AI Act : documenter vos usages d’IA en entreprise (registre prêt à copier + exemple PME Lyon)

Le vrai problème : tu ne sais pas où l’IA est déjà utilisée

Dans beaucoup de PME lyonnaises, l’IA n’arrive pas par un “projet IA”. Elle arrive par des options activées dans des SaaS, des extensions navigateur, des assistants intégrés à la suite bureautique, ou des tests faits “pour gagner du temps”. Résultat : personne ne sait précisément où l’IA intervient, avec quelles données, et avec quel impact.

Et c’est là que l’AI Act te rattrape. Pas forcément parce qu’il impose à tout le monde un registre unique. Mais parce que, dans la pratique, si tu ne peux pas prouver ce que tu fais, tu ne peux pas prouver que tu es conforme. Surtout dès qu’un usage touche des personnes externes (clients, candidats) ou des décisions sensibles (RH, scoring).

Ce que dit vraiment l’AI Act sur la “documentation”

Point clé : l’AI Act n’impose pas explicitement à toutes les entreprises de tenir un registre interne unique de tous les usages IA. Le texte prévoit des obligations selon le rôle (fournisseur, déployeur) et selon la catégorie du système, notamment en haut risque. Source : règlement (UE) 2024/1689 sur EUR-Lex.

Mais côté entreprise utilisatrice, tu vas vite te retrouver dans une logique de preuve :

• Si tu déploies un système (tu l’utilises sous ton autorité), tu dois être capable de montrer comment tu l’encadres.
• Si c’est potentiellement “haut risque” (exemple typique : certains usages en RH), la traçabilité et la conservation des logs deviennent un sujet concret. L’article 26, côté obligations du déployeur, parle notamment de conserver les logs quand ils existent et qu’ils sont sous ton contrôle, avec un minimum de 6 mois (sauf règles différentes applicables, notamment liées aux données personnelles). Source : AI Act Service Desk, article 26.
• Si tu as des usages “transparence” (chatbots, contenus générés, deepfakes), il faut savoir où l’IA est exposée et comment tu informes. C’est l’article 50. Sources : Commission européenne, guidelines sur la transparence et AI Act Service Desk article 50.

Dates : pourquoi c’est “maintenant” que tu dois t’organiser

Le règlement (UE) 2024/1689 est entré en vigueur le 1 août 2024, et son application est progressive avec des jalons qui s’étalent jusqu’au 2 août 2028 selon la Commission. Certaines dispositions s’appliquent depuis le 2 février 2025. Sources : Commission européenne (cadre réglementaire) + EUR-Lex (texte) + AI Act Service Desk (timeline).

Le piège : attendre “la date finale” pour faire un inventaire. En réalité, le temps de rattrapage (cartographie outils, contrats, paramétrages, logs, information) est ce qui coûte le plus cher.

L’obligation pratique n°1 : “savoir où l’IA est utilisée”

Ce n’est pas un slogan. C’est la base de tout le reste :

• Sans inventaire, tu ne peux pas qualifier le risque.
• Sans risque, tu ne sais pas quelles mesures de contrôle poser (supervision humaine, tests, limites, escalade, journalisation).
• Sans cartographie fournisseurs, tu ne sais pas où partent tes données ni ce que disent les conditions contractuelles.

Le problème réel, c’est l’IA “dissimulée dans les SaaS” et l’IA fantôme (outils utilisés sans validation). Si tu veux creuser ce point côté terrain, tu peux aussi lire : https://lyon-ia.com/blog/ia-fantome-au-bureau-le-risque-que-vos-salaries-ne-vous-signalent-pas et https://lyon-ia.com/blog/shadow-ai-en-entreprise.

Quels usages doivent absolument entrer dans ton AI Act registre IA

Objectif : couvrir 80 % des risques avec 20 % d’effort. Dans une PME, commence par les familles suivantes, parce qu’elles concentrent l’exposition :

1) Copilots et assistants bureautiques

Exemples : rédaction, résumé, traduction, extraction d’actions de réunion, aide à Excel, aide à Outlook. Risque fréquent : fuites de données et “réutilisation” involontaire d’informations internes dans des prompts.

