Registre IA : le document que 8 entreprises sur 10 n'ont toujours pas ouvert
L'article 49 de l'AI Act impose aux déployeurs de systèmes d'IA à haut risque de s'enregistrer dans la base de données européenne avant leur mise en service. À moins de deux ans de l'échéance du 2 août 2026, la majorité des organisations n'a ni registre interne, ni inventaire, ni sponsor. Voici pourquoi ce retard coûte cher — et comment le rattraper.
Un document obligatoire, une échéance ferme, un vide organisé
Le règlement (UE) 2024/1689, dit AI Act, est entré en vigueur le 1er août 2024. Il prévoit une application échelonnée : interdictions dès février 2025, obligations pour les modèles d'IA à usage général (GPAI) et gouvernance à partir du 2 août 2025, systèmes à haut risque de l'Annexe III à partir du 2 août 2026, systèmes intégrés à des produits réglementés à partir du 2 août 2027.
Ce calendrier n'est pas un détail administratif. Il fixe une date butoir à laquelle chaque déployeur de système d'IA à haut risque devra pouvoir présenter un registre à jour. Pas un PowerPoint. Un registre.
L'article 49 ne parle pas de « bonnes pratiques », il parle d'obligation
L'article 49 de l'AI Act impose aux déployeurs de systèmes d'IA à haut risque de s'enregistrer dans la base de données européenne gérée par l'AI Office, avant mise en service. Ce registre public n'est que la partie émergée. En interne, l'article 30 impose de tenir un registre des logs, et l'article 26 précise les obligations du déployeur : surveillance humaine, conservation des logs, information des travailleurs.
Autrement dit : un registre externe (public, art. 49) et un registre interne (traçabilité, art. 26 et 30). Les deux sont contraignants. Aucun des deux n'est facultatif.
Pourquoi 8 entreprises sur 10 n'ont pas ouvert le leur
Le chiffre circule partout. Il mérite d'être manié avec prudence : aucune source primaire publique ne l'établit à ce jour de manière incontestable. Mais les causes du retard, elles, sont documentées et convergentes.
- Confusion avec le registre RGPD. Beaucoup de dirigeants pensent que le registre des traitements suffit. Il ne couvre ni les logs d'un système d'IA, ni les obligations de l'article 49.
- Méconnaissance de l'article 49. Le texte est technique, l'échéance paraît lointaine, la sanction n'est pas encore tombée.
- Absence de sponsor. Le registre IA n'appartient ni au DPO, ni au RSSI, ni au CDO. Résultat : il n'appartient à personne.
- Complexité d'inventaire. Recenser les systèmes d'IA réellement en production, y compris les usages shadow AI, est un travail de terrain.
- Attente des normes harmonisées. Le CEN-CENELEC JTC 21 (mandat M/593) doit préciser le contenu type. Beaucoup préfèrent attendre.
Attendre est un mauvais calcul. Les normes harmonisées préciseront le format, pas l'obligation. L'obligation, elle, est déjà écrite.
Le registre IA n'est pas un document de conformité, c'est un actif de pilotage
Un registre bien tenu répond à trois questions que tout dirigeant devrait se poser chaque trimestre : quels systèmes d'IA tournent dans mon organisation, qui en est responsable, et quel risque est associé à chacun.
C'est exactement la logique du NIST AI Risk Management Framework (AI RMF 1.0, janvier 2023), référence volontaire la plus utilisée pour la gouvernance IA. C'est aussi la logique de l'ISO/IEC 42001:2023, première norme internationale de système de management de l'IA, qui exige explicitement un inventaire des systèmes d'IA. Et c'est la logique de l'ISO/IEC 23894:2023 sur le management du risque IA.
Trois référentiels, une même conclusion : pas de gouvernance IA sans registre.
Ce que les éditeurs proposent — et ce qu'ils ne remplacent pas
Le marché s'est structuré. SAP intègre des capacités de gouvernance IA dans SAP AI Core et SAP BTP. Microsoft propose Purview AI Hub pour l'inventaire et la cartographie des risques. Google Cloud propose Vertex AI Model Registry. IBM propose watsonx.governance. ServiceNow propose une AI Control Tower. Credo AI, Holistic AI et OneTrust proposent des registres dédiés à l'AI Act.
