Le baromètre France Num 2025, publié par la Direction générale des Entreprises en septembre 2025 sur un échantillon de 11 021 répondants, mesure un écart précis : 47 % des TPE-PME ont désigné un délégué ou un responsable de la protection des données personnelles, mais seules 41 % se conforment à l’obligation de tenir un registre des activités de traitementLa liste écrite des données personnelles que l’entreprise traite, et pourquoi. Obligatoire, même sans DPO..
Deux actes qu’on confond souvent
Nommer un responsable et tenir le registre ne sont pas la même décision. Le premier est une désignation, parfois une ligne dans un organigramme ou une case cochée sur un formulaire. Le second est un travail continu : lister les fichiers et les outils qui contiennent des données personnelles, décrire pourquoi ils existent, indiquer combien de temps les données sont conservées, et mettre ce document à jour quand un nouvel outil arrive. Le chiffre de France Num montre qu’une partie des entreprises a fait le premier sans faire le second, et qu’une autre partie n’a fait ni l’un ni l’autre.
Pourquoi le registre est le document qui compte réellement
Un responsable nommé sans registre ne peut répondre à aucune des questions qu’un contrôle pose en premier : quels outils traitent des données de clients, sur quelle base légale, depuis quand. Le registre est la preuve concrète d’une gouvernance, là où un titre seul n’en est que l’intention. C’est aussi le document qui recoupe directement la gouvernance de l’IALes règles écrites qui disent qui utilise quel outil d’IA, sur quelles données, et qui décide. : un CRM couplé à un outil d’IA, un assistant qui lit des mails de clients, sont des traitements de données personnelles au même titre qu’un fichier Excel, et devraient apparaître au même registre.
Ce que dit l’écart sur la manière dont les PME abordent la conformité
Un dirigeant qui nomme un responsable a le plus souvent réagi à une pression extérieure, un client qui pose la question dans un contrat, un partenaire qui exige un point de contact. Tenir le registre demande un travail interne, sans échéance visible de l’extérieur, ce qui explique en partie pourquoi il reste en retard sur la désignation. C’est le même mécanisme qui explique pourquoi une entreprise investit dans un outil visible avant de documenter ce qu’elle en fait réellement.
Par où commencer sans repartir de zéro
Le registre ne se rédige pas à partir d’un modèle générique téléchargé, qui ne dit rien des outils réellement utilisés. Il part d’un inventaire de ce qui tourne dans l’entreprise, logiciel par logiciel, comme n’importe quelle charte d’usage IA. Une entreprise qui a déjà fait ce travail pour l’IA a fait la moitié du travail pour son registre RGPD, sans le savoir.