2) Chatbots (internes ou externes)

Deux cas :

• Interne : assistant RH, assistant IT, recherche dans la base documentaire.
• Externe : support client, pré-qualification de demandes, FAQ.

Ces usages basculent vite sur des obligations de transparence (article 50) dès que des personnes interagissent avec un système IA ou consomment du contenu généré.

3) Scoring et priorisation

Exemples : score de lead, probabilité de churn, score “risque client”, priorisation de tickets, scoring d’impayés. Même si ce n’est pas “automatiquement du haut risque” dans tous les cas, c’est souvent conséquentiel (impact sur l’accès à un service, un traitement, une offre).

4) RH et recrutement

Exemples : tri de CV, ranking de candidats, analyse vidéo, matching automatique, recommandations. Là, tu es typiquement dans la zone où il faut faire une analyse plus sérieuse : c’est un des terrains classiques des systèmes “haut risque” selon l’usage réel. Si tu ne sais pas que l’outil le fait, tu es aveugle.

La méthode “PME en 2 heures” pour sortir une première version de registre

Tu ne vas pas faire un programme conformité de 6 mois pour démarrer. Tu vas faire un atelier court qui produit un fichier exploitable, puis tu l’améliores.

Préparation (10 minutes)

• Ouvre un tableur. Nomme-le AI Act registre IA.
• Ajoute les colonnes du modèle plus bas.
• Fixe une règle : “si un outil a une fonctionnalité IA activable, on le note, même si on pense que c’est anodin”.

Atelier inventaire (60 minutes)

Participants : 1 personne direction ou ops, 1 IT ou responsable SI, 1 RH (si tu as), 1 commercial ou marketing, 1 support ou ADV. Objectif : lister sans débat.

• Tour de table “outils du quotidien” : CRM, support, RH, facturation, GED, suite bureautique, messagerie, visio.
• Pour chaque outil : question simple “y a-t-il une fonction IA ?” (résumé, génération, scoring, transcription, suggestion).
• Ajoute aussi les API, plugins, extensions navigateur, automatisations (Make, Zapier, n8n, scripts) qui appellent un modèle.

Chasse à l’IA fantôme (30 minutes)

But : attraper ce que l’atelier ne remonte jamais.

• Mini-sondage interne (Teams, Slack, email) : “Quels outils IA utilisez-vous au travail (même en test) ?” avec 5 exemples pour déclencher la mémoire.
• Regarde les achats cartes et notes de frais : abonnements “AI”.
• Regarde les extensions navigateur les plus communes si tu as un parc géré.

Qualification rapide (20 minutes)

Tu ne fais pas une analyse juridique complète. Tu mets une étiquette provisoire pour prioriser :

• Hors champ / non IA : pas de fonctionnalité IA réelle identifiée.
• Transparence article 50 : chatbot, contenu généré remis à des humains, contenu manipulé.
• À analyser haut risque : RH, scoring “conséquentiel”, décisions sur des personnes, accès à un service, filtrage de candidatures, etc.

Modèle de registre prêt à copier (tableau)

Copie-colle ce tableau dans Excel ou Google Sheets. C’est volontairement pragmatique : assez complet pour être “AI Act-ready”, pas une usine à gaz.

AI Act registre IA : colonnes minimales

• ID
• Équipe / métier
• Propriétaire (responsable)
• Outil / système IA
• Fournisseur / éditeur
• Type d’usage (copilot, chatbot, génération de contenu, scoring, RH, etc.)
• Description du cas d’usage (1 phrase)
• Où est-il utilisé (process, canal, application)
• Public exposé (salariés, clients, candidats, grand public)
• Données en entrée (catégories)
• Données personnelles (oui/non)
• Données sensibles (oui/non/inconnu)
• Sorties produites (texte, score, décision, recommandation, image, audio)
• Impact métier (faible/moyen/élevé)
• Décision automatisée (oui/non)
• Rôle (déployeur, fournisseur, zone grise)
• Classement provisoire (hors champ / transparence Art. 50 / à analyser haut risque)
• Obligations associées (info, label, supervision, logs, etc.)
• Mesures de contrôle (tests, validation, filtres, supervision humaine)
• Journalisation existante (oui/non)
• Emplacement des logs (outil, SIEM, cloud, dossier, etc.)
• Rétention des logs (durée)
• Dernière revue (date)
• Statut (en prod, pilote, arrêté)

