Un inventaire des systèmes d'IA est la liste de tous les systèmes d'intelligence artificielle qu'une organisation utilise ou développe, avec leur finalité, leur responsable, les données qu'ils traitent, le rôle de l'entreprise pour chacun et leur niveau de risque au sens du règlement sur l'IA. C'est le point de départ de tout programme de conformité à l'AI Act ou à l'ISO/IEC 42001 : sans lui, impossible de savoir quels systèmes sont à haut risque ni quelles obligations s'appliquent.
Le règlement n'emploie pas le mot « inventaire », mais toutes ses obligations supposent de savoir quels systèmes existent. Et le plus difficile n'est pas de remplir la liste : c'est de trouver ce qui n'y figure pas.
Ce qui compte comme système d'IA
L'article 3, point 1, du règlement (UE) 2024/1689 définit le système d'IA comme un système automatisé qui fonctionne avec un certain degré d'autonomie et qui, à partir des entrées qu'il reçoit, déduit la manière de générer des résultats tels que des prédictions, du contenu, des recommandations ou des décisions. Le mot qui sépare l'IA du logiciel classique, c'est « déduit ». Un tableur avec des formules figées n'en est pas un ; un modèle qui apprend à partir de données pour noter des clients, si.
La Commission a publié en février 2025 des lignes directrices sur la définition du système d'IA, avec des exemples de ce qui entre ou non dans le champ. En cas de doute, nous l'inscrivons à l'inventaire et nous notons pourquoi il est écarté. Une exclusion documentée se justifie plus facilement qu'un système absent de la liste.
Où se cache l'IA que personne n'a déclarée
Si l'on se contente de demander aux métiers quelle IA ils utilisent, on obtient en général les projets internes et l'assistant conversationnel acheté par l'entreprise. Le reste passe sous le radar, parce que personne n'y voit « un système d'IA » :
Pour la débusquer, nous croiserions trois sources plutôt que de tout miser sur un questionnaire :
- Contrats et achats. Passer en revue les contrats logiciels et les dépenses d'abonnement à la recherche de fonctions d'IA. C'est la source la plus fiable, car tout ce qui se paie laisse une trace.
- Un questionnaire court pour chaque service. Cinq ou six questions sur les outils utilisés pour décider, classer ou générer du contenu, avec des exemples concrets. Les questions ouvertes (« utilisez-vous l'IA ? ») donnent des réponses creuses.
- Les journaux techniques. L'équipe informatique peut voir, dans le proxy ou l'authentification unique, quels services d'IA sont utilisés depuis le réseau de l'entreprise.
Les informations à tenir pour chaque système
Un inventaire utile n'est pas une liste de noms. Pour chaque système, au minimum :
| Information | À quoi elle sert |
|---|---|
| Nom, finalité et service | Savoir ce qu'il fait et dans quel processus. C'est la finalité qui détermine s'il est à haut risque. |
| Responsable nommé | Une personne, pas un département. |
| Fournisseur ou développement interne | À qui demander la documentation et qui répond de quoi. |
| Rôle de l'entreprise | Fournisseur, déployeur, importateur ou distributeur. Chaque rôle a ses propres obligations. |
| Données utilisées | S'il traite des données personnelles, le relier au registre des activités de traitement du RGPD. |
| Personnes concernées | Clients, salariés, candidats, citoyens. Cela pèse sur le risque et sur la FRIA. |
| Niveau de risque et justification | Interdit, haut, limité ou minimal, avec l'article ou le point de l'annexe III qui le justifie. |
| Statut | Pilote, production ou retiré. Un pilote que personne n'arrête finit en production. |
Le rôle de l'entreprise mérite qu'on s'y arrête. Celui qui achète un système est en général déployeur, avec les obligations de l'article 26. Mais selon l'article 25, s'il y appose son nom ou sa marque, le modifie de façon substantielle ou l'utilise pour une finalité à haut risque que le fournisseur n'avait pas prévue, il hérite des obligations du fournisseur. Cela arrive souvent sans que personne ne s'en aperçoive, et c'est dans l'inventaire qu'on le voit.
Comment nous le garderions à jour
Un inventaire fait une seule fois est dépassé en quelques mois, car chaque trimestre de nouvelles fonctions d'IA apparaissent dans les outils déjà en place. Voici ce que nous ferions :
- Ajouter la question « contient-il de l'IA ? » au processus d'achat de logiciels et au lancement des projets, pour que les nouveaux systèmes entrent d'eux-mêmes.
- Revoir l'inventaire complet au moins une fois par an et à chaque changement de finalité d'un système.
- Demander au fournisseur de chaque système la documentation que le règlement lui impose, en particulier la notice d'utilisation, et la conserver avec la fiche.
- Relier chaque système à ses risques, à ses contrôles et, s'il est à haut risque, à son analyse d'impact sur les droits fondamentaux.
Dans GlobalSuite® AI Governance, l'inventaire intègre déjà les niveaux de risque de l'AI Act, et chaque système passe par un questionnaire de classification. Depuis sa fiche, on relie ses risques, ses exigences et ses incidents : l'inventaire n'est pas une liste à part, c'est la base de tout le reste.
Les échéances pour être prêt figurent dans le calendrier de l'AI Act après l'omnibus numérique.