Ces outils sont utiles. Aucun ne remplace la décision de gouvernance. Un registre alimenté par un outil sans propriétaire nommé devient un registre fantôme : déclaratif, non maintenu, juridiquement dangereux.
- Article 49 : enregistrement obligatoire des systèmes d'IA à haut risque dans la base européenne avant mise en service.
- Articles 26 et 30 : registre interne, logs, surveillance humaine.
- Échéance clé : 2 août 2026 pour les systèmes Annexe III.
- Trois référentiels à articuler : AI Act, ISO/IEC 42001, NIST AI RMF.
- Un registre sans propriétaire nommé est un registre mort.
La convergence des registres : AI Act, RGPD, DORA
Depuis le 17 janvier 2025, DORA (règlement UE 2022/2554) impose aux acteurs financiers un registre des prestataires TIC. La logique est identique à celle de l'AI Act : inventaire, traçabilité, responsabilité.
En France, la CNIL pousse à articuler registre IA et registre des traitements RGPD, via ses recommandations et sa sandbox IA. Le message est clair : un méta-inventaire des systèmes numériques et des risques devient la norme, pas l'exception.
Ce que dit le rapport Draghi — et ce qu'il ne dit pas
Le rapport Draghi sur la compétitivité européenne, publié le 9 septembre 2024, identifie l'IA comme levier clé et pointe la charge de conformité réglementaire pour les PME européennes. Le registre IA tombe précisément dans cette tension : obligatoire, mais coûteux à structurer pour une organisation qui n'a ni DPO à temps plein, ni équipe data.
La réponse n'est pas de contourner. Elle est d'industrialiser : outils SaaS légers, modèles de registre, articulation avec les référentiels existants.
Ce qui va se passer en 2025-2026
Trois dynamiques vont accélérer la mise en conformité.
- La pression des auditeurs. Le registre IA devient une pièce attendue dans les due diligences et les audits internes.
- La pression des assureurs. Les couvertures cyber et RC commencent à intégrer des questions sur la gouvernance IA.
- L'émergence d'un rôle dédié. AI Governance Officer, responsable registre IA : ces intitulés apparaissent dans les grandes organisations.
Le GPAI Code of Practice, publié par la Commission européenne en juillet 2025, ajoute une couche : les fournisseurs de modèles à usage général devront documenter leurs pratiques. Leurs clients déployeurs devront, eux, tracer l'usage qu'ils en font.
Comment ouvrir un registre IA en 90 jours
Trois étapes, dans cet ordre.
- Inventorier. Recenser tous les systèmes d'IA en production, y compris les usages non déclarés. Croiser avec les achats, les DSI, les métiers.
- Classer. Pour chaque système, déterminer s'il relève de l'Annexe III (haut risque), de l'Annexe I (produit réglementé), ou d'un usage à risque limité. La classification conditionne les obligations.
- Nommer. Un propriétaire par système, un propriétaire du registre, une fréquence de revue. Sans cela, le registre meurt en trois mois.
Le reste — outillage, automatisation, intégration aux référentiels ISO et NIST — vient après. L'ordre inverse est une erreur classique.
Ce que risque une entreprise sans registre
L'article 99 de l'AI Act prévoit des sanctions qui peuvent atteindre des montants significatifs selon la nature du manquement. Le détail exact doit être vérifié dans le texte consolidé. Mais le vrai risque n'est pas seulement financier.
Le risque, c'est de découvrir en audit qu'un système d'IA à haut risque tourne depuis dix-huit mois sans surveillance humaine documentée. À ce moment-là, le registre n'est plus un document de conformité. C'est une pièce à conviction.
« Le registre IA n'est pas un projet juridique. C'est un projet de direction générale. »
— Position Ï-NAYA, argumentée à partir des obligations des articles 26, 30 et 49 du règlement (UE) 2024/1689.
Notre position
Attendre les normes harmonisées CEN-CENELEC JTC 21 pour ouvrir un registre est une erreur de dirigeant. Les normes préciseront le format. Elles ne supprimeront pas l'obligation. Chaque mois passé sans inventaire est un mois de dette de conformité qui se transformera en urgence en 2026.
La bonne approche est simple : ouvrir un registre maintenant, avec les moyens du bord, et l'améliorer au fil des normes. Un registre imparfait mais vivant vaut mieux qu'un registre parfait qui n'existe pas.
Retour aux articles