Le registre de vos cas d'usage IA : ce qu'aucun texte n'impose, et ce que la loi exige déjà

Rédaction Safily. Sources vérifiées le 12 août 2026.

On vous dira qu'il faut tenir un registre de vos cas d'usage d'IA. C'est un bon conseil, mais ce n'est pas une obligation. L'obligation, elle, existe ailleurs, elle est plus ancienne, et elle vous concerne probablement déjà.

L'essentiel

1. Aucun texte n'impose un registre des cas d'usage IA à une entreprise qui se contente d'utiliser des systèmes d'IA sans en opérer à haut risque.
2. Le registre des activités de traitement de l'article 30 du RGPD est obligatoire, quelle que soit la taille de l'organisme.
3. L'exemption des moins de 250 salariés ne joue quasiment jamais : trois exceptions la neutralisent, et un usage courant de l'IA en déclenche au moins une.
4. Dès que votre IA traite des données personnelles, ce traitement doit figurer dans ce registre.
5. Un inventaire de vos usages reste le premier travail utile : il vous dit lesquels relèvent de l'annexe III, et il constitue la trace de la démarche attendue par l'article 4.

Ce que le règlement sur l'IA n'exige pas de vous

Les obligations documentaires les plus lourdes pèsent sur le fournisseur d'un système à haut risque. Celles du déployeur, énumérées à l'article 26, portent sur l'usage conforme, la supervision humaine, la qualité des données d'entrée, la surveillance, la conservation des journaux, l'information des travailleurs et des personnes concernées. Aucune ne mentionne un registre des cas d'usage.

Elles ne s'appliqueront d'ailleurs qu'aux systèmes de l'annexe III, à partir du 2 décembre 2027.

Ce que le RGPD exige déjà

Le registre des activités de traitement est obligatoire pour tout organisme, public ou privé, qui traite des données personnelles. C'est l'article 30.

Les organismes de moins de 250 salariés bénéficient d'une exemption limitée. Ils doivent inscrire au registre trois catégories de traitements, et ces trois catégories vident l'exemption de sa portée.

Ce qui doit être inscrit malgré l'exemption	Exemple
Les traitements non occasionnels	Gestion de la paie, gestion des clients et des fournisseurs
Les traitements présentant un risque pour les droits des personnes	Géolocalisation, vidéosurveillance
Les traitements portant sur des données sensibles	Données de santé, données d'infraction

Un assistant qui rédige des courriers clients traite des données de manière non occasionnelle. Un outil qui aide à instruire un dossier de sinistre touche des données de santé. Un système qui trie des candidatures présente un risque pour les droits des personnes. Dans les trois cas, l'exemption ne joue pas.

Ce que le registre doit contenir

Pour un responsable de traitement, l'article 30 énumère huit éléments par traitement.

1. Le nom et les coordonnées du responsable et, le cas échéant, des responsables conjoints.
2. Les finalités du traitement.
3. Les catégories de personnes concernées.
4. Les catégories de données personnelles traitées.
5. Les catégories de destinataires et de sous-traitants.
6. Les transferts hors Union européenne et les garanties applicables.
7. Les délais prévus pour l'effacement des différentes catégories de données.
8. Une description générale des mesures de sécurité techniques et organisationnelles.

Le sixième point mérite l'attention de quiconque utilise un modèle d'IA : si l'inférence part chez un fournisseur établi hors de l'Union, c'est un transfert, et il doit figurer au registre avec ses garanties.

L'inventaire de vos usages, et à quoi il sert vraiment

Il ne remplace pas le registre RGPD et ne le complète pas formellement. Il sert trois choses, et c'est ce qui le rend utile malgré l'absence d'obligation.

Il vous dit ce qui relève de l'annexe III. Les huit domaines à haut risque sont limitatifs. Sans inventaire, vous ne savez pas si l'un de vos usages y tombe, et vous découvrirez la réponse au pire moment.

Il prépare l'échéance de décembre 2027 sans urgence. La conservation des journaux pendant au moins six mois, par exemple, se met en place avant d'être exigée, pas après.

Il constitue la trace de votre démarche. L'article 4 attend des mesures proportionnées à vos usages. Un inventaire est ce qui permet de dire lesquels, et donc de démontrer la proportion.

Les colonnes d'un inventaire qui sert

Colonne	Ce qu'elle établit
L'usage	Ce que le système fait, en une phrase de métier, pas de technique.
Qui s'en sert	Le service, le rôle, et le nombre de personnes.
Sur quelles données	Personnelles ou non, sensibles ou non, et d'où elles viennent.
Le niveau de risque retenu	Et la raison. Une case cochée sans motif ne vaut rien le jour où on la conteste.
Qui valide quoi	Le point où une décision humaine intervient, et qui la porte.
Le modèle appelé et où	Ce qui détermine s'il y a transfert hors Union européenne.
La date de la dernière revue	Un inventaire sans date ne dit pas s'il est encore vrai.

Annexe : sources et dates de vérification

Source	Ce qu'elle établit	Vérifiée le
CNIL, le registre des activités de traitement	Le caractère obligatoire du registre, l'exemption des moins de 250 salariés et les trois exceptions qui la neutralisent, les huit éléments à inscrire	12/08/2026
Commission européenne, article 26	Les obligations du déployeur d'un système à haut risque, qui ne comportent pas de registre des cas d'usage	12/08/2026
Commission européenne, annexe III	Le caractère limitatif des huit domaines à haut risque	12/08/2026
Commission européenne, chronologie d'application	L'échéance du 2 décembre 2027	12/08/2026

Questions fréquentes