Gouvernance des systèmes d’IA : le kit 2026 (registre, formulaire et grille AI Act)

Temps de lecture : 8 minutes. Public : référents IA, DSI, directions juridiques et conformité, DPO et directions de la transformation qui doivent savoir quelles IA tournent dans l’organisation et qui a validé quoi. Kit Word gratuit à télécharger ci-dessous.

La scène se répète dans toutes les grandes organisations. Un agent Copilot créé par un chargé de clientèle, un GPT personnalisé partagé dans une direction, une fonction d’IA activée par un fournisseur dans le CRM, un pilote lancé par la R&D : chacun de ces systèmes engage la responsabilité de l’organisation, et la plupart n’ont jamais été déclarés. Quand la question arrive, de la direction générale, d’un auditeur ou du régulateur, la réponse honnête est souvent « on ne sait pas exactement ».

Cette page explique ce qu’un registre des systèmes d’IA doit contenir, comment qualifier chaque système au regard du règlement européen, comment décider sans créer de goulot d’étranglement, et comment faire vivre le dispositif avec un comité léger. Elle s’accompagne d’un kit complet, au format Word, avec le registre, le formulaire, les grilles et le dossier type prêts à l’emploi.

1. Pourquoi un registre, et pourquoi maintenant

Le registre est la pièce sans laquelle rien d’autre ne tient. On ne qualifie pas ce qu’on ne connaît pas, on ne forme pas les utilisateurs d’un système qu’on ignore, on ne produit pas de preuve d’audit sur un parc non recensé. Le règlement européen sur l’intelligence artificielle en fait, de fait, une obligation pour toute organisation qui utilise des IA : ne pas recourir aux pratiques interdites suppose de savoir ce qu’on utilise, respecter les obligations du haut risque suppose d’avoir identifié les systèmes concernés, et former les utilisateurs au titre de l’article 4 suppose de savoir qui utilise quoi.

La deuxième raison est le rythme. Avec les agents, chaque collaborateur formé peut créer en une heure un système qui accède à des documents, prend des décisions préparatoires et sert à toute une équipe. Les organisations qui comptaient quelques projets d’IA en 2024 en comptent des centaines en 2026, la plupart nés en dehors de tout processus. Un dispositif de gouvernance qui met des semaines à répondre est contourné ; un dispositif qui n’existe pas laisse l’organisation découvrir son parc le jour d’un incident.

La troisième raison est que le registre est un outil de déploiement autant qu’un outil de conformité. Il révèle les cas d’usage qui marchent et qu’on pourrait généraliser, les doublons entre directions, les agents orphelins dont le créateur a changé de poste, et il alimente directement le plan de formation.

2. Ce qui entre au registre, et comment le retrouver

Un « système d’IA » au sens du registre est tout logiciel, service ou agent qui produit des contenus, des recommandations ou des décisions à partir d’un modèle, qu’il soit acheté, embarqué dans un logiciel fournisseur, configuré par un métier ou développé en interne. Cinq familles couvrent l’essentiel :

Famille	Exemples	Où les trouver
Assistants généralistes	Copilot, ChatGPT, Claude, Gemini, Mistral, IA interne	Contrats et licences, DSI
Agents et assistants créés par les métiers	Agents Copilot Studio ou Agent Builder, GPT personnalisés, projets Claude, Gems, espaces Dust	Consoles d’administration des outils
IA embarquée dans les logiciels	Fonctions d’IA du CRM, de la suite RH, du support client, des outils de sécurité	Revue des contrats fournisseurs avec les achats
Développements internes ou prestataires	Modèles et applications en production ou en pilote	Portefeuille de projets, data, R&D
Automatisations qui appellent un modèle	Flux Power Automate, Zapier, n8n, scripts	Entretiens par direction, ambassadeurs IA

Le registre lui-même tient en quinze colonnes : identifiant, nom, type, direction et propriétaire, finalité, utilisateurs, données traitées, fournisseur et modèle, sources et connecteurs, décision automatique ou non, niveau AI Act, verdict, conditions, statut, dates. Il vit dans une liste SharePoint, une base Notion ou, pour démarrer, un classeur partagé, avec trois règles : un seul registre pour toute l’organisation, un propriétaire du registre nommément désigné, et des colonnes verrouillées. Le kit fournit le modèle avec une ligne d’exemple remplie, et la méthode en trois sources pour retrouver ce que personne n’a déclaré : consoles d’administration, entretiens par direction, contrats fournisseurs.

