Vous ne pouvez vous conformer à aucune règle sur l'IA si vous ne savez pas quels systèmes d'IA votre entreprise utilise. La tâche de cette semaine est donc simple et universelle : faites une liste. Le règlement européen sur l'IA n'a pas d'article unique qui dise « tenez un registre d'IA », mais presque toutes les obligations que nous avons couvertes, de l'information à la classification des risques jusqu'à la formation du personnel, supposent que vous savez déjà quelle IA vous utilisez et qui s'en sert. Un inventaire d'IA est le socle sur lequel repose le reste de la conformité, et la bonne nouvelle, c'est qu'une liste courte et bien tenue vaut mieux qu'une liste énorme que personne ne met à jour.
Lors des deux derniers épisodes, nous avons exploré en profondeur les obligations des systèmes d'IA à haut risque. Cette semaine, nous revenons au niveau du sol, car il y a une étape qui précède tout cela, et que toute entreprise peut faire immédiatement quel que soit son niveau de risque : découvrir quels systèmes d'IA elle utilise réellement. Cela paraît évident, mais c'est la lacune la plus fréquente, et sans elle, aucune des autres règles ne peut être respectée.
Pourquoi l'inventaire vient en premier
Voici le tableau juridique honnête : le règlement européen sur l'IA ne contient aucun article qui dise littéralement « vous devez tenir un registre interne d'IA ». Mais cela induit en erreur à soi seul, car vous ne pouvez démontrer la conformité à presque aucune de ses obligations sans un tel registre. Repensez à ce que nous avons déjà couvert. Vous ne pouvez pas dire aux utilisateurs qu'ils parlent à un chatbot (la règle d'information) si vous ne savez pas quels outils sont de l'IA. Vous ne pouvez pas classer vos systèmes par niveau de risque si vous ne les voyez pas tous. Vous ne pouvez pas former votre personnel sur l'IA qu'il utilise (le devoir de culture de l'IA, en vigueur depuis février 2025) sans savoir quels systèmes tournent et qui les utilise. Dans chaque cas, la première étape est la même : une vue complète de votre IA.
Le plus grand angle mort a un nom : l'IA fantôme. Ce sont les outils d'IA que vos équipes ont discrètement commencé à utiliser, un assistant marketing par-ci, un outil de transcription par-là, un chatbot auquel un service s'est abonné, et que personne ne connaît de façon centralisée. Vous ne pouvez pas gouverner ce que vous ne voyez pas, et l'IA fantôme est exactement ce qui piège des entreprises par ailleurs prudentes. Et le risque n'est pas abstrait. Un outil que quelqu'un a adopté discrètement peut se révéler être une pratique interdite, comme le logiciel de reconnaissance des émotions au travail de l'épisode 4, ou un système à haut risque non déclaré, et ceux-là entraînent des amendes allant jusqu'à 35 millions d'euros. La liste manquante n'est pas ce qui est sanctionné ; c'est la raison pour laquelle vous n'avez jamais repéré l'outil qui l'est. Vos employés s'inscrivent, et la responsabilité est pour vous.
Si votre organisation a travaillé la protection des données, vous connaissez déjà ce geste. Un inventaire d'IA est l'équivalent, pour l'IA, du registre des activités de traitement du RGPD, le registre de la façon dont vous traitez les données personnelles. Ce registre est explicitement exigé par le droit de la protection des données, et beaucoup d'organisations se contentent désormais de l'étendre avec une dimension IA plutôt que de repartir de zéro. Si vous avez ce registre, vous êtes déjà à mi-chemin ; sinon, la même discipline s'applique.
Que mettre dans votre inventaire
Un inventaire d'IA n'a pas besoin d'être compliqué, mais chaque entrée devrait répondre aux questions qu'un régulateur, un client ou votre propre équipe poserait. Pour chaque système d'IA que vous utilisez, notez un petit ensemble de faits.
| Pour chaque système d'IA, notez | Pourquoi c'est important |
|---|---|
| Nom, description et usage réel | Ce que c'est et ce à quoi vous l'utilisez vraiment, pas la version brochure. |
| Responsable interne | Une personne dans votre organisation qui en répond, pas le fournisseur. |
| Votre rôle selon le règlement | Êtes-vous fournisseur, déployeur, importateur ou distributeur ? (Voir l'épisode 5.) |
| Classification des risques et justification | Dans quel niveau il entre et pourquoi, dont la catégorie de l'annexe III si à haut risque. (Voir l'épisode 3.) |
| Fournisseur et statut contractuel | Qui le fournit, et quelles garanties et documentation il offre. |
| Données personnelles et lien RGPD | Quelles données personnelles il touche, et le lien avec vos registres de protection des données. |
| Groupes d'utilisateurs | Qui l'utilise, ce qui détermine aussi vos devoirs de formation. |
| Statut et date de révision | S'il est actif, et quand vous avez vérifié l'entrée pour la dernière fois. |
Gardez-le court et vivant
Voici le conseil le plus important, et il est à l'opposé de ce que la plupart des gens supposent. Ne visez pas l'exhaustivité pour elle-même. Un registre court, révisé régulièrement et qui guide réellement les décisions vaut bien plus qu'un registre énorme et exhaustif que personne ne tient et qui est périmé en un mois. Le but n'est pas un document parfait ; c'est une image vivante de votre IA à laquelle vous pouvez vous fier quand une question surgit. Commencez par les systèmes que vous connaissez, ajoutez ceux que vous découvrez, et fixez une date récurrente pour le réviser.
