Ressource gratuite · Kit Word

Kit Gouvernance des IA : registre, déclaration et grille AI Act

Quelles IA tournent chez vous, et qui a validé quoi ? Ce kit vous donne de quoi répondre : le registre prêt à remplir, le formulaire de déclaration, la grille de qualification AI Act et le comité IA, pour inventorier, qualifier et gouverner vos systèmes et agents IA dans vos outils collaboratifs, sans plateforme dédiée.

📄 Word, 24 pages🗂️ Registre en 29 colonnes🇪🇺 Grille de qualification AI Act🆓 Gratuit

Télécharger le kitVoir un extrait du kit

Conçu par Flavien Besset, fondateur de NextStart.AI · 4 850 professionnels formés · satisfaction 9,4/10

La scène se répète dans toutes les grandes organisations. Un agent Copilot créé par un chargé de clientèle, un GPT personnalisé partagé dans une direction, une fonction d’IA activée par un fournisseur dans le CRM, un pilote lancé par la R&D : chacun de ces systèmes engage la responsabilité de l’organisation, et la plupart n’ont jamais été déclarés. Quand la question arrive, de la direction générale, d’un auditeur ou du régulateur, la réponse honnête est souvent « on ne sait pas exactement ».

Cette page explique ce qu’un registre des systèmes d’IA doit contenir, comment qualifier chaque système au regard du règlement européen, comment décider sans créer de goulot d’étranglement, et comment faire vivre le dispositif avec un comité léger. Elle s’accompagne d’un kit complet, au format Word, avec le registre, le formulaire, les grilles et le dossier type prêts à l’emploi.

Aperçu du kit : à quoi ressemble votre registre

Avant de laisser votre email, voici ce que vous recevrez. Version 2, mise à jour le 26 octobre 2026 pour tenir compte de l’Omnibus IA et des agents qui agissent.

Registre des systèmes d’IA · 5 colonnes sur 29

ID	Système	Niveau AI Act	Verdict	Conditions
IA-2026-041	Agent de synthèse de réunions	Minimal	Approuvé	Aucune (auto-approbation)
IA-2026-042	Présélection de candidatures	Haut risque, annexe III	Sous conditions	C1 C5 C6 C7
IA-2026-043	Chatbot d’accueil du site	Transparence, art. 50	Sous conditions	C4
IA-2026-044	Analyse des émotions en visioconférence	Pratique interdite, art. 5	À revoir	Arrêt, saisine du juridique

🗂️ Le registre et le formulaire

Quinze colonnes de base et quatorze colonnes conformité pour le DPO (rôle AI Act, AIPD et analyse d’impact sur les droits fondamentaux, CSE, autonomie), commentées et illustrées d’exemples remplis. Le formulaire de déclaration en treize questions se remplit en dix minutes.

🇪🇺 La grille de qualification AI Act

Pratiques interdites, domaines de l’annexe III, transparence et risque minimal, un arbre de décision en quatre questions, puis trois verdicts, sept critères d’auto-approbation et dix conditions standard codées.

📄 Le dispositif complet, Word de 24 pages

Dossier type en huit rubriques, mandat et ordre du jour du comité IA, sept indicateurs, compte à rebours du 2 décembre 2027, correspondance ISO/IEC 42001 et NIST AI RMF, auto-évaluation en quatorze points et fiche système prête à remplir.

Recevoir le kit complet par email →

1. Pourquoi un registre, et pourquoi maintenant

Le registre est la pièce sans laquelle rien d’autre ne tient. On ne qualifie pas ce qu’on ne connaît pas, on ne forme pas les utilisateurs d’un système qu’on ignore, on ne produit pas de preuve d’audit sur un parc non recensé. Le règlement européen sur l’intelligence artificielle ne l’impose pas en tant que tel aux déployeurs, mais il le rend indispensable à toute organisation qui utilise des IA : ne pas recourir aux pratiques interdites suppose de savoir ce qu’on utilise, respecter les obligations du haut risque suppose d’avoir identifié les systèmes concernés, et former les utilisateurs au titre de l’article 4 suppose de savoir qui utilise quoi.

La deuxième raison est le rythme. Avec les agents, chaque collaborateur formé peut créer en une heure un système qui accède à des documents, prend des décisions préparatoires et sert à toute une équipe. Les organisations qui comptaient quelques projets d’IA en 2024 en comptent des centaines en 2026, la plupart nés en dehors de tout processus. Un dispositif de gouvernance qui met des semaines à répondre est contourné ; un dispositif qui n’existe pas laisse l’organisation découvrir son parc le jour d’un incident.

La troisième raison est que le registre est un outil de déploiement autant qu’un outil de conformité. Il révèle les cas d’usage qui marchent et qu’on pourrait généraliser, les doublons entre directions, les agents orphelins dont le créateur a changé de poste, et il alimente directement le plan de formation.

