Faut-il un registre des usages de l'IA ?

Ce n'est pas une obligation légale en tant que telle. Un registre interne aide à savoir qui utilise quel outil, pour quoi et avec quelles données. Le registre des traitements prévu par le RGPD est une obligation distincte, qui vaut quelle que soit la taille de l'organisme.

Qui peut valider un nouvel outil d'IA ?

Le dirigeant, après avis du référent du service concerné et de la personne qui gère l'informatique. Le validateur doit avoir lu les conditions de l'outil, notamment sur les données.

Combien de fois revoir la gouvernance ?

À chaque fois qu'un service ajoute un outil ou une tâche, et au moins une fois par an. La date de revue doit être écrite dans le registre.

Gouvernance de l'IA dans une PME : qui décide, qui valide

Une gouvernance de l'IA, dans une PME, répond à trois questions : qui décide d'utiliser un outil, qui vérifie qu'il peut être utilisé, et où l'on note ce qui est utilisé. Elle n'a pas besoin d'un comité permanent. Elle a besoin de noms, de rôles écrits et d'une liste à jour.

Les trois rôles

Le décideur : le dirigeant, ou une personne qu'il désigne par écrit. Il arrête la liste des outils autorisés et les critères d'arrêt des tests.
Le référent de service : une personne par service. Il propose les tâches, suit les tests et signale les incidents.
Le validateur technique : la personne qui gère l'informatique, ou le prestataire. Il vérifie les accès, les comptes et les conditions de conservation des données.

Quand une même personne cumule deux rôles, la règle doit l'écrire. Un référent qui valide ses propres propositions ne fait pas de contrôle.

Qui valide quoi

Décision	Qui propose	Qui valide	Qui est informé
Ajouter un outil d'IA	Référent du service	Décideur, après avis du validateur technique	Tous les référents
Donner accès à une nouvelle catégorie de données	Référent	Décideur et délégué à la protection des données s'il existe	Personnes concernées par la règle
Lancer une tâche nouvelle	Référent	Décideur	Équipe du service
Arrêter un usage	Tout salarié	Référent, puis décideur	Équipe

Le registre des usages, en trame

Un tableau suffit au départ. Il se tient à jour, et il est relu à chaque revue.

Service	Outil	Tâche	Catégories de données saisies	Référent	Date de la dernière revue
Commercial	Assistant de rédaction	Brouillons de relances	Nom du contact, société, aucune donnée de santé	Nom de la personne	JJ/MM/AAAA
Service client	Outil de réponses types	Tri des demandes	Demande et coordonnées minimales	Nom de la personne	JJ/MM/AAAA
Administration	Assistant de rédaction	Comptes rendus de réunion	Aucune donnée personnelle sensible	Nom de la personne	JJ/MM/AAAA

Ce registre interne ne remplace pas le registre des traitements du RGPD. La CNIL rappelle que cette obligation concerne tous les organismes, publics comme privés, quelle que soit leur taille. Les organismes de moins de 250 salariés ne doivent y inscrire que certains traitements, mais la CNIL recommande, en cas de doute, d'inscrire le traitement. La page RGPD et registre détaille ce point.

Une revue annuelle, écrite

Fixez une date de revue dans le registre. À cette date, le décideur vérifie trois choses :

les outils listés sont toujours ceux utilisés ;
les catégories de données correspondent à ce qui est réellement saisi ;
les mesures faites pendant les tests justifient toujours l'usage.

Si un outil n'est plus utilisé, il est retiré de la liste. Le retrait compte autant que l'ajout : il montre que la liste est vraie.

Les pièges de gouvernance

Une liste qui n'est jamais mise à jour. Elle devient fausse en quelques mois.
Des validations orales. Ce qui n'est pas écrit n'existe pas en cas de litige.
Un décideur qui ne lit pas les conditions des outils. La question des données se pose dès l'inscription.
Des outils gratuits ajoutés sans passer par le registre. Ils sont souvent les plus utilisés et les moins contrôlés.

Relier la gouvernance aux règles

La gouvernance décide qui fait quoi. Les règles disent comment on le fait. Le texte de référence pour les salariés est présenté dans la page sur les règles d'usage. Pour les tâches à confier, la page inventaire des tâches aide à repérer celles qui méritent un référent.

En pratique cette semaine

Nommez un décideur, un référent par service et un validateur technique. Créez le tableau de registre avec les outils déjà utilisés, même ceux que personne n'a validés. Puis fixez la date de la première revue. Ce tableau d'une page vaut mieux qu'un document de vingt pages que personne ne relit.