Registre des usages d'IA : modèle de fiche en 2026

Combien d'outils d'intelligence artificielle votre entreprise utilise-t-elle réellement ? La réponse honnête, dans la plupart des structures, est « nous ne savons pas précisément ». Des abonnements pris par des équipes, des fonctions d'IA ajoutées à des logiciels existants, un assistant installé il y a un an par un prestataire : chaque usage est connu de quelqu'un, mais personne n'a la vue d'ensemble. Or c'est la première pièce de toute démarche sérieuse de conformité (règlement européen sur l'IA, RGPD) et de pilotage. Voici un modèle de fiche à remplir pour chaque usage, la méthode pour dresser l'inventaire en une journée et la façon de le tenir à jour sans en faire une usine à gaz.

À quoi sert un registre des usages d'IA

• Savoir. Connaître la liste des outils, de leurs données et de leurs responsables, c'est avoir déjà traité la moitié du risque.
• Prouver. En cas de contrôle ou de demande d'un client, une liste datée et tenue à jour démontre une démarche de maîtrise. Voyez notre guide AI Act pour une PME et nos vérifications RGPD.
• Décider. Repérer les doublons (trois équipes paient trois outils équivalents), les usages sensibles et ceux qui mériteraient d'être industrialisés.
• Réagir. Quand un fournisseur modifie ses conditions ou subit un incident, on sait en quelques minutes qui est concerné.

La fiche : seize champs

Champ	Ce qu'on y note
1. Nom de l'usage	Intitulé simple (« Assistant de réponse aux e-mails clients »)
2. Finalité	À quoi sert-il, en une phrase
3. Propriétaire métier	La personne qui décide et répond de l'usage
4. Référent technique	La personne qui le fait fonctionner
5. Outil et fournisseur	Nom du produit, éditeur, version si pertinente
6. Modèle d'IA sous-jacent	Si connu : modèle utilisé par l'outil
7. Hébergement et lieu de traitement	Où tournent les données
8. Utilisateurs	Qui s'en sert, combien de personnes
9. Données traitées	Catégories (documents internes, données clients, données de salariés), sensibilité
10. Cadre de conformité	Base légale, analyse d'impact faite ou non, contrat de sous-traitance signé ou non
11. Catégorie de risque	Votre hypothèse : minimal, transparence, haut risque (à valider)
12. Supervision humaine	Qui relit ou valide, et à quel moment
13. Information des personnes	Comment les clients ou salariés concernés sont informés
14. Journaux	Ce qui est conservé et pour combien de temps
15. Dernière évaluation	Date et résultat du dernier test de qualité
16. Date de revue et incidents	Prochaine revue prévue, incidents connus

Un exemple rempli, pour une entreprise fictive

Voici la fiche d'un usage banal, dans une société de services de trente personnes :

• Nom : assistant de brouillons de réponses au service client.
• Finalité : préparer une réponse à valider pour les e-mails de suivi de commande.
• Propriétaire métier : la responsable du service client. Référent technique : l'administrateur des outils.
• Outil : module d'IA intégré à la messagerie du service. Modèle : non communiqué par l'éditeur (à demander).
• Hébergement : Union européenne selon le contrat ; clause vérifiée le [date].
• Utilisateurs : quatre conseillers.
• Données : noms, adresses de livraison, historiques de commande : données personnelles ordinaires.
• Conformité : intérêt légitime documenté ; contrat de sous-traitance signé ; analyse d'impact jugée non nécessaire, note de justification archivée.
• Risque : minimal, avec obligation de transparence si l'échange était entièrement automatisé (ce n'est pas le cas : un conseiller valide).
• Supervision : validation humaine de chaque réponse avant envoi.
• Information : mention dans la politique de confidentialité du site.
• Journaux : brouillons conservés trente jours.
• Dernière évaluation : quarante cas rejoués il y a deux mois, résultat conforme au seuil.
• Revue : semestrielle ; aucun incident.

La fiche tient sur une demi-page et se remplit en vingt minutes. L'important est de noter aussi ce que l'on ne sait pas encore (ici, le modèle sous-jacent) : une case « à demander » vaut mieux qu'une case laissée vide.

