Registre des usages de l’IA : un modèle court et un exemple rempli

Un registre des usages de l’IA est la liste des tâches pour lesquelles votre équipe se sert d’un outil d’IA. Une ligne par tâche, avec l’outil et le compte utilisés, les informations qui y entrent, la personne qui relit et la décision prise. Aucun texte ne l’impose sous ce nom. Il garde la trace des mesures prises au titre de l’article 4 de l’AI Act, il fait repérer un usage que le règlement classe à haut risque avant qu’il démarre, et il prépare le registre des traitements du RGPD, qui est un autre document. Six colonnes et une personne pour le tenir suffisent.

Exemple fictif : une entreprise de nettoyage de quatorze personnes

Une entreprise de nettoyage de bureaux compte onze agents et trois personnes au bureau. Avant d’écrire une charte, la gérante fait un tour de table, sans reproche. Elle apprend que l’assistante de planning reformule ses mails aux clients dans la version gratuite de ChatGPT, sur son compte personnel. Le commercial prépare la trame de ses devis avec Copilot, dans l’abonnement Microsoft 365 de l’entreprise. La responsable administrative a essayé un site qui promet de classer les CV reçus pour un poste d’agent.

Le premier usage pose une question de compte, le troisième touche au recrutement. Le registre est la feuille où ces lignes sont écrites, avec une décision pour chacune. Si une partie de l’équipe se sert d’outils que personne n’a autorisés, le guide sur les salariés qui utilisent ChatGPT sans autorisation explique comment faire cet inventaire.

Pourquoi tenir un registre

L’article 4 de l’AI Act : garder la trace de ce que l’équipe apprend

Une entreprise qui utilise un outil d’IA dans son travail est un « déployeur » au sens du règlement européen sur l’IA. L’article 4, dans sa version modifiée en juillet 2026 par le règlement (UE) 2026/1744, lui demande de prendre des mesures pour favoriser la maîtrise de l’IA par son personnel et par les personnes qui utilisent ces outils pour son compte. Ces mesures tiennent compte de leurs connaissances, du contexte d’utilisation et des personnes concernées. Le texte précise qu’aucun niveau individuel n’est à garantir.

Dans ses questions-réponses sur l’article 4, la Commission européenne indique qu’aucun certificat n’est exigé et qu’aucune organisation particulière n’est imposée. Elle ajoute que l’entreprise peut tenir une trace interne de ses formations et de ses autres actions. Les autorités nationales contrôlent ces règles depuis le 2 août 2026. Un registre daté en fait partie, avec la charte et les notes de vos ateliers. Le guide AI Act : ce que doit faire une PME qui utilise ChatGPT présente les autres obligations, usage par usage.

L’article 26 : repérer un usage à haut risque avant qu’il démarre

L’annexe III de l’AI Act range parmi les systèmes à haut risque ceux qui servent à recruter ou sélectionner des personnes, notamment pour analyser et filtrer les candidatures ou évaluer les candidats. Elle y range aussi ceux qui servent à suivre et évaluer la performance ou le comportement des salariés.

L’article 26 donne au déployeur de ces systèmes des obligations précises :

• les utiliser selon la notice du fournisseur ;
• confier leur surveillance à des personnes qui ont la compétence, la formation et l’autorité nécessaires ;
• garder au moins six mois les journaux produits par le système, quand ils sont sous son contrôle ;
• informer les représentants du personnel et les salariés concernés avant d’utiliser le système sur le lieu de travail.

Depuis la modification de juillet 2026, l’article 113 fixe au 2 décembre 2027 l’application de ces règles aux systèmes de l’annexe III. Une ligne « classer les CV » écrite aujourd’hui dans le registre vous laisse le temps d’interroger le fournisseur avant de lancer l’outil. Dans l’exemple, la gérante inscrit la ligne avec la mention « suspendu, à examiner ».

Le RGPD : savoir où partent les données

Dans ses questions-réponses sur l’IA générative, la CNIL recommande d’encadrer son usage par une charte ou une politique interne qui définit les usages autorisés et les usages interdits, et de former les utilisateurs. Le modèle de charte d’usage de l’IA donne les règles ; le registre dit à quelles tâches elles s’appliquent aujourd’hui.

Registre des usages et registre des traitements RGPD : deux documents

Le registre des activités de traitement est prévu par l’article 30 du RGPD. Il décrit chaque traitement de données personnelles : finalités, catégories de personnes et de données, destinataires, transferts hors de l’Union européenne, délais d’effacement et, dans la mesure du possible, mesures de sécurité. Il est écrit, sur papier ou sous forme électronique, et doit être mis à la disposition de la CNIL si elle le demande.

L’article 30 dispense les entreprises de moins de 250 salariés, sauf pour les traitements qui ne sont pas occasionnels, ceux qui présentent un risque pour les droits et libertés des personnes et ceux qui portent sur des données sensibles ou sur des condamnations pénales. La CNIL rappelle que cette dérogation ne vise que des cas très particuliers et qu’en cas de doute, il faut inscrire le traitement. Un fichier clients ou un fichier du personnel tenu toute l’année n’a rien d’occasionnel.

