L'AI Act n'impose pas de registre interne de tous les systèmes d'IA : seule l'inscription dans la base de données de l'UE (Art. 49) est obligatoire, pour les systèmes à haut risque de l'Annexe III (côté fournisseur, et pour les déployeurs qui sont des autorités publiques) et pour ceux que le fournisseur estime non à haut risque au titre de l'Art. 6(3). Un registre interne reste pourtant la méthode la plus simple pour recenser vos outils d'IA, votre rôle, leur niveau de risque et les obligations qui en découlent (maîtrise de l'IA, transparence, RGPD). Le modèle Excel gratuit ci-dessous propose 19 colonnes, des listes déroulantes et deux exemples ; cet article explique comment le remplir.
L'essentiel en 30 secondes
- L'inscription dans la base de données de l'UE (Art. 49 et 71) concerne d'abord les fournisseurs de systèmes à haut risque de l'Annexe III, dont les obligations s'appliquent à partir du 2 décembre 2027. Les déployeurs qui sont des autorités publiques s'inscrivent aussi.
- Un registre interne n'est pas imposé par l'AI Act, mais il est recommandé pour tous les outils d'IA : c'est le point de départ pour qualifier le rôle, le risque et les obligations (Art. 4, Art. 50, RGPD).
- Le modèle Excel gratuit propose 19 colonnes (outil, usage, rôle, données, niveau de risque, supervision, transparence, contrat, responsable, revue…), des listes déroulantes, deux exemples et un mode d'emploi.
- Sanctions AI Act (Art. 99) : jusqu'à 35 M€ ou 7 % du CA pour les pratiques interdites, 15 M€ ou 3 % pour les obligations des opérateurs et la transparence. Le palier le plus bas, 7,5 M€ ou 1 %, vise les informations inexactes. Une PME se voit appliquer le montant le plus bas des deux. Détail sur la page sanctions AI Act pour les PME.
- Ni le registre ni la norme ISO/IEC 42001:2023 (volontaire) ne valent conformité à l'AI Act. Le registre sert de base documentaire.
1. Obligations légales pour les PME
L'EU AI Act ne crée pas une obligation unique de « registre ». Il combine plusieurs exigences documentaires. Comprendre lesquelles s'appliquent à votre situation évite les erreurs coûteuses.
L'enregistrement dans la base UE. L'Article 49 du règlement (UE) 2024/1689 impose l'enregistrement des systèmes à haut risque listés à l'Annexe III, ainsi que des systèmes de l'Annexe III que le fournisseur estime non à haut risque (Art. 6(3)). Cet enregistrement se fait dans la base de données de l'Union prévue à l'Article 71. L'obligation vise d'abord les fournisseurs. Les déployeurs qui sont des autorités publiques enregistrent aussi leur usage (Art. 26(8)). Pour l'Annexe III, elle s'applique à partir du 2 décembre 2027.
La conservation des journaux. L'Article 12 exige que les systèmes à haut risque permettent l'enregistrement automatique d'événements. L'Article 26, paragraphe 6, oblige le déployeur à conserver les journaux sous son contrôle pendant au moins six mois, sauf disposition contraire du droit applicable. Un registre interne facilite ce suivi.
Les obligations de transparence. L'Article 50, en vigueur depuis le 2 août 2026, demande notamment au fournisseur de concevoir les systèmes qui interagissent avec des personnes pour qu'elles sachent qu'elles échangent avec une IA, et aux déployeurs de signaler les hypertrucages et certains textes publiés. Un chatbot client relève de cette catégorie, pas du haut risque.
La norme ISO/IEC 42001:2023. Elle repose sur la documentation des systèmes d'IA et de leurs ressources ; un inventaire est un outil pratique pour y répondre. Cette norme est volontaire. Son non-respect n'entraîne aucune amende et elle ne donne pas de présomption de conformité à l'AI Act. Elle aide toutefois à structurer la preuve des mesures prises.
