AI Act : le registre des usages vient avant le grand audit de conformité

Pour savoir quelles obligations de l’AI Act concernent une PME, commencez par recenser ce que chaque système d’IA fait réellement dans l’entreprise. Notez sa finalité, les personnes touchées et le rôle de l’entreprise : utilise-t-elle le système sous sa responsabilité, le fournit-elle sous son nom ou le distribue-t-elle ? Ce premier tri indique quels usages exigent un examen approfondi.

Un registre interne des usages suffit pour démarrer : une ligne par finalité, avec un responsable, un fournisseur, les données utilisées, une qualification provisoire du risque et un contrôle humain identifiable. C’est un outil de travail à tenir à jour, distinct de la base européenne dans laquelle certains systèmes à haut risque doivent être enregistrés. Il permet de concentrer l’examen de conformité sur les usages et les responsabilités effectivement présents dans la PME.

Inventorier les finalités, pas seulement les logiciels

La liste des abonnements informatiques ne décrit pas tout ce qu’une équipe fait avec l’IA. Un même assistant peut reformuler des courriels, préparer des réponses aux clients ou aider à trier des candidatures. Créez des lignes séparées lorsque la finalité, les données transmises ou les personnes touchées changent, même si l’outil et son fournisseur restent les mêmes.

Un tableur partagé peut réunir les informations nécessaires au premier tri :

• Responsable interne : qui autorise l’usage et actualise la ligne lorsque la pratique change ?
• Système et fournisseur : quel outil est employé, par quelle équipe et selon quelles instructions ?
• Finalité : quelle tâche l’IA accomplit-elle et comment son résultat est-il utilisé ?
• Données : quelles catégories d’informations entrent dans le système et lesquelles ne doivent pas y entrer ?
• Personnes touchées : le résultat concerne-t-il des salariés, candidats, clients ou d’autres personnes ?
• Risque et contrôle humain : quelle qualification faut-il confirmer, qui examine le résultat et qui peut intervenir ?

La colonne « données » appelle une décision précise pour les outils génératifs. La FAQ de la CNIL sur l’IA générative recommande de définir les usages autorisés, de limiter selon le contexte les données personnelles ou confidentielles transmises au système et de faire vérifier les résultats par les utilisateurs. Le registre peut donc renvoyer vers une règle interne sur les données admises et vers la personne qui vérifie les sorties.

Lorsqu’un outil génératif est intégré au système d’information de l’entreprise, ajoutez son mode de déploiement et les accès qu’il reçoit. Les recommandations de l’ANSSI portent sur la sécurité de cette architecture, de sa conception à son utilisation en production. Cette information permet d’orienter l’examen technique vers les connexions et les ressources réellement exposées.

Déterminer le rôle de l’entreprise pour chaque usage

Une entreprise qui utilise un système d’IA sous sa responsabilité est déployeur pour cet usage. Si elle développe un système, ou le fait développer, puis le met sur le marché ou en service sous son nom, elle peut être fournisseur. Celle qui met un système à disposition dans la chaîne commerciale peut aussi avoir un rôle de distributeur. Une PME peut cumuler plusieurs rôles selon ses activités : il faut les qualifier pour chaque système plutôt que donner une seule étiquette à toute l’entreprise.

Cette distinction devient décisive lorsqu’un outil est adapté ou intégré à un autre service. Pour un système à haut risque, commercialiser sous son nom un système déjà disponible, lui apporter une modification substantielle ou changer la destination d’un système auparavant non classé à haut risque peut faire peser les obligations du fournisseur sur un autre acteur. Inscrivez donc dans le registre la destination annoncée par le fournisseur et l’usage effectivement prévu par l’équipe. Une simple mention « outil acheté » ne répond pas à cette question.

Classer le risque à partir de la tâche accomplie

Le nom commercial et la technologie employée ne suffisent pas à classer un usage. Un système destiné à sélectionner des candidatures appelle un examen au titre des usages à haut risque liés à l’emploi. Un agent conversationnel qui échange directement avec des clients soulève notamment une obligation de transparence sur l’interaction avec l’IA. Un filtre anti-spam pose des questions différentes. Lorsque la fonction exacte est incertaine, inscrivez « à qualifier » et consignez ce qu’il faut demander au fournisseur.

Le règlement européen consolidé prévoit une application progressive : les principales interdictions s’appliquent depuis le 2 février 2025, les obligations de transparence concernées depuis le 2 août 2026, les règles relatives aux systèmes à haut risque de l’annexe III à partir du 2 décembre 2027 et celles visant les systèmes à haut risque intégrés à des produits réglementés de l’annexe I à partir du 2 août 2028. Associez à chaque ligne la règle pertinente et son échéance, sans supposer qu’un report concernant une catégorie reporte aussi les autres dispositions.

Ce tri peut prendre la forme de priorités de travail : pratique potentiellement interdite à examiner immédiatement, usage à haut risque à instruire, information des personnes à organiser ou usage courant à suivre. Ces mentions servent à gérer le registre ; elles ne remplacent pas la qualification prévue par le règlement. Pour chaque décision, gardez une courte justification liée à la finalité et aux personnes concernées.

Rendre le contrôle humain opérant

La mention « validation humaine » ne suffit pas si personne ne sait quand intervenir ni avec quelle autorité. Pour un usage susceptible d’influencer une décision concernant une personne, précisez qui voit le résultat avant son utilisation, sur quels éléments cette personne peut le contrôler et comment elle peut l’écarter, le corriger ou suspendre l’usage. Dans un recrutement assisté par IA, le responsable du processus doit pouvoir examiner une proposition de tri avant qu’elle ne détermine la suite donnée à une candidature.

Pour les systèmes à haut risque, les obligations applicables au déployeur prévoient notamment une utilisation conforme aux instructions et une surveillance confiée à des personnes disposant des compétences, de la formation et de l’autorité nécessaires. Le registre doit indiquer où trouver ces instructions, qui exerce la surveillance et comment signaler un résultat problématique. Si ces éléments manquent, la question adressée au fournisseur ou au responsable interne devient concrète.

Actualisez la ligne quand une équipe confie une nouvelle tâche au système, quand le fournisseur en modifie les fonctions ou quand un résultat commence à peser sur une décision concernant des personnes. Le registre conserve ainsi la finalité, la qualification retenue et la possibilité réelle d’intervention humaine sur lesquelles repose l’examen de conformité.

À lire aussi :

• Claude détourné pour surveiller des dissidents : Anthropic détaille les outils
• Cryptographie post-quantique : l’inventaire vient avant le nouvel algorithme
• Arm AI Portal promet des modèles optimisés, les outils maison viendront plus tard