3. Les quatre niveaux de l’AI Act, traduits en questions

Le règlement distingue quatre situations, qui ne s’excluent pas. La grille du kit les traduit en un arbre de décision en quatre questions, à partir des réponses du formulaire de déclaration.

Niveau	Question à se poser	Ce que cela implique pour vous
Pratiques interdites (article 5)	Le système sert-il à reconnaître les émotions au travail, à noter socialement des personnes, à manipuler ou exploiter des vulnérabilités, à constituer des bases de reconnaissance faciale par collecte non ciblée ?	Arrêt immédiat et saisine du juridique. Rare en entreprise, mais à écarter explicitement.
Haut risque (article 6, annexe III)	Le système prend-il, prépare-t-il ou influence-t-il une décision concernant des personnes en matière d’emploi, d’accès au crédit ou aux services essentiels, d’éducation, de biométrie ?	Analyse juridique, usage conforme à la notice du fournisseur, superviseurs formés, journaux conservés, information des salariés et des personnes concernées.
Transparence (article 50)	Des personnes dialoguent-elles avec le système ou reçoivent-elles des contenus générés (chatbot, images ou voix réalistes, textes publiés sans relecture) ?	Informer les personnes, signaler les contenus générés. S’ajoute aux autres niveaux.
Risque minimal	Aucune des réponses précédentes : rédaction, synthèse, traduction, code, agents internes relus par un humain.	La grande majorité du registre. Règles internes (charte, RGPD, confidentialité) et formation des utilisateurs.

Deux pièges reviennent dans presque toutes les organisations. Un système « minimal » chez le fournisseur peut devenir « haut risque » chez vous par son usage : un assistant généraliste utilisé pour trier des candidatures change de niveau, parce que la qualification porte sur l’usage, pas sur le produit. Et le RGPD ne disparaît pas derrière l’AI Act : toute IA qui traite des données personnelles passe par le DPO, avec une analyse d’impact si le traitement est à risque élevé.

4. Trois verdicts, et l’auto-approbation qui évite le goulot d’étranglement

La qualification réglementaire dit ce que la loi exige. Le verdict dit ce que l’organisation décide. Trois verdicts suffisent : approuvé, approuvé sous conditions, à revoir. Ce qui fait la différence entre un dispositif qui tient et un dispositif contourné, c’est la règle d’auto-approbation : un système à risque minimal, sur un outil déjà référencé, sans données confidentielles ni personnelles au-delà des coordonnées professionnelles, connecté à des sources que ses utilisateurs ont déjà, doté d’un propriétaire et d’utilisateurs formés, avec relecture humaine avant tout effet externe, est approuvé par le référent IA en quelques jours, sans passer en comité.

Dans la pratique, sept à huit systèmes sur dix remplissent ces critères. Le comité se concentre sur le reste, et les conditions qu’il attache aux verdicts sont tirées d’une liste courte de conditions standard (relecture humaine, périmètre de données, périmètre des connecteurs, information des personnes, formation attestée, information des représentants du personnel, journalisation, revue anticipée), référencées par un code dans le registre. Le kit détaille les critères et les huit conditions types.

5. Le comité IA : léger, régulier, tracé

Le comité IA décide des verdicts qui ne relèvent pas de l’auto-approbation, arbitre les conditions, revoit le registre chaque trimestre et fait évoluer les critères à mesure que l’organisation gagne en maturité. Il ne pilote pas les projets et ne remplace pas les instances existantes : il les mobilise. Sa composition tient en une ligne : un sponsor de la direction générale, le référent IA qui prépare les dossiers, la DSI ou la sécurité, le juridique ou la conformité et le DPO, deux ou trois représentants des directions qui déploient le plus.

