Inventaire des systèmes d'IA : modèle et méthode

Créer l'inventaire de vos systèmes d'IA : repérer les outils utilisés, les champs par cas d'usage, la classification AI Act et la mise à jour du registre.

Un inventaire des systèmes d'IA est un registre de tous les systèmes d'IA que votre organisation utilise ou développe, avec une entrée par cas d'usage : ce que fait le système, qui en est responsable, quel fournisseur le livre, quelles données y entrent, comment il est classé au regard de l'AI Act et quels contrôles s'appliquent. Il se construit en quatre étapes : repérer ce qui est utilisé, décrire chaque cas d'usage avec des champs fixes, le classer, puis tenir le registre à jour. Un simple tableur partagé suffit pour commencer.

Ce guide fournit les champs à renseigner, trois exemples d'entrées et une routine de mise à jour. C'est une information générale, pas un conseil juridique. Pour toute décision aux conséquences juridiques, lisez le texte officiel du règlement sur l'IA (règlement (UE) 2024/1689 tel que modifié) et consultez un conseil qualifié.

Pourquoi un inventaire de l'IA vaut l'effort

L'AI Act n'exige pas en toutes lettres que chaque entreprise tienne un inventaire. Mais presque toutes ses obligations supposent de savoir quels systèmes d'IA vous utilisez et dans quel but :

Les mesures de maîtrise de l'IA doivent viser les personnes qui travaillent réellement avec des systèmes d'IA.
Les obligations de transparence s'appliquent dans des situations précises, comme les chatbots, les hypertrucages ou la reconnaissance des émotions.
Les obligations liées au haut risque dépendent de la finalité, par exemple le recrutement ou l'octroi de crédit.
Devenir fournisseur peut arriver si vous changez la destination d'un système ou y apposez votre nom.

Sans inventaire, chacune de ces questions doit être traitée de zéro, souvent dans l'urgence. D'autres équipes y gagnent aussi : la protection des données doit savoir où circulent les données personnelles, la sécurité informatique quels services externes reçoivent des données de l'entreprise, et la finance combien coûtent tous ces abonnements.

Ce que doit contenir l'inventaire

Commencez large, vous affinerez ensuite. Entrées typiques :

les assistants IA généralistes utilisés par le personnel, sous licence de l'entreprise ou non,
les fonctions d'IA intégrées aux logiciels existants : SIRH, CRM, outil de support, comptabilité, bureautique,
les automatisations et workflows qui appellent un modèle d'IA,
les chatbots et assistants développés en interne ou commandés,
les composants d'IA des produits que vous vendez,
les extensions de navigateur et plug-ins dotés de fonctions d'IA.

L'AI Act donne une définition juridique du « système d'IA », et tout outil vendu comme « IA » n'y répond pas forcément. Pour l'inventaire, mieux vaut inscrire un outil limite en notant le doute que l'omettre.

Étape 1 : repérer ce qui est réellement utilisé

Les listes officielles racontent rarement toute l'histoire. Croisez plusieurs sources :

Achats et factures : abonnements, licences et comptes d'API payés par l'entreprise ou remboursés en notes de frais.
Données informatiques : inventaire logiciel, journaux d'authentification unique (SSO), extensions de navigateur autorisées.
Éditeurs : demandez aux fournisseurs de vos principaux logiciels métier quelles fonctions d'IA sont actives ou prévues.
Équipes : un court questionnaire par service : quels outils d'IA utilisez-vous, pour quelles tâches, avec quelles données ?
Projets informatiques et de développement : tout ce qui appelle l'API d'un modèle.

Le questionnaire fonctionne mieux sans chercher de coupables. Si les gens craignent d'être sanctionnés pour un outil non autorisé, ils le tairont et l'inventaire restera incomplet. Expliquez que l'objectif est de pouvoir continuer à utiliser les outils utiles en toute sécurité, puis appuyez-vous sur votre charte IA.