La Commission européenne a proposé en mai 2025 d’élargir cette dispense et de réserver le registre aux traitements à risque élevé. Au 31 octobre 2026, le Parlement européen n’a pas encore voté le texte. Jusqu’à sa publication, l’article 30 s’applique tel qu’il est écrit.

Les deux se croisent dès qu’une donnée personnelle entre dans l’outil. Si le commercial colle dans Copilot le nom et l’adresse d’un prospect, la ligne du registre des usages le dit, et le traitement « gestion des prospects » du registre RGPD doit citer l’éditeur parmi les destinataires, avec un éventuel transfert hors de l’Union. Si vous reliez un assistant à vos propres documents, la CNIL précise que vous êtes responsable de ce traitement dès que ces documents contiennent des données personnelles.

Pour le registre RGPD, la CNIL propose un modèle simplifié au format tableur, pensé pour les TPE et PME. Le guide données personnelles et IA en entreprise liste les questions à poser à l’éditeur avant d’y envoyer quoi que ce soit.

Les colonnes utiles, en version courte

Le registre tient dans un tableur partagé ou sur une feuille imprimée. Six colonnes suffisent pour commencer :

1. Usage : une tâche, avec un verbe. « Reformuler les mails de planning aux clients », pas « rédaction ». Si la tâche ne tient pas en une ligne, faites-en deux.
2. Outil et compte : le nom de l’outil et le compte utilisé (entreprise, équipe ou personnel). Ce que l’éditeur fait des conversations en dépend souvent.
3. Qui : les personnes, ou le poste dans une équipe plus grande.
4. Données qui entrent : ce qui est collé ou envoyé dans l’outil, et ce qui n’y entre jamais. Cette colonne fait le lien avec le registre RGPD.
5. Relecteur : la personne qui vérifie le résultat avant qu’il sorte de l’entreprise.
6. Décision et date : en essai jusqu’au…, validé le…, suspendu le…, arrêté le…, avec la raison en quelques mots.

Marquez les lignes à examiner avant validation : données personnelles dans l’outil, ou usage qui touche au recrutement ou au suivi des salariés.

Le registre de l’exemple, rempli

Exemple fictif, suite : les trois lignes après la décision de la gérante.

Ligne 1 : reformuler les mails de planning

• Outil et compte : Copilot Chat avec le compte Microsoft 365 de l’entreprise, à la place du compte ChatGPT personnel utilisé jusque-là.
• Qui : l’assistante de planning.
• Données qui entrent : le texte du mail et les créneaux ; nom du client et adresse ajoutés après, hors de l’outil. Jamais de code d’alarme.
• Relecteur : l’assistante.
• Décision et date : validé le 4 novembre 2026, revue le 4 février 2027.

Ligne 2 : préparer la trame des devis

• Outil et compte : Copilot dans Microsoft 365, abonnement de l’entreprise.
• Qui : le commercial.
• Données qui entrent : surfaces, type de locaux, fréquence de passage. Le nom et les coordonnées du prospect restent dans le logiciel de devis.
• Relecteur : la gérante, avant l’envoi de chaque devis.
• Décision et date : validé le 4 novembre 2026, revue le 4 février 2027.

Ligne 3 : classer les CV pour un poste d’agent

• Outil et compte : un site en ligne, compte personnel de la responsable administrative, sans contrat avec l’entreprise.
• Qui : la responsable administrative.
• Données qui entrent : les CV reçus, avec noms, coordonnées et parcours. Marques : données personnelles, recrutement.
• Relecteur : sans objet tant que l’usage est suspendu.
• Décision et date : suspendu le 4 novembre 2026, suppression des CV envoyés demandée à l’éditeur. À examiner avant toute reprise.

Gardez la troisième ligne au registre, même suspendue, avec sa raison : le jour où quelqu’un propose un autre outil de tri, la décision est déjà écrite.

Mettre le tour de table en colonnes avec l’IA

Un assistant IA peut mettre vos notes de réunion en colonnes. Utilisez le compte de l’entreprise, remplacez les prénoms par les postes et retirez les noms de clients ou de candidats avant de coller vos notes.

Voici mes notes d’une réunion où chacun a dit pour quelles tâches
il utilise un outil d’IA. Fais-en un tableau à six colonnes : Usage
(un verbe et une tâche), Outil et compte, Qui (le poste), Données
qui entrent, Relecteur, Décision et date. Une ligne par tâche.
Laisse vide une case que mes notes ne renseignent pas. N’invente rien.
Ajoute une colonne « À examiner » : « données personnelles » si des
informations sur une personne entrent dans l’outil, « recrutement
ou salariés » si l’usage sert à recruter, évaluer ou suivre des
salariés.
Notes :
[collez vos notes]

Relisez chaque ligne : l’outil remplit parfois une case vide avec une supposition. Les cases vides sont les questions à poser à la personne concernée.