2. Ce qui entre au registre, et comment le retrouver

Un « système d’IA » au sens du registre est tout logiciel, service ou agent qui produit des contenus, des recommandations ou des décisions à partir d’un modèle, qu’il soit acheté, embarqué dans un logiciel fournisseur, configuré par un métier ou développé en interne. Six familles couvrent l’essentiel :

Famille	Exemples	Où les trouver
Assistants généralistes	Copilot, ChatGPT, Claude, Gemini, Mistral, IA interne	Contrats et licences, DSI
Agents et assistants créés par les métiers	Agents Copilot Studio ou Agent Builder, GPT personnalisés, projets Claude, Gems, espaces Dust	Consoles d’administration des outils
IA embarquée dans les logiciels	Fonctions d’IA du CRM, de la suite RH, du support client, des outils de sécurité	Revue des contrats fournisseurs avec les achats
Développements internes ou prestataires	Modèles et applications en production ou en pilote	Portefeuille de projets, data, R&D
Automatisations qui appellent un modèle	Flux Power Automate, Zapier, n8n, scripts	Entretiens par direction, ambassadeurs IA
Connecteurs et agents qui agissent	Connecteurs et serveurs MCP, Copilot Cowork, Claude Cowork, mode agent des suites bureautiques, navigateurs agentiques	Consoles d’administration, inventaire des agents, journaux du proxy

Le registre lui-même tient en quinze colonnes de base : identifiant, nom, type, direction et propriétaire, finalité, utilisateurs, données traitées, fournisseur et modèle, sources et connecteurs, décision automatique ou non, niveau AI Act, verdict, conditions, statut, dates. Quatorze colonnes conformité s’y ajoutent pour que le DPO et le responsable conformité puissent s’en servir sans retraitement : rôle AI Act, obligations du déployeur, registre RGPD, AIPD et analyse d’impact sur les droits fondamentaux, contrat et transferts, supervision humaine, journaux, information du CSE, incidents, formation et niveau d’autonomie. Il vit dans une liste SharePoint, une base Notion ou, pour démarrer, un classeur partagé, avec trois règles : un seul registre pour toute l’organisation, un propriétaire du registre nommément désigné, et des colonnes verrouillées. Le kit fournit le modèle avec une ligne d’exemple remplie, et la méthode en trois sources pour retrouver ce que personne n’a déclaré : consoles d’administration, entretiens par direction, contrats fournisseurs.

3. Les quatre niveaux de l’AI Act, traduits en questions

Le règlement distingue quatre situations, qui ne s’excluent pas. La grille du kit les traduit en un arbre de décision en quatre questions, à partir des réponses du formulaire de déclaration.

Niveau	Question à se poser	Ce que cela implique pour vous
Pratiques interdites (article 5)	Le système sert-il à reconnaître les émotions au travail, à noter socialement des personnes, à manipuler ou exploiter des vulnérabilités, à constituer des bases de reconnaissance faciale par collecte non ciblée, ou, à partir du 2 décembre 2026, à générer des contenus intimes non consentis ou pédocriminels ?	Arrêt immédiat et saisine du juridique. Rare en entreprise, mais à écarter explicitement.
Haut risque (article 6, annexe III)	Le système prend-il, prépare-t-il ou influence-t-il une décision concernant des personnes en matière d’emploi, d’accès au crédit ou aux services essentiels, d’éducation, de biométrie ?	Analyse juridique, usage conforme à la notice du fournisseur, superviseurs formés, journaux conservés, information des salariés et des personnes concernées.
Transparence (article 50)	Des personnes dialoguent-elles avec le système ou reçoivent-elles des contenus générés (chatbot, images ou voix réalistes, textes publiés sans relecture) ?	Informer les personnes, signaler les contenus générés. S’ajoute aux autres niveaux.
Risque minimal	Aucune des réponses précédentes : rédaction, synthèse, traduction, code, agents internes relus par un humain.	La grande majorité du registre. Règles internes (charte, RGPD, confidentialité) et formation des utilisateurs.

Trois pièges reviennent dans presque toutes les organisations. Un système « minimal » chez le fournisseur peut devenir « haut risque » chez vous par son usage : un assistant généraliste utilisé pour trier des candidatures change de niveau, parce que la qualification porte sur l’usage, pas sur le produit. Ensuite, le RGPD ne disparaît pas derrière l’AI Act : toute IA qui traite des données personnelles passe par le DPO, avec une analyse d’impact si le traitement est à risque élevé. Enfin, l’autonomie n’est pas une catégorie de l’AI Act : un agent qui envoie des emails à des clients sans relecture est « minimal » pour le règlement et très risqué pour l’organisation, c’est donc à votre dispositif de traiter ce risque.

