Le modèle de registre proposé ici rassemble, pour chaque usage IA du cabinet de courtage, l’outil, la tâche, les catégories de données et les personnes chargées de le suivre. Il ne s’agit pas d’empiler des fiches techniques : ce document peut aider le dirigeant, les opérations et la conformité à autoriser, encadrer, suspendre ou réexaminer chaque usage. Dans la méthode proposée ici, ce tableau de pilotage interne ne remplace pas le registre des activités de traitement prévu par l’article 30 du RGPD, qui recense les traitements de données personnelles par finalité.
La bonne unité de travail n’est pas le nom d’un logiciel, mais un cas d’usage précis : résumer un compte rendu, rechercher une clause, classer un courriel ou préparer une relance. Un même outil peut donc apparaître sur plusieurs lignes, avec des données, des risques et des contrôles différents. Cette méthode s’adresse aux courtiers et aux équipes de cabinet qui veulent avancer sans perdre la maîtrise du dossier client.
Pourquoi tenir un registre distinct des usages IA ?
Un cabinet peut découvrir trop tard qu’un collaborateur utilise un assistant grand public avec des extraits de dossiers, qu’une fonction d’IA a été activée dans un logiciel métier ou qu’une automatisation produit un texte envoyé au client sans validation définie. Le registre rend ces situations visibles. Il donne un point d’entrée commun aux métiers, à l’informatique, au délégué à la protection des données lorsqu’il existe et au responsable qui accepte le risque résiduel.
Cette cartographie ne crée pas, à elle seule, la conformité. Elle sert à orienter les vérifications vers les bons dispositifs. Lorsqu’un usage implique des données personnelles, il faut le rapprocher du cadre applicable aux données transmises à un outil externe et du registre RGPD tenu par finalité de traitement. Si un traitement est susceptible d’engendrer un risque élevé pour les droits et libertés, la nécessité d’une analyse d’impact doit être examinée. Par prudence, lorsqu’un usage intervient dans une recommandation au client, il est utile de prévoir une validation métier et une relecture humaine avant tout envoi.
Le registre IA répond donc à une question pratique : « avons-nous décrit assez précisément cet usage pour décider de son niveau de contrôle ? » Il peut renvoyer vers les preuves utiles au lieu de les recopier toutes : contrat fournisseur, analyse sécurité, fiche de traitement, test, procédure de validation, journal d’incident ou décision du comité compétent.
Douze champs proposés pour une fiche de registre
Une fiche courte, compréhensible par un responsable opérationnel, vaut mieux qu’un tableau exhaustif que personne ne met à jour. Les champs suivants constituent un exemple de fiche à adapter à la taille du cabinet ; cette liste n’est pas une exigence réglementaire.
| Champ | Question à trancher | Preuve ou décision associée |
|---|---|---|
| Nom du cas d’usage | Quelle tâche précise est assistée ? | Exemple réel ou scénario de test |
| Objectif métier | Quel problème cherche-t-on à résoudre ? | Critère de succès observable |
| Outil et fournisseur | Quel service, quelle version, quel mode d’accès ? | Contrat et documentation |
| Utilisateurs | Qui peut lancer ou exploiter la sortie ? | Rôles et habilitations |
| Données d’entrée | Quelles catégories sont saisies ou importées ? | Classification des données |
| Sortie produite | Résumé, extraction, classement, texte ou recommandation ? | Exemple de sortie testé |
| Destination | La sortie reste-t-elle interne ou va-t-elle au client ? | Canal et règle de validation |
| Risques | Quelles erreurs ou atteintes sont plausibles ? | Analyse proportionnée |
| Contrôles | Que vérifie-t-on avant et après usage ? | Test, filtre, journal ou revue |
| Responsables | Qui exploite, valide et arbitre ? | Noms de rôles, pas seulement un service |
| Statut | Test, autorisé, limité, suspendu ou retiré ? | Décision datée dans le registre |
| Prochaine revue | Quel événement ou quelle échéance déclenche la revue ? | Responsable et motif de réexamen |
Le champ « données d’entrée » gagne à rester concret. « Données client » est trop vague : distinguez coordonnées, échanges, pièces contractuelles, données financières, informations de santé ou documents de sinistre selon le cas. Cette précision aide à décider si des données fictives suffisent pour le test, si certaines catégories doivent être exclues et si le fournisseur est autorisé à les recevoir.
