Registre de maîtrise de l'IA : la trace de l'article 4 de l'AI Act, modèle à copier
Article 4 de l'AI Act : pas de certificat, un registre interne suffit. Les colonnes à tenir par usage et un exemple pour 20 personnes, sur le texte de 2026.
Le registre de maîtrise de l'IA, en deux onglets de tableur
Un registre de maîtrise de l'IA est un document interne et daté qui dit, pour chaque usage de l'IA dans l'entreprise, qui l'utilise, ce qui peut mal tourner, ce qui a été fait pour que les personnes le sachent, et quand. C'est la trace que la Commission européenne évoque pour l'article 4 de l'AI Act : « There is no need for a certificate. Organisations can keep an internal record of trainings and/or other guiding initiatives » (FAQ de la Commission, mise à jour le 20 octobre 2026).
Le règlement n'impose aucun registre, aucun format, aucun certificat. Depuis l'omnibus numérique (règlement (UE) 2026/1744, publié au Journal officiel le 24 juillet 2026), l'article 4 demande de « prendre des mesures pour favoriser le développement de la maîtrise de l'IA » et précise que cette obligation « ne contraint pas » à garantir un niveau donné pour chaque personne. Le calendrier complet des obligations est dans notre guide de l'AI Act pour les PME.
Je range le registre par usage, pas par salarié : un tableau des usages (outil, risques, données interdites, mesure) et un journal des actions (date, contenu, participants, support) suffisent pour une PME. Les notes de quiz individuelles n'y ont pas leur place. Il se monte à partir de ce que disent les responsables d'équipe, puis se met à jour sur événement : nouvel outil, nouvel usage, nouvel arrivant, incident. Le modèle à copier et un exemple pour 20 personnes suivent.
Vérifiez ce que ce sujet change chez vous : 45 minutes, gratuit, sans engagement.
Réserver l'audit gratuit →Qu'est-ce que l'article 4 de l'AI Act demande, depuis juillet 2026 ?
L'article 4 de l'AI Act (règlement (UE) 2024/1689) est l'obligation de maîtrise de l'IA. Dans sa rédaction consolidée au 27 juillet 2026, publiée sur le service d'assistance de la Commission, il dit que les fournisseurs et les déployeurs de systèmes d'IA « prennent des mesures pour favoriser le développement de la maîtrise de l'IA par leur personnel et les autres personnes s'occupant du fonctionnement et de l'utilisation des systèmes d'IA pour leur compte ». Ces mesures tiennent compte des connaissances, de l'expérience et de la formation des personnes, du contexte d'usage et des personnes visées par le système.
Une PME qui utilise ChatGPT, Claude, Mistral ou un outil métier doté d'IA, sans le développer, est un déployeur. Elle est donc concernée, quelle que soit sa taille. Le texte ajoute que l'obligation « ne contraint pas les fournisseurs ou les déployeurs à garantir un niveau spécifique de maîtrise de l'IA par un individu », et que la Commission et les États membres doivent aider les PME, notamment en publiant des exemples pratiques.
Méfiez-vous de l'ancienne formule, qui demandait de « garantir » un niveau suffisant de maîtrise de l'IA : l'omnibus numérique l'a remplacée, mais elle circule encore dans des guides qui n'ont pas été mis à jour. Le registre décrit ici suit la rédaction actuelle : il montre des mesures prises, pas un niveau atteint.
Ce que la Commission dit de la preuve, mot pour mot
La FAQ de la Commission sur la maîtrise de l'IA est la source à citer pour la trace à garder. Le tableau reprend ses réponses et ce qu'elles changent pour le registre.
