Ressource gratuite · Kit Word

Kit Gouvernance des IA : registre, déclaration et grille AI Act

Inventorier, qualifier et gouverner les systèmes et agents IA de votre organisation dans vos outils collaboratifs, sans plateforme dédiée.

📄 Word, 15 pages🗂️ Registre en 15 colonnes🇪🇺 Grille de qualification AI Act🆓 Gratuit

Télécharger le kitVoir les quatre niveaux de l’AI Act

La scène se répète dans toutes les grandes organisations. Un agent Copilot créé par un chargé de clientèle, un GPT personnalisé partagé dans une direction, une fonction d’IA activée par un fournisseur dans le CRM, un pilote lancé par la R&D : chacun de ces systèmes engage la responsabilité de l’organisation, et la plupart n’ont jamais été déclarés. Quand la question arrive, de la direction générale, d’un auditeur ou du régulateur, la réponse honnête est souvent « on ne sait pas exactement ».

Cette page explique ce qu’un registre des systèmes d’IA doit contenir, comment qualifier chaque système au regard du règlement européen, comment décider sans créer de goulot d’étranglement, et comment faire vivre le dispositif avec un comité léger. Elle s’accompagne d’un kit complet, au format Word, avec le registre, le formulaire, les grilles et le dossier type prêts à l’emploi.

1. Pourquoi un registre, et pourquoi maintenant

Le registre est la pièce sans laquelle rien d’autre ne tient. On ne qualifie pas ce qu’on ne connaît pas, on ne forme pas les utilisateurs d’un système qu’on ignore, on ne produit pas de preuve d’audit sur un parc non recensé. Le règlement européen sur l’intelligence artificielle en fait, de fait, une obligation pour toute organisation qui utilise des IA : ne pas recourir aux pratiques interdites suppose de savoir ce qu’on utilise, respecter les obligations du haut risque suppose d’avoir identifié les systèmes concernés, et former les utilisateurs au titre de l’article 4 suppose de savoir qui utilise quoi.

La deuxième raison est le rythme. Avec les agents, chaque collaborateur formé peut créer en une heure un système qui accède à des documents, prend des décisions préparatoires et sert à toute une équipe. Les organisations qui comptaient quelques projets d’IA en 2024 en comptent des centaines en 2026, la plupart nés en dehors de tout processus. Un dispositif de gouvernance qui met des semaines à répondre est contourné ; un dispositif qui n’existe pas laisse l’organisation découvrir son parc le jour d’un incident.

La troisième raison est que le registre est un outil de déploiement autant qu’un outil de conformité. Il révèle les cas d’usage qui marchent et qu’on pourrait généraliser, les doublons entre directions, les agents orphelins dont le créateur a changé de poste, et il alimente directement le plan de formation.

2. Ce qui entre au registre, et comment le retrouver

Un « système d’IA » au sens du registre est tout logiciel, service ou agent qui produit des contenus, des recommandations ou des décisions à partir d’un modèle, qu’il soit acheté, embarqué dans un logiciel fournisseur, configuré par un métier ou développé en interne. Cinq familles couvrent l’essentiel :

Famille	Exemples	Où les trouver
Assistants généralistes	Copilot, ChatGPT, Claude, Gemini, Mistral, IA interne	Contrats et licences, DSI
Agents et assistants créés par les métiers	Agents Copilot Studio ou Agent Builder, GPT personnalisés, projets Claude, Gems, espaces Dust	Consoles d’administration des outils
IA embarquée dans les logiciels	Fonctions d’IA du CRM, de la suite RH, du support client, des outils de sécurité	Revue des contrats fournisseurs avec les achats
Développements internes ou prestataires	Modèles et applications en production ou en pilote	Portefeuille de projets, data, R&D
Automatisations qui appellent un modèle	Flux Power Automate, Zapier, n8n, scripts	Entretiens par direction, ambassadeurs IA

Le registre lui-même tient en quinze colonnes : identifiant, nom, type, direction et propriétaire, finalité, utilisateurs, données traitées, fournisseur et modèle, sources et connecteurs, décision automatique ou non, niveau AI Act, verdict, conditions, statut, dates. Il vit dans une liste SharePoint, une base Notion ou, pour démarrer, un classeur partagé, avec trois règles : un seul registre pour toute l’organisation, un propriétaire du registre nommément désigné, et des colonnes verrouillées. Le kit fournit le modèle avec une ligne d’exemple remplie, et la méthode en trois sources pour retrouver ce que personne n’a déclaré : consoles d’administration, entretiens par direction, contrats fournisseurs.

