Registre IA : logiciel de conformité AI Act

Un registre IA est l’inventaire structuré de tous les systèmes d’intelligence artificielle qu’une organisation développe, achète ou déploie, avec pour chacun sa finalité, son niveau de risque au sens de l’AI Act, le rôle joué (fournisseur ou déployeur) et les obligations associées. C’est la première pièce documentaire exigée par une gouvernance IA sérieuse — et le point où un logiciel dédié fait gagner le plus de temps, parce qu’il relie chaque système à ses échéances et à son analyse de risque. Voici comment fonctionne un registre IA, ce qu’un bon outil doit produire, et le comparatif des solutions du marché.

Points clés

• Le registre IA n’est pas exigé mot pour mot par un article unique, mais découle des obligations de gestion des risques et de documentation technique du règlement (UE) 2024/1689 (AI Act).
• Chaque système doit être classé par niveau de risque : inacceptable (interdit), haut risque (Annexe III), risque limité (transparence), risque minimal.
• Les obligations diffèrent radicalement selon que vous êtes fournisseur (celui qui met sur le marché) ou déployeur (celui qui utilise le système).
• Les échéances s’échelonnent : pratiques interdites depuis février 2025, modèles GPAI depuis août 2025, application générale du règlement et transparence de l’article 50 le 2 août 2026, systèmes à haut risque de l’Annexe III reportés au 2 décembre 2027 par l’omnibus numérique sur l’IA.
• Un registre IA se relie naturellement au registre RGPD : la plupart des systèmes traitent des données personnelles.

Ce que le registre IA doit contenir

L’AI Act ne fournit pas de modèle de registre unique comme l’art. 30 RGPD pour les traitements. Mais l’obligation de fond est identique : vous devez être capable de démontrer, système par système, votre conformité. Un registre IA opérationnel documente au minimum :

• Identification : nom du système, éditeur ou modèle sous-jacent, version, date de mise en service.
• Finalité et cas d’usage : à quoi sert le système, sur quelles décisions il pèse.
• Rôle AI Act : fournisseur, déployeur, importateur, distributeur — le même acteur peut cumuler des rôles selon les systèmes.
• Classification de risque : inacceptable, haut risque, limité, minimal, avec la justification.
• Données traitées : catégories, présence de données sensibles au sens de l’art. 9 RGPD, lien vers le traitement du registre RGPD.
• Mesures : surveillance humaine, documentation technique, information des personnes, journalisation.
• Échéance applicable et statut de mise en conformité.

Classification par risque : le cœur du registre

La valeur d’un registre IA tient à sa colonne « niveau de risque ». C’est elle qui déclenche les obligations. L’AI Act distingue quatre niveaux.

Ces deux dates ont bougé récemment. L’omnibus numérique sur l’IA, voté par le Parlement européen le 16 juin 2026 et définitivement approuvé par le Conseil le 29 juin 2026, décale de seize mois les obligations de l’Annexe III et de douze mois celles de l’Annexe I, faute de normes harmonisées prêtes à donner aux systèmes à haut risque une présomption de conformité. Le report ne vaut que pour les obligations de fond du haut risque : les interdictions de l’article 5, les obligations GPAI, la transparence de l’article 50 et le devoir de littératie en IA de l’article 4 restent à leurs dates. La publication au JOUE était encore attendue fin juillet 2026, donc vérifiez le texte consolidé avant de fixer un calendrier interne.

Le piège classique : croire qu’aucun de vos systèmes n’est à haut risque. Un outil de tri de CV, un score d’attribution de crédit ou un système d’aide à l’orientation scolaire relèvent tous de l’Annexe III. C’est précisément ce que le registre force à trancher, système par système, plutôt que par intuition.

Fournisseur ou déployeur : deux régimes distincts

L’erreur la plus fréquente consiste à confondre les deux rôles. Le fournisseur conçoit ou met sur le marché le système : il porte l’essentiel des obligations (évaluation de conformité, marquage CE, documentation technique). Le déployeur l’utilise sous sa propre autorité : il doit assurer la surveillance humaine, utiliser le système conformément à sa notice, et — s’il traite des données personnelles — mener l’analyse d’impact RGPD quand elle s’impose.

La plupart des PME et ETI françaises sont déployeuses : elles achètent des solutions d’IA. Mais dès que vous entraînez un modèle sur vos données ou que vous adaptez substantiellement un système existant, vous pouvez basculer au statut de fournisseur — avec les obligations lourdes qui l’accompagnent. Le registre doit tracer ce basculement. La CNIL a par ailleurs publié des recommandations pratiques sur l’articulation entre l’IA et le RGPD, qui aident à qualifier ces situations lorsque le système traite des données personnelles.

Comparatif des logiciels de registre IA

L’AI Act étant récent, l’offre logicielle se structure encore. Trois familles coexistent : les modules IA des suites de gouvernance, les plateformes RGPD qui ajoutent un module IA, et les tableurs.