Une heure par mois au démarrage, puis toutes les six semaines, avec un ordre du jour invariable en cinq points : registre, dossiers à décider, revues arrivées à échéance, incidents et signaux, ajustements du dispositif. Chaque décision alimente le dossier du système concerné, qui constitue la preuve d’audit : fiche d’identité, qualification, décision et conditions, preuves de mise en œuvre, suivi. C’est la revue trimestrielle du registre avec chaque propriétaire, plus que le comité, qui garde le dispositif vivant : les systèmes inutilisés depuis six mois en sortent.

6. Ce que contient le kit

Le kit est un document Word de 15 pages, modifiable, dont chaque partie se copie indépendamment dans vos outils. Il contient, dans l’ordre : le mode d’emploi et les trois façons de l’utiliser ; le registre des systèmes d’IA, avec ce qui doit y figurer, les quinze colonnes commentées et exemplifiées, où le tenir et comment retrouver les IA non déclarées ; le formulaire de déclaration en dix questions, avec la raison de chaque question ; la grille de qualification par niveau de risque, avec les pratiques interdites, les domaines de l’annexe III, les obligations de transparence, le risque minimal et l’arbre de décision ; les trois verdicts, les critères d’auto-approbation et les huit conditions standard ; le dossier type par système en sept rubriques ; le comité IA, avec son mandat, sa composition, son ordre du jour et ses indicateurs ; et trois annexes : auto-évaluation du dispositif en douze points, questions fréquentes, ressources pour aller plus loin.

7. Questions fréquentes

Faut-il déclarer les usages individuels d’un assistant généraliste ?

Non. L’assistant généraliste est déclaré une fois, au niveau de l’organisation, avec ses règles d’usage dans la charte. Ce qui se déclare individuellement, ce sont les agents, espaces et automatisations que les métiers créent et partagent, parce qu’ils ont une finalité, des sources et des utilisateurs propres.

Faut-il une plateforme de gouvernance de l’IA ?

Pas pour démarrer. Le dispositif du kit tient dans SharePoint, Notion ou un classeur partagé et suffit à la plupart des organisations. Une plateforme dédiée devient utile quand le parc dépasse plusieurs centaines de systèmes, quand plusieurs entités doivent consolider leurs registres ou quand vos obligations d’audit exigent une piste automatisée. Le registre du kit se migre alors sans perte.

Que faire d’un agent créé par un salarié et déjà utilisé par son équipe ?

Le déclarer, le qualifier, et dans la grande majorité des cas l’approuver, souvent sous conditions. L’objectif n’est pas d’arrêter ce qui marche, c’est de savoir que cela existe et de fixer les règles. Un dispositif perçu comme une police des usages est contourné en quelques semaines.

Qui est responsable si un système produit une erreur ?

Vis-à-vis des tiers, l’organisation. En interne, le propriétaire du système répond de son usage conforme aux conditions, et le référent IA du dispositif. C’est pourquoi aucun système n’est approuvé sans propriétaire.

Comment articuler le registre avec la charte des usages ?

La charte fixe ce que chacun a le droit de faire avec l’IA ; le registre et ses verdicts fixent qui valide quoi, sur quelle liste, avec quelles preuves. Les deux se renvoient l’un à l’autre : la charte mentionne l’obligation de déclarer, le dispositif s’appuie sur les règles de la charte pour définir les conditions standard.

Combien de temps prend la mise en place ?

Un premier registre qualifié en deux jours d’atelier avec les directions ; un dispositif complet, avec formulaire, verdicts, comité installé et premiers dossiers, en six semaines. Ensuite, une demi-journée par mois pour le référent IA et une heure par séance pour le comité.

8. Aller plus loin

Ce kit est le pendant opérationnel de notre modèle de charte IA : la charte fixe les règles, le registre et ses verdicts les font appliquer système par système. NextStart.AI installe aussi le dispositif complet avec vos directions, en six semaines, dans le cadre de la mission Gouverner vos IA et vos agents, avec une porte d’entrée en deux jours d’inventaire et de qualification.

À lire aussi : Charte IA en entreprise : le modèle 2026 à télécharger, Réseau d’ambassadeurs IA : le kit 2026, Feuille de route d’adoption de l’IA en 12 mois : le kit 2026 et Grille de maturité IA : le kit 2026.