4. Trois verdicts, et l’auto-approbation qui évite le goulot d’étranglement

La qualification réglementaire dit ce que la loi exige. Le verdict dit ce que l’organisation décide. Trois verdicts suffisent : approuvé, approuvé sous conditions, à revoir. Ce qui fait la différence entre un dispositif qui tient et un dispositif contourné, c’est la règle d’auto-approbation : un système à risque minimal, sur un outil déjà référencé, sans données confidentielles ni personnelles au-delà des coordonnées professionnelles, connecté à des sources que ses utilisateurs ont déjà, doté d’un propriétaire et d’utilisateurs formés, avec relecture humaine avant tout effet externe et sans action autonome à effet externe, est approuvé par le référent IA en quelques jours, sans passer en comité.

Dans la pratique, la plupart des systèmes déclarés remplissent ces critères. Le comité se concentre sur le reste, et les conditions qu’il attache aux verdicts sont tirées d’une liste courte de conditions standard (relecture humaine, périmètre de données, périmètre des connecteurs, information des personnes, formation attestée, information des représentants du personnel, journalisation, revue anticipée, autonomie encadrée, droits d’accès vérifiés avant un assistant connecté), référencées par un code dans le registre. Le kit détaille les sept critères et les dix conditions types.

5. Le comité IA : léger, régulier, tracé

Le comité IA décide des verdicts qui ne relèvent pas de l’auto-approbation, arbitre les conditions, revoit le registre chaque trimestre et fait évoluer les critères à mesure que l’organisation gagne en maturité. Il ne pilote pas les projets et ne remplace pas les instances existantes : il les mobilise. Sa composition tient en une ligne : un sponsor de la direction générale, le référent IA qui prépare les dossiers, la DSI ou la sécurité, le juridique ou la conformité et le DPO, deux ou trois représentants des directions qui déploient le plus.

Une heure par mois au démarrage, puis toutes les six semaines, avec un ordre du jour invariable en cinq points : registre, dossiers à décider, revues arrivées à échéance, incidents et signaux, ajustements du dispositif. Chaque décision alimente le dossier du système concerné, qui constitue la preuve d’audit : fiche d’identité, qualification, décision et conditions, preuves de mise en œuvre, suivi. C’est la revue trimestrielle du registre avec chaque propriétaire, plus que le comité, qui garde le dispositif vivant : les systèmes inutilisés depuis six mois en sortent.

Comité IA, comité de gouvernance de l’IA, comité de pilotage IA ou AI steering committee : les noms varient, l’instance est la même. Ce qui la distingue d’un comité de projet, c’est qu’elle décide de ce qui a le droit d’être utilisé, et dans quelles conditions. Quand personne en interne n’a le temps de préparer ses dossiers ni de tenir le registre, ce rôle peut être confié à l’extérieur pendant la mise en place : c’est l’objet de notre direction IA externalisée. Et pour que le sponsor porte le sujet avec conviction, une session d’acculturation du comité exécutif précède souvent la première réunion.

6. Les rôles : qui fait quoi dans la gouvernance de l’IA

Un dispositif de gouvernance tient à des personnes nommées, pas à un organigramme. Sept rôles suffisent dans la plupart des grandes organisations, et presque tous existent déjà : il s’agit surtout de leur attribuer explicitement leur part du travail.

Rôle	Ce qu’il fait	Qui le tient en général
Sponsor de la direction générale	Préside le comité IA, arbitre les priorités et les moyens, porte le sujet en comité de direction	Un membre du comité exécutif
Référent IA	Tient le registre, applique l’auto-approbation, anime le comité et les revues trimestrielles	Une personne de la transformation, de la DSI ou de la conformité, avec du temps dédié
Propriétaires de systèmes	Déclarent leurs agents et outils, appliquent les conditions fixées, répondent de leur usage	Les managers métier qui créent ou commanditent un système
DSI et sécurité	Valident l’outil, les connecteurs et l’accès aux données	RSSI, architecte, administrateur du tenant
DPO et juridique	Vérifient la base légale, les données personnelles et les obligations de l’AI Act	DPO, juriste conformité
RH et dialogue social	Préparent l’information ou la consultation du CSE, la formation et l’évolution des métiers	DRH, responsable formation (voir le kit IA et dialogue social)
Ambassadeurs IA	Diffusent les bonnes pratiques, remontent les usages et les besoins du terrain	Des volontaires formés dans chaque direction (voir le kit Ambassadeurs IA)

Quand le rôle de référent IA n’a pas encore de titulaire, il peut être tenu de l’extérieur le temps d’installer le dispositif et de former la personne qui le reprendra : c’est l’objet de notre mission Direction IA externalisée.

7. Les cadres de référence : AI Act, ISO/IEC 42001, NIST AI RMF

Trois textes structurent aujourd’hui la plupart des dispositifs de gouvernance de l’IA, et un quatrième en inspire l’esprit. Ils ne se concurrencent pas : l’AI Act fixe les obligations, les autres donnent une méthode pour les tenir dans la durée.