Décrire l’usage avant de classer le risque
Commencez par une phrase simple : « un gestionnaire utilise l’outil pour produire un résumé interne d’un courriel, puis relit le résultat avant de créer une tâche dans le logiciel métier ». Cette formulation montre l’utilisateur, l’entrée, la sortie, la destination et le contrôle humain. Elle est plus exploitable que « usage de l’IA pour gagner du temps ».
Ensuite, examinez les conséquences d’une erreur. Une faute dans un brouillon interne corrigé avant usage n’a pas le même impact qu’une extraction incorrecte de garanties reprise dans un message au client. La grille peut considérer la sensibilité des données, le nombre de dossiers concernés, la possibilité de détecter l’erreur, la réversibilité, l’effet sur le conseil et l’existence d’une alternative manuelle. Ce classement interne reste une méthode de priorisation ; il ne remplace pas une qualification juridique du système.
Le guide sur les sept contrôles avant de traiter des dossiers clients avec l’IA fournit un point de départ pour vérifier le périmètre, les données, le fournisseur, les tests et la validation humaine. Le registre permet ensuite de conserver le résultat de ces vérifications et leur prochaine date de revue.
Attribuer trois responsabilités sans zone grise
Pour rendre la fiche exploitable, ce modèle propose de nommer trois rôles, à adapter à l’organisation du cabinet. Le propriétaire métier décrit la tâche et vérifie que l’usage répond encore au besoin. Le valideur contrôle les sorties lorsqu’elles influencent un dossier, une communication ou une décision. Le responsable d’arbitrage accepte les conditions d’usage, impose des restrictions ou suspend le cas. Dans un petit cabinet, une même personne peut cumuler des rôles, mais il est utile de rendre ce cumul visible.
Ajoutez les contributeurs selon le risque : référent sécurité, DPO ou conseil externe, responsable informatique, responsable conformité, direction. L’objectif n’est pas de convoquer tout le monde pour chaque assistant rédactionnel. Il est de savoir qui solliciter quand les données changent, qu’un fournisseur modifie ses conditions, qu’une erreur se répète ou qu’un usage initialement interne est étendu aux clients.
Depuis sa modification par le règlement (UE) 2026/1744, l’article 4 du règlement sur l’intelligence artificielle prévoit que les fournisseurs et les déployeurs prennent des mesures pour favoriser le développement de la maîtrise de l’IA par les personnes qui utilisent ces systèmes pour leur compte, en tenant compte notamment de leurs connaissances, de leur expérience, de leur formation et du contexte d’utilisation. Le besoin de compétence peut être rattaché à un parcours de formation IA pour les courtiers. Dans cette méthode, la fiche peut indiquer la formation ou la consigne retenue avant d’accorder l’accès. Ce champ constitue un choix de suivi interne, et non une exigence documentaire formulée par l’article 4 du règlement IA.
Méthode proposée : construire le registre en quatre ateliers
1. Recenser les usages réels et prévus
Interrogez les équipes à partir des tâches, pas des marques : rédaction, recherche, résumé, classement, contrôle de pièces, préparation de rendez-vous, relance ou assistance au conseil. Incluez les fonctions intégrées dans les logiciels déjà utilisés. Séparez ce qui est testé avec des données fictives de ce qui est employé sur des dossiers réels.
2. Relier données, accès et outils
Pour chaque ligne, identifiez la source des données, leur catégorie, la destination de la sortie et les personnes habilitées. Les règles d’accès peuvent s’appuyer sur la même discipline que la gestion électronique des documents en cabinet : droits liés aux rôles, retrait des accès devenus inutiles et revue régulière.
3. Tester les erreurs plausibles
Préparez des cas fictifs représentatifs : information absente, document contradictoire, formulation ambiguë, clause ancienne, pièce illisible. Notez ce que l’outil invente, omet ou classe mal. Définissez ensuite le contrôle qui permet de détecter l’erreur et la conduite à tenir si ce contrôle échoue. Dans cette méthode, un statut « autorisé » gagne à préciser son périmètre.
4. Décider et organiser la revue
Le décideur choisit un statut et consigne les restrictions : données interdites, profils autorisés, contrôle obligatoire, canal de sortie, durée du pilote. Dans cette méthode, une revue est aussi utile après un changement important : nouvel outil, nouvelle catégorie de données, extension à la clientèle, modification du modèle, incident ou changement réglementaire pertinent.