Le tableau suivant clarifie qui doit quoi.
| Obligation | Base légale | Systèmes concernés | Qui est tenu |
|---|---|---|---|
| Enregistrement base UE | Art. 49 et Art. 71 | Haut risque (Annexe III) et systèmes de l'Art. 6(3) | Fournisseurs, déployeurs publics |
| Conservation des journaux | Art. 12, Art. 26 §6 | Haut risque | Fournisseurs, déployeurs |
| Transparence utilisateur | Art. 50 | Chatbots, hypertrucages, textes publiés d'intérêt public | Fournisseurs, déployeurs |
| Documentation des systèmes d'IA | ISO/IEC 42001:2023 | Tous | Organisation (volontaire) |
Quelles PME sont concernées ? L'AI Act définit la PME par renvoi à la recommandation 2003/361/CE : moins de 250 salariés, et un chiffre d'affaires annuel ≤ 50 M€ ou un bilan ≤ 43 M€. Le règlement s'applique néanmoins quelle que soit la taille. Le seuil PME ne conditionne pas l'application : il ouvre droit à des plafonds d'amende réduits (Art. 99(6)) et à des mesures de soutien. Pour un panorama complet, voir le guide AI Act pour les PME françaises.
Calendrier. Les obligations relatives aux systèmes à haut risque de l'Annexe III s'appliquent à partir du 2 décembre 2027, échéance reportée par le règlement (UE) 2026/1744 (« Omnibus IA »), en vigueur depuis le 27 juillet 2026. Construire son registre dès maintenant évite l'urgence. Voir le calendrier de l'AI Act.
2. Structure du template Excel
Un bon registre reste lisible et utilisable. Le modèle compte 19 colonnes, regroupées ci-dessous. Elles servent à qualifier chaque outil (rôle, risque, données, obligations) ; hors enregistrement des systèmes à haut risque, aucune n'est une obligation légale en soi. Pour repérer les outils utilisés sans validation, voir l'article sur la shadow IA en entreprise.
| Groupe | Colonnes du modèle | À quoi elles servent |
|---|---|---|
| Identification | N° ; Outil ou système d'IA ; Fournisseur / éditeur ; À quoi sert-il ? ; Services et utilisateurs | Recenser l'outil, son éditeur, son usage et les équipes concernées |
| Rôle et risque | Votre rôle (AI Act) ; Niveau de risque AI Act ; Obligations principales | Déployeur ou fournisseur, catégorie de risque (liste déroulante) et obligations qui en découlent (Art. 4, Art. 26, Art. 50…) |
| Données | Données personnelles traitées ; Données sensibles (Art. 9 RGPD) ; Personnes concernées | Cadrer le volet RGPD : nature des données et catégories de personnes |
| Supervision et transparence | Supervision humaine ; Mention de transparence (Art. 50) | Relecture humaine prévue et information des personnes (listes déroulantes) |
| Contrat et responsabilité | Contrat / DPA signé ; Responsable interne | Vérifier le contrat de sous-traitance et nommer un responsable |
| Suivi | Mise en service ; Prochaine revue ; Statut ; Commentaires | Dater la mise en service, planifier la revue et suivre le statut (autorisé, à évaluer, suspendu, interdit) |
La colonne « Niveau de risque AI Act » est la plus délicate. Le règlement distingue quatre niveaux : risque inacceptable (pratiques interdites, Art. 5), haut risque (Annexe III), risque limité (obligations de transparence, Art. 50) et risque minimal. Il n'existe pas de catégorie officielle « risque moyen ». La liste déroulante du modèle propose aussi « Haut risque (Annexe I) » et « À qualifier » pour les cas en attente. Le glossaire détaille chaque niveau.
Les colonnes « Responsable interne », « Prochaine revue » et « Statut » permettent de dater et de suivre la revue de chaque ligne. Conservez les versions successives du fichier : cette trace documente les mesures prises.
Vos documents IA, personnalisés et prêts aujourd'hui
Charte d'usage de l'IA, politique IA, registre des outils, analyses de risques et d'impact, procédures : le pack regulia les réunit, personnalisés selon votre entreprise et vos outils, à jour du règlement (UE) 2026/1744. 29 € jusqu'au 30 novembre, puis 99 €.