Cadre	Nature	Ce qu’il apporte
AI Act, règlement (UE) 2024/1689	Règlement européen, obligatoire pour les fournisseurs et les déployeurs de systèmes d’IA dans l’Union	Les niveaux de risque, les pratiques interdites, les obligations du déployeur et la maîtrise de l’IA (article 4)
ISO/IEC 42001:2023	Norme internationale de système de management de l’IA, volontaire et certifiable	Une organisation documentée sur le modèle de l’ISO/IEC 27001 : politique, rôles, évaluation des risques, amélioration continue
NIST AI Risk Management Framework (AI RMF 1.0, 2023)	Cadre américain volontaire, publié par le NIST	Quatre fonctions, Govern, Map, Measure et Manage, pour identifier et traiter les risques tout au long du cycle de vie
Principes de l’OCDE sur l’IA	Recommandation internationale, non contraignante	Les principes de fond (transparence, robustesse, responsabilité) repris par la plupart des cadres nationaux

Pour une grande organisation française, l’ordre de marche le plus simple consiste à partir des obligations de l’AI Act, à tenir le registre et le comité décrits sur cette page, puis à adosser le dispositif à l’ISO/IEC 42001 si une certification est attendue par des clients, des donneurs d’ordre ou un régulateur. Le kit IA Act du commanditaire détaille le calendrier des obligations.

8. Ce que contient le kit

Le kit est un document Word de 24 pages, modifiable, dont chaque partie se copie indépendamment dans vos outils. Il contient, dans l’ordre : le mode d’emploi et les trois façons de l’utiliser ; le registre des systèmes d’IA, avec ce qui doit y figurer, les quinze colonnes de base et les quatorze colonnes conformité commentées et exemplifiées, où le tenir et comment retrouver les IA non déclarées ; le formulaire de déclaration en treize questions, avec la raison de chaque question ; la grille de qualification par niveau de risque, avec les pratiques interdites, les domaines de l’annexe III, les obligations de transparence, le risque minimal et l’arbre de décision ; les trois verdicts, les sept critères d’auto-approbation et les dix conditions standard ; le dossier type par système en huit rubriques ; le comité IA, avec son mandat, sa composition, son ordre du jour et ses indicateurs ; le compte à rebours du 2 décembre 2027 ; la correspondance avec ISO/IEC 42001 et le NIST AI RMF ; et quatre annexes : auto-évaluation du dispositif en quatorze points, questions fréquentes, glossaire et ressources, fiche système prête à remplir.

Le kit, partie par partie : ce que chaque partie contient et à quoi elle sert. Les modèles à remplir sont dans le document Word.

Mode d’emploi

Trois façons d’utiliser ce kit

Démarrer un premier registre (parties 1, 2 et 3, deux jours d’atelier avec les directions), installer le dispositif complet (tout le kit, six semaines) ou auditer l’existant (annexe A, puis les parties où le score est faible, une demi-journée). Le kit s’organise en six briques : on recense, on collecte, on qualifie, on décide, on documente et on pilote.

Le calendrier du règlement européen, à jour du 26 octobre 2026

Depuis le 2 février 2025 s’appliquent les pratiques interdites (article 5) et la maîtrise de l’IA (article 4), réécrite par le règlement omnibus (UE) 2026/1744 : prendre des mesures pour favoriser les compétences du personnel, sans obligation de garantir un niveau donné, sous le contrôle des autorités nationales depuis le 2 août 2026 ; depuis le 2 août 2025, les obligations des fournisseurs de modèles d’IA à usage général ; depuis le 2 août 2026, la transparence (article 50) et les sanctions. Le 2 décembre 2026 ajoute deux interdictions (contenus intimes non consentis, contenus pédocriminels) et clôt le délai de marquage des systèmes génératifs déjà sur le marché. Le haut risque de l’annexe III suit le 2 décembre 2027, date reportée par l’omnibus IA, celui de l’annexe I le 2 août 2028, et les systèmes des autorités publiques déjà en service le 2 août 2030. Ce report n’est pas une raison d’attendre : le registre sert dès aujourd’hui.

Partie 1. Le registre des systèmes d’IA

1.1 Ce qui entre au registre

Tout logiciel, service ou agent qui produit des contenus, des recommandations ou des décisions à partir d’un modèle d’IA, dans six familles : assistants généralistes, agents et assistants créés par les métiers, IA embarquée dans les logiciels, développements internes ou prestataires, automatisations qui appellent un modèle, connecteurs et agents qui agissent. N’entrent pas les usages individuels d’un assistant déjà déclaré, les brouillons d’agents non partagés et les logiciels sans IA. En cas de doute, on déclare : une ligne de trop coûte moins cher qu’un système oublié. Copilot Chat et Microsoft 365 Copilot (souvent appelé « Copilot Premium ») font deux lignes distinctes, car le second accède aux emails, fichiers et réunions.