Le critère décisif n’est pas la longueur de la liste de fonctionnalités mais l’articulation registre IA / registre RGPD. Un système d’IA qui traite des données personnelles génère deux obligations parallèles ; les tenir dans deux outils déconnectés multiplie le travail et les incohérences. Une plateforme européenne qui gère les deux registres au même endroit, comme le propose Legiscope, évite la double saisie et garde la cohérence entre l’analyse d’impact IA et l’AIPD.

Comment démarrer votre registre IA

1. Recenser sans filtrer : listez tout ce qui embarque de l’IA, y compris les fonctions IA cachées dans vos logiciels métier (CRM, ATS de recrutement, outils marketing).
2. Qualifier le rôle : pour chaque système, fournisseur ou déployeur ? En cas de doute sur un modèle réentraîné, retenez l’hypothèse la plus exigeante.
3. Classer le risque : confrontez chaque usage à l’Annexe III et aux pratiques interdites.
4. Relier aux traitements RGPD : chaque système traitant des données personnelles doit pointer vers son traitement dans le registre RGPD, et vers une AIPD si le profilage ou les décisions automatisées sont en jeu.
5. Planifier les échéances : datez chaque obligation. En premier lieu la transparence de l’article 50, applicable dès le 2 août 2026 à tout chatbot et à tout contenu généré ; ensuite les systèmes à haut risque de l’Annexe III, qui échoient au 2 décembre 2027 — un délai qui paraît long jusqu’à ce qu’on doive reconstituer la documentation technique de systèmes déjà en production.

Pour une organisation qui doit aussi couvrir le RGPD, la NIS2 et DORA, un registre IA isolé n’a guère de sens : mieux vaut l’intégrer à une gouvernance de conformité unifiée. Pour le socle RGPD lui-même, notre comparatif du meilleur logiciel RGPD reste le point de départ, et le module IA doit s’y greffer sans rupture — voir aussi le logiciel de conformité RGPD + AI Act pour la couverture générale du règlement.

FAQ

Le registre IA est-il obligatoire ?

L’AI Act ne nomme pas un « registre IA » dans un article unique comme le fait l’art. 30 RGPD. Mais les obligations de gestion des risques, de documentation technique et de tenue de logs des systèmes à haut risque rendent l’inventaire indispensable pour démontrer la conformité. En pratique, aucune organisation ne peut prouver le respect de l’AI Act sans un inventaire structuré de ses systèmes.

Quelle différence entre registre IA et registre RGPD ?

Le registre RGPD (art. 30) recense les traitements de données personnelles ; le registre IA recense les systèmes d’IA avec leur niveau de risque. Ils se recoupent largement puisqu’un système d’IA traite souvent des données personnelles. L’idéal est de les tenir dans le même outil pour relier chaque système d’IA au traitement et à l’AIPD correspondants.

Suis-je fournisseur ou déployeur au sens de l’AI Act ?

Vous êtes déployeur si vous utilisez sous votre autorité un système d’IA acheté ou intégré. Vous devenez fournisseur si vous développez le système, le mettez sur le marché sous votre marque, ou le modifiez substantiellement (réentraînement, changement de finalité). Un même acteur peut être déployeur pour certains systèmes et fournisseur pour d’autres.

Quelles sont les échéances de l’AI Act ?

Les pratiques interdites et le devoir de littératie en IA s’appliquent depuis le 2 février 2025, les obligations des modèles d’IA à usage général (GPAI) depuis le 2 août 2025, et l’application générale du règlement — dont les obligations de transparence de l’article 50 — intervient le 2 août 2026. Les obligations de fond des systèmes à haut risque de l’Annexe III ont en revanche été reportées au 2 décembre 2027 par l’omnibus numérique sur l’IA, approuvé par le Conseil le 29 juin 2026 ; les systèmes à haut risque intégrés dans des produits réglementés (Annexe I) passent au 2 août 2028. Report ne veut pas dire exemption : rien d’autre ne bouge, et un système mis en service aujourd’hui devra être conforme à l’échéance.

Un tableur suffit-il pour tenir un registre IA ?

Au tout début, pour recenser une poignée de systèmes, un tableur permet de démarrer. Mais il montre vite ses limites : il ne relie pas chaque système d’IA à son traitement RGPD ni à son AIPD, ne suit pas les échéances (la transparence de l’article 50 en août 2026, le haut risque de l’Annexe III en décembre 2027), et ne conserve aucune trace horodatée de la classification de risque. Or c’est précisément cette traçabilité que l’AI Act exige pour démontrer la conformité. Dès que l’inventaire dépasse quelques systèmes, un outil reliant registre IA et registre RGPD devient nettement plus fiable.

Conclusion

Le registre IA est à l’AI Act ce que le registre des traitements est au RGPD : la pièce maîtresse qui organise toutes les autres obligations. Sa valeur tient à sa colonne « niveau de risque », qui déclenche des régimes très différents selon que vous êtes fournisseur ou déployeur. Le bon logiciel n’est pas celui qui empile les fonctions AI Act, mais celui qui relie proprement votre inventaire IA à votre registre RGPD et à vos AIPD — parce que la quasi-totalité de vos systèmes traitent des données personnelles. Commencez par recenser sans filtrer : c’est l’exercice qui révèle, presque toujours, un ou deux systèmes à haut risque insoupçonnés.