Pourquoi ces champs ? Parce qu’ils te permettent de répondre aux questions qui tombent en audit interne, en revue sécurité, ou en contrôle : “qui utilise quoi”, “avec quelles données”, “qui voit les sorties”, “qui porte la responsabilité”, “qu’est-ce qui est tracé”.

Exemple rempli : une PME lyonnaise de 45 personnes

Cas fictif, mais réaliste : PME de services B2B à Lyon, 45 salariés, un CRM, un support client, une suite collaborative, et quelques automatisations. L’objectif n’est pas d’être parfait, mais de montrer comment on renseigne un registre de façon utile.

Ligne 1 : copilot bureautique (usage interne)

• ID : IA-001
• Équipe : Direction, assistanat, commerce
• Propriétaire : Resp. SI
• Outil : Assistant IA suite bureautique
• Fournisseur : Éditeur suite collaborative
• Type : copilot
• Description : résumé d’emails et brouillons de réponses commerciales
• Où : messagerie + documents
• Public exposé : salariés
• Données entrée : emails, pièces jointes, documents internes
• Données personnelles : oui (contacts, signatures, parfois RH)
• Données sensibles : inconnu (à clarifier)
• Sorties : texte
• Impact : moyen
• Décision automatisée : non
• Rôle : déployeur
• Classement provisoire : transparence Art. 50 (si contenu généré envoyé à des externes, à vérifier selon usage)
• Obligations associées : règles internes d’usage, vérification humaine avant envoi, information si applicable
• Mesures de contrôle : charte IA, formation courte, interdiction d’envoyer certains types de données
• Journalisation : partiel (selon outil)
• Emplacement logs : console admin éditeur
• Rétention : à confirmer
• Dernière revue : 2026-09-01
• Statut : en prod

Ligne 2 : chatbot support (externe, transparence)

• ID : IA-002
• Équipe : Support
• Propriétaire : Resp. support
• Outil : Chatbot site web (FAQ + tickets)
• Fournisseur : SaaS chatbot
• Type : chatbot
• Description : réponses de niveau 1 et création de ticket si échec
• Où : widget site web + helpdesk
• Public exposé : clients
• Données entrée : questions clients, parfois n° de dossier
• Données personnelles : oui
• Données sensibles : non (règle : ne pas les collecter)
• Sorties : texte + recommandation
• Impact : moyen
• Décision automatisée : non (mais influence l’orientation)
• Rôle : déployeur
• Classement provisoire : transparence Art. 50
• Obligations associées : mention “vous interagissez avec une IA”, escalade vers humain, traçabilité des échanges
• Mesures de contrôle : base de connaissances contrôlée, réponses interdites, monitoring erreurs, revue mensuelle
• Journalisation : oui
• Emplacement logs : console SaaS + export vers stockage interne
• Rétention : 6 mois (objectif aligné AI Act, à concilier avec RGPD et politique interne)
• Dernière revue : 2026-09-01
• Statut : pilote

Ligne 3 : scoring de leads dans le CRM (zone grise)

• ID : IA-003
• Équipe : Commerce
• Propriétaire : Directeur commercial
• Outil : CRM (fonction “AI scoring”)
• Fournisseur : Éditeur CRM
• Type : scoring
• Description : score de priorité des leads et suggestions d’actions
• Où : pipeline commercial
• Public exposé : salariés (effet indirect sur prospects)
• Données entrée : interactions, emails, historique, source acquisition
• Données personnelles : oui (prospects)
• Données sensibles : non
• Sorties : score + recommandation
• Impact : moyen
• Décision automatisée : non (mais priorisation)
• Rôle : déployeur
• Classement provisoire : à analyser (selon effet “conséquentiel” et automatisation réelle)
• Obligations associées : supervision humaine, capacité à expliquer l’usage en interne, contrôle des biais
• Mesures de contrôle : règles de non-automatisation totale, revue des taux de conversion par segment
• Journalisation : partiel
• Emplacement logs : CRM
• Rétention : à confirmer
• Dernière revue : 2026-09-01
• Statut : en prod