3. Les quatre niveaux de l’AI Act, traduits en questions

Le règlement distingue quatre situations, qui ne s’excluent pas. La grille du kit les traduit en un arbre de décision en quatre questions, à partir des réponses du formulaire de déclaration.

Niveau	Question à se poser	Ce que cela implique pour vous
Pratiques interdites (article 5)	Le système sert-il à reconnaître les émotions au travail, à noter socialement des personnes, à manipuler ou exploiter des vulnérabilités, à constituer des bases de reconnaissance faciale par collecte non ciblée ?	Arrêt immédiat et saisine du juridique. Rare en entreprise, mais à écarter explicitement.
Haut risque (article 6, annexe III)	Le système prend-il, prépare-t-il ou influence-t-il une décision concernant des personnes en matière d’emploi, d’accès au crédit ou aux services essentiels, d’éducation, de biométrie ?	Analyse juridique, usage conforme à la notice du fournisseur, superviseurs formés, journaux conservés, information des salariés et des personnes concernées.
Transparence (article 50)	Des personnes dialoguent-elles avec le système ou reçoivent-elles des contenus générés (chatbot, images ou voix réalistes, textes publiés sans relecture) ?	Informer les personnes, signaler les contenus générés. S’ajoute aux autres niveaux.
Risque minimal	Aucune des réponses précédentes : rédaction, synthèse, traduction, code, agents internes relus par un humain.	La grande majorité du registre. Règles internes (charte, RGPD, confidentialité) et formation des utilisateurs.

Deux pièges reviennent dans presque toutes les organisations. Un système « minimal » chez le fournisseur peut devenir « haut risque » chez vous par son usage : un assistant généraliste utilisé pour trier des candidatures change de niveau, parce que la qualification porte sur l’usage, pas sur le produit. Et le RGPD ne disparaît pas derrière l’AI Act : toute IA qui traite des données personnelles passe par le DPO, avec une analyse d’impact si le traitement est à risque élevé.

4. Trois verdicts, et l’auto-approbation qui évite le goulot d’étranglement

La qualification réglementaire dit ce que la loi exige. Le verdict dit ce que l’organisation décide. Trois verdicts suffisent : approuvé, approuvé sous conditions, à revoir. Ce qui fait la différence entre un dispositif qui tient et un dispositif contourné, c’est la règle d’auto-approbation : un système à risque minimal, sur un outil déjà référencé, sans données confidentielles ni personnelles au-delà des coordonnées professionnelles, connecté à des sources que ses utilisateurs ont déjà, doté d’un propriétaire et d’utilisateurs formés, avec relecture humaine avant tout effet externe, est approuvé par le référent IA en quelques jours, sans passer en comité.

Dans la pratique, sept à huit systèmes sur dix remplissent ces critères. Le comité se concentre sur le reste, et les conditions qu’il attache aux verdicts sont tirées d’une liste courte de conditions standard (relecture humaine, périmètre de données, périmètre des connecteurs, information des personnes, formation attestée, information des représentants du personnel, journalisation, revue anticipée), référencées par un code dans le registre. Le kit détaille les critères et les huit conditions types.

5. Le comité IA : léger, régulier, tracé

Le comité IA décide des verdicts qui ne relèvent pas de l’auto-approbation, arbitre les conditions, revoit le registre chaque trimestre et fait évoluer les critères à mesure que l’organisation gagne en maturité. Il ne pilote pas les projets et ne remplace pas les instances existantes : il les mobilise. Sa composition tient en une ligne : un sponsor de la direction générale, le référent IA qui prépare les dossiers, la DSI ou la sécurité, le juridique ou la conformité et le DPO, deux ou trois représentants des directions qui déploient le plus.

