AI registry compliance : pourquoi le registre de vos systèmes IA est votre première preuve de gouvernance ?

Tenir un registre complet de ses systèmes IA est devenu une obligation réglementaire que l’AI Act impose explicitement aux déployeurs. Pourtant, la majorité des directions que j’ai accompagnées en 2024-2025 n’avaient pas de liste consolidée de leurs outils IA en production — ni de propriétaire clairement désigné pour chacun. Cet article pose les repères pour comprendre ce qu’exige le règlement, ce que font les organisations qui avancent, et par où commencer.

Ce que l’AI Act impose en matière d’AI registry compliance

L’règlement européen sur l’intelligence artificielle (UE) 2024/1689, dit AI Act, prévoit des obligations documentaires directement liées à ce que les praticiens anglophones désignent par AI registry compliance — soit la capacité à prouver, à tout moment, que vos systèmes IA sont recensés, classifiés et supervisés. Ces obligations s’inscrivent dans un calendrier précis : août 2026 marque l’entrée en vigueur complète pour les systèmes haut risque. Mais les organisations qui attendent cette date pour constituer leur inventaire prennent un risque opérationnel immédiat.

L’exigence centrale est la suivante : chaque système IA utilisé en contexte professionnel doit être documenté, classifié selon le niveau de risque prévu par le règlement, et attribué à un propriétaire responsable. Cette traçabilité ne concerne pas uniquement les outils développés en interne — elle s’applique aussi aux solutions SaaS tiers intégrées dans vos processus métier.

Cas terrain — Sophie MARTIN, DPO chez DistriLog (logistique, ETI régionale), mars 2025. Lors d’une demande de due diligence d’un client grand compte, Sophie a dû produire en 48h la liste complète des systèmes IA utilisés dans l’entreprise. Le résultat : trois semaines de mobilisation interne, douze jours de reconstitution d’historique, et la découverte de huit outils déployés sans validation par les équipes métier. Deux d’entre eux traitaient des données personnelles sans base légale documentée. Un système non inscrit dans un registre est un système « marron » — ce que la pratique terrain appelle le Shadow AI. L’absence de traçabilité transforme une question de gouvernance en problème de conformité RGPD.

Le cadre réglementaire de l’AI Act, tel que présenté par la Commission européenne, distingue quatre catégories de risque : risque inacceptable (interdiction), haut risque (obligations strictes), risque limité (transparence), et risque minimal. Un registre IA structuré est le point d’entrée pour classer chaque système dans l’une de ces catégories — et donc déterminer les obligations qui s’y attachent.

Ce que font les organisations qui maîtrisent l’AI registry compliance

Les organisations qui ont structuré leur AI registry compliance ne tiennent pas un simple tableur de liste. Elles ont mis en place un registre versionné, mis à jour sur un cycle défini — généralement trimestriel — avec des révisions déclenchées par tout nouveau déploiement ou changement significatif de périmètre.

Ce registre IA opérationnel repose sur une logique de traçabilité centralisée. Chaque entrée documente au minimum : le propriétaire responsable (personne physique, pas un service), la finalité métier précise, la base légale applicable (RGPD et AI Act), les catégories de données traitées, les modèles ou solutions utilisés, les niveaux de service attendus (SLO), l’évaluation du niveau de risque AI Act, et le statut DPIA si requis.

La traçabilité centralisée change deux choses concrètes. Premièrement, elle rend l’auditabilité immédiate : quand un auditeur ou un client pose une question sur un système spécifique, la réponse existe déjà, sourcée, datée, signée par un propriétaire. Deuxièmement, elle force la gouvernance : un propriétaire nominatif pour chaque système ne peut pas ignorer les obligations qui lui incombent — supervision humaine, revue des incidents, formation des utilisateurs.

Les organisations avancées associent leur registre IA à leur cartographie RGPD existante. Le registre des traitements RGPD et le registre IA partagent une logique commune : finalité, base légale, données, risques. Les maintenir de façon cohérente — sans doublon ni contradiction — est un gage de solidité lors d’un contrôle conjoint CNIL / autorité AI Act. La CNIL a d’ailleurs publié des orientations sur l’IA qui s’articulent directement avec ces obligations documentaires.

Erreurs classiques qui bloquent l’AI registry compliance

• Confondre inventaire et registre. Une liste d’outils dans un fichier partagé n’est pas un registre de conformité. Un registre contient des attributions de responsabilité, des dates de mise à jour, une classification par niveau de risque, et un lien vers les évaluations associées (DPIA, tests de conformité). Sans cette structure, l’inventaire ne vaut rien lors d’un audit.
• Ignorer le Shadow AI. Les outils déployés directement par les équipes métier sans validation IT ou juridique sont les plus risqués — et les plus difficiles à recenser. Une organisation qui documente uniquement les systèmes validés par la DSI laisse hors périmètre précisément les usages à risque. Le recensement doit s’appuyer sur une procédure de déclaration obligatoire, pas sur la bonne volonté des équipes.
• Traiter le registre comme un document statique. Un registre non mis à jour dans les 90 jours suivant un déploiement ou une modification majeure perd sa valeur probante. La revue trimestrielle n’est pas une option administrative : c’est le mécanisme qui garantit que le registre reflète la réalité opérationnelle au moment de l’audit.

Par où commencer pour progresser en AI registry compliance

Progresser sur l’AI registry compliance n’exige pas de mobiliser une équipe dédiée pendant six mois. Trois actions permettent d’ouvrir le chantier rapidement et de produire une première version utilisable.

Action 1 — Déclencher un recensement transverse en 30 jours. Mandater un référent dans chaque direction (DSI, RH, Finance, Opérations, Commercial) pour lister les outils IA utilisés — incluant les solutions SaaS, les plugins Copilot/ChatGPT, les automatisations RPA avec composante ML. Ce recensement n’a pas à être exhaustif pour être utile : une couverture large identifie les risques prioritaires. La méthode recommandée : un formulaire de déclaration structuré, pas un entretien libre.

Action 2 — Classer chaque système selon la grille AI Act. Une fois le recensement initial réalisé, appliquer la grille de classification : interdit (manipulation, score social), haut risque (RH, crédit, sécurité, infrastructure critique), risque limité (chatbot visible), risque minimal (recommandation contenu). Cette classification détermine les obligations documentaires par système — et donc la charge de travail réelle de mise en conformité.

Action 3 — Attribuer un propriétaire et une date de revue à chaque entrée. Un registre sans propriétaire nominatif n’est pas un registre de gouvernance. Pour chaque système, désigner une personne physique responsable de la mise à jour, de la supervision des incidents, et de la validation des revues périodiques. Fixer la première revue à 90 jours. C’est cette attribution qui transforme un document en outil de pilotage.

Le Chapitre 14 — Conformité opérationnelle, auditabilité et AI Act readiness du Tome 3 « Déployer & Gouverner » du livre Réussir l’IA en entreprise 2026 (Franck Lavoyer) fournit le gabarit complet du registre IA — avec les 14 champs documentés, la procédure de mise à jour et de revue trimestrielle, et la grille pré-audit pour classer chaque système. Ce chapitre est conçu pour être opérationnel immédiatement, sans adapter un modèle générique à votre contexte. Vous retrouverez aussi, dans ce même tome, les checklists 30-60-90 jours pour passer de l’inventaire initial à une capacité d’audit démontrée.