1.2 Les quinze colonnes de base

Chaque système est décrit en quinze colonnes, de l’identifiant unique (par exemple IA-2026-042) aux dates de déclaration, de décision et de prochaine revue, en passant par la finalité en une phrase avec un verbe, les données traitées, les sources et connecteurs, la décision automatique ou non, le niveau AI Act, le verdict, les conditions et le statut. Le kit donne pour chaque colonne le contenu attendu et un exemple rempli. Une section 1.5 ajoute quatorze colonnes conformité (16 à 29) pour le DPO et le responsable conformité, illustrées par un exemple rempli de présélection de candidatures qualifiée à haut risque.

1.3 Où le tenir

Une liste SharePoint, une base Notion ou un classeur Excel partagé suffisent, avec trois règles : un seul registre pour toute l’organisation, un propriétaire du registre nommément désigné, en général le référent IA, qui seul valide les colonnes 11 à 15, et des colonnes verrouillées par des listes de choix pour que le registre reste filtrable.

1.4 Retrouver les IA non déclarées : trois sources

Les consoles d’administration (Microsoft 365 et son inventaire des agents, OpenAI, Anthropic, Google) et les journaux du proxy ou de l’outil de sécurité du cloud pour les agents, les automatisations et le shadow IA, des entretiens de 30 minutes par direction pour les usages réels, et la revue avec les achats des contrats logiciels renouvelés depuis 2023 pour l’IA embarquée. Le premier recensement prend une à deux semaines ; un agent vu en console mais cité par personne est probablement orphelin.

Partie 2. Le formulaire de déclaration

Les treize questions du formulaire

Porte d’entrée unique du registre, le formulaire se remplit en dix minutes par le futur propriétaire, dans Microsoft Forms, SharePoint ou Notion. Ses treize questions couvrent le nom et le propriétaire, la finalité, l’outil, les utilisateurs, les données, les connexions, l’effet sur des personnes (détection du haut risque), la relecture humaine, le contact avec des personnes extérieures (article 50), la formation des utilisateurs, et trois questions que la plupart des formulaires oublient : la capacité du système à agir seul, un rôle possible de fournisseur au sens de l’AI Act, la date de mise en service et les salariés concernés pour anticiper la consultation du CSE.

Conseil de mise en place

Rendre le formulaire visible là où les agents se créent (charte, page d’accueil de l’outil, parcours de formation) et répondre vite : un accusé de réception le jour même et un verdict en moins de dix jours pour les cas simples font plus pour la déclaration spontanée que n’importe quelle obligation.

Partie 3. La grille de qualification AI Act

3.1 Pratiques interdites (article 5)

Neuf pratiques sont à écarter explicitement pour chaque système : manipulation subliminale ou trompeuse, exploitation des vulnérabilités, notation sociale, évaluation du risque d’infraction sur le seul profilage, collecte non ciblée d’images pour la reconnaissance faciale, reconnaissance des émotions de salariés ou d’élèves, déduction de caractéristiques sensibles à partir de données biométriques, et deux interdictions ajoutées par l’omnibus IA, applicables le 2 décembre 2026 : génération d’images, sons ou vidéos intimes d’une personne identifiable sans son consentement, et génération de contenus pédocriminels. Point d’attention fréquent : les fonctions d’analyse des émotions intégrées aux outils de visioconférence, de centre d’appels ou de RH. Une case cochée : arrêt immédiat et saisine du juridique.

3.2 Haut risque (article 6 et annexe III)

Un système est à haut risque lorsqu’il sert, dans un domaine de l’annexe III, à prendre, préparer ou influencer une décision concernant des personnes : emploi et gestion des travailleurs, accès aux services essentiels (crédit, assurance vie et santé), éducation, biométrie, infrastructures critiques, répression et justice. Les obligations s’appliquent le 2 décembre 2027 (annexe III) et le 2 août 2028 (annexe I). L’exception de l’article 6.3, notamment pour une tâche procédurale étroite ou préparatoire, ne joue jamais en cas de profilage : c’est le fournisseur qui l’invoque et la documente, le déployeur lui demande cette évaluation et la conserve.

Ce que le haut risque implique pour vous, déployeur (article 26)

Utiliser le système conformément à la notice du fournisseur, confier la supervision humaine à des personnes compétentes, formées et dotées de l’autorité nécessaire, surveiller le fonctionnement, suspendre l’usage en cas de risque et signaler les incidents graves, conserver les journaux au moins six mois, informer les représentants du personnel et les salariés avant toute mise en service sur le lieu de travail, informer les personnes faisant l’objet d’une décision, qui disposent d’un droit à explication (article 86), et réaliser les analyses d’impact requises. L’analyse d’impact sur les droits fondamentaux (article 27) concerne les organismes publics, les entités privées qui fournissent des services publics et les déployeurs de systèmes de crédit ou de tarification en assurance vie et santé.

