Cartographie et registre des usages de l'IA : le guide complet (2026)

Temps de lecture : 12 min · Mis à jour : juillet 2026.

Quand une autorité de contrôle — CNIL, futur régulateur national de l'IA, ou un donneur d'ordre dans un appel d'offres — frappe à votre porte, la première question n'est pas « avez-vous une politique IA ? ». C'est : « montrez-moi la liste de tous les systèmes d'IA que vous utilisez. »

La plupart des organisations sont incapables de répondre. Non par mauvaise volonté, mais parce que l'IA s'est diffusée partout, souvent sans passer par la DSI : ChatGPT ouvert dans un onglet par le marketing, Copilot activé par défaut dans Microsoft 365, un module de scoring « intelligent » enfoui dans l'outil RH, un assistant de code utilisé par les développeurs, un chatbot branché sur la relation client. Les audits internes révèlent régulièrement deux à trois fois plus de systèmes d'IA que ce que la direction estimait.

Le registre des usages de l'IA — aussi appelé cartographie IA ou inventaire des systèmes d'IA — est la réponse à ce chaos. C'est le socle de toute gouvernance : sans inventaire, pas d'analyse de risque, pas de conformité AI Act, pas de sécurité, pas d'AIPD. Ce guide explique ce qu'est ce registre, pourquoi il est devenu obligatoire, quels champs il doit contenir, et surtout comment le construire et le maintenir sans y passer six mois.

> Définition. Le registre des usages de l'IA est l'inventaire structuré, tenu à jour et opposable de tous les systèmes d'intelligence artificielle utilisés ou développés par une organisation — qu'ils soient développés en interne, achetés à un fournisseur, ou embarqués dans un logiciel SaaS tiers. Il documente pour chaque système : sa finalité, son fournisseur, les données traitées, son niveau de risque au sens de l'AI Act, le responsable interne et les mesures de maîtrise.

Pourquoi le registre est devenu incontournable en 2026

L'AI Act en fait une obligation de fait

Le règlement européen sur l'intelligence artificielle (AI Act) ne contient pas un article unique intitulé « tenez un registre de tout ». Mais plusieurs obligations convergent pour le rendre indispensable :

• Article 50 (transparence), applicable le 2 août 2026. Toute organisation qui expose de l'IA à des personnes — chatbot, contenu généré, reconnaissance d'émotions, deepfakes — doit les informer. Impossible sans savoir où vous exposez de l'IA. La cartographie est le préalable.
• Articles 12 et 26 (systèmes à haut risque). Pour les systèmes de l'annexe III, la tenue de journaux et des obligations de traçabilité incombent au déployeur. L'applicabilité pour l'annexe III a été décalée au 2 décembre 2027 (accord Digital Omnibus), mais l'inventaire est ce qui vous permet de savoir si vous êtes concerné.
• Article 4 (littératie IA), applicable depuis le 2 février 2025. Vous devez garantir un niveau suffisant de maîtrise de l'IA de vos équipes. On ne forme pas sur des usages qu'on ne connaît pas.

Le RGPD l'exigeait déjà, indirectement

Dès qu'un système d'IA traite des données personnelles, il entre dans le champ du RGPD. Le registre des activités de traitement (article 30) doit alors le refléter, et une AIPD (article 35) peut être obligatoire. Le registre des usages IA et le registre RGPD sont deux documents distincts mais couplés.

C'est une exigence commerciale montante

Dans les appels d'offres, notamment grands comptes et secteur public, la question « décrivez votre gouvernance de l'IA » apparaît de plus en plus. Un registre à jour est un différenciateur commercial, pas seulement une contrainte.

Registre vs cadre de gouvernance : ne pas confondre

Beaucoup d'organisations confondent « avoir une politique IA » et « avoir un registre ». Deux étages différents :

• Le cadre de gouvernance définit qui décide quoi : rôles du RSSI, du DPO, de la DSI, comité IA, règles d'usage, processus de validation.
• Le registre est l'artefact vivant qui matérialise cette gouvernance : la liste réelle, à jour, de ce qui tourne dans l'entreprise.

Un cadre sans registre est une théorie ; un registre sans cadre est une liste morte.

