Le registre des risques remplace-t-il le registre des traitements ?

Non. La CNIL présente le registre des activités de traitement comme une obligation distincte, qui recense les traitements de données personnelles. Le registre des risques sert à piloter les usages de l'IA ; il peut y renvoyer.

Faut-il chiffrer la probabilité et l'impact de chaque risque ?

Une échelle simple suffit : faible, moyen, élevé. Des chiffres précis donneraient une fausse impression de mesure. Le registre sert à décider, pas à calculer.

À quelle fréquence revoir le registre ?

À chaque nouvel usage, chaque changement d'outil et chaque incident. Une revue au moins une fois par an permet aussi de vérifier que les mesures sont toujours appliquées.

Registre des risques de l'IA : modèle d'une page

Un registre des risques est un tableau unique où l'entreprise note ce que fait l'IA, ce qui peut mal tourner et ce qu'elle fait pour réduire le risque. Il ne demande ni logiciel ni expertise particulière : un tableur ou une page de texte suffit. Son intérêt est de forcer à décrire chaque usage avant de le généraliser, et de garder une trace quand une décision est prise.

La CNIL présente un autre document, le registre des activités de traitement, qui recense les traitements de données personnelles. Les deux se complètent : le registre des risques peut renvoyer au registre des traitements quand un usage touche des données personnelles.

Les colonnes du modèle

Colonne	Ce qu'on y écrit	Exemple (fictif)
Usage	La tâche, en une phrase	Rédaction de réponses types aux demandes de devis
Outil	Le service utilisé et le type de compte	Assistant d'IA, compte professionnel
Donnée saisie	Type d'information, sans l'information elle-même	Aucune donnée personnelle : modèles génériques
Risque principal	Ce qui peut mal tourner	Réponse inexacte reprise dans un devis
Gravité	Faible, moyenne ou élevée	Élevée
Probabilité	Faible, moyenne ou élevée	Moyenne
Mesure	Ce qui réduit le risque	Relecture obligatoire et vérification du prix sur la grille
Personne responsable	Une fonction, pas un nom	Responsable commercial
Date de revue	JJ/MM/AAAA	Date de la prochaine revue
Texte ou source	Ce qui encadre l'usage	Page réponses fausses

L'exemple est fictif et ne sert qu'à montrer le remplissage. Il ne traduit aucune mesure réelle d'une entreprise.

Pourquoi une échelle simple

Il est tentant de noter les risques avec des pourcentages. Sans données réelles, ces chiffres ne mesurent rien et donnent une fausse impression de précision. Une échelle faible, moyenne, élevée permet de décider : quel usage peut être généralisé, lequel demande une relecture renforcée, lequel est interdit pour l'instant.

Comment remplir le registre

Partir des usages réels. Demandez à chaque équipe ce qu'elle fait avec l'outil, y compris les usages non déclarés.
Décrire la donnée, pas la donnée elle-même. Le registre ne doit jamais contenir de nom de client ou de salarié.
Évaluer le risque principal. Une seule ligne par risque important, pas une liste interminable.
Associer une mesure concrète. « Être prudent » n'est pas une mesure ; « relire le prix sur la grille » en est une.
Nommer une fonction responsable, et une date de revue.

Quand le registre doit être revu

à chaque nouvel usage ou changement d'outil ;
après chaque incident, même mineur ;
quand un texte évolue, comme les règles européennes sur l'IA (voir la page règles européennes) ;
au moins une fois par an, pour vérifier que les mesures sont toujours en place.

Liste de vérifications

Chaque usage de l'IA dans l'entreprise figure dans le registre.
Aucune donnée personnelle n'apparaît dans les colonnes.
Chaque risque important a une mesure et une fonction responsable.
Les dates de revue sont inscrites et tenues.
Les incidents sont renvoyés vers la procédure de la page incident.

Ce qui reste à vous

Le registre est un outil de décision. C'est au dirigeant de le tenir, de l'arbitrer et de décider des usages à arrêter. Un registre rempli une fois puis classé ne protège pas ; il doit vivre avec l'équipe.