Qui doit le faire
Toute entreprise qui utilise de l'IA, ce qui veut désormais dire presque toutes, y gagne, quel que soit son niveau de risque. Si toute votre IA est à faible risque, l'inventaire est justement ce qui vous permet de le prouver vite et avec assurance si on vous le demande. Si une partie se révèle à haut risque, l'inventaire est ce qui vous l'apprend en premier, pour agir avant qu'un régulateur ne le fasse. Et c'est de plus en plus pratique, pas seulement juridique : les appels d'offres, les processus d'achat et les clients commencent à demander quels systèmes d'IA vous utilisez et comment vous les avez évalués. Une réponse prête devient un avantage concurrentiel.
Votre action cette semaine
Ouvrez un simple tableur et commencez votre inventaire d'IA. Listez chaque système d'IA que vous savez utilisé par votre entreprise, puis demandez à chaque équipe quels outils elle a adoptés, c'est ainsi que vous faites remonter l'IA fantôme. Pour chaque système, remplissez les champs ci-dessus autant que possible, et ne cherchez pas la perfection au premier passage. Puis fixez un rappel récurrent, trimestriel est raisonnable, pour le réviser et le mettre à jour. Cette seule liste est le socle dont dépend toute autre règle de cette série, et la construire est l'étape de conformité la plus utile que la plupart des entreprises peuvent franchir aujourd'hui. La semaine prochaine, nous examinons une question que beaucoup d'entreprises hors d'Europe supposent à tort ne pas les concerner : si le règlement européen sur l'IA atteint votre entreprise même si vous n'êtes pas dans l'UE.
Questions fréquentes
Le règlement européen sur l'IA exige-t-il un inventaire ou un registre d'IA ?
Pas en ces termes, aucun article ne vous ordonne littéralement de tenir un registre interne d'IA. Mais en pratique vous ne pouvez démontrer la conformité à presque aucune obligation sans un tel registre, des règles de transparence et d'information à la classification des risques et à la formation du personnel. Un inventaire est le socle pratique sur lequel reposent les autres exigences du règlement.
Qu'est-ce que l'IA fantôme, et pourquoi est-ce important ?
L'IA fantôme, ce sont les outils d'IA que vos équipes commencent à utiliser sans supervision centrale, un assistant de rédaction, un service de transcription, un chatbot auquel un service s'est abonné. C'est important car vous ne pouvez gouverner, classer ni signaler ce dont vous ignorez l'existence, et l'IA fantôme est l'angle mort le plus fréquent qui mine une conformité par ailleurs soignée. La faire remonter est une raison clé de bâtir un inventaire.
Que doit contenir un inventaire d'IA ?
Pour chaque système : son nom, sa description et son usage réel ; un responsable interne ; votre rôle selon le règlement (fournisseur, déployeur, importateur, distributeur) ; sa classification des risques et la justification ; le fournisseur et le statut contractuel ; les données personnelles touchées et le lien avec vos registres RGPD ; qui l'utilise ; et son statut avec une date de révision. Gardez chaque entrée courte et utile plutôt qu'exhaustive.
Est-ce la même chose que nos registres RGPD ?
C'est étroitement lié. Un inventaire d'IA est l'équivalent, pour l'IA, du registre des activités de traitement du RGPD, que le droit de la protection des données exige explicitement. Beaucoup d'organisations étendent ce registre existant avec une dimension IA plutôt que d'en bâtir un séparé. Si vous tenez déjà des registres RGPD, vous avez une bonne longueur d'avance.
Nous n'utilisons que de l'IA à faible risque. En avons-nous quand même besoin ?
Oui, et c'est plus facile pour vous. Si toute votre IA est à faible risque, l'inventaire est ce qui vous permet de le montrer vite et avec assurance si un régulateur, un client ou un appel d'offres le demande. Il repère aussi le moment où un nouvel outil vous fait basculer dans une catégorie à risque plus élevé. Une liste courte et tenue à jour est peu coûteuse et très utile, quel que soit votre niveau de risque.
Suivez la série, mettez-vous en conformité une règle à la fois
Ceci est la partie 7 de notre guide hebdomadaire de la réglementation de l'IA, qui décortique une règle à la fois pour que la conformité paraisse gérable plutôt qu'écrasante. Explorez d'autres guides clairs et honnêtes sur AISetApp et suivez chaque semaine.
Explorer AISetApp- Règlement européen sur l'IA (règlement (UE) 2024/1689), article 4 (culture de l'IA, en vigueur depuis le 2 février 2025), article 50 (transparence), et articles 49 et 71 (enregistrement des systèmes à haut risque)
- Analyses 2026 sur la question de savoir si un inventaire ou registre d'IA est requis par le règlement européen sur l'IA, et le parallèle avec le registre des activités de traitement du RGPD (article 30), d'aiactblog.nl et de guides de conformité
- Listes de contrôle de praticiens sur les inventaires de systèmes d'IA, l'IA fantôme et la classification des risques, 2026
Révisé en octobre 2026. Ceci est un explicatif, pas un conseil juridique. La loi évolue ; vérifiez les détails auprès d'un professionnel qualifié avant d'agir.
Recherché et rédigé avec l'assistance de l'IA, revu et édité par Yasser El Hardouz, qui assume la responsabilité éditoriale de cet article.