Checklist avant de passer un usage au statut « autorisé »
Cette grille de décision interne est proposée au cabinet ; adaptez-la aux traitements, contrats et obligations applicables. Elle ne constitue pas une liste réglementaire de conditions d’autorisation.
- Le cas d’usage est décrit comme une tâche précise et non comme le nom d’un outil.
- L’objectif métier et le critère de succès sont compréhensibles par l’équipe.
- Les catégories de données autorisées et interdites sont explicites.
- Le fournisseur, le contrat et les conditions d’utilisation ont été examinés.
- Les accès suivent les rôles et peuvent être retirés rapidement.
- Des scénarios fictifs ont servi à tester erreurs, omissions et comportements inattendus.
- La sortie qui influence un dossier ou un client dispose d’une validation définie.
- Le propriétaire métier, le valideur et l’arbitre sont identifiés.
- Les liens vers le registre RGPD, l’AIPD éventuelle et les preuves sont renseignés.
- Un statut, des restrictions et un déclencheur de revue sont enregistrés.
- Les utilisateurs connaissent la procédure d’incident et l’alternative manuelle.
Éviter cinq erreurs de gouvernance
Confondre inventaire d’outils et registre d’usages. Une licence ne dit pas ce que les équipes font réellement. Décrivez une ligne par tâche et par niveau de conséquence.
Transformer le registre en validation automatique. La présence d’une fiche ne prouve pas qu’un usage est licite, sûr ou pertinent. Le statut résulte alors des vérifications adaptées.
Tout classer au même niveau. Une méthode proportionnée concentre les examens approfondis sur les usages qui exposent des données sensibles, influencent le conseil ou rendent une erreur difficile à détecter.
Oublier les fonctions intégrées. Lorsqu’une fonction IA est activée dans un logiciel métier du cabinet, réévaluez cet usage avant de l’employer sur des dossiers réels.
Conserver la trace d’un usage retiré. Dans cette méthode, gardez son motif et la date de la décision pour retrouver le contexte du test. Vérifiez séparément, selon les procédures du cabinet, les accès ou données qui resteraient associés à cet usage.
Faire vivre le registre sans créer une usine documentaire
Choisissez un support que les responsables peuvent consulter et mettre à jour, avec un historique des décisions et des droits d’accès adaptés. Une feuille contrôlée peut suffire au départ ; le cabinet peut envisager un outil spécialisé s’il peine à suivre les usages, les entités et les preuves dans ce support. Dans les deux cas, désignez un pilote du registre et faites remonter les changements depuis les équipes.
Dans le modèle proposé, ajoutez à la revue périodique une réévaluation après un changement significatif. La procédure interne peut demander au propriétaire de signaler une nouvelle donnée, un nouveau destinataire, une extension du périmètre, une modification du fournisseur ou un incident. Le responsable du registre réexamine, selon le changement constaté, la fiche de traitement RGPD et l’analyse de risque interne. Il vérifie si une AIPD est requise lorsque le traitement est susceptible d’engendrer un risque élevé pour les droits et libertés, et si les utilisateurs ont besoin d’une nouvelle consigne.
Commencez par quelques usages actifs, décrits correctement, plutôt que par un recensement théorique de toutes les possibilités. L’objectif de pilotage est que chaque collaborateur sache quels usages sont autorisés, quelles données ne doivent pas être transmises, qui valide une sortie engageante et comment suspendre l’outil en cas de doute. Cet objectif suppose des consignes diffusées, une formation adaptée et une mise à jour effective du registre.
En bref
Le registre des usages IA devient utile lorsqu’il relie une tâche concrète à ses données, ses conséquences, ses contrôles et ses responsables. Il aide le cabinet de courtage à décider de manière proportionnée, à retrouver les preuves et à organiser la revue. Il ne remplace ni le registre RGPD, ni l’analyse d’impact lorsqu’elle est requise, ni l’examen juridique et métier du cas particulier.
Sources
- CNIL, Comment déployer une IA générative ? : besoins, usages autorisés ou interdits et gouvernance.
- CNIL, Le registre des activités de traitement.
- CNIL, IA : réaliser une analyse d’impact si nécessaire.
- Union européenne, Règlement (UE) 2026/1744 modifiant notamment l’article 4 du règlement sur l’intelligence artificielle.
