DPO et gouvernance de l'IA : intégrer l'inventaire des systèmes d'IA à votre registre RGPD

Les entreprises découvrent leurs usages d'IA au pire moment : quand un client pose la question dans un questionnaire fournisseur, quand la CNIL contrôle, ou quand un incident survient. Entre les outils déployés officiellement, les fonctionnalités IA activées par les éditeurs dans les logiciels existants et le shadow AI des équipes, la réalité des traitements a changé plus vite que la documentation de conformité. Le DPO est le mieux placé pour reprendre la main, et il dispose déjà de l'outil pour le faire : le registre des traitements. Voici comment articuler inventaire des systèmes d'IA et registre RGPD, sans créer une usine à gaz documentaire.

Pourquoi le DPO devient le pivot de la gouvernance de l'IA

L'AI Act n'a pas créé de « délégué à l'IA » obligatoire. Dans la plupart des organisations, la gouvernance de l'IA atterrit donc naturellement sur le DPO, pour trois raisons solides. D'abord, la matière se recoupe : la quasi-totalité des systèmes d'IA déployés en entreprise traitent des données personnelles (données clients, RH, prospects), donc relèvent déjà du RGPD et de son périmètre. Ensuite, la méthode est la même : cartographier, qualifier les rôles, analyser les risques, documenter, contrôler. Enfin, les calendriers convergent : les obligations de l'AI Act montent en puissance (transparence au 2 août 2026, haut risque de l'annexe III reporté au 2 décembre 2027 par le Digital Omnibus) pendant que la CNIL intègre l'IA à sa doctrine et à ses contrôles via ses recommandations successives sur le développement et le déploiement des systèmes d'IA.

Ce rôle élargi doit toutefois être organisé : le DPO conseille et contrôle, il ne décide pas des projets IA à leur place. La gouvernance efficace associe le DPO, la DSI, les métiers et la direction, avec des rôles écrits. C'est le même équilibre que pour ses missions RGPD classiques, appliqué à un objet nouveau.

L'inventaire des systèmes d'IA : la première brique, et la plus urgente

Impossible de gouverner ce qu'on ne voit pas. L'inventaire des systèmes d'IA recense tout ce qui, dans l'organisation, relève de l'IA au sens large : les outils dédiés (assistants génératifs, outils de transcription, scoring), les fonctionnalités IA intégrées aux logiciels métiers existants (CRM, RH, support client, bureautique), les développements internes, et les usages non encadrés des équipes, le fameux shadow AI, qui représente souvent la part la plus importante et la plus risquée.

Pour chaque système, l'inventaire documente : la finalité d'usage, les données traitées (personnelles ou non), le fournisseur et le modèle sous-jacent, les utilisateurs concernés, le rôle de l'entreprise au sens de l'AI Act (déployeur dans l'immense majorité des cas, fournisseur si elle développe ou commercialise), et une première qualification du niveau de risque au regard des annexes du règlement. Trois sources alimentent ce recensement : une campagne déclarative auprès des métiers, une revue des contrats et abonnements logiciels (les éditeurs activent des fonctions IA par simples mises à jour de leurs conditions), et les outils de la DSI qui tracent les applications utilisées.

Point de vigilance : l'inventaire n'est pas un projet ponctuel mais un processus. Les fonctionnalités IA apparaissent désormais au fil des mises à jour des logiciels que vous utilisez déjà. Sans procédure d'entrée (tout nouvel outil ou toute nouvelle fonctionnalité IA passe par un point de validation), l'inventaire est obsolète en trois mois.

L'articuler au registre de l'article 30 : un socle, deux lectures

Le registre des traitements de l'article 30 du RGPD documente les traitements de données personnelles : finalités, catégories de données et de personnes, destinataires, transferts, durées, mesures de sécurité. L'inventaire IA et le registre ne sont pas deux mondes : dès qu'un système d'IA traite des données personnelles, il correspond à un ou plusieurs traitements qui doivent figurer au registre. La bonne architecture documentaire évite la double saisie :

• Dans le registre, chaque traitement impliquant de l'IA est identifié comme tel, avec la mention du système utilisé. Un traitement existant dont l'outil s'enrichit d'une fonction IA est mis à jour : la fiche de traitement « gestion du support client » change de contenu quand l'éditeur y active un assistant génératif (nouveau sous-traitant éventuel, nouvelles données, nouveaux risques) ;
• Dans l'inventaire IA, chaque système renvoie aux fiches de traitement concernées, et porte les informations propres à l'AI Act qui n'ont pas leur place dans le registre : qualification du rôle et du niveau de risque, obligations de transparence applicables, mesures de maîtrise de l'IA, documentation fournisseur collectée.

