Registre de preuve IA Act : guide pratique et modèle
Une dirigeante de PME reçoit une demande d'un client important : « Pouvez-vous prouver que les personnes qui utilisent l'IA dans votre entreprise sont correctement formées ? » Elle ouvre alors son dossier de conformité et trouve une charte générale, quelques certificats de formation et des échanges dispersés dans sa messagerie. Rien ne relie clairement un outil, un usage, une personne formée, un risque et une date.
C'est précisément le problème auquel répond un registre de preuve. Il ne s'agit pas de produire un document de plus, mais de conserver une trace datée et exploitable des mesures prises pour soutenir un niveau suffisant de maîtrise de l'IA. L'article 4 du règlement IA est applicable depuis le 2 février 2025 en France, et les entreprises doivent désormais pouvoir expliquer leur démarche de manière concrète, sans prétendre qu'un certificat isolé suffit.
Table des matières
- Pourquoi un dirigeant ou un DPO cherche aujourd'hui un registre de preuve
- Ce qu'est vraiment le registre de preuve selon l'article 4
- Pourquoi la preuve utile ne va pas de soi en France
- Les informations minimales d'un registre défendable
- Adapter le registre aux cas d'usage réels d'une PME
- Construire et maintenir le registre sur un cycle annuel
- Erreurs fréquentes qui annulent la valeur de la preuve
- Checklist de conformité et prochain pas concret
Pourquoi un dirigeant ou un DPO cherche aujourd'hui un registre de preuve
L'article 4 concerne les fournisseurs et les déployeurs de systèmes d'IA. En pratique, cela touche une PME dès lors que ses équipes utilisent un outil d'IA dans leur travail, que ce soit pour rédiger, analyser, produire des images, traiter des demandes ou assister une décision.
La question posée par un client, un auditeur ou un partenaire n'est pas forcément « avez-vous une politique IA ? ». Elle ressemble plutôt à ceci :
- Quels outils sont utilisés ?
- Qui les utilise réellement ?
- Quelle formation ces personnes ont-elles reçue ?
- Cette formation correspond-elle aux risques de leur activité ?
- Comment savez-vous qu'elle a bien été suivie et mise à jour ?
Un dirigeant peut avoir pris des mesures sérieuses sans être capable de les démontrer. Une réunion d'information n'a laissé aucune feuille de présence. Une collaboratrice a suivi une formation, mais le support n'a pas été conservé. Un nouvel outil a été adopté sans que le parcours de sensibilisation soit actualisé.
La preuve utile ne démontre pas seulement qu'une action a existé. Elle démontre pourquoi cette action était adaptée, qui elle concernait et quand elle a été réalisée.
Pour une Nadia, consultante conformité ou DPO externalisée, la difficulté est encore plus concrète. Elle doit structurer une preuve pour plusieurs clients, sans concevoir elle-même un système documentaire différent à chaque mission. Pour un Thomas, dirigeant ou responsable RH, le besoin est de savoir quoi conserver sans transformer la PME en service juridique.
Depuis l'application de l'article 4, la CNIL distingue les règles du règlement IA des exigences du RGPD. La formation et la traçabilité de l'alphabétisation IA ne remplacent donc pas la documentation RGPD, la gouvernance des usages ou l'analyse des bases légales.
Le bon point de départ consiste à passer d'une logique de certificat à une logique de chaîne de preuve. Vous allez identifier les usages, qualifier les risques, relier chaque population à une mesure adaptée, puis conserver les éléments datés qui permettent de reconstituer cette démarche.
Ce qu'est vraiment le registre de preuve selon l'article 4
L’article 4 impose aux fournisseurs et déployeurs de prendre des mesures pour soutenir un niveau suffisant de maîtrise de l'IA chez leur personnel et les personnes agissant pour leur compte. La Commission précise qu'aucun niveau « suffisant » chiffré n'est fixé par le texte, et que l'obligation s'applique depuis le 2 février 2025 dans sa foire aux questions sur l'alphabétisation IA.
Le texte ne prescrit pas un document appelé « registre de preuve ». Le registre est l'artefact de conformité qui permet de montrer que l'entreprise a observé ses usages, identifié les personnes concernées, organisé des mesures de formation et conservé des traces vérifiables.
La différence est importante. L'obligation porte sur la maîtrise de l'IA et les mesures prises. Le registre porte sur la démonstration de ces mesures. Il joue un rôle comparable à celui d'un tableau de bord de conformité : il rend visible la démarche, sans devenir l'obligation elle-même.
Une obligation adaptée au rôle et au contexte
Une personne qui utilise un générateur de texte pour préparer une première version d'un contenu n'est pas exposée de la même manière qu'un professionnel qui s'appuie sur une IA pour analyser un dossier client. Le niveau technique, l'expérience, la formation, le poste et le contexte d'usage doivent être pris en compte.
