Registre des usages de l'IA : le modèle à copier pour l'article 4
Un registre des usages de l'IA est un tableau qui liste, pour chaque outil d'intelligence artificielle utilisé dans l'entreprise, son nom, le service qui l'emploie, sa finalité, les données qu'on lui confie, le niveau de risque et la personne responsable. Aucun article de l'AI Act ne l'impose sous ce nom aux entreprises qui utilisent simplement des outils d'IA, mais c'est la première mesure attendue au titre de l'article 4 et la preuve la plus simple à présenter en cas de contrôle. Voici le modèle en huit colonnes, un exemple rempli, et la méthode pour le faire en une heure.
En bref
- Le registre des usages de l'IA n'est pas un registre légal imposé : c'est un outil de preuve, qui répond à la première question de la Commission européenne, « quelle IA est utilisée dans notre organisation ».
- Huit colonnes suffisent : outil, service, responsable, finalité, données saisies, rôle au sens de l'AI Act, niveau de risque, relecture humaine. Plus une date de mise à jour.
- Ne le confondez pas avec le registre des activités de traitement de l'article 30 du RGPD, qui est, lui, obligatoire et porte sur les données personnelles.
- Un registre seul ne suffit pas. Il doit s'accompagner de formations datées, car le contrôle de l'article 4 relève des autorités nationales de surveillance du marché à partir du 2 août 2026.
Source : Journal officiel de l'Union européennePourquoi ce registre existe
L'article 4 du règlement (UE) 2024/1689 demande aux fournisseurs et aux déployeurs de systèmes d'IA de prendre des mesures pour garantir un niveau suffisant de maîtrise de l'IA chez les personnes qui les utilisent pour leur compte. C'est une obligation de moyens, applicable depuis le 2 février 2025. Dans ses questions-réponses sur la littératie IA, la Commission européenne décrit la marche à suivre et la première étape est toujours la même : comprendre quelle IA est utilisée dans l'organisation, avant même de parler de formation.
On ne forme pas correctement des équipes dont on ignore les outils. Le registre sert donc deux fois : il vous dit qui former et sur quoi, puis il devient la pièce que vous présentez si une autorité vous demande quelles mesures vous avez prises. La Commission le confirme dans le même document : aucun certificat n'est nécessaire, et les organisations peuvent tenir un registre interne de leurs formations et de leurs actions d'encadrement.
Obligatoire ou pas, la réponse précise
Il faut distinguer trois choses que l'on confond souvent.
1. Le registre des usages de l'IA.Il n'est pas imposé en tant que tel par l'AI Act à une PME qui utilise des outils d'IA du commerce. C'est une bonne pratique, fortement recommandée, et un moyen de preuve. Vous en choisissez librement le format.
2. Le registre des activités de traitement du RGPD.Il est obligatoire, il relève de l'article 30 du RGPD et de la CNIL, et il concerne les données personnelles, pas l'IA en particulier. Les organisations de moins de 250 salariés bénéficient d'une dérogation partielle, qui reste limitée en pratique puisque les traitements non occasionnels, les traitements à risque et les données sensibles doivent y figurer. Si vos outils d'IA traitent des données personnelles, ils ont vocation à apparaître dans ce registre aussi.
3. La base de données européenne des systèmes à haut risque. C'est un enregistrement public prévu par l'AI Act, qui vise les systèmes d'IA à haut risque et, côté utilisateurs, les déployeurs qui sont des autorités publiques. Les règles applicables aux systèmes à haut risque entrent en application le 2 décembre 2027 selon le calendrier publié par la Commission. La très grande majorité des PME n'est pas concernée.
Le modèle en huit colonnes
Ce modèle tient dans un tableur. Une ligne par outil, ou par couple outil et usage lorsque le même outil sert à deux choses très différentes.
1. Outil et éditeur.Le nom commercial et qui le fournit. Précisez la version ou l'offre, car les garanties ne sont pas les mêmes entre une version gratuite grand public et une offre professionnelle.
2. Service ou équipe.Qui l'utilise concrètement : marketing, comptabilité, support, direction. C'est cette colonne qui vous dira ensuite quelles équipes former en priorité.
3. Personne responsable.Un nom, pas un service. Sans responsable désigné, une ligne de registre n'est jamais mise à jour.
4. Finalité.À quoi sert l'outil, en une phrase concrète : rédiger des premiers jets de réponses clients, résumer des comptes rendus, trier des candidatures. Fuyez les formulations vagues du type « productivité ».
5. Données saisies.La question la plus utile du registre. Notez ce qui entre dans l'outil : aucune donnée personnelle, données clients, données de santé, données RH, documents confidentiels. C'est ici que se logent la plupart des risques réels.
6. Rôle au sens de l'AI Act.Déployeur si vous utilisez un système d'IA fourni par un tiers, ce qui est le cas le plus fréquent. Fournisseur si vous développez un système, ou si vous le mettez sur le marché sous votre propre nom ou votre propre marque. Le régime d'obligations n'est pas le même.
7. Niveau de risque et obligations.Usage courant, obligation de transparence, haut risque. Un chatbot en contact avec vos clients ou un contenu publié généré par IA relèvent des obligations de transparence. Le tri des candidatures, l'évaluation du personnel ou l'accès au crédit relèvent, eux, des usages listés comme à haut risque par le règlement.
8. Relecture humaine.Qui vérifie quoi, et avant quoi. Une relecture systématique avant publication, une validation par le responsable avant envoi au client, un contrôle par sondage. Cette colonne est votre garde-fou opérationnel et elle rassure un contrôleur plus que n'importe quelle déclaration d'intention.
Ajoutez enfin une date de dernière mise à jourpar ligne. C'est elle qui transforme un tableau en preuve datée.