Ligne 4 : tri de CV (potentiellement haut risque)

• ID : IA-004
• Équipe : RH
• Propriétaire : RRH
• Outil : ATS avec module “matching”
• Fournisseur : Éditeur ATS
• Type : RH
• Description : classement des candidatures et recommandation shortlist
• Où : recrutement
• Public exposé : candidats (impact indirect), RH
• Données entrée : CV, lettres, historique candidatures
• Données personnelles : oui
• Données sensibles : possible (à vérifier selon contenus)
• Sorties : score + recommandation
• Impact : élevé
• Décision automatisée : non (règle : jamais de rejet automatique)
• Rôle : déployeur
• Classement provisoire : à analyser haut risque
• Obligations associées : supervision humaine forte, traçabilité, politique de logs, procédure d’incident, documentation fournisseur
• Mesures de contrôle : double revue, contrôle échantillon, critères interdits, journal des décisions
• Journalisation : à confirmer
• Emplacement logs : ATS
• Rétention : à définir avec DPO / RGPD
• Dernière revue : 2026-09-01
• Statut : en prod

Les erreurs qui flinguent ta documentation usages IA

• Se limiter aux “projets IA” officiels et oublier les fonctionnalités IA intégrées aux SaaS.
• Ne pas nommer un propriétaire par usage. Sans propriétaire, pas de mise à jour.
• Confondre “outil” et “cas d’usage”. Un même outil peut contenir 3 usages différents, donc 3 lignes.
• Ignorer la journalisation. En haut risque, la logique de logs et de conservation devient centrale (AI Act Service Desk, article 26).
• Oublier l’interface avec le RGPD. Dès que tu touches des données personnelles, tu dois aussi penser information des personnes, base légale, minimisation, et parfois analyse d’impact. Pour l’information des personnes concernées côté CNIL : https://cnil.fr/fr/ia-informer-les-personnes-concernees?utm_source=openai.

Comment rendre le registre “vivant” (sans y passer ta vie)

• Rythme : une revue trimestrielle de 30 minutes, plus une revue à chaque nouvel outil.
• Règle achat : “pas d’abonnement IA sans entrée dans le registre”.
• Règle IT : “pas d’activation de module IA sans propriétaire + logs + consignes d’usage”.
• Règle métiers : “pas de mise en prod si on ne sait pas quelles données entrent et qui voit les sorties”.

Si tu veux cadrer proprement la partie transparence, tu peux t’appuyer sur la checklist dédiée : https://lyon-ia.com/blog/article-50-de-lia-act-la-checklist-transparence-pour-votre-pme.

Ce que tu fais demain matin (checklist opérationnelle)

• 1) Crée ton fichier AI Act registre IA avec les colonnes proposées.
• 2) Bloque 60 minutes avec 4 métiers clés et liste tous les outils avec fonctions IA.
• 3) Lance une chasse IA fantôme (sondage + abonnements + extensions) pendant 30 minutes.
• 4) Étiquette chaque ligne : hors champ, transparence Art. 50, à analyser haut risque.
• 5) Sur les lignes “transparence” : note précisément où l’IA parle à quelqu’un et quel message tu affiches.
• 6) Sur les lignes “à analyser haut risque” : vérifie journalisation, rétention, supervision humaine, et récupère la doc fournisseur.

Le but n’est pas de produire un document parfait. Le but est d’arrêter d’être aveugle. Une PME qui sait où l’IA est utilisée peut décider, corriger, et prouver. Une PME qui ne sait pas découvre ses risques le jour où ça explose, ou le jour où on lui demande des comptes.