| Question | Réponse de la Commission | Ce que ça veut dire pour le registre |
|---|---|---|
| Faut-il un certificat ? | « There is no need for a certificate. » | Une attestation de formation peut figurer comme pièce, elle n'est pas exigée. |
| Quelle preuve garder ? | Un « internal record of trainings and/or other guiding initiatives ». | Les actions comptent toutes : session, consigne écrite, démonstration, rappel après incident. |
| Une formation est-elle obligatoire ? | « no strict requirements or mandatory trainings are imposed ». | Le registre n'a pas de nombre d'heures à atteindre. |
| Suffit-il de faire lire la notice ? | « simply relying on the AI systems' instructions for use or asking the staff to read them might be ineffective ». | « Notice envoyée par e-mail » ne suffit pas comme seule mesure. |
| Et si l'équipe utilise seulement ChatGPT pour rédiger des textes publicitaires ? | Elle doit être informée des risques propres, « for example hallucination ». | Chaque usage a sa colonne « ce qui peut mal tourner ». |
| Qui contrôle, et depuis quand ? | « Article 4 of the AI Act entered into application on 2 February 2025 » ; les autorités nationales de surveillance du marché contrôlent « as of 2 August 2026 », et les sanctions reposent sur les lois nationales. | Le registre doit pouvoir être montré sur demande, daté. |
| Copier les pratiques du dépôt de la Commission suffit-il ? | Cela « does not automatically grant presumption of compliance ». | Le registre décrit vos usages réels, pas un programme type. |
Les passages entre guillemets sont cités en anglais, comme dans la FAQ. Elle explique la position de la Commission sans avoir de valeur juridique : seul le règlement fait foi. Sur les sanctions, elle renvoie aux lois nationales et ne donne aucun montant pour l'article 4.
Le modèle de registre à copier
Le modèle tient en deux onglets d'un tableur. Le premier décrit les usages, le second date les actions. Les colonnes sont une proposition de Waimia, pas une liste exigée par le texte : elles suivent les quatre points que la Commission demande de « consider at least » (compréhension générale de l'IA dans l'organisation, rôle de fournisseur ou de déployeur, risques des systèmes utilisés, adaptation aux connaissances des personnes et au contexte).
Onglet 1 : les usages
| Colonne | Ce qu'on y écrit | Exemple |
|---|---|---|
| Usage | La tâche réelle, en une ligne | Rédiger les réponses aux demandes de devis |
| Outil et offre | Le produit et le compte utilisé (équipe ou personnel) | ChatGPT Business, espace de l'entreprise |
| Qui | L'équipe ou le rôle, pas la liste nominative | Les 4 commerciaux |
| Votre rôle | Déployeur, ou fournisseur si vous avez construit et mis l'outil à disposition sous votre nom | Déployeur |
| Ce qui peut mal tourner | Deux ou trois risques propres à cet usage | Prix ou délai inventé ; mention d'un produit qui n'existe plus |
| Données à ne pas saisir | Ce qui ne doit pas entrer dans l'outil | Coordonnées bancaires, conditions négociées d'un autre client |
| Mesure prise | Ce qui a été fait pour que les personnes le sachent | Session de 45 minutes sur trois vrais devis, consigne écrite d'une page |
| Contrôle humain | Qui relit quoi avant que le résultat sorte | Le commercial relit prix et délais avant envoi |
| Responsable | La personne qui tient la ligne à jour | Responsable commercial |
| Dernière revue | Date | 9 novembre 2026 |
Onglet 2 : le journal des actions
| Colonne | Ce qu'on y écrit |
|---|---|
| Date | Le jour de l'action |
| Action | Session, atelier, consigne écrite, démonstration, rappel après incident, accueil d'un nouvel arrivant |
| Usages visés | Les lignes de l'onglet 1 concernées |
| Participants | Noms ou équipe, selon ce qui sert |
| Contenu | Une ligne : ce qui a été montré ou expliqué |
| Support | Lien vers la présentation, la consigne ou l'enregistrement |
| Ce qui a changé ensuite | Une règle ajoutée, un usage arrêté, rien |
Les notes de quiz par personne n'entrent pas dans le registre. La Commission n'exige pas de mesurer le niveau de chaque salarié, et le registre contient déjà des noms de salariés, donc des données personnelles : n'y mettez que ce qui sert à montrer les mesures prises. Une « échéance de recyclage annuelle » n'est pas non plus dans le texte. Je préfère une date de revue déclenchée par un événement à un rappel au calendrier, que personne ne lit.