Ce chaînage croisé transforme le registre en véritable outil de gouvernance : une seule cartographie cohérente, lisible par la CNIL côté RGPD et prête pour les obligations de l'AI Act côté systèmes.

Qualifier les rôles : responsable de traitement, déployeur, et les combinaisons

Chaque système inventorié appelle une double qualification. Côté RGPD : responsable de traitement ou sous-traitant, avec les conséquences contractuelles habituelles (article 28, transferts). Côté AI Act : fournisseur ou déployeur du système. Les combinaisons ne sont pas toujours intuitives : une entreprise qui utilise un assistant génératif du marché est déployeur AI Act et responsable de traitement RGPD pour les données qu'elle y soumet ; un éditeur SaaS qui intègre un modèle tiers dans son produit peut être à la fois déployeur vis-à-vis du modèle et fournisseur vis-à-vis de ses clients selon la configuration. Cette qualification détermine qui doit produire quelle documentation, qui informe qui, et qui porte quelles obligations : c'est le cœur du travail juridique de la cartographie, et le point où un accompagnement en droit de l'intelligence artificielle sécurise l'ensemble de l'édifice.

Du recensement à l'analyse : AIPD et risques spécifiques à l'IA

L'inventaire débouche sur l'analyse. Côté RGPD, les critères classiques de déclenchement d'une analyse d'impact (AIPD) sont fréquemment réunis par les systèmes d'IA : traitement à grande échelle, évaluation ou notation de personnes, croisement de données, usage innovant de technologies. Les risques propres à l'IA s'ajoutent à la grille habituelle : réutilisation des données soumises pour l'entraînement des modèles (à verrouiller contractuellement), exactitude des sorties et risque d'hallucination dans les processus de décision, transparence vis-à-vis des personnes, et durées de conservation des journaux de requêtes.

Côté AI Act, la qualification du niveau de risque pilote les obligations : les systèmes de l'annexe III (recrutement, scoring, évaluation) bénéficient du report au 2 décembre 2027 pour leurs obligations complètes, mais les obligations de transparence de l'article 50 s'appliquent dès le 2 août 2026 et l'obligation de maîtrise de l'IA de l'article 4 est en vigueur depuis février 2025. Le détail de ce calendrier révisé est traité dans mon article sur ce que le Digital Omnibus change au 2 août 2026.

La feuille de route du DPO en cinq chantiers

1. Lancer l'inventaire IA : campagne métiers, revue des contrats éditeurs, détection DSI. Objectif : une première photographie complète, shadow AI compris ;
2. Mettre à jour le registre : identifier les traitements impactés par l'IA, créer ou réviser les fiches, établir les renvois croisés avec l'inventaire ;
3. Qualifier et prioriser : rôles RGPD et AI Act, niveaux de risque, AIPD à mener, clauses contractuelles à obtenir des fournisseurs (non-réutilisation des données, localisation, sous-traitance) ;
4. Encadrer les usages : une charte IA d'entreprise fixant les outils autorisés, les données interdites et les règles de validation humaine, adossée aux actions de formation de l'article 4 ;
5. Installer le processus permanent : point de passage obligatoire pour tout nouvel outil ou fonctionnalité IA, revue périodique de l'inventaire, indicateurs remontés à la direction.

Ce que ça change en cas de contrôle ou de question client

Cette architecture documentaire produit ses effets bien au-delà de la conformité formelle. Face à la CNIL, elle démontre la maîtrise : un registre à jour intégrant les usages d'IA, des AIPD menées sur les systèmes sensibles et une charte diffusée constituent exactement le faisceau de preuves de responsabilité (accountability) attendu. Face aux clients, elle accélère les cycles commerciaux : les questionnaires fournisseurs intègrent désormais systématiquement un volet IA, et l'entreprise capable de répondre en 48 heures avec des documents à jour se distingue de celle qui découvre le sujet. Face aux équipes enfin, elle remplace l'interdiction intenable par un cadre praticable : les usages sont connus, autorisés ou proscrits pour des raisons explicables.

Le DPO qui structure cette gouvernance maintenant, pendant que le calendrier de l'AI Act laisse du temps sur le haut risque, transforme une vague réglementaire en avantage organisationnel. Si vous voulez cadrer votre inventaire IA, mettre votre registre à niveau ou définir la gouvernance entre DPO, DSI et métiers, vous pouvez échanger sur votre situation directement avec moi, l'accompagnement DPO et conseil DPO couvrant précisément ce chantier.