Le registre doit donc relier quatre éléments :
- La population concernée, salariés, prestataires ou autres personnes agissant pour l'entreprise.
- Le système ou l'outil utilisé, avec son cas d'usage.
- La mesure prise, formation, information, supervision ou rappel.
- La trace conservée, date, contenu, présence, validation et version du support.
Cette approche rejoint la logique de l'article 4 de l'AI Act expliquée par IATOLL, à condition de ne pas confondre une explication pédagogique avec une validation juridique individualisée. Pour vérifier les informations institutionnelles d'un partenaire ou d'un prestataire, la transparence légale de RacePlan peut aussi servir de point de comparaison documentaire, mais elle ne remplace pas vos propres pièces de conformité.
La proportionnalité reste le principe directeur
Une petite structure n'a pas besoin d'un dossier identique à celui d'un grand groupe. En revanche, sa documentation doit rester cohérente avec l'exposition réelle de ses usages. Un registre très détaillé pour un outil sans impact significatif peut être moins pertinent qu'un registre précis pour une IA utilisée dans une décision sensible.
Le document doit répondre à une question simple : pourquoi la mesure choisie était-elle suffisante au regard de l'usage concerné ?
Pourquoi la preuve utile ne va pas de soi en France
La Commission européenne ne fixe ni modèle public homogène, ni seuil minimal chiffré, ni format documentaire obligatoire pour démontrer l'alphabétisation IA. Le répertoire européen des pratiques d'alphabétisation IA montre toutefois que l'article 4 appelle des mesures concrètes et partageables, pas seulement une politique interne abstraite.
Cette absence de modèle explique les dossiers très différents que l'on rencontre sur le terrain. Certaines PME conservent une attestation individuelle. D'autres ajoutent une charte signée à un registre RH. D'autres encore sauvegardent uniquement les supports de formation. Ces documents peuvent être utiles, mais leur valeur dépend du lien qu'ils entretiennent avec les usages réels.
Trois familles de preuves
| Type de preuve | Exemple concret | Valeur probante |
|---|---|---|
| Preuve interne | Registre daté indiquant l'outil, l'usage, la population et la formation | Montre la démarche organisée et la chronologie |
| Attestation tierce | Certificat, feuille de présence ou compte rendu d'audit | Confirme qu'une action a été suivie ou vérifiée |
| Preuve d'usage | Charte appliquée, validation humaine, procédure ou trace de contrôle | Montre que les apprentissages ont été intégrés dans la pratique |
Aucune de ces familles ne suffit toujours seule. Une attestation prouve une participation, mais pas nécessairement l'adaptation de la formation au poste. Une charte décrit une règle, mais pas son application. Une trace d'usage peut montrer une supervision, sans préciser la formation reçue par la personne concernée.
La preuve utile naît de leur articulation. Le registre interne fait le lien entre l'inventaire et les personnes. L'attestation confirme l'action. La preuve d'usage montre que l'organisation ne s'est pas limitée à publier une intention.
Un PDF non signé, sans date claire et sans version du support, aura une portée limitée. À l'inverse, une ligne reliée à une session identifiée, une liste de présence, un contenu conservé et une règle d'usage appliquée permet à un auditeur de reconstruire la démarche.
Les informations minimales d'un registre défendable
Un registre défendable ne consiste pas à empiler des fichiers. Il relie quatre familles d'information : l'inventaire, le risque, la mesure et la trace datée. Cette logique correspond aux éléments généralement retenus pour documenter une formation, notamment les personnes formées, la date, la durée, le contenu, l'assiduité et la validation, comme l'explique ce guide consacré à la documentation de l'alphabétisation IA.
Les quatre familles à relier
| Famille | Exemple de champ | Critère probant |
|---|---|---|
| Inventaire | Outil, cas d'usage, poste, population exposée | L'outil et les personnes sont identifiés sans ambiguïté |
| Qualification du risque | Impact possible, fréquence d'usage, supervision humaine | Le niveau de prudence est justifié par le contexte |
| Mesure | Contenu, durée, format, langue, évaluation | La formation correspond au rôle et au système utilisé |
| Trace datée | Horodatage, présence, signature, support versionné | L'action peut être vérifiée et replacée dans le temps |
L'inventaire doit inclure les salariés, mais aussi les sous-traitants ou autres personnes agissant pour le compte de l'entreprise lorsqu'ils utilisent l'IA dans le cadre de la mission. Un outil gratuit testé ponctuellement ne doit pas disparaître de la cartographie simplement parce qu'il n'a pas été acheté par la PME.
