement (UE) 2016/679 (RGPD), article 30.
- Commission européenne, Législation sur l'IA, calendrier d'application, page mise à jour le 3 août 2026.
- CNIL, Entrée en vigueur du règlement européen sur l'IA : les premières questions-réponses de la CNIL, mise à jour du 17 août 2026.
- CNIL, Comment déployer une IA générative ? La CNIL apporte de premières précisions, 18 juillet 2024.