3.3 Transparence (article 50)

Dire aux personnes qu’elles dialoguent avec une IA, signaler les hypertrucages (images, sons, vidéos réalistes), signaler les textes générés publiés pour informer le public sur des sujets d’intérêt général, sauf relecture humaine réelle avec responsabilité éditoriale et circuit documenté, et informer les personnes exposées à une reconnaissance des émotions ou une catégorisation biométrique autorisées. Selon les lignes directrices de la Commission du 20 juillet 2026, un agent qui agit pour le compte de quelqu’un doit aussi dire pour qui, et le marquage posé par l’éditeur de l’outil ne dispense pas le déployeur de sa propre mention. Un chatbot construit en interne, même avec Copilot Studio, fait en principe de l’organisation son fournisseur.

3.4 Risque minimal

Rédaction, synthèse, traduction, recherche documentaire, code, agents internes dont les résultats sont relus par un humain : c’est la grande majorité du registre. Pas d’obligation spécifique au titre de l’AI Act au-delà de la maîtrise de l’IA ; les règles internes (charte, RGPD, confidentialité, sécurité) s’appliquent. Minimal ne veut pas dire sans risque : un agent qui envoie des emails à des clients sans relecture reste minimal pour le règlement.

3.5 L’arbre de décision en quatre questions

Une pratique interdite est-elle cochée ? Le système influence-t-il une décision sur des personnes dans un domaine de l’annexe III ? Des personnes dialoguent-elles avec lui ou reçoivent-elles ses contenus ? Sinon, il est minimal et éligible à l’auto-approbation. Piège : modifier substantiellement un système ou le destiner à un usage à haut risque peut faire de vous un fournisseur au sens de l’article 25.

Partie 4. Les trois verdicts

Approuvé, approuvé sous conditions ou à revoir : la qualification dit ce que la loi exige, le verdict dit ce que l’organisation décide. Délai cible : moins de dix jours pour une approbation, le prochain comité pour un dossier à revoir.

4.1 Les critères d’auto-approbation

Le référent IA approuve sans comité un système qui remplit sept critères : niveau AI Act minimal, outil déjà référencé, aucune donnée confidentielle ni personnelle au-delà des coordonnées professionnelles, sources déjà accessibles à ses utilisateurs, un propriétaire nommé et des utilisateurs formés, relecture humaine avant tout effet externe, aucune action autonome à effet externe (le système propose, un humain exécute ou valide). La plupart des systèmes déclarés les remplissent.

4.2 Les dix conditions standard

Les conditions attachées à un verdict sont référencées par leur code dans le registre, chacune avec sa preuve attendue : C1 relecture humaine, C2 périmètre de données, C3 périmètre des connecteurs, C4 information des personnes, C5 formation attestée des utilisateurs, C6 information des représentants du personnel, C7 journalisation, C8 revue anticipée à trois mois au lieu de douze, C9 autonomie encadrée (actions limitées, validation humaine action par action, moyen d’arrêt immédiat), C10 droits d’accès vérifiés avant l’ouverture d’un assistant connecté.

Partie 5. Le dossier type par système

Chaque système non auto-approuvé ouvre un dossier en huit rubriques : fiche d’identité, qualification, décision, documentation fournisseur (dont déclaration UE de conformité et enregistrement pour le haut risque), preuves de mise en œuvre, suivi, revues, et conformité RGPD et sociale (registre des traitements, AIPD, analyse d’impact sur les droits fondamentaux, avis du CSE, document unique) ; les trois premières suffisent pour un système auto-approuvé. C’est la preuve d’audit : un tiers doit comprendre en dix minutes ce qu’est le système, pourquoi il a été autorisé et comment on s’en assure.

Quand rouvrir un dossier

Nouvelle source ou nouveau connecteur, nouvelle population d’utilisateurs, changement de finalité, changement de modèle ou de fournisseur, incident : le propriétaire redépose le formulaire et la qualification est refaite. Le reste du temps, la revue annuelle suffit.

Partie 6. Le comité IA

6.1 Mandat

Le comité décide des verdicts hors auto-approbation, arbitre les conditions, revoit le registre chaque trimestre et fait évoluer les critères. Il ne pilote pas les projets et ne remplace pas les instances existantes (comité sécurité, CSE, comité des risques) : il les mobilise.

6.2 Composition

Un sponsor de la direction générale qui préside, le référent IA qui tient le registre et anime, la DSI ou la sécurité, le juridique ou la conformité, le DPO, et deux ou trois représentants des directions qui déploient le plus. Les RH et un représentant du dialogue social sont invités dès qu’un dossier touche à l’emploi ou à la gestion des salariés.

6.3 Rythme et ordre du jour

Une heure par mois pendant les six premiers mois, puis toutes les six semaines, avec un ordre du jour invariable : registre, dossiers à décider (dix minutes maximum chacun), revues arrivées à échéance, incidents et signaux, ajustements du dispositif. Chaque décision est consignée dans un relevé d’une page.