Un exemple de ligne remplie
Outil : ChatGPT, offre professionnelle. Service : marketing. Responsable : la responsable communication. Finalité : rédiger les premiers jets d'articles de blog et de réponses aux avis clients. Données saisies : aucune donnée personnelle client, uniquement des contenus publics de l'entreprise. Rôle : déployeur. Niveau de risque : usage courant, avec obligation de signaler les contenus publiés générés par IA. Relecture humaine : relecture et validation systématiques par la responsable avant publication. Mise à jour : 27 juillet 2026.
En trois lignes de ce type, une PME a déjà une cartographie plus exploitable que bien des documents de gouvernance de vingt pages.
Le remplir en une heure
Sortez la liste de vos abonnements.Les relevés bancaires professionnels et les factures de logiciels révèlent en dix minutes les outils d'IA payés par l'entreprise.
Demandez à l'équipe, sans piège.Posez la question simplement : quels outils d'IA utilisez-vous pour votre travail, même gratuits, même sur un compte personnel. Les usages non déclarés sont la règle, pas l'exception, et ils ne se déclarent que si personne ne se sent pris en faute.
Cherchez l'IA déjà embarquée.C'est l'angle mort le plus fréquent. Votre suite bureautique, votre CRM, votre outil de support ou votre logiciel de recrutement ont probablement activé des fonctions d'IA que personne n'a recensées comme telles.
Attribuez, classez, datez.Un responsable par ligne, un niveau de risque, une date. Puis rangez le fichier au même endroit que vos preuves de formation et votre charte d'usage.
Trois erreurs à éviter
La première est la recherche de l'exhaustivité parfaite. Un registre à 80 % rempli et tenu à jour vaut infiniment mieux qu'un registre complet abandonné en mars. La deuxième est de croire que le registre est la conformité. Il cartographie, il ne forme personne, et l'article 4 porte sur la maîtrise de l'IA par les personnes, pas sur la tenue d'un document. La troisième est de le garder secret : un registre utile circule, sert de référence à l'équipe et se met à jour quand un nouvel outil arrive.
Ce qui vient après le registre
Une fois la carte dressée, il reste à former les personnes qui figurent dessus et à en garder la trace. C'est le coeur de l'article 4 du règlement (UE) 2024/1689 sur la littératie IA, applicable depuis le 2 février 2025 et contrôlable à partir du 2 août 2026. Sur troie.app, la plateforme de formation de TROIE Studio, chaque parcours sur les usages de l'IA en entreprise se termine par un QCM et délivre une attestation de formation vérifiable en ligne, qui documente la mesure prise au titre de l'article 4. Registre daté, charte d'usage, attestations nominatives : les trois pièces tiennent dans un dossier et répondent à la seule question qui sera posée en cas de contrôle, pouvez-vous prouver que vous avez pris des mesures. Sur le budget à y consacrer, notre comparatif des prix de la formation AI Act situe les offres du marché. À noter, nos formations en ligne ne sont pas finançables par le CPF ni par un OPCO.
Questions fréquentes
Le registre des usages de l'IA est-il obligatoire ?
Non, aucun article du règlement (UE) 2024/1689 n'impose un registre des usages de l'IA aux entreprises qui se contentent d'utiliser des outils d'IA courants. C'est en revanche la façon la plus simple de documenter les mesures prises au titre de l'article 4 sur la maîtrise de l'IA, qui est une obligation de moyens applicable depuis le 2 février 2025. La Commission européenne indique qu'aucun certificat n'est nécessaire et que les organisations peuvent tenir un registre interne de leurs formations et de leurs actions d'encadrement.
Que doit contenir un registre des usages de l'IA ?
Huit colonnes suffisent : l'outil et son éditeur, le service qui l'utilise, la personne responsable, la finalité, les données saisies, votre rôle au sens de l'AI Act (fournisseur ou déployeur), le niveau de risque et les obligations associées, et la relecture humaine prévue. Ajoutez une date de dernière mise à jour, car c'est elle qui donne sa valeur de preuve au document. Un tableur partagé, tenu à jour, vaut mieux qu'un outil de gouvernance sophistiqué jamais rempli.
Comment prouver qu'on a pris des mesures au titre de l'article 4 ?
La preuve attendue est un ensemble daté : un registre des usages de l'IA, une charte d'usage interne et une trace des formations suivies par les équipes. Sur troie.app, chaque parcours se termine par un QCM et délivre une attestation de formation vérifiable en ligne, qui documente la mesure prise au titre de l'article 4 du règlement (UE) 2024/1689. TROIE Studio propose par ailleurs un audit gratuit de 30 minutes pour situer vos obligations réelles avant le 2 août 2026.
Par où commencer
Ouvrez un tableur, créez les huit colonnes, remplissez les trois outils que vous utilisez le plus souvent. Vous aurez fait, en une demi-heure, la première mesure attendue par l'article 4. Notre article sur les exemples concrets de mesures de littératie IA détaille les six autres, celui sur les sanctions de l'AI Act précise ce que vous risquez vraiment, et notre page sur l'AI Act résume les échéances. Pour situer vos obligations réelles, TROIE Studio propose un audit gratuit de 30 minutes.
Sources : règlement (UE) 2024/1689 (AI Act), article 4 (maîtrise de l'IA), EUR-Lex ; questions-réponses sur la littératie IA et FAQ « Navigating the AI Act » publiées par la Commission européenne (digital-strategy.ec.europa.eu), pour les mesures attendues, le contrôle par les autorités nationales de surveillance du marché à partir du 2 août 2026 et le calendrier d'application ; CNIL, pour le registre des activités de traitement de l'article 30 du RGPD. Faits vérifiés le 27 juillet 2026. Cette page est une synthèse pédagogique, pas un conseil juridique.