Registre des IA d'entreprise : ce qu'il contient et à quoi il sert

Pourquoi tenir un registre

Les obligations de l'AI Act ne s'appliquent pas à « l'IA » en général. Elles dépendent de chaque système et de son usage. Un assistant qui résume des réunions et un outil qui trie des candidatures n'engagent pas les mêmes règles. Le second relève en principe du haut risque (annexe III, point 4), le premier non.

Pour savoir quelles règles s'appliquent, il faut d'abord savoir quelles IA tournent. C'est le rôle du registre. Sans lui, aucune des autres questions de gouvernance de l'IA n'a de réponse.

Le règlement n'emploie pas le mot « registre » pour un inventaire interne. Il ne le prescrit pas sous ce nom à toutes les entreprises. Mais chacune de ses obligations porte sur un système précis : sans inventaire, impossible de montrer qu'on les a examinées.

À ne pas confondre avec la base de données de l'UE

L'AI Act crée une base de données européenne. Les fournisseurs y enregistrent les systèmes à haut risque de l'annexe III. Les autorités publiques qui les déploient y enregistrent leur utilisation (article 49). Une entreprise privée qui déploie un système n'a pas cette obligation d'enregistrement, sauf si elle agit pour le compte d'une autorité publique. Son registre interne reste le sien.

Ce qu'un registre contient

Les IA qu'on oublie

Le registre ne vaut que s'il est complet. Trois familles échappent souvent à l'inventaire :

• les comptes individuels, ouverts par des salariés sans passer par la DSI ;
• les fonctions activées par une mise à jour d'un logiciel déjà en place ;
• les IA intégrées à un progiciel, qu'on ne peut pas brancher. Elles entrent quand même au registre : le règlement demande de les gouverner, pas forcément de les mesurer.

L'obligation de maîtrise de l'IA (article 4) vise le personnel qui utilise des systèmes d'IA. Le registre dit aussi qui les utilise.

Du registre aux preuves

Un registre tenu dans un tableur montre l'état du jour. Devant un contrôleur, il faut montrer ce qui était vrai à une date passée : quand tel système a été classé, par qui, sur quelle base. C'est pourquoi la classe de risque doit être historisée et chaque preuve datée. La page Conformité AI Act détaille quelles preuves rattacher à chaque obligation.

Comment le constituer

1. Déclarer. Quelques questions par IA : usage, responsable, éditeur. Le registre se remplit.
2. Classer. La classe de risque au sens de l'AI Act, et les obligations qui en découlent.
3. Raccorder ce qui peut l'être. Une IA raccordée est mesurée, plus seulement déclarée.

Dans le Cockpit, le registre, les classes de risque historisées et les preuves datées tiennent en un seul endroit, quels que soient les éditeurs. La Factory est l'offre qui prévoit le raccordement des systèmes en place.