La qualification du risque peut rester qualitative. Demandez-vous si l'outil traite des données confidentielles, influence une décision, produit un contenu destiné à un tiers ou intervient dans un secteur réglementé. Le registre doit conserver le raisonnement qui justifie la mesure, pas seulement une étiquette comme « faible » ou « élevé ».
La trace doit pouvoir être reconstruite
Une preuve solide contient une date de réalisation, la durée de la session, le contenu abordé, le support utilisé et une preuve de présence ou de validation. L'identifiant de session et la version du support renforcent la cohérence du dossier.
Il faut aussi distinguer :
- La formation initiale, liée à l'arrivée dans un usage ou un poste.
- Le rappel, destiné à maintenir les réflexes dans le temps.
- La mise à jour, déclenchée par un changement d'outil, de fonctionnalité ou de risque.
Pour approfondir le lien entre choix d'un outil et gouvernance des données, consultez ce guide sur la vérification du respect du RGPD par un outil IA. Le registre de preuve IA ne remplace pas cette analyse. Il conserve la trace de la maîtrise attendue chez les utilisateurs.
Adapter le registre aux cas d'usage réels d'une PME
La taille de l'entreprise ne détermine pas la granularité de la preuve. Deux PME de même effectif peuvent avoir des obligations documentaires très différentes si l'une utilise l'IA pour préparer des publications et l'autre pour assister des recommandations adressées à des clients.
En marketing, l'enjeu porte sur la diffusion
Une équipe marketing peut employer ChatGPT pour préparer des textes et un générateur d'images pour concevoir des visuels. Le registre ne devrait pas se limiter à la ligne « équipe marketing formée ».
Il doit préciser les outils concernés, les règles de confidentialité, la vérification des droits sur les contenus, les modalités de relecture humaine et les limites liées aux images trompeuses ou manipulées. La charte validée peut être jointe, mais le dossier gagne en valeur si l'entreprise conserve aussi la preuve que les personnes savent appliquer cette charte avant publication.
En conseil, le corpus traité change la mesure
Dans un cabinet de conseil ou d'expertise comptable, l'IA peut assister l'analyse de documents internes et la rédaction de notes. La formation doit alors traiter la séparation des environnements, l'interdiction d'envoyer des données clients non anonymisées et la vérification des réponses générées.
Le registre indique qui a été formé à ces règles, sur quel outil, avec quel support et selon quelle procédure de contrôle. La traçabilité des instructions données à l'outil peut être pertinente lorsqu'elle permet de comprendre comment une information confidentielle a été protégée ou comment une réponse a été vérifiée.
Dans une profession réglementée, la supervision devient centrale
En santé, en droit ou en finance, une recommandation assistée par IA peut avoir des conséquences importantes pour un tiers. La preuve utile doit donc documenter la supervision humaine effective, la conservation du raisonnement suivi et, lorsque le contexte l'exige, l'information du client sur l'intervention partielle d'un système.
Le registre précise les rôles : qui valide, qui forme, qui contrôle et quand la preuve doit être renouvelée. Plus l'usage influence une décision opposable à un tiers, plus la trace doit être fine et datée. Une ligne générique dans un tableur ne suffira pas à démontrer ce niveau de maîtrise.
Construire et maintenir le registre sur un cycle annuel
Un registre de preuve perd rapidement sa valeur s'il est créé une fois, puis abandonné. Les outils changent, les collaborateurs arrivent et partent, les cas d'usage s'étendent et les règles internes doivent suivre ces évolutions.
Un rythme de travail sur douze mois
Le cycle peut être organisé en quatre temps :
- Premier trimestre, cartographier. Chaque service recense ses outils, ses usages et les personnes exposées. L'entreprise désigne aussi la personne responsable de la tenue du registre, souvent le DPO ou un référent interne.
- Deuxième trimestre, former et collecter. Les parcours sont déployés. Les attestations, présences, supports et validations sont versés dans un espace partagé versionné, plutôt que conservés dans une messagerie personnelle.
- Troisième trimestre, tester. Un audit interne sélectionne plusieurs lignes du registre et tente de reconstituer la chaîne complète, de l'usage à la preuve de formation.
- Quatrième trimestre, corriger et archiver. Les écarts sont traités, la cartographie est mise à jour et les rappels sont programmés.
L'audit interne ne cherche pas à produire une nouvelle pile documentaire. Il vérifie si une personne extérieure pourrait comprendre ce qui s'est passé, avec quelles mesures et à quelles dates.
Trois règles de maintenance
L'horodatage doit être systématique à l'écriture. La signature numérique ou la preuve de présence doit rester associée à la session concernée. Enfin, une révision doit intervenir après un incident, une fuite, une erreur d'usage ou une réclamation client.