Étape 2 : décrire chaque cas d'usage

Créez une ligne par cas d'usage, pas par outil. Ces champs couvrent les besoins de la plupart des organisations :

Champ	Ce qu'il faut indiquer
Identifiant et nom	Un nom court, par exemple « Brouillons de réponses aux e-mails, service client »
Finalité	À quoi sert le système, en une ou deux phrases
Outil et fournisseur	Nom du produit, éditeur, modèle si connu
Type	Assistant généraliste, fonction d'IA d'un logiciel, développement interne, workflow
Service et responsable	Qui répond de cet usage
Utilisateurs	Rôles et nombre approximatif de personnes
Personnes concernées	Clients, candidats, salariés, public
Données	Catégories de données d'entrée, présence de données personnelles ou confidentielles
Impact sur les décisions	Le résultat éclaire-t-il ou prend-il des décisions concernant des personnes ?
Contrôle humain	Qui vérifie le résultat et comment
Rôle au sens de l'AI Act	Déployeur, fournisseur ou les deux
Classification de risque	Interdit, haut risque, obligation de transparence, risque minimal ou « à évaluer »
Mesures de contrôle	Politiques, formations, étapes de relecture, contrats, accord de sous-traitance (article 28 RGPD)
Statut	Envisagé, pilote, autorisé, restreint, abandonné
Dates	Début d'utilisation, dernière revue, prochaine revue

Restez bref dans les champs libres. Un inventaire qui demande une heure par entrée ne sera pas tenu à jour.

Étape 3 : classer chaque cas d'usage

Pour chaque ligne, répondez à trois questions :

Quel est votre rôle ? Utiliser l'outil d'un éditeur fait généralement de vous un déployeur. Développer votre propre système, ou y apposer votre nom, peut faire de vous un fournisseur. Notre article sur les obligations des déployeurs selon l'AI Act explique la différence.
Quel niveau de risque s'applique ? C'est la finalité qui compte, pas la technologie. Les niveaux de risque de l'AI Act sont détaillés avec des exemples.
Quelles obligations en découlent ? Notez-les dans le champ des mesures de contrôle et désignez un responsable.

Le vérificateur de risque AI Act, gratuit, donne une première orientation par cas d'usage et liste les obligations à examiner selon votre rôle. Notez le résultat et la date, et signalez pour revue juridique tout ce qui semble relever du haut risque.

Exemples d'entrées

Trois lignes hypothétiques, abrégées :

Champ	Brouillons de réponses aux e-mails	Présélection de CV	Chatbot du site web
Finalité	Préparer des réponses aux e-mails clients	Classer les candidatures reçues	Répondre aux questions produits sur le site
Type	Assistant généraliste, licence entreprise	Fonction d'IA du logiciel RH	Développement sur une API LLM
Données personnelles	Oui, noms et commandes des clients	Oui, données des candidats	Possible, si l'utilisateur en saisit
Impact sur les décisions	Aucun, le conseiller envoie la réponse	Influence le choix des personnes convoquées	Aucun, simple information
Rôle	Déployeur	Déployeur	Probablement fournisseur du chatbot
Classification	Probablement risque minimal	Probablement haut risque (emploi)	Obligation de transparence
Mesures	Charte, formation, relecture de chaque brouillon	Suspendu en attente d'une revue juridique	Mention de l'IA, transfert vers un humain
Statut	Autorisé	Restreint	Pilote

L'exemple des CV montre pourquoi la classification compte. La fonction a pu être activée par une mise à jour du logiciel sans que personne n'ait décidé de s'en servir. Un inventaire assorti de questions aux éditeurs permet de le repérer.

Étape 4 : désigner des responsables et des mesures

Chaque ligne a besoin d'un seul responsable, en général la direction du service qui utilise le système, pas l'informatique. Cette personne veille à ce que :

les utilisateurs aient bénéficié de mesures de maîtrise de l'IA adaptées (voir maîtrise de l'IA et AI Act),
les étapes de relecture prévues aient réellement lieu,
tout changement de finalité ou de fonctions côté éditeur soit signalé,
l'entrée soit revue à la date prévue.

Une coordination centrale, souvent confiée à la conformité, au DPO ou à un référent IA, garantit un modèle homogène et suit les revues en attente.

Étape 5 : tenir l'inventaire à jour

Un inventaire vieillit vite. Intégrez sa mise à jour aux processus existants plutôt que de compter sur la mémoire :

Achats : aucun nouveau logiciel doté d'IA sans entrée dans l'inventaire.
Validation informatique : nouvelles clés d'API, extensions et intégrations déclenchent une entrée.
Mises à jour des éditeurs : quand un fournisseur annonce de nouvelles fonctions d'IA, le responsable vérifie si la classification change.
Nouvelles finalités : utiliser un outil autorisé pour une nouvelle tâche crée une nouvelle ligne, pas une modification.
Revue annuelle : chaque entrée est confirmée, mise à jour ou clôturée.

