Cartographier les systèmes d'IA de votre entreprise

Pourquoi l'inventaire est le point de départ

Le règlement européen sur l'intelligence artificielle, le règlement (UE) 2024/1689, ne traite pas tous les usages de la même façon. Il classe les systèmes par niveau de risque et fait dépendre les obligations de cette classification. On ne peut donc rien faire tant qu'on n'a pas la liste.

Or cette liste n'existe presque jamais. Quand nous démarrons une mission, la direction cite spontanément deux ou trois outils, généralement les plus visibles. L'inventaire réel en contient trois à cinq fois plus. La différence tient à une chose : l'IA est très rarement achetée en tant que telle. Elle arrive embarquée dans des logiciels que vous utilisez depuis des années.

Les quatre endroits où se cache l'IA

1. Les logiciels métiers que vous avez déjà

Votre SIRH propose peut-être un classement automatique des candidatures. Votre CRM note vos prospects. Votre outil de comptabilité suggère des affectations analytiques. Votre suite bureautique résume vos réunions. Aucun de ces éditeurs ne vous a vendu « de l'IA » : ils vous ont vendu une fonctionnalité. La question à poser à chacun d'eux est simple et écrite : votre solution embarque-t-elle un système d'intelligence artificielle au sens du règlement (UE) 2024/1689, et si oui, dans quelles fonctionnalités ?

2. Les abonnements souscrits par les équipes

Un outil de rédaction souscrit par le marketing, un générateur d'images payé sur la carte bancaire d'un associé, un assistant de programmation utilisé par un prestataire. Ces abonnements n'apparaissent ni dans le budget informatique ni dans les contrats-cadres. Ils se retrouvent dans les relevés bancaires et les notes de frais, ce qui est souvent le moyen le plus rapide de les identifier.

3. Les outils grand public utilisés sans autorisation

C'est la catégorie la plus difficile à mesurer et la plus risquée, parce qu'elle échappe à tout contrat : un salarié qui colle un contrat de travail dans un assistant conversationnel gratuit pour le reformuler transfère des données personnelles vers un service tiers, sans que personne ne l'ait autorisé ni même su. Nous traitons ce point séparément dans notre article sur le Shadow IA.

4. Les développements internes

Un tableur avec un modèle de scoring, un script rédigé par un stagiaire, une automatisation montée sur un outil sans code. Ces objets ne ressemblent pas à des « systèmes », mais s'ils produisent une recommandation qui influence une décision, ils entrent dans le champ.

Ce que doit contenir le registre

Un registre utile tient sur un tableur. Ce qui compte n'est pas l'outil mais les colonnes. Pour chaque système identifié, documentez au minimum :

• Le nom du système et son éditeur, en distinguant l'outil et la fonctionnalité concernée.
• La finalité réelle, décrite en une phrase opérationnelle : « propose un classement des candidatures reçues », pas « améliore le recrutement ».
• Le service utilisateur et la personne responsable de l'outil.
• Les données traitées, en signalant celles qui concernent des personnes : candidats, salariés, clients.
• Le degré d'automatisation : le système propose-t-il, ou décide-t-il ? Une intervention humaine est-elle prévue, et est-elle réelle ?
• Le niveau de risque retenu et le raisonnement qui a conduit à ce classement.
• La date d'évaluation, car un outil change à chaque mise à jour de l'éditeur.

Cette dernière colonne est celle que l'on oublie systématiquement, et c'est celle qui fait la différence lors d'un contrôle. Une cartographie datée de deux ans ne prouve rien. Une cartographie revue chaque trimestre démontre un processus.

Classer par niveau de risque

Le règlement distingue quatre niveaux. Les pratiques interdites sont exclues quelles que soient les précautions prises. Les systèmes à haut risque sont autorisés mais lourdement encadrés : c'est dans cette catégorie que se rangent la plupart des usages liés à l'emploi et à la gestion des travailleurs, notamment le tri des candidatures et l'évaluation des salariés. Le risque limité appelle surtout des obligations de transparence, par exemple informer une personne qu'elle échange avec une machine. Le risque minimal couvre le reste, de loin le plus gros volume.

En pratique, dans une PME, l'essentiel des outils relève du risque minimal, deux ou trois relèvent de la transparence, et un ou deux, presque toujours du côté RH, relèvent du haut risque. Ce sont ces derniers qui concentrent l'effort.

Combien de temps cela prend

Pour une entreprise de vingt à cent salariés, un premier inventaire sérieux demande une à deux semaines : quelques entretiens par service, une revue des abonnements et des relevés, un courrier aux éditeurs, puis la classification. Ce n'est pas un chantier informatique, c'est un travail d'enquête organisationnelle.

Ce qui prend du temps ensuite, ce n'est pas l'inventaire mais son entretien. Un système recensé une fois et jamais revu se périme au premier changement de version de l'éditeur. C'est la raison pour laquelle nous recommandons une revue trimestrielle plutôt qu'un audit annuel : moins de charge à chaque fois, et un registre qui reste vrai.

Les trois erreurs les plus fréquentes

Confondre l'inventaire des logiciels et l'inventaire des usages. Un même outil peut porter une fonctionnalité anodine et une fonctionnalité sensible. C'est l'usage qu'on classe, pas le logiciel.

Croire qu'utiliser un outil du marché dispense de tout. Le fournisseur porte ses obligations, vous portez les vôtres en tant qu'utilisateur : supervision humaine, information des personnes concernées, traçabilité.

Exclure d'emblée les outils gratuits. C'est souvent là que passent les données les plus sensibles, précisément parce que personne ne les a contractualisés.

Et après

L'inventaire n'est pas une fin. Il produit trois choses : la liste des usages à encadrer par une charte interne, la liste des collaborateurs à former au titre de l'obligation d'acculturation, et la liste, généralement courte, des systèmes qui exigent un travail approfondi de documentation. C'est à partir de là que le plan d'action se construit, et pas avant.