Créer mon pack — 29 €3. Exemple de remplissage pratique
Prenons un cas fréquent : un chatbot de relation client déployé sur votre site. Il relève de la transparence (Art. 50), pas du haut risque : le fournisseur doit concevoir l'outil pour que l'internaute sache qu'il dialogue avec une IA, sauf si c'est évident. Le fichier contient deux exemples fictifs à remplacer : un assistant de rédaction (risque minimal) et un logiciel de tri de CV (haut risque, Annexe III).
Voici les étapes de saisie.
- Identification. Numérotez la ligne et nommez le système.
- Documentation. Renseignez le fournisseur, votre rôle (déployeur), l'usage et les services concernés.
- Évaluation du risque. Choisissez « Transparence (Art. 50) » dans la liste déroulante.
- Mesures de conformité. Indiquez la mention affichée à l'internaute et le contrat signé avec le fournisseur.
- Validation. Le responsable interne vérifie la ligne, renseigne la prochaine revue et le statut.
Voici la ligne complétée.
| Colonne | Valeur |
|---|---|
| Outil ou système d'IA | Chatbot de support client |
| Fournisseur / éditeur | [Éditeur du chatbot] |
| À quoi sert-il ? | Réponses de premier niveau aux questions des clients |
| Votre rôle (AI Act) | Déployeur |
| Données personnelles traitées | Oui (questions et e-mails des clients) |
| Niveau de risque AI Act | Transparence (Art. 50) |
| Mention de transparence (Art. 50) | En place : « Vous échangez avec une IA » |
| Contrat / DPA signé | Oui |
| Statut | Autorisé |
Attention : un système de recrutement automatisé ou de scoring de crédit bascule en haut risque (Annexe III). Il déclenche alors, à partir du 2 décembre 2027, l'enregistrement de l'Art. 49 par le fournisseur et, pour le déployeur, les obligations de l'Art. 26 (dont la conservation des journaux, Art. 26(6)). Le second exemple du modèle, un logiciel de tri de CV, illustre ce cas. Voir les systèmes à haut risque de l'Annexe III.
4. Avantages pour les PME
Un registre bien tenu produit des bénéfices concrets, au-delà de la simple conformité.
| Avantage | Effet attendu |
|---|---|
| Réduction du risque de sanction | Élément de preuve des mesures mises en œuvre (Art. 99(7)) |
| Gain de temps en audit | Une source unique consultable, pas de reconstitution |
| Pilotage du parc IA | Vision consolidée des systèmes et de leurs risques |
| Alignement ISO/IEC 42001:2023 | Base documentaire utile pour une démarche ISO/IEC 42001:2023 |
Sur les sanctions, une précision s'impose. L'Art. 99 prévoit trois paliers : 35 M€ ou 7 % du chiffre d'affaires mondial pour les pratiques interdites, 15 M€ ou 3 % pour les manquements aux obligations des opérateurs (fournisseurs, déployeurs…) et à la transparence (Art. 50). Le palier le plus bas, 7,5 M€ ou 1 %, vise les informations inexactes, incomplètes ou trompeuses fournies aux organismes notifiés ou aux autorités. Pour une PME, c'est le montant le plus bas des deux qui s'applique (Art. 99(6)). La page sanctions et amendes AI Act détaille le barème.
Un point à ne pas confondre : la norme ISO/IEC 42001:2023 ne fait l'objet d'aucune amende légale. Elle reste volontaire. Son intérêt est probatoire et commercial, pas coercitif.
5. Maintenance du registre
Un registre figé perd toute valeur. Sa tenue exige une routine.
- Mise à jour à chaque changement. Nouveau système, nouvelle finalité, changement de fournisseur : mettez à jour immédiatement.
- Revue régulière. Revoyez chaque ligne au moins une fois par an (le modèle propose une colonne « Prochaine revue ») et vérifiez la classification de risque.
- Versioning. Conservez l'historique des modifications. Datez chaque révision.
