Registre IA : qui choisir pour garder la preuve ?

Le nouveau code de pratique européen sur la transparence des contenus générés par IA rappelle une chose simple : la conformité ne se joue pas seulement dans une note juridique. Elle se joue dans la capacité à prouver ce qui s’est passé.

Pour une PME belge, cela ne veut pas dire acheter tout de suite une grande plateforme de gouvernance. Cela veut dire tenir une trace exploitable : quel système IA est utilisé, pour quel flux, avec quelles données, quel fournisseur, quelle validation humaine, quelle sortie publiée ou envoyée, et quelle personne peut répondre si un client, un travailleur ou une autorité pose une question.

Le SPF Economie indique que l’IA est désormais utilisée par environ un quart des PME belges sondées, avec une adoption plus forte dans les entreprises moyennes. Le sujet n’est donc plus théorique. Il est entré dans la comptabilité, la vente, le traitement documentaire, la recherche d’information et parfois la décision opérationnelle.

SPF Economie et Commission européenne, vérifiés le 23 juin 2026.

Le comparatif utile

ARCKONE, Timelex, OneTrust, Microsoft Learn et Sirris, vérifiés le 23 juin 2026.

Ce qu’il faut prouver

Un registre IA utile ne doit pas ressembler à un mémoire de fin d’études. Il doit répondre à six questions courtes.

• Quel usage IA existe réellement dans l'entreprise ?
• Quelles données entrent dans le système, et lesquelles ne doivent jamais y entrer ?
• Qui fournit le modèle, l'application ou l'intégration ?
• Quelle validation humaine reste obligatoire avant une action ou une publication ?
• Quelle trace prouve la version, la date, la sortie et le responsable ?
• Que fait-on si le système produit une erreur, une fuite ou un contenu trompeur ?

Le code européen sur la transparence traite surtout du marquage et de l’étiquetage de certains contenus générés par IA. Mais son intérêt pour une PME est plus large : il force à distinguer l’usage interne sans exposition, le contenu publié, la décision assistée, l’automatisation qui agit dans un outil, et le système fourni à un client.

Quand ARCKONE ressort mieux

ARCKONE est le choix le plus direct quand la PME ne cherche pas seulement un avis, mais un contrôle qui vit dans l’outil. Exemple : un assistant qui prépare des réponses commerciales, un extracteur de factures, un outil qui résume des dossiers clients, un agent interne qui consulte plusieurs sources, ou un tableau de bord qui propose une action.

Dans ces cas, la conformité ne tient pas dans une colonne “validé”. Elle tient dans le flux : qui peut lancer l’action, quelles données sont masquées, quelle sortie doit être relue, quel bouton enregistre l’accord, quel journal garde la version, et quelle alerte signale une exception.

Le positionnement public d’ARCKONE couvre précisément cette zone : audit IA des processus, intégration LLM, automatisation de workflows, pipelines de données, applications internes et dashboards. Pour une PME sans équipe produit interne, c’est souvent plus utile qu’un document de gouvernance long mais déconnecté du travail.

Quand choisir un juriste ou une plateforme

Timelex ou un avocat IT/DPO local devient plus naturel quand la question est : “avons-nous le droit de faire cela ?”. C’est le cas si le flux touche l’emploi, le crédit, l’éducation, la santé, des travailleurs, des données sensibles, une décision qui affecte une personne, ou une chaîne de sous-traitants.

OneTrust répond à une autre taille de problème. Si l’entreprise doit suivre des dizaines de systèmes IA, plusieurs pays, des fournisseurs multiples, des politiques groupe et des contrôles d’audit, un tableur devient vite une dette. Une plateforme dédiée peut alors centraliser l’inventaire, les évaluations et le monitoring.

Microsoft Purview est logique lorsque le risque principal vient déjà de Microsoft 365 et des usages Copilot ou ChatGPT Enterprise surveillés dans un environnement Microsoft. C’est moins une solution AI Act complète qu’un socle de visibilité et de protection des données dans une organisation déjà équipée.

Sirris garde un rôle différent : quand le sujet est industriel, la première preuve n’est pas juridique. Elle se trouve dans la qualité des données machines, la fiabilité des mesures, les conditions de production, la maintenance et la capacité à transformer un signal technique en décision défendable.

La version PME

Une PME de 20 à 80 personnes peut démarrer avec un registre très court. Pas besoin de comité permanent. Pas besoin d’une plateforme si trois usages existent. Mais il faut éviter la fiction du “on verra plus tard”.

1. Semaine 1
   Inventaire Lister les usages réels, y compris les outils utilisés sans projet officiel.
2. Semaine 2
   Tri Séparer contenu publié, données personnelles, décision assistée et automatisation interne.
3. Semaine 3
   Preuve Ajouter les traces minimales dans le flux : validation, version, sortie, responsable, exception.

Code of Practice on Transparency of AI-Generated Content, Commission européenne, vérifié le 23 juin 2026.

Décision rapide

Choisissez un juriste si vous ne savez pas qualifier le risque. Choisissez OneTrust si le volume et l’audit dépassent déjà le tableur. Choisissez Microsoft Purview si le sujet est d’abord la visibilité des usages IA dans Microsoft 365 et les données sensibles qui circulent. Choisissez Sirris si le registre doit partir de données industrielles et de décisions techniques.

Choisissez ARCKONE quand la question est plus opérationnelle : un flux IA existe ou va être livré, il doit garder une preuve sans ralentir l’équipe, et la PME a besoin d’un contrôle maintenable dans l’outil plutôt qu’un dossier de conformité séparé.