Les 12 champs d'un registre robuste

Un registre trop pauvre ne sert à rien en audit ; trop lourd, personne ne le maintient. Voici le socle qui couvre l'AI Act, le RGPD et la sécurité :

1. Identifiant & nom — un ID stable + nom parlant.

2. Finalité / cas d'usage — à quoi il sert, pour quel métier.

3. Type & fournisseur — interne / SaaS / embarqué ; éditeur ; modèle sous-jacent.

4. Statut — en test, en production, désactivé.

5. Propriétaire métier & référent technique — qui répond de ce système.

6. Données traitées — catégories, présence de données personnelles ou sensibles.

7. Localisation & transferts — hébergement, transferts hors UE éventuels.

8. Classification AI Act — interdit / haut risque / risque limité (art. 50) / minimal.

9. Base RGPD & AIPD — traitement de données personnelles ? AIPD requise / réalisée ?

10. Risques identifiés & mesures — fuite, biais, hallucination, et contrôles.

11. Dates — mise en service, dernière revue, prochaine revue.

12. Preuves — liens vers contrats, DPA, documentation fournisseur, AIPD, logs.

Méthode en 6 étapes

1 — Cadrer le périmètre et nommer un pilote

Définissez ce qui compte comme « système d'IA » (l'AI Act en donne une définition large). Nommez un pilote (souvent DPO ou RSSI) et un sponsor de direction. Sans mandat clair, la cartographie s'enlise.

2 — Alimenter le registre par la découverte des usages

Le registre ne peut être fiable que si son alimentation est exhaustive. Trois sources se recoupent : le déclaratif (questionnaire aux directions métier), le technique (flux réseau, connexions SaaS, dépenses) et le contractuel (IA embarquée activée par défaut dans vos outils actuels). La partie « détection des usages invisibles » — le Shadow AI — est un sujet à part entière que nous traitons dans notre guide dédié à la détection du Shadow AI (et via notre Scan Shadow AI) : ici, retenez qu'elle est le feeder du registre, pas sa finalité. Une fois un usage détecté, il ne « disparaît » pas : il devient une ligne du registre, documentée et classée. C'est ce passage de la détection à l'inscription opposable qui distingue le registre d'un simple audit ponctuel.

3 — Documenter chaque système

Remplissez les 12 champs. Une ligne complétée à 70 % vaut mieux qu'une ligne parfaite jamais finie. Priorisez les systèmes en production et ceux traitant des données personnelles.

4 — Classer par niveau de risque AI Act

Pour chaque système, tranchez : pratique interdite (art. 5) ? haut risque (annexe III) ? risque limité soumis à transparence (art. 50) ? minimal ? En cas de doute sur le haut risque, documentez le raisonnement — c'est ce que l'auditeur voudra voir.

5 — Traiter les priorités et poser les mesures

Le registre déclenche l'action. Pratiques interdites → arrêt immédiat. Haut risque → plan de conformité. Risque limité → information art. 50 avant le 2 août 2026. Données sensibles → AIPD.

6 — Rendre le registre vivant

Un registre figé est périmé en trois mois. Revue trimestrielle, point d'entrée obligatoire pour tout nouvel outil (« pas de nouvel usage IA sans inscription au registre »), rattachement au comité IA. C'est là que l'outillage fait la différence : un tableur devient ingérable au-delà de quelques dizaines de systèmes.

Les 5 pièges qui font échouer une cartographie

1. Oublier l'IA embarquée. Le plus gros angle mort : les fonctions d'IA activées dans des SaaS que vous utilisez déjà (bureautique, CRM, RH, support).

2. S'arrêter au déclaratif. Sans recoupement technique et contractuel, vous ne voyez que la partie émergée.

3. Confondre registre et politique. Une charte IA ne remplace pas l'inventaire.

4. Faire un one-shot. Une cartographie non maintenue perd toute valeur probante.

5. Sur-outiller trop tôt / sous-outiller trop tard. Un tableur suffit à 10 systèmes ; il devient un risque en soi à 50.

Tableur ou plateforme : quand basculer ?

Un tableur est légitime pour amorcer. Ses limites apparaissent vite : pas d'historisation fiable, pas de rappels de revue, pas de gestion des droits, pas de liaison automatique avec le registre RGPD ou les AIPD, pas de tableau de bord, un risque d'erreur manuel élevé. Une plateforme dédiée comme SiyadAI industrialise la découverte des usages, structure le registre, automatise la classification AI Act, relie chaque système à ses AIPD et à ses preuves, et produit les tableaux de bord attendus par la direction et les auditeurs.

Conclusion : commencez par l'inventaire

On ne gouverne pas ce qu'on ne voit pas. Avant toute charte, tout comité, toute certification, il y a une seule première marche : savoir ce que l'on utilise. Le registre des usages de l'IA transforme une angoisse diffuse (« où est notre IA ? ») en un actif de conformité opposable et un levier de vente. Avec l'échéance de l'article 50 au 2 août 2026, le moment de le construire, c'est maintenant.

> Passez à l'action. SiyadAI cartographie automatiquement vos usages d'IA, construit votre registre opposable et le maintient à jour.

Sources : AI Act (Règlement UE 2024/1689), CNIL, ANSSI, EDPB, Commission européenne.