Avant de parler de conformité IA, une obligation plus ancienne et plus fondamentale reste parfois incomplète : le registre des traitements.
📝 Ce qu'il doit contenir
Chaque traitement de données personnelles, sa finalité, les catégories de données concernées, la durée de conservation et les destinataires.
🧭 Pourquoi il structure tout le reste
Un registre à jour est le point de départ de toute analyse d'impact et de toute réponse à un contrôle CNIL — sans lui, chaque nouvelle question repart de zéro.
🔄 Une mise à jour vivante, pas un exercice annuel
Chaque nouveau projet IA qui traite des données personnelles doit être ajouté au registre au moment de son lancement, pas lors d'un audit ultérieur.
Le registre des traitements a un côté austère, mais c'est souvent le document qui révèle le plus vite si une organisation maîtrise réellement sa donnée.