Le guide de gouvernance IA d'IATOLL complète cette approche en reliant les usages, les responsabilités et les règles internes. Le registre reste un journal de bord, pas un livrable figé. Sa force tient à la continuité et à la capacité de montrer que l'organisation corrige ses écarts.
Erreurs fréquentes qui annulent la valeur de la preuve
Certaines pratiques donnent une impression de conformité, mais résistent mal à un examen précis. Le problème n'est pas toujours l'absence d'action. C'est souvent l'absence de lien entre l'action, l'usage et la chronologie.
Un certificat ponctuel ne prouve pas une maîtrise continue
Un certificat confirme qu'une personne a suivi une formation. Il ne montre pas que le contenu correspondait à l'outil utilisé, que l'usage a changé depuis la session ou qu'un rappel a été organisé.
Pour rester défendable, le registre doit associer le certificat à la population, au cas d'usage, au support et aux mises à jour pertinentes. La question n'est pas de dévaloriser l'attestation. Elle consiste à lui donner la place correcte dans la chaîne de preuve.
Une charte seule décrit une intention
Une charte IA signée en début d'année fixe des règles. Elle ne démontre pas que les équipes les connaissent, les appliquent et savent réagir lorsqu'un nouvel outil apparaît.
Le dossier doit relier la charte à une action d'information, une preuve de réception, une session de formation et, si nécessaire, une vérification de mise en pratique. Sans cela, l'entreprise démontre surtout qu'elle a rédigé un document.
Le shadow IA concerne aussi les petites structures
Le shadow IA désigne l'utilisation d'outils d'IA non recensés ou non validés par l'organisation. Un salarié peut utiliser ChatGPT, Copilot ou un autre service depuis son poste sans que la direction en ait connaissance.
Ignorer cet usage crée un angle mort dans le registre. La PME doit organiser une remontée simple des outils utilisés, expliquer les limites applicables et intégrer les usages pertinents dans sa cartographie. Une politique générale ne compense pas une absence d'inventaire.
Un registre défendable raconte une chronologie : usage identifié, risque qualifié, mesure adaptée, preuve conservée et mise à jour suivie.
Checklist de conformité et prochain pas concret
Une checklist ne vaut que si chaque case renvoie à une ligne identifiable du registre. Pour éviter le document décoratif, associez à chaque exigence un livrable et une règle de mise à jour.
- Populations exposées. Conservez la liste des salariés, prestataires et autres personnes concernées, puis actualisez-la lors d'une arrivée, d'un départ ou d'un changement de mission.
- Usages et outils. Inscrivez chaque système d'IA, son objectif, son service utilisateur et les données manipulées. Révisez la ligne lorsqu'un outil ou un cas d'usage change.
- Risque contextualisé. Documentez les conséquences possibles, le niveau d'intervention humaine et la sensibilité du secteur. Réévaluez la ligne après un incident ou une nouvelle utilisation.
- Mesure d'alphabétisation. Joignez le contenu, le support, la durée, la modalité et le résultat de l'évaluation lorsqu'il existe. Conservez cette information avec la session concernée.
- Trace datée. Ajoutez la date, la présence, la signature, l'attestation et la version du support. Ne séparez pas la preuve de la ligne qu'elle justifie.
- Renouvellement. Distinguez la formation initiale, le rappel et la mise à jour liée à un nouvel outil. Programmez les échéances dans un calendrier partagé.
Choisir un niveau d'accompagnement
Une PME qui démarre peut construire son registre à partir d'un modèle interne, à condition de documenter ses choix et de conserver les pièces justificatives. Une relecture par un juriste permet ensuite de vérifier la cohérence entre les usages, les risques et les obligations applicables.
Lorsque plusieurs clients, outils ou secteurs sensibles sont concernés, une mission avec un DPO externalisé spécialisé en AI Act peut structurer la cartographie, les parcours, les contrôles et les mises à jour. IATOLL est une plateforme distribuée en marque blanche aux consultants conformité et DPO externalisés. Elle fournit des parcours d'apprentissage prêts à l'emploi et génère, pour chaque entreprise cliente, un registre de preuve personnalisé, tandis que le consultant conserve la validation juridique et l'intégration dans son accompagnement.
Cette checklist n'est pas un outil de conformité à elle seule. Elle devient utile lorsqu'elle est remplie, datée, reliée aux preuves conservées et intégrée au registre suivi dans le temps. Cet article fournit des repères généraux et ne constitue pas un conseil juridique individualisé. Faites valider votre dispositif par un professionnel qui connaît vos usages et votre secteur.
Pour structurer vos parcours d'alphabétisation IA et centraliser les preuves liées à l'article 4, découvrez IATOLL. Si vous êtes consultant conformité ou DPO externalisé, utilisez cette solution pour suivre les formations de vos clients sans concevoir chaque module séparément.