Exemple : le registre d'une PME de 20 personnes
Prenons une entreprise de négoce de 20 personnes et trois usages de l'IA.
| Usage | Outil, qui | Ce qui peut mal tourner | Données à ne pas saisir | Mesure prise, contrôle humain |
|---|---|---|---|---|
| Réponses aux demandes de devis | Assistant d'équipe (offre entreprise), 4 commerciaux | Prix ou délai inventé | Conditions d'un autre client | Session de 45 min sur trois vrais devis, consigne d'une page ; prix et délais relus avant envoi |
| Comptes rendus de réunion | Outil de transcription, direction (3 personnes) | Propos attribués à la mauvaise personne ; enregistrement sans prévenir | Réunions RH individuelles | Règle écrite : annonce en début de réunion, pas d'entretien individuel ; compte rendu validé par l'organisateur |
| Tri des e-mails entrants du service client | Automatisation avec un modèle de langage, 2 personnes | Mauvais classement d'une réclamation urgente | Aucune donnée ajoutée à la main | Démonstration des erreurs de tri de la première semaine ; dossier « à revoir » lu chaque matin |
Le journal des actions de cette entreprise tient en quatre lignes sur le premier trimestre : la session commerciale, la règle de transcription envoyée et expliquée en réunion d'équipe, la démonstration au service client, et l'accueil d'un commercial arrivé en cours de trimestre. Ce journal répond, daté et pièces à l'appui, à la question « qu'avez-vous fait ? ». Il ne garantit pas qu'une autorité jugera ces mesures suffisantes, ce qui est une raison de plus de n'y écrire que ce que vous faites vraiment.
Monter le registre, puis le tenir sur événement
- Listez les usages réels, y compris ceux que personne n'a déclarés : demandez à chaque responsable d'équipe quels outils d'IA son équipe ouvre dans la semaine, comptes personnels compris.
- Remplissez l'onglet 1 ligne par ligne. Si vous ne savez pas écrire « ce qui peut mal tourner » pour un usage, c'est là que la première action doit porter.
- Faites une action par usage sur un cas réel de l'équipe, pas une présentation générale de l'IA : la Commission juge qu'une notice envoyée seule peut être inefficace.
- Notez l'action dans l'onglet 2 le jour même, avec le lien vers le support.
- Mettez à jour sur événement : un nouvel outil, un nouvel usage, un nouvel arrivant, un incident (un devis parti avec un faux prix, par exemple). Chaque événement ajoute une ligne.
Qui le tient ? Une personne qui connaît les outils et voit passer les arrivées : souvent la direction dans une PME de 20 personnes, le responsable RH ou informatique au-delà. Si vous avez une charte d'usage de l'IA, le registre montre que ses règles ont été expliquées ; si vous n'en avez pas, la colonne « données à ne pas saisir » en est le premier brouillon.
Ce qu'il ne faut pas acheter pour l'article 4
Je déconseille trois achats. Le « certificat opposable » d'abord : la Commission écrit qu'aucun certificat n'est nécessaire, et une formation peut être utile sans que son certificat soit une condition. Le programme générique sur l'histoire de l'IA ensuite, sans lien avec vos outils, qui ne remplit pas la colonne « ce qui peut mal tourner » de vos usages. Le logiciel de registre enfin, pour une PME de quelques dizaines de personnes : un tableur partagé, daté, avec les liens vers les supports, fait le même travail.
Si vos usages touchent le recrutement, l'évaluation de salariés ou l'accès à un service essentiel, l'article 4 n'est plus le seul sujet : ces usages peuvent relever du haut risque, voir les obligations d'une PME qui utilise ChatGPT ou Claude. Pour un cas précis, faites relire par un juriste.
Partir de vos usages réels, avec ou sans nous
Waimia accompagne les PME et ETI sur la conformité IA (RGPD et AI Act) et forme les équipes sur leurs vrais outils (ChatGPT, Claude). Formations dispensées via Akigora, organisme certifié Qualiopi ; prise en charge possible selon votre situation. Pour partir de vos usages réels, l'audit gratuit de Waimia dure 45 minutes : prendre rendez-vous.
Recevez la charte en PDF, prête à faire signer
- Le modèle complet en neuf articles, mis en page pour être imprimé et signé
- Les notes d'adaptation pour l'ajuster à votre entreprise
- Les champs que vous avez personnalisés sur la page, repris dans l'e-mail
- Un seul e-mail, sans inscription à une liste