Vous utilisez un chatbot pour votre service client, un outil de scoring pour vos recrutements ou un logiciel de prévision des ventes ? Ces systèmes entrent potentiellement dans le champ d'application du règlement européen sur l'IA (EU AI Act). Et l'une des premières obligations concrètes qui en découle est la tenue d'un registre des systèmes d'IA au sein de votre entreprise. Bonne nouvelle : cette démarche n'est pas réservée aux grandes corporations. Avec une méthode structurée, une PME peut constituer ce registre en quelques semaines. Voici comment procéder.
Pourquoi le registre des systèmes d'IA est une obligation centrale
L'EU AI Act, entré en vigueur le 1er août 2024, impose aux opérateurs de systèmes d'IA — c'est-à-dire aussi bien les fournisseurs que les déployeurs — de maintenir une documentation précise sur les systèmes qu'ils utilisent ou commercialisent. Pour les déployeurs (les entreprises qui utilisent des systèmes d'IA développés par des tiers), cette obligation de traçabilité est particulièrement importante pour les systèmes classés à risque élevé.
Mais au-delà des obligations strictement légales, tenir un registre présente un avantage stratégique immédiat : il vous permet de savoir exactement ce que vous utilisez, dans quel contexte, et avec quelles implications. C'est le point de départ indispensable de toute démarche de conformité. Sans inventaire, impossible d'évaluer vos risques ni de prioriser vos actions avant l'échéance du 2 août 2026.
Étape 1 : identifier tous les systèmes d'IA de votre entreprise
La première difficulté pour une PME est souvent de réaliser l'étendue réelle de son exposition à l'IA. Beaucoup de systèmes d'IA sont intégrés dans des logiciels du quotidien sans être explicitement présentés comme tels. Voici les catégories à passer en revue :
- Outils RH : logiciels de tri de CV, outils d'évaluation des candidats, systèmes de gestion des performances.
- Outils commerciaux : CRM avec scoring prédictif, outils de recommandation produit, chatbots de vente.
- Outils financiers : logiciels d'analyse de crédit, détection de fraude, prévision de trésorerie.
- Outils opérationnels : maintenance prédictive, contrôle qualité automatisé, gestion des stocks.
- Outils de communication : assistants rédactionnels, outils de traduction automatique, générateurs de contenu.
Impliquez chaque responsable de département dans cet inventaire. Les systèmes d'IA sont souvent achetés ou adoptés de manière décentralisée, sans validation de la direction. Un simple questionnaire interne suffit pour démarrer.
Étape 2 : structurer les informations à documenter
Une fois les systèmes identifiés, il faut les documenter de manière cohérente. Pour chaque système d'IA recensé, votre registre devrait contenir au minimum les informations suivantes :
- Nom et version du système : dénomination commerciale, version utilisée, éditeur ou fournisseur.
- Finalité et contexte d'utilisation : à quoi sert ce système concrètement dans votre entreprise ? Qui l'utilise ? Dans quel processus métier est-il intégré ?
- Catégorie de risque : le système relève-t-il d'une pratique interdite, d'un usage à risque élevé, d'un risque limité ou d'un risque minimal au sens de l'EU AI Act ?
- Données traitées : quelles données personnelles ou sensibles le système utilise-t-il ? Des données de salariés, de clients, de personnes vulnérables ?
- Responsable interne : qui est le référent de ce système au sein de votre organisation ?
- Fournisseur et documentation disponible : disposez-vous de la documentation technique fournie par l'éditeur ? D'une notice d'utilisation ? D'une déclaration de conformité CE ?
- Date de mise en service et mises à jour : historique des versions utilisées.
Un tableur bien structuré peut suffire pour démarrer. L'essentiel est la cohérence et l'exhaustivité, pas la sophistication de l'outil.
Étape 3 : qualifier le niveau de risque de chaque système
C'est l'étape la plus technique, mais aussi la plus déterminante. L'EU AI Act établit une classification des systèmes d'IA en fonction de leur niveau de risque, et les obligations varient considérablement selon cette classification.
Les pratiques interdites (comme les systèmes de notation sociale généralisée ou la manipulation subliminale) doivent simplement être écartées. Les systèmes à risque élevé — notamment ceux utilisés dans les domaines de l'emploi, de l'éducation, du crédit, de la justice ou des infrastructures critiques — sont soumis aux obligations les plus lourdes : évaluation de conformité, documentation technique détaillée, supervision humaine, enregistrement dans la base de données européenne pour certains d'entre eux.
Pour les systèmes à risque limité, comme les chatbots, des obligations de transparence s'appliquent : l'utilisateur doit savoir qu'il interagit avec une IA. Enfin, les systèmes à risque minimal (filtres anti-spam, recommandations de contenu sans impact significatif) ne sont soumis à aucune obligation spécifique, même si les bonnes pratiques restent encouragées.
Cette qualification nécessite une lecture attentive du règlement et, dans certains cas, l'avis d'un juriste spécialisé. Des outils de diagnostic peuvent également vous guider dans cette classification.
Étape 4 : maintenir le registre dans le temps
Un registre des systèmes d'IA n'est pas un document que l'on produit une fois pour toutes. Il doit être vivant et mis à jour régulièrement. Voici les bonnes pratiques pour en assurer la pérennité :
- Désigner un responsable : idéalement un DPO, un responsable conformité ou un référent IA au sein de votre structure. Dans les très petites structures, ce rôle peut être assumé par le dirigeant lui-même.
- Intégrer la mise à jour dans les processus d'achat : toute nouvelle solution logicielle intégrant de l'IA doit automatiquement faire l'objet d'une fiche dans le registre avant déploiement.
- Réviser le registre au moins une fois par an : les usages évoluent, les fournisseurs mettent à jour leurs algorithmes, et le cadre réglementaire lui-même peut évoluer.
- Articuler le registre IA avec votre registre RGPD : de nombreux systèmes d'IA traitent des données personnelles. La cohérence entre les deux registres est un gage de maturité en matière de conformité.
Conclusion : commencez maintenant, pas en 2026
Tenir un registre des systèmes d'IA est l'une des actions les plus concrètes et les plus accessibles que vous puissiez entreprendre dès aujourd'hui pour préparer la conformité de votre PME à l'EU AI Act. Ce n'est pas un exercice bureaucratique : c'est la fondation sur laquelle repose toute votre stratégie de conformité. Sans cet inventaire, vous naviguez à l'aveugle.
L'échéance du 2 août 2026 approche, et les entreprises qui auront anticipé seront celles qui éviteront les sanctions et gagneront la confiance de leurs clients et partenaires. Ne laissez pas ce chantier pour la dernière minute.
Vous ne savez pas par où commencer ? Audityo vous propose un diagnostic de conformité gratuit pour identifier vos systèmes d'IA, évaluer leur niveau de risque et construire votre feuille de route de mise en conformité. Rendez-vous sur audityo.eu et faites le premier pas en moins de 10 minutes.