6.4 Indicateurs

Sept indicateurs avec une cible indicative : systèmes au registre par statut et par niveau, part des auto-approbations (70 % ou plus), délai médian entre déclaration et verdict (moins de 10 jours), systèmes avec propriétaire et utilisateurs formés (100 %), systèmes découverts hors déclaration (en baisse), revues réalisées à échéance (90 % ou plus) et systèmes à haut risque dotés d’un plan de mise en conformité (100 % avant le 2 décembre 2026).

6.5 La revue trimestrielle du registre

Chaque trimestre, le référent IA envoie à chaque propriétaire la liste de ses systèmes avec trois questions : toujours utilisé ? toujours conforme à la déclaration ? toujours le bon propriétaire ? Les systèmes inutilisés depuis six mois passent au statut « retiré », ceux dont le propriétaire a quitté son poste sont réattribués ou suspendus.

Partie 7. Le compte à rebours du 2 décembre 2027

Pour chaque système qualifié à haut risque au titre de l’annexe III, douze mois de travail en cinq jalons : à J-12 mois, recenser, qualifier et nommer un propriétaire ; à J-9, obtenir du fournisseur sa notice, sa déclaration UE de conformité et son calendrier, puis décider de conserver, remplacer ou retirer ; à J-6, former les superviseurs, fixer la conservation des journaux, réaliser l’AIPD et, si besoin, l’analyse d’impact sur les droits fondamentaux ; à J-3, informer et consulter le CSE et préparer l’information des personnes ; à J-1, revue en comité. Un encadré prudent traite le cas des systèmes déjà en service (article 111).

Partie 8. Correspondance avec ISO/IEC 42001 et le NIST AI RMF

Un tableau indicatif relie chacune des six briques du kit aux exigences de l’ISO/IEC 42001:2023 et aux fonctions du NIST AI RMF 1.0, pour les organisations qui visent une certification ou s’alignent sur ce cadre.

Les annexes

Quatre annexes : l’auto-évaluation du dispositif en quatorze points, les questions fréquentes, un glossaire et des ressources, et une fiche système prête à remplir qui reprend les 29 colonnes du registre.

Annexe A. Auto-évaluation du dispositif en quatorze points

Quatorze critères notés 2 points pour oui, 1 pour partiel et 0 pour non, à remplir seul en vingt minutes ou en comité une fois par an. En dessous de 14 sur 28, on commence par les parties 1 et 4.

9. Questions fréquentes

Faut-il déclarer les usages individuels d’un assistant généraliste ?

Non. L’assistant généraliste est déclaré une fois, au niveau de l’organisation, avec ses règles d’usage dans la charte. Ce qui se déclare individuellement, ce sont les agents, espaces et automatisations que les métiers créent et partagent, parce qu’ils ont une finalité, des sources et des utilisateurs propres.

Faut-il une plateforme de gouvernance de l’IA ?

Pas pour démarrer. Le dispositif du kit tient dans SharePoint, Notion ou un classeur partagé et suffit à la plupart des organisations. Une plateforme dédiée devient utile quand le parc dépasse plusieurs centaines de systèmes, quand plusieurs entités doivent consolider leurs registres ou quand vos obligations d’audit exigent une piste automatisée. Le registre du kit se migre alors sans perte.

Que faire d’un agent créé par un salarié et déjà utilisé par son équipe ?

Le déclarer, le qualifier, et dans la grande majorité des cas l’approuver, souvent sous conditions. L’objectif n’est pas d’arrêter ce qui marche, c’est de savoir que cela existe et de fixer les règles. Un dispositif perçu comme une police des usages est contourné en quelques semaines.

Qui est responsable si un système produit une erreur ?

Vis-à-vis des tiers, l’organisation. En interne, le propriétaire du système répond de son usage conforme aux conditions, et le référent IA du dispositif. C’est pourquoi aucun système n’est approuvé sans propriétaire.

Comment articuler le registre avec la charte des usages ?

La charte fixe ce que chacun a le droit de faire avec l’IA ; le registre et ses verdicts fixent qui valide quoi, sur quelle liste, avec quelles preuves. Les deux se renvoient l’un à l’autre : la charte mentionne l’obligation de déclarer, le dispositif s’appuie sur les règles de la charte pour définir les conditions standard.

Combien de temps prend la mise en place ?

Un premier registre qualifié en deux jours d’atelier avec les directions ; un dispositif complet, avec formulaire, verdicts, comité installé et premiers dossiers, en six semaines. Ensuite, une demi-journée par mois pour le référent IA et une heure par séance pour le comité.

Qu’est-ce que la gouvernance de l’IA ?

C’est l’ensemble des règles, des rôles et des décisions qui encadrent l’usage de l’IA dans une organisation. Concrètement : une charte des usages, un registre des systèmes d’IA, une qualification de chacun au regard de l’AI Act, des verdicts rendus par un comité léger, des rôles nommés et quelques indicateurs revus chaque trimestre.

