Registre des traitements IA : documentez vos usages en conformité RGPD

Votre registre RGPD date d'avant ChatGPT et ne cite aucun outil d'IA ? Le registre des traitements IA vient compléter l'existant : une fiche par usage, avec la finalité, la base légale, les catégories de données, les destinataires, les sous-traitants, les transferts éventuels hors de l'Union et les durées de conservation. Nous partons de ce que vos équipes utilisent vraiment, nous interrogeons les métiers et nous rédigeons les fiches avec votre DPO ou votre référent. Vous obtenez un registre à jour, lisible et prêt à être montré lors d'un contrôle ou d'un appel d'offres.

Beaucoup de registres n'ont pas bougé depuis leur première rédaction, alors que les usages ont changé : un collaborateur colle un contrat dans un assistant, le marketing génère des textes à partir de fichiers clients, les RH testent un outil de tri. Chaque usage qui touche des données personnelles est un traitement à documenter, et le registre des traitements IA est l'endroit où l'on retrouve ces informations. Les entreprises le demandent parce que leurs clients grands comptes, leurs assureurs et leurs appels d'offres posent désormais la question, et parce qu'une autorité comme la CNIL, l'APD en Belgique, la CNPD au Luxembourg ou le PFPDT en Suisse attend d'une organisation qu'elle sache dire ce qu'elle fait des données. Au quotidien, le registre devient un outil de pilotage : on voit quels fournisseurs reçoivent quelles données et pour quelle durée. Il ne s'agit ni d'une analyse d'impact, ni d'un audit de sécurité, ni d'un avis juridique : nous structurons l'information, vous la validez avec votre DPO. Le registre doit ensuite vivre, avec une règle simple de mise à jour à chaque nouvel outil.

• Les fiches s'insèrent dans votre registre existant, quel que soit son format, au lieu d'imposer un nouveau modèle.
• Chaque fiche nomme le sous-traitant et le lieu de traitement, ce que les questionnaires clients demandent en premier.
• Les traitements susceptibles de justifier une analyse d'impact sont repérés dès la rédaction.
• Les usages informels des équipes sont recueillis par entretien, pas déduits d'un inventaire informatique.
• Une règle de mise à jour simple évite que le registre soit périmé trois mois plus tard.

• Fiches de registre pour chaque traitement IA
• Tableau consolidé des sous-traitants et des transferts
• Liste des traitements à soumettre à une analyse d'impact
• Procédure de mise à jour du registre
• Séance de restitution avec le DPO

• Notre registre ne mentionne aucun outil d'IA alors que les équipes en utilisent
• Un client grand compte exige la liste de nos sous-traitants IA
• Nous ne savons plus quelles données partent chez quel fournisseur

Agence de communication de 30 personnes dont les rédacteurs utilisent plusieurs assistants : sept fiches de traitement sont créées, avec les fournisseurs et les durées, avant un appel d'offres exigeant.

Clinique de 90 salariés testant un outil de transcription : le registre est complété et un traitement est signalé pour analyse d'impact.

Réseau de franchises de 15 sites qui centralise son registre : un modèle commun est décliné pour les usages d'IA de chaque point de vente.

Public visé

DPO · Responsable juridique · Dirigeant de PME · DSI

Tailles d’entreprise

TPE · PME · ETI

Secteurs adaptés

Services aux entreprises · Santé · Commerce et distribution · Éducation · Collectivités

Prérequis

Accès à votre registre actuel, même incomplet · Un interlocuteur par service utilisateur d'outils d'IA · Liste des abonnements logiciels de l'entreprise

• Excel
• Notion
• SharePoint
• Airtable
• Power Automate
• Claude

Souvent, un registre à jour réduit de plusieurs heures le temps de réponse aux questionnaires clients et aux appels d'offres. L'économie dépend du nombre de demandes reçues par an, de l'ordre de quelques jours cumulés, à valider lors du diagnostic.