Une heure par mois au démarrage, puis toutes les six semaines, avec un ordre du jour invariable en cinq points : registre, dossiers à décider, revues arrivées à échéance, incidents et signaux, ajustements du dispositif. Chaque décision alimente le dossier du système concerné, qui constitue la preuve d’audit : fiche d’identité, qualification, décision et conditions, preuves de mise en œuvre, suivi. C’est la revue trimestrielle du registre avec chaque propriétaire, plus que le comité, qui garde le dispositif vivant : les systèmes inutilisés depuis six mois en sortent.

6. Ce que contient le kit

Le kit est un document Word de 15 pages, modifiable, dont chaque partie se copie indépendamment dans vos outils. Il contient, dans l’ordre : le mode d’emploi et les trois façons de l’utiliser ; le registre des systèmes d’IA, avec ce qui doit y figurer, les quinze colonnes commentées et exemplifiées, où le tenir et comment retrouver les IA non déclarées ; le formulaire de déclaration en dix questions, avec la raison de chaque question ; la grille de qualification par niveau de risque, avec les pratiques interdites, les domaines de l’annexe III, les obligations de transparence, le risque minimal et l’arbre de décision ; les trois verdicts, les critères d’auto-approbation et les huit conditions standard ; le dossier type par système en sept rubriques ; le comité IA, avec son mandat, sa composition, son ordre du jour et ses indicateurs ; et trois annexes : auto-évaluation du dispositif en douze points, questions fréquentes, ressources pour aller plus loin.

Le kit, partie par partie : ce que chaque partie contient et à quoi elle sert. Les modèles à remplir sont dans le document Word.

Mode d’emploi

Trois façons d’utiliser ce kit

Démarrer un premier registre (parties 1, 2 et 3, deux jours d’atelier avec les directions), installer le dispositif complet (tout le kit, six semaines) ou auditer l’existant (annexe A, puis les parties où le score est faible, une demi-journée). Le kit s’organise en six briques : on recense, on collecte, on qualifie, on décide, on documente et on pilote.

Le calendrier du règlement européen, à jour de septembre 2026

Depuis le 2 février 2025 s’appliquent les pratiques interdites (article 5) et la maîtrise de l’IA (article 4), reformulée en obligation de moyens par le règlement omnibus (UE) 2026/1744 ; depuis le 2 août 2025, les obligations des fournisseurs de modèles d’IA à usage général ; depuis le 2 août 2026, la transparence (article 50), avec un délai jusqu’au 2 décembre 2026 pour le marquage des contenus des systèmes déjà sur le marché. Le haut risque de l’annexe III suit le 2 décembre 2027, date reportée par l’omnibus IA, et celui de l’annexe I le 2 août 2028. Ce report n’est pas une raison d’attendre : le registre sert dès aujourd’hui.

Partie 1. Le registre des systèmes d’IA

1.1 Ce qui entre au registre

Tout logiciel, service ou agent qui produit des contenus, des recommandations ou des décisions à partir d’un modèle d’IA, dans cinq familles : assistants généralistes, agents et assistants créés par les métiers, IA embarquée dans les logiciels, développements internes ou prestataires, automatisations qui appellent un modèle. N’entrent pas les usages individuels d’un assistant déjà déclaré, les brouillons d’agents non partagés et les logiciels sans IA. En cas de doute, on déclare : une ligne de trop coûte moins cher qu’un système oublié.

1.2 Les quinze colonnes

Chaque système est décrit en quinze colonnes, de l’identifiant unique (par exemple IA-2026-042) aux dates de déclaration, de décision et de prochaine revue, en passant par la finalité en une phrase avec un verbe, les données traitées, les sources et connecteurs, la décision automatique ou non, le niveau AI Act, le verdict, les conditions et le statut. Le kit donne pour chaque colonne le contenu attendu et un exemple rempli.

1.3 Où le tenir

Une liste SharePoint, une base Notion ou un classeur Excel partagé suffisent, avec trois règles : un seul registre pour toute l’organisation, un propriétaire du registre nommément désigné, en général le référent IA, qui seul valide les colonnes 11 à 15, et des colonnes verrouillées par des listes de choix pour que le registre reste filtrable.

1.4 Retrouver les IA non déclarées : trois sources

Les consoles d’administration (Microsoft 365, OpenAI, Anthropic, Google) pour les agents et automatisations, des entretiens de 30 minutes par direction pour les usages réels, et la revue avec les achats des contrats logiciels renouvelés depuis 2023 pour l’IA embarquée. Le premier recensement prend une à deux semaines ; un agent vu en console mais cité par personne est probablement orphelin.

