Tenir le registre des usages de l’IA

Ce que contient le registre des usages de l’IA

• Un onglet « Mode d’emploi » : objet du registre, règles de renseignement, traitement des données et rythme de revue.
• Un onglet « Registre » de deux cents lignes, à raison d’une ligne par usage.
• Les colonnes : fonction, tâche, outil, finalité, lieu de traitement, responsable désigné par sa fonction, date d’inscription, prochaine revue.
• Des listes déroulantes : offre grand public, professionnelle ou interne ; données personnelles et sensibles, oui ou non ; niveau N1, N2 ou N3.
• Une alerte calculée : données personnelles dans un outil grand public, données sensibles avec autorisation de la CNDP à examiner, revue échue.
• Enfin, des cellules blanches à saisir et des cellules grisées calculées.

Quand tenir le registre

Le registre accompagne chaque nouvel usage de l’IA dans l’organisation, à inscrire sur une ligne dédiée. Il sert ensuite à chaque revue, au plus tard douze mois après la précédente. Par ailleurs, il éclaire les formalités prévues par la loi n° 09-08, notamment lorsque des données sensibles entrent en jeu. Il s’adresse aux organisations qui recensent leurs usages de l’IA et en organisent la gouvernance.

Mode d’emploi

D’abord, chaque usage reçoit une ligne du registre des usages de l’IA : fonction, tâche, outil, type d’offre et finalité. Ensuite, les listes déroulantes qualifient les données traitées, personnelles ou sensibles, puis le lieu de traitement se renseigne. Le niveau de vérification et le responsable, désigné par sa fonction, complètent alors la ligne. Enfin, la date de prochaine revue se fixe au plus tard douze mois après la précédente, et les alertes se lisent.

Résultat attendu

Le registre des usages de l’IA fournit un inventaire à jour des usages et une liste des points à examiner. Chaque alerte renvoie ainsi à un examen précis : outil grand public, autorisation de la CNDP ou revue échue.

Fiche signalétique

Limites

Le registre désigne les personnes par leur fonction ; il ne contient aucune donnée personnelle de clients, d’usagers ou de salariés. En outre, l’alerte relative aux données sensibles signale un examen à conduire, sans trancher la formalité applicable. Outil d’aide à la gestion, à adapter à l’organisation et à la réglementation applicable.

Pour aller plus loin : Systèmes d’Information & Transformation Numérique ; Loi n° 09-08 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel.