Cartographier vos systèmes d'IA en un atelier

On ne gouverne, on ne sécurise et on ne met en conformité que ce que l'on voit, et la plupart des IA qui tournent déjà chez vous n'apparaissent sur aucune liste. La bonne nouvelle, c'est qu'un seul atelier bien mené suffit à dresser un inventaire complet et à poser la première brique de tout audit. Dans cet article, je vous donne la méthode pour réunir les bonnes personnes, balayer tous vos usages et repartir avec un registre exploitable, sans jargon et sans y passer des semaines.

Le problème : votre parc d'IA est plus large que la liste que vous en avez

Presque toutes les entreprises que j'accompagne partent du même point aveugle. La direction pense à deux ou trois outils bien identifiés, alors que les équipes utilisent déjà une dizaine d'assistants, de modules et d'extensions qui manipulent des données et orientent des décisions. Ce décalage a un nom, le « Shadow AI », et il rend impossible toute maîtrise du risque. On ne classe pas ce que l'on ne voit pas, on ne sécurise pas ce que l'on n'a pas listé, et on ne prouve rien à un régulateur que l'on ne peut pas montrer.

L'inventaire n'est donc pas une formalité administrative, c'est la fondation. Le règlement européen sur l'IA attend de vous que vous sachiez quels systèmes vous exploitez et à quel titre, et cette exigence de connaissance précède toutes les autres. Sans cette carte, une feuille de route de conformité ne repose sur rien.

La méthode : un atelier en cinq temps

L'inventaire se construit bien plus vite en atelier qu'en questionnaire envoyé service par service. Une demi-journée avec les bonnes personnes dans la même pièce fait remonter des usages qu'aucun formulaire n'aurait capturés, parce que les gens se souviennent en entendant les autres parler. Voici les cinq temps de cet atelier, dans l'ordre.

Temps 1 : réunir les bonnes personnes

Un inventaire fiable ne se fait pas depuis un seul bureau. Réunissez un représentant de chaque métier qui utilise l'IA, la DSI qui connaît les outils déployés, et le DPO ou le RSSI qui portent le risque. Les métiers savent ce qu'ils utilisent au quotidien, la DSI sait ce qui est raccordé au système d'information, et le binôme conformité et sécurité sait quelles questions poser. C'est le croisement de ces regards qui rend l'inventaire complet.

Temps 2 : balayer usage par usage

Passez en revue chaque activité, pas chaque logiciel. Demandez pour chaque équipe : où une machine génère du texte, une recommandation, un score ou une décision. Cette formulation fait remonter aussi bien l'outil officiel que l'assistant conversationnel ouvert dans un onglet, l'extension de navigateur ou la macro qui appelle une IA en arrière-plan. C'est le moment où le Shadow AI sort de l'ombre. Pour préparer ce balayage, ma méthode dédiée au repérage des IA que vos équipes utilisent vraiment complète utilement l'atelier.

Temps 3 : décrire chaque système

Pour chaque usage identifié, remplissez les mêmes cases, toujours dans le même ordre. Vous cherchez à répondre à cinq questions simples : à quoi sert l'outil, qui en est responsable côté métier, quelles données il traite, quel rôle vous tenez face à lui, et où il est hébergé. Ne visez pas la perfection à ce stade, visez la complétude. Une ligne approximative mais présente vaut mieux qu'une ligne parfaite jamais écrite.

Temps 4 : qualifier le niveau de risque

Une fois chaque système décrit, attribuez-lui un niveau de risque parmi les quatre du règlement. Ce classement n'a pas besoin d'être définitif dans l'atelier, il a besoin d'être posé pour faire ressortir les usages qui déclencheront le plus d'obligations. Repérez en priorité le haut risque, car c'est lui qui commande la suite du travail.

Ce classement se fait usage par usage, jamais entreprise par entreprise. Pour appliquer les bons critères, je détaille la méthode dans mon article sur les entreprises concernées par l'IA à haut risque, et la manière de situer votre périmètre en quelques questions.

Temps 5 : formaliser dans le registre

Le livrable de l'atelier est un tableau vivant, une ligne par système, avec les colonnes décrites plus haut et le niveau de risque. Ce registre devient votre référence unique. Il se met à jour à chaque nouveau projet, se présente à un régulateur en cas de contrôle, et sert de point de départ à toute analyse plus poussée. Donnez-lui un propriétaire et une date de revue, sinon il vieillira aussi vite qu'il a été construit.

Le résultat : la première brique de tout audit

À la sortie de l'atelier, vous ne détenez pas seulement une liste, vous détenez la carte qui conditionne tout le reste. Chaque ligne à haut risque devient une fiche à documenter, chaque outil hébergé hors de l'Union devient un point à vérifier, chaque Shadow AI devient une décision à prendre. C'est exactement ce que produit la première étape d'un audit Sécurité et Conformité IA, et ce qui alimente ensuite une feuille de route de mise en conformité.

Questions fréquentes

Combien de temps faut-il prévoir pour cet atelier ?

Une demi-journée suffit dans la plupart des organisations de taille moyenne. Le facteur limitant n'est pas la durée mais la présence des bonnes personnes. Mieux vaut un atelier dense avec tous les acteurs qu'une série de réunions étalées où chacun oublie ce que l'autre a dit.

Faut-il un outil spécifique pour tenir le registre ?

Non, un simple tableau partagé fait très bien l'affaire au départ. Ce qui compte, ce sont les colonnes et la discipline de mise à jour, pas la sophistication de l'outil. Vous pourrez toujours migrer vers une solution dédiée une fois que le réflexe est installé.

Comment être sûr de ne pas oublier des usages ?

La complétude vient du croisement des regards et d'une question posée en termes d'activité, pas de logiciel. Balayez chaque équipe en demandant où une machine génère, note ou décide. Les usages informels ressortent surtout quand les équipes s'entendent les uns les autres, ce qu'un questionnaire isolé ne permet jamais.

À quelle fréquence faut-il refaire l'inventaire ?

Le registre se met à jour en continu, à chaque nouveau projet d'IA, et se revoit intégralement au moins une fois par an. Attribuez-lui un propriétaire chargé de cette revue, faute de quoi il perdra sa valeur dès que le parc d'outils évoluera.

C'est précisément le point de départ de mon audit Sécurité & Conformité IA : en une à deux semaines, vous savez ce que vous exploitez, où vous êtes exposé et par quoi commencer. Si vous voulez simplement cadrer le sujet, un premier échange de trente minutes suffit à voir clair.

Cet article a une visée pédagogique et ne constitue pas un conseil juridique. Chaque situation mérite une analyse au cas par cas.