Partie 2. Le formulaire de déclaration

Les dix questions du formulaire

Porte d’entrée unique du registre, le formulaire se remplit en dix minutes par le futur propriétaire, dans Microsoft Forms, SharePoint ou Notion. Ses dix questions couvrent le nom et le propriétaire, la finalité, l’outil, les utilisateurs, les données, les connexions, l’effet sur des personnes (détection du haut risque), la relecture humaine, le contact avec des personnes extérieures (article 50) et la formation des utilisateurs.

Conseil de mise en place

Rendre le formulaire visible là où les agents se créent (charte, page d’accueil de l’outil, parcours de formation) et répondre vite : un accusé de réception le jour même et un verdict en moins de dix jours pour les cas simples font plus pour la déclaration spontanée que n’importe quelle obligation.

Partie 3. La grille de qualification AI Act

3.1 Pratiques interdites (article 5)

Huit pratiques sont à écarter explicitement pour chaque système : manipulation subliminale ou trompeuse, exploitation des vulnérabilités, notation sociale, évaluation du risque d’infraction sur le seul profilage, collecte non ciblée d’images pour la reconnaissance faciale, reconnaissance des émotions de salariés ou d’élèves, déduction de caractéristiques sensibles à partir de données biométriques, et génération de contenus intimes non consentis, interdiction ajoutée par l’omnibus IA. Une case cochée : arrêt immédiat et saisine du juridique.

3.2 Haut risque (article 6 et annexe III)

Un système est à haut risque lorsqu’il sert, dans un domaine de l’annexe III, à prendre, préparer ou influencer une décision concernant des personnes : emploi et gestion des travailleurs, accès aux services essentiels (crédit, assurance vie et santé), éducation, biométrie, infrastructures critiques, répression et justice. L’exception de l’article 6.3, notamment pour une tâche procédurale étroite ou préparatoire, ne joue jamais en cas de profilage et doit être documentée.

Ce que le haut risque implique pour vous, déployeur (article 26)

Utiliser le système conformément à la notice du fournisseur, confier la supervision humaine à des personnes compétentes et formées, surveiller le fonctionnement et signaler les incidents, conserver les journaux au moins six mois, informer les représentants du personnel et les salariés avant toute mise en service sur le lieu de travail, informer les personnes faisant l’objet d’une décision et réaliser les analyses d’impact requises.

3.3 Transparence (article 50)

Dire aux personnes qu’elles dialoguent avec une IA, signaler les hypertrucages (images, sons, vidéos réalistes), signaler les textes générés publiés pour informer le public sur des sujets d’intérêt général, sauf relecture humaine avec responsabilité éditoriale, et informer les personnes exposées à une reconnaissance des émotions ou une catégorisation biométrique autorisées.

3.4 Risque minimal

Rédaction, synthèse, traduction, recherche documentaire, code, agents internes dont les résultats sont relus par un humain : c’est la grande majorité du registre, souvent 85 à 95 % des lignes. Pas d’obligation spécifique au titre de l’AI Act au-delà de la maîtrise de l’IA ; les règles internes (charte, RGPD, confidentialité, sécurité) s’appliquent.

3.5 L’arbre de décision en quatre questions

Une pratique interdite est-elle cochée ? Le système influence-t-il une décision sur des personnes dans un domaine de l’annexe III ? Des personnes dialoguent-elles avec lui ou reçoivent-elles ses contenus ? Sinon, il est minimal et éligible à l’auto-approbation. Piège : modifier substantiellement un système ou le destiner à un usage à haut risque peut faire de vous un fournisseur au sens de l’article 25.

Partie 4. Les trois verdicts

Approuvé, approuvé sous conditions ou à revoir : la qualification dit ce que la loi exige, le verdict dit ce que l’organisation décide. Délai cible : moins de dix jours pour une approbation, le prochain comité pour un dossier à revoir.

4.1 Les critères d’auto-approbation

Le référent IA approuve sans comité un système qui remplit six critères : niveau AI Act minimal, outil déjà référencé, aucune donnée confidentielle ni personnelle au-delà des coordonnées professionnelles, sources déjà accessibles à ses utilisateurs, un propriétaire nommé et des utilisateurs formés, relecture humaine avant tout effet externe. Sept à huit systèmes sur dix les remplissent.