Relier l'inventaire à vos autres registres

Beaucoup d'entreprises tiennent déjà un registre des activités de traitement au titre de l'article 30 du RGPD. Faites des renvois croisés plutôt que de dupliquer les données : l'entrée de l'inventaire IA renvoie au traitement concerné, et le registre RGPD mentionne qu'un système d'IA intervient.

L'inventaire aide aussi à planifier selon le calendrier de l'AI Act. D'après la page de la Commission européenne sur l'AI Act, les interdictions et les obligations de maîtrise de l'IA s'appliquent depuis le 2 février 2025, et les règles de transparence depuis août 2026. Après les modifications de l'omnibus IA, entré en vigueur le 27 juillet 2026, les règles relatives aux systèmes à haut risque dans les domaines listés, comme l'emploi, s'appliquent à partir du 2 décembre 2027, et celles visant l'IA intégrée à des produits comme les ascenseurs ou les jouets à partir du 2 août 2028. Ces dates peuvent encore évoluer : vérifiez les sources officielles à jour.

Tableur ou outil dédié ?

Commencez par un tableur ou une liste dans votre outil collaboratif habituel. Cela suffit pour des dizaines d'entrées, et les champs comptent plus que le logiciel. Un outil de gouvernance dédié se justifie si vous avez beaucoup d'entrées, plusieurs relecteurs ou besoin de workflows et de pistes d'audit. Dans tous les cas, limitez qui peut modifier les classifications et conservez un historique des changements.

Les erreurs fréquentes

Recenser des outils au lieu d'usages. Un même outil peut figurer sur plusieurs lignes avec des classifications différentes.
Ne compter que ce que l'informatique a validé. Le risque se loge souvent dans les outils non officiels.
Oublier les fonctions d'IA des logiciels existants. Une mise à jour peut ajouter de l'IA à un outil utilisé depuis des années.
Pas de responsable par entrée. Sans responsabilité claire, les entrées se périment.
Le faire une fois pour toutes. Un inventaire déconnecté des achats et des validations est obsolète en quelques mois.
Trop de champs. Commencez par l'essentiel et n'ajoutez un champ que si quelqu'un en a besoin.

Checklist finale

Recenser les outils d'IA à partir des factures, des données informatiques, des éditeurs, des équipes et des projets.
Créer une ligne par cas d'usage avec les champs ci-dessus.
Déterminer le rôle et le niveau de risque de chaque ligne, en commençant par le vérificateur de risque AI Act.
Faire examiner juridiquement tout ce qui semble à haut risque ou interdit.
Attribuer un responsable et des mesures à chaque ligne.
Rattacher les mises à jour aux achats, à la validation informatique et aux changements chez les éditeurs.
Revoir chaque entrée au moins une fois par an.

FAQ

Qu'est-ce qu'un inventaire des systèmes d'IA ?

Un registre central de tous les systèmes d'IA qu'une organisation utilise ou développe, tenu par cas d'usage. Chaque entrée indique la finalité, le responsable, le fournisseur, les données concernées, la classification de risque, le rôle au sens de l'AI Act et les mesures de contrôle.

L'AI Act impose-t-il un inventaire de l'IA ?

Le règlement n'impose pas d'obligation générale d'inventaire à toutes les entreprises. Mais ses obligations dépendent des systèmes utilisés et de leur finalité : sans vue d'ensemble de vos usages, impossible en pratique de démontrer votre conformité. L'inventaire est le moyen le plus simple d'y parvenir.

Faut-il recenser des outils ou des cas d'usage ?

Des cas d'usage. Un même outil peut relever du risque minimal dans un service et du haut risque dans un autre, par exemple un modèle généraliste utilisé pour des textes marketing et pour classer des candidatures. Créez une entrée par finalité.

À quelle fréquence mettre à jour l'inventaire ?

À chaque achat d'un nouvel outil, à chaque ajout de fonctions d'IA à un outil existant ou à chaque nouvel usage, avec une revue complète au moins une fois par an. Rattachez la mise à jour aux achats et à la validation informatique pour qu'elle ne dépende pas de la mémoire de chacun.