Dresser l'inventaire en une journée

1. Le matin, un tour d'horizon (deux heures). Demandez à chaque responsable de service : quels outils d'IA ou fonctions d'IA vos équipes utilisent-elles ? Ne jugez pas : l'objectif est de connaître la réalité.
2. Un croisement avec les abonnements (une heure). Passez en revue les factures et les abonnements récurrents avec le service financier : les outils payés sur une carte de service sont souvent invisibles de l'informatique.
3. Les logiciels déjà en place (une heure). Beaucoup de logiciels de messagerie, de bureautique, de relation client ou de comptabilité ont ajouté des fonctions d'IA, parfois activées par défaut. Listez-les.
4. L'après-midi, une fiche par usage (trois heures). Remplissez les seize champs avec le propriétaire de chaque usage, en notant les « à demander ».
5. Le soir, un tri (une heure). Classez les usages en trois groupes : à surveiller de près (données sensibles, décisions sur des personnes), à encadrer (données internes, clients), à laisser vivre (sans donnée sensible). Désignez deux ou trois actions de suite.

Le tenir à jour sans effort excessif

• Une règle d'entrée. Aucun nouvel outil d'IA n'est utilisé avec des données de l'entreprise sans fiche préalable : c'est la porte d'entrée du registre, et elle s'écrit dans votre charte d'usage.
• Une revue semestrielle. Le référent passe en revue chaque fiche avec son propriétaire : l'usage existe-t-il encore, les données ont-elles changé, y a-t-il eu un incident ?
• Un format simple. Un tableur partagé suffit. Un outil sophistiqué est inutile avant plusieurs dizaines d'usages.
• Une date sur chaque fiche. Une fiche sans date de revue n'a pas de valeur probante.

Prioriser : trois critères pour décider par où commencer

Quand l'inventaire révèle quinze ou vingt usages, inutile de tout traiter en même temps. Classez-les avec trois questions, notées de un à trois :

• Sensibilité des données : données publiques (1), internes ordinaires (2), personnelles, confidentielles ou sensibles (3).
• Effet sur des personnes : aucun (1), indirect, comme une aide à la rédaction (2), direct, comme un tri de candidatures ou une décision de crédit (3).
• Autonomie du système : propose (1), prépare et un humain valide (2), agit seul (3). Voyez l'échelle de notre comparaison entre agent et chatbot.

Une somme de sept ou plus place l'usage en tête de vos priorités : fiche complète, vérification des contrats, avis juridique si nécessaire. Entre cinq et six, une fiche remplie et un point de contrôle annuel suffisent. Au-dessous, une ligne dans le registre est déjà bien.

Les huit questions à poser à un fournisseur pour remplir la fiche

1. Quel modèle d'IA votre produit utilise-t-il, et qui l'exploite ?
2. Où sont traitées et stockées nos données, et par quels sous-traitants ?
3. Nos données sont-elles utilisées pour entraîner ou améliorer vos modèles ? Pouvons-nous l'interdire ?
4. Combien de temps conservez-vous les messages, et pouvons-nous raccourcir cette durée ?
5. Quelle catégorie de risque attribuez-vous à ce produit au sens du règlement européen sur l'IA, et sur quelle base ?
6. Quelle documentation de conformité pouvez-vous nous remettre ?
7. Comment nous prévenez-vous d'un changement de modèle, de sous-traitant ou de conditions ?
8. Que devient notre contenu à la fin du contrat, et comment le récupérons-nous ?

Envoyez-les par écrit et classez les réponses avec la fiche. Un fournisseur qui y répond clairement facilite votre démarche ; un fournisseur qui esquive vous dit déjà quelque chose.

Répondre à un questionnaire de conformité d'un client

Les grands comptes envoient de plus en plus à leurs prestataires des questionnaires sur l'usage de l'IA : quels outils, quelles données, quelles garanties. Avec un registre à jour, vous répondez bien plus vite, et avec des réponses cohérentes d'un client à l'autre. C'est aussi un argument commercial : une entreprise qui sait expliquer précisément comment elle encadre l'IA inspire confiance, surtout face à des concurrents qui improvisent.

Que faire des cases « à demander »

Les cases laissées en suspens, modèle sous-jacent, lieu de traitement, durée de conservation, sont des questions à poser au fournisseur, par écrit. Gardez les réponses. Si un fournisseur ne sait pas ou ne veut pas répondre sur le lieu de traitement ou la réutilisation des données, c'est une information importante, qui doit peser dans la décision de continuer ou de changer d'outil. Les points à exiger d'un prestataire sont détaillés dans notre guide des clauses d'un contrat d'IA.

Pour aller plus loin

Un registre est un outil de pilotage avant d'être un document de conformité : il vous montre où l'IA travaille déjà pour vous, et où elle pourrait le faire mieux. Pour structurer un nouveau projet, vous pouvez consulter le classement des agences IA par ville ou décrire votre besoin pour recevoir des propositions comparables.

Ce modèle est une base de travail générale et ne constitue pas un conseil juridique. Pour votre situation, faites-le valider par un juriste ou votre délégué à la protection des données.