Faut-il une certification ISO/IEC 42001 ?

Non, la norme est volontaire. Elle devient utile quand des clients, des donneurs d’ordre ou un régulateur demandent une preuve formelle de votre système de management de l’IA. Le registre, les verdicts et le comité décrits sur cette page en constituent déjà le socle.

Qu’est-ce qu’un comité de gouvernance de l’IA ?

C’est l’instance qui décide quels systèmes d’IA et quels agents l’organisation a le droit d’utiliser, et à quelles conditions. Elle réunit un sponsor de la direction générale, le référent IA, la DSI ou la sécurité, le juridique et le DPO, et deux ou trois directions métiers. Elle se tient une heure par mois au démarrage, avec un ordre du jour fixe : registre, dossiers à décider, revues à échéance, incidents, ajustements.

Qui pilote la gouvernance de l’IA quand l’entreprise n’a pas de responsable IA ?

Le plus souvent, un référent IA nommé dans la transformation, la DSI ou la conformité, avec du temps dédié. Quand ce temps manque au démarrage, le pilotage peut être confié à un intervenant extérieur qui tient le registre, prépare le comité et forme le référent interne jusqu’à ce qu’il reprenne la main.

10. Aller plus loin

Ce kit est le pendant opérationnel de notre modèle de charte IA : la charte fixe les règles, le registre et ses verdicts les font appliquer système par système. Pour la vue d’ensemble de vos obligations de déployeur, le calendrier jusqu’en 2028 et le programme de littératie IA exigé par l’article 4, voyez le kit IA Act du commanditaire. NextStart.AI installe aussi le dispositif complet avec vos directions, en six semaines, dans le cadre de la mission Gouverner vos agents, avec une porte d’entrée en deux jours d’inventaire et de qualification.

À lire aussi : Charte IA en entreprise : le modèle 2026 à télécharger, Réseau d’ambassadeurs IA : le kit 2026, Feuille de route d’adoption de l’IA en 12 mois : le kit 2026 et Grille de maturité IA : le kit 2026.

Toute la série des kits gratuits. Pour piloter l’adoption : modèle de charte IA, modèle de plan de formation IA, kit Ambassadeurs IA, kit du manager face à l’IA, kit Temps gagné par l’IA, kit Feuille de route d’adoption, grille de maturité IA, kit Mesure et ROI de l’IA, kit Cowork, 50 prompts Copilot M365, kit Copilot Studio, kit Déployer Microsoft 365 Copilot, kit Copilot Chat, kit Copilot Excel, kit Copilot Teams et Outlook, kit Copilot Word et PowerPoint, kit Configurer Claude, kit Déployer Claude en entreprise, kit Agents Claude, kit Claude Skills, kit Plugins Claude, kit Claude Code, kit Claude Design et kit Vibe coding. Pour le commanditaire de projet IA : kit IA Act, kit RGPD, kit Sécurité et données, kit Shadow IA, kit IA et dialogue social, kit IA frugale, kit Souveraineté IA et kit IA responsable. Par métier : kit IA RH, kit IA marketing, kit IA finance, kit IA juristes, kit IA du commercial, kit IA du chef de projet, kit IA de l’innovateur, kit IA du communicant, kit IA Achats et kit IA Chercheurs.

11. Sources

Les références réglementaires citées sur cette page s’appuient sur les sources suivantes.

• Union européenne, Règlement (UE) 2024/1689 du Parlement européen et du Conseil du 13 juin 2024 établissant des règles harmonisées concernant l’intelligence artificielle (articles 4, 5, 6, 25, 26, 27, 50, 86, 111 et annexe III), 2024.
• Union européenne, Règlement (UE) 2026/1744 (omnibus IA) modifiant le règlement (UE) 2024/1689, adopté le 8 juillet et publié le 24 juillet 2026, en vigueur depuis le 27 juillet 2026 (article 4 reformulé, report du haut risque).
• Commission européenne, Guidelines on prohibited artificial intelligence (AI) practices, as defined by the AI Act, 4 février 2025.
• Commission européenne, Guidelines on the AI system definition, 6 février 2025.
• Commission européenne, AI Literacy, Questions & Answers (article 4 de l’AI Act), mise à jour du 27 juillet 2026.
• Union européenne, Règlement (UE) 2016/679 du 27 avril 2016 (règlement général sur la protection des données), 2016.
• CNIL, L’analyse d’impact relative à la protection des données (AIPD).
• CNIL, Analyse d’impact relative à la protection des données : publication d’une liste des traitements pour lesquels une analyse est requise, 6 novembre 2018.
• ISO, ISO/IEC 42001:2023, Technologies de l’information, Intelligence artificielle, Système de management.
• NIST, AI Risk Management Framework, version 1.0, janvier 2023.