- Retours au fournisseur. L'Article 72 impose aux fournisseurs de systèmes à haut risque un suivi après commercialisation. En tant que déployeur, notez les incidents et informations à lui transmettre (Art. 26(5)). Avant d'inscrire un outil, voir l'article sur l'évaluation d'un fournisseur d'IA.
Une mise à jour semi-automatique via API reste possible pour les organisations avancées. Elle n'est pas obligatoire. Un tableur maintenu avec rigueur suffit à la plupart des PME.
Passez des obligations aux documents
Un manquement à la transparence peut coûter jusqu'à 3 % du chiffre d'affaires (Art. 99). Documentez vos mesures en une dizaine de minutes : charte, politique IA, registre, analyses de risques et procédures, livrés par e-mail en Word, Excel et PDF. 29 € jusqu'au 30 novembre, puis 99 €, satisfait ou remboursé 30 jours.
Créer mon pack — 29 €6. Ressources complémentaires
Pour approfondir, voici trois ressources utiles.
- Guide pratique AI Act pour PME — panorama des obligations par rôle et par risque : guide PME.
- Fiches pratiques IA de la CNIL — 13 fiches sur l'application du RGPD aux systèmes d'IA : cnil.fr.
- Documents de conformité AI Act — la liste des documents à produire selon votre profil : documents de conformité. La checklist de conformité AI Act aide à vérifier les obligations une à une.
Les références réglementaires citées figurent sur la page sources.
FAQ
Quels systèmes IA doivent être enregistrés ?
L'enregistrement dans la base de données UE (Art. 49 et Art. 71) vise les systèmes à haut risque de l'Annexe III, à partir du 2 décembre 2027. Cela inclut le recrutement automatisé et le scoring de crédit. Un chatbot client relève de la transparence (Art. 50) : il n'exige pas cet enregistrement, mais peut figurer dans votre registre interne, par bonne pratique.
Comment remplir le template Excel ?
Recensez chaque outil d'IA, indiquez votre rôle et le niveau de risque dans les listes déroulantes, puis renseignez les données traitées, la supervision humaine, la mention de transparence, le contrat avec le fournisseur, le responsable interne et la date de prochaine revue. Les deux lignes d'exemple sont à remplacer par vos propres outils.
Quelles sont les conséquences d'une non-conformité ?
L'Art. 99 prévoit trois paliers : 35 M€ ou 7 % du chiffre d'affaires mondial pour les pratiques interdites, 15 M€ ou 3 % pour les manquements aux obligations des opérateurs (fournisseurs, déployeurs…) et à la transparence (Art. 50). Le palier le plus bas, 7,5 M€ ou 1 %, vise les informations inexactes, incomplètes ou trompeuses fournies aux organismes notifiés ou aux autorités. Pour une PME, c'est le montant le plus bas des deux qui s'applique (Art. 99(6)). Le non-respect d'ISO/IEC 42001:2023 n'entraîne, lui, aucune amende.
Où trouver plus d'informations sur l'EU AI Act ?
L'AI Act Service Desk de la Commission et le texte officiel sur EUR-Lex font référence. Le glossaire explique les termes clés en français.
Comment maintenir le registre à jour ?
Actualisez le registre dès toute modification d'un système d'IA, revoyez-le au moins une fois par an et conservez le versioning des changements. Pour un système à haut risque, notez aussi les informations transmises au fournisseur (Art. 26(5)).
Sources officielles
- Règlement (UE) 2024/1689 — version consolidée au 27 juillet 2026 — EUR-Lex
- Règlement (UE) 2026/1744 (« Omnibus IA ») — EUR-Lex
- AI Act Service Desk, Commission européenne : ai-act-service-desk.ec.europa.eu
- Texte de l'AI Act : artificialintelligenceact.eu
- ISO/IEC 42001:2023 — Système de management de l'intelligence artificielle
Cet article fournit des informations générales sur l'EU AI Act applicables aux PME françaises. Il ne constitue pas un conseil juridique. Pour toute décision opérationnelle, faites valider votre démarche par votre DPO ou conseil juridique. regulia décline toute responsabilité quant à l'usage qui peut être fait de ces informations.