4.2 Les huit conditions standard

Les conditions attachées à un verdict sont référencées par leur code dans le registre, chacune avec sa preuve attendue : C1 relecture humaine, C2 périmètre de données, C3 périmètre des connecteurs, C4 information des personnes, C5 formation attestée des utilisateurs, C6 information des représentants du personnel, C7 journalisation, C8 revue anticipée à trois mois au lieu de douze.

Partie 5. Le dossier type par système

Chaque système non auto-approuvé ouvre un dossier en sept rubriques : fiche d’identité, qualification, décision, documentation fournisseur, preuves de mise en œuvre, suivi et revues ; les trois premières suffisent pour un système auto-approuvé. C’est la preuve d’audit : un tiers doit comprendre en dix minutes ce qu’est le système, pourquoi il a été autorisé et comment on s’en assure.

Quand rouvrir un dossier

Nouvelle source ou nouveau connecteur, nouvelle population d’utilisateurs, changement de finalité, changement de modèle ou de fournisseur, incident : le propriétaire redépose le formulaire et la qualification est refaite. Le reste du temps, la revue annuelle suffit.

Partie 6. Le comité IA

6.1 Mandat

Le comité décide des verdicts hors auto-approbation, arbitre les conditions, revoit le registre chaque trimestre et fait évoluer les critères. Il ne pilote pas les projets et ne remplace pas les instances existantes (comité sécurité, CSE, comité des risques) : il les mobilise.

6.2 Composition

Un sponsor de la direction générale qui préside, le référent IA qui tient le registre et anime, la DSI ou la sécurité, le juridique ou la conformité, le DPO, et deux ou trois représentants des directions qui déploient le plus. Les RH et un représentant du dialogue social sont invités dès qu’un dossier touche à l’emploi ou à la gestion des salariés.

6.3 Rythme et ordre du jour

Une heure par mois pendant les six premiers mois, puis toutes les six semaines, avec un ordre du jour invariable : registre, dossiers à décider (dix minutes maximum chacun), revues arrivées à échéance, incidents et signaux, ajustements du dispositif. Chaque décision est consignée dans un relevé d’une page.

6.4 Indicateurs

Six indicateurs avec une cible indicative : systèmes au registre par statut et par niveau, part des auto-approbations (70 % ou plus), délai médian entre déclaration et verdict (moins de 10 jours), systèmes avec propriétaire et utilisateurs formés (100 %), systèmes découverts hors déclaration (en baisse) et revues réalisées à échéance (90 % ou plus).

6.5 La revue trimestrielle du registre

Chaque trimestre, le référent IA envoie à chaque propriétaire la liste de ses systèmes avec trois questions : toujours utilisé ? toujours conforme à la déclaration ? toujours le bon propriétaire ? Les systèmes inutilisés depuis six mois passent au statut « retiré », ceux dont le propriétaire a quitté son poste sont réattribués ou suspendus.

Les annexes

Trois annexes : l’auto-évaluation du dispositif en douze points, les questions fréquentes, un glossaire et des ressources.

Annexe A. Auto-évaluation du dispositif en douze points

Douze critères notés 2 points pour oui, 1 pour partiel et 0 pour non, à remplir seul en vingt minutes ou en comité une fois par an. En dessous de 12 sur 24, on commence par les parties 1 et 4.

7. Questions fréquentes

Faut-il déclarer les usages individuels d’un assistant généraliste ?

Non. L’assistant généraliste est déclaré une fois, au niveau de l’organisation, avec ses règles d’usage dans la charte. Ce qui se déclare individuellement, ce sont les agents, espaces et automatisations que les métiers créent et partagent, parce qu’ils ont une finalité, des sources et des utilisateurs propres.

Faut-il une plateforme de gouvernance de l’IA ?

Pas pour démarrer. Le dispositif du kit tient dans SharePoint, Notion ou un classeur partagé et suffit à la plupart des organisations. Une plateforme dédiée devient utile quand le parc dépasse plusieurs centaines de systèmes, quand plusieurs entités doivent consolider leurs registres ou quand vos obligations d’audit exigent une piste automatisée. Le registre du kit se migre alors sans perte.

