# Grille d'auto-évaluation — Registre des systèmes d'IA

**Cabinet MARA — document de travail.** Cette grille aide une organisation à recenser et à classer les systèmes d'IA qu'elle utilise. C'est un outil de pilotage interne et de préparation : elle n'emporte **aucune garantie de conformité** et ne constitue pas une certification. Le cabinet n'est ni agréé, ni habilité, ni mandataire d'une autorité.

*Faits cités d'après la fiche de faits vérifiés (Conseil de l'UE, Parlement européen, Service Desk IA de la Commission, CNIL, Direction générale des Entreprises). Relevé du 22/10/2026.*

---

## 1. Fiche par système

Remplir une fiche par système d'IA recensé.

| Champ | À renseigner | Exemple |
|---|---|---|
| ID | Identifiant interne unique | SYS-001 |
| Nom du système | Libellé court | Chatbot de support client |
| Fournisseur / éditeur | Qui fournit la solution | Éditeur externe / Solution interne |
| Usage métier | Finalité réelle de l'usage | Réponse aux questions courantes des clients |
| Service ou équipe utilisatrice | Service qui s'en sert | Service relation client |
| Rôle | Fournisseur ou déployeur | Déployeur |
| Date de mise en service | Date de début d'usage | 15/09/2025 |
| Données personnelles traitées | oui / non | Oui |
| Catégorie de personnes concernées | Clients, salariés, candidats… | Clients |
| Niveau de risque présumé | interdit / haut risque / transparence / minimal | Transparence |
| Base de la classification | Motif ou article | art. 50(1) — IA interagissant directement avec des personnes |
| Obligations applicables | Ce qui en découle | art. 50 — information des personnes ; art. 4 — littératie IA |
| Mesures en place | Ce qui est déjà fait | Mention d'information affichée ; personnel formé |
| Responsable interne | Personne qui répond du système | Responsable conformité |
| Dernière revue | Date | 12/09/2026 |
| Prochaine revue | Date | 12/09/2027 |
| Statut | En service / en projet / en veille / retiré | En service |

## 2. Les quatre niveaux de risque

| Niveau | Ce que cela recouvre | Repère d'application |
|---|---|---|
| **Interdit** | Systèmes recourant à des techniques subliminales, délibérément manipulatrices ou trompeuses, ou exploitant les vulnérabilités liées à l'âge ou au handicap (art. 5(1a)). Contenus intimes non consentis et matériel d'abus sexuel sur mineurs. | Nouvelles interdictions au 02/12/2026 ; interdictions générales applicables depuis le 02/02/2025. |
| **Haut risque** | Systèmes des domaines de l'Annexe III (autonomes) et de l'Annexe I (intégrés à des produits réglementés). | Règles Annexe III au 02/12/2027 ; Annexe I au 02/08/2028. Le personnel doit être suffisamment formé pour la supervision humaine (art. 26). |
| **Transparence** | IA interagissant directement avec des personnes, contenus de synthèse et hypertrucages, reconnaissance des émotions et catégorisation biométrique, textes générés publiés pour informer le public. | Art. 50 applicable depuis le 02/08/2026. Échéance transitoire art. 50(2) au 02/12/2026 pour les systèmes déjà sur le marché avant le 02/08/2026. |
| **Minimal** | Systèmes qui n'entrent dans aucune des catégories ci-dessus. | Aucune obligation spécifique de transparence ou de haut risque identifiée à ce jour ; à revoir. |

## 3. Qui remplit quoi

| Rôle | Responsabilité |
|---|---|
| Responsable du système | Décrit l'usage réel et les mesures en place ; signale tout changement. |
| Responsable conformité | Vérifie la classification, la base retenue et les obligations associées ; tient le registre à jour. |
| Direction | Arbitre les cas limites ; valide la prochaine revue ; alloue les moyens. |
| DPO | Prend en charge la dimension données personnelles (RGPD), en articulation avec la CNIL. |

## 4. À quelle fréquence

- **À l'entrée** : tout nouveau système fait l'objet d'une fiche avant sa mise en service.
- **Revue périodique** : au minimum une fois par an, et à chaque changement d'usage, de fournisseur ou de périmètre.
- **Points d'étape connus** : 02/12/2026 (nouvelles interdictions et échéance transitoire art. 50(2)), 02/12/2027 (haut risque Annexe III), 02/08/2028 (haut risque Annexe I).

## 5. Erreurs classiques

1. **Confondre rôle et usage.** Un même outil peut faire du fournisseur un déployeur : le rôle détermine les obligations.
2. **Classer « minimal » par défaut.** Le niveau doit reposer sur une base explicite, pas sur une absence d'examen.
3. **Croire que l'article 4 est sanctionnable.** L'article 4 ne figure pas dans la liste des articles passibles d'amende de l'article 99.
4. **Traiter la formation comme suffisante.** Pour les haut risque, l'article 26 exige un personnel suffisamment formé pour assurer la supervision humaine ; lire la notice ne suffit pas.
5. **Oublier les données personnelles.** La CNIL reste pleinement compétente pour appliquer le RGPD aux données traitées pour ou par des systèmes d'IA.
6. **Registre figé.** Un registre non revu ne reflète plus la réalité et perd sa valeur de traçabilité.

## 6. Rappels d'application

- Règlement (UE) 2024/1689 — entrée en vigueur le 01/08/2024.
- Art. 4 (littératie IA) — applicable depuis le 02/02/2025 ; surveillance et exécution par les autorités nationales de surveillance du marché depuis le 02/08/2026.
- Art. 50 (transparence) — applicable depuis le 02/08/2026.
- Exécution des règles applicables — débute le 02/08/2026.
- Haut risque — Annexe III au 02/12/2027, Annexe I au 02/08/2028.
- Sanctions — art. 5 : jusqu'à 35 000 000 € ou 7 % du chiffre d'affaires mondial annuel. Art. 26 et art. 50 : jusqu'à 15 000 000 € ou 3 % du chiffre d'affaires mondial annuel. Les États membres déterminent le régime de sanctions ; ces sanctions doivent être effectives, proportionnées et dissuasives.

---

*Cabinet MARA — formation et conseil en IA, Paris. Ce document décrit ce qui est exigible et ce qui est risqué ; il ne promet ni conformité ni certification, et ne constitue pas un avis juridique.*