Qui le tient, et à quel rythme

Confiez le registre à une seule personne, de préférence celle que la charte charge d’autoriser les nouveaux outils, et écrivez son nom en haut du document.

Le registre se met à jour le jour même dans trois cas :

• un nouvel usage est accepté à l’essai ;
• une erreur est signalée sur un usage : notez-la sur sa ligne ;
• un éditeur change ses conditions, ou une personne change d’outil ou de compte.

Prévoyez en plus une revue courte tous les trois mois avec les personnes qui utilisent ces outils. Pour chaque ligne, vérifiez que l’usage existe encore sur le même compte, que les données qui entrent sont toujours celles écrites, et qu’aucun essai n’attend sa décision depuis plus d’une revue. Datez chaque version et gardez les anciennes : elles montrent ce qui était permis à une date donnée.

À l’arrivée d’un salarié, le registre montre en une page ce qui se fait avec l’IA. Le guide former une petite équipe à l’IA propose un atelier construit sur ces tâches.

Le registre complet, et ce qu’il ne règle pas

Pour aller plus loin, le kit Charte IA contient le registre complet en Word modifiable : un tableau à sept colonnes, la façon de remplir chacune, douze lignes d’exemple pour six métiers et la revue trimestrielle en six questions, reliés aux articles de la charte.

Le registre des usages ne remplace pas le registre des traitements, ni une analyse d’impact relative à la protection des données quand un traitement l’exige. Pour un outil de recrutement ou d’évaluation des salariés, faites examiner sa fonction avec le fournisseur et, si vous en avez un, avec votre délégué à la protection des données.

Questions fréquentes

Le registre des usages de l’IA est-il obligatoire ?

Aucun texte n’impose un document sous ce nom. L’article 4 de l’AI Act demande aux entreprises qui utilisent l’IA de prendre des mesures pour développer la maîtrise de l’IA de leur personnel, et la Commission européenne indique qu’elles peuvent en tenir une trace interne. Un registre daté des usages en fait partie. Le registre des traitements du RGPD est une obligation distincte.

Quelle différence entre un registre IA et le registre des traitements RGPD ?

Le registre des usages de l’IA liste les tâches faites avec un outil d’IA : outil, compte, informations envoyées, relecteur. Le registre des traitements, prévu par l’article 30 du RGPD, décrit chaque traitement de données personnelles : finalités, données, destinataires, transferts, durées de conservation. Un usage IA qui envoie des données personnelles à un éditeur concerne les deux.

Une TPE doit-elle tenir un registre des traitements RGPD ?

En pratique, presque toujours. L’article 30 dispense les entreprises de moins de 250 salariés, sauf pour les traitements non occasionnels, à risque ou portant sur des données sensibles, et la CNIL demande d’inscrire le traitement en cas de doute. Une proposition européenne visant à élargir cette dispense n’était pas adoptée au 31 octobre 2026.

Que mettre dans un registre des usages de l’IA ?

Six colonnes suffisent : l’usage décrit par un verbe, l’outil et le compte, les personnes, les données qui entrent dans l’outil, le relecteur, la décision avec sa date. Marquez les lignes où entrent des données personnelles et celles qui touchent au recrutement ou à l’évaluation des salariés.

Qui doit tenir le registre de l’IA dans l’entreprise ?

Une seule personne, de préférence celle qui autorise les nouveaux outils. Elle met le registre à jour dès qu’un usage est accepté, qu’une erreur est signalée ou qu’un outil change, et organise une revue courte tous les trois mois avec les personnes concernées.

Faut-il inscrire au registre un outil qui trie les CV ?

Oui, et l’examiner avant de s’en servir. L’annexe III de l’AI Act classe à haut risque les systèmes qui filtrent les candidatures ou évaluent les candidats. L’article 26 impose alors au déployeur, à partir du 2 décembre 2027, de suivre la notice du fournisseur, d’organiser une surveillance humaine, de garder les journaux au moins six mois et d’informer les représentants du personnel et les salariés.

Sources consultées le 31 octobre 2026 : Commission européenne, AI Act Service Desk, article 4 (version consolidée au 27 juillet 2026) ; Commission européenne, questions-réponses sur la maîtrise de l’IA (article 4), mises à jour le 20 octobre 2026 ; Commission européenne, AI Act Service Desk, annexe III ; Commission européenne, AI Act Service Desk, article 26 ; Commission européenne, AI Act Service Desk, article 113 (version consolidée après le règlement (UE) 2026/1744) ; CNIL, questions-réponses sur l’utilisation d’un système d’IA générative ; CNIL, RGPD chapitre IV, article 30 ; CNIL, le registre des activités de traitement (modèle simplifié) ; Commission européenne, proposition de règlement COM(2025) 501 du 21 mai 2025 ; Parlement européen, Observatoire législatif, procédure 2025/0130(COD).