Que faire d’un agent créé par un salarié et déjà utilisé par son équipe ?

Le déclarer, le qualifier, et dans la grande majorité des cas l’approuver, souvent sous conditions. L’objectif n’est pas d’arrêter ce qui marche, c’est de savoir que cela existe et de fixer les règles. Un dispositif perçu comme une police des usages est contourné en quelques semaines.

Qui est responsable si un système produit une erreur ?

Vis-à-vis des tiers, l’organisation. En interne, le propriétaire du système répond de son usage conforme aux conditions, et le référent IA du dispositif. C’est pourquoi aucun système n’est approuvé sans propriétaire.

Comment articuler le registre avec la charte des usages ?

La charte fixe ce que chacun a le droit de faire avec l’IA ; le registre et ses verdicts fixent qui valide quoi, sur quelle liste, avec quelles preuves. Les deux se renvoient l’un à l’autre : la charte mentionne l’obligation de déclarer, le dispositif s’appuie sur les règles de la charte pour définir les conditions standard.

Combien de temps prend la mise en place ?

Un premier registre qualifié en deux jours d’atelier avec les directions ; un dispositif complet, avec formulaire, verdicts, comité installé et premiers dossiers, en six semaines. Ensuite, une demi-journée par mois pour le référent IA et une heure par séance pour le comité.

8. Aller plus loin

Ce kit est le pendant opérationnel de notre modèle de charte IA : la charte fixe les règles, le registre et ses verdicts les font appliquer système par système. Pour la vue d’ensemble de vos obligations de déployeur, le calendrier jusqu’en 2028 et le programme de littératie IA exigé par l’article 4, voyez le kit IA Act du commanditaire. NextStart.AI installe aussi le dispositif complet avec vos directions, en six semaines, dans le cadre de la mission Gouverner vos agents, avec une porte d’entrée en deux jours d’inventaire et de qualification.

À lire aussi : Charte IA en entreprise : le modèle 2026 à télécharger, Réseau d’ambassadeurs IA : le kit 2026, Feuille de route d’adoption de l’IA en 12 mois : le kit 2026 et Grille de maturité IA : le kit 2026.

Toute la série des kits gratuits. Pour piloter l’adoption : modèle de charte IA, modèle de plan de formation IA, kit Ambassadeurs IA, kit du manager face à l’IA, kit Feuille de route d’adoption, grille de maturité IA, kit Mesure et ROI de l’IA, kit Cowork, kit Copilot Studio, kit Claude Skills et kit Vibe coding. Pour le commanditaire de projet IA : kit IA Act, kit RGPD, kit Sécurité et données, kit Shadow IA, kit IA et dialogue social, kit IA frugale, kit Souveraineté IA et kit IA responsable. Par métier : kit IA RH, kit IA marketing, kit IA finance, kit IA juristes, kit IA du commercial, kit IA du chef de projet, kit IA de l’innovateur et kit IA du communicant.

9. Sources

Les références réglementaires citées sur cette page s’appuient sur les sources suivantes.

• Union européenne, Règlement (UE) 2024/1689 du Parlement européen et du Conseil du 13 juin 2024 établissant des règles harmonisées concernant l’intelligence artificielle (articles 4, 5, 6, 26, 50 et annexe III), 2024.
• Union européenne, Règlement (UE) 2026/1744 (omnibus IA) modifiant le règlement (UE) 2024/1689, adopté le 8 juillet et publié le 24 juillet 2026, en vigueur depuis le 27 juillet 2026 (article 4 reformulé, report du haut risque).
• Commission européenne, Guidelines on prohibited artificial intelligence (AI) practices, as defined by the AI Act, 4 février 2025.
• Commission européenne, Guidelines on the AI system definition, 6 février 2025.
• Commission européenne, AI Literacy, Questions & Answers (article 4 de l’AI Act), mise à jour du 27 juillet 2026.
• Union européenne, Règlement (UE) 2016/679 du 27 avril 2016 (règlement général sur la protection des données), 2016.
• CNIL, L’analyse d’impact relative à la protection des données (AIPD).
• CNIL, Analyse d’impact relative à la protection des données : publication d’une liste des traitements pour lesquels une analyse est requise, 6 novembre 2018.