Réponse courte
Le premier chantier de conformité IA n’est pas la rédaction d’une charte. C’est l’inventaire des usages réels : quels outils sont utilisés, pour quelles tâches, avec quelles données, sur quelles personnes et sous la responsabilité de qui ? Sans cette cartographie, la classification juridique reste théorique.
À retenir
- ✓L’IA entre dans l’entreprise par les usages
- ✓Le shadow AI n’est pas d’abord un problème disciplinaire
- ✓Cinq informations suffisent pour commencer
- ✓La classification vient après la description
L’IA entre dans l’entreprise par les usages
Un outil de rédaction testé par le marketing, une fonction de résumé activée dans une suite bureautique, un module de recrutement, un chatbot client ou une maintenance prédictive ne soulèvent pas les mêmes questions. Pourtant, ils peuvent être regroupés sous l’étiquette vague « nous utilisons de l’IA ».
Cette formule est inutilisable pour piloter. Le risque dépend du contexte : finalité, données, degré d’automatisation, population concernée, importance de la décision et possibilité de contrôle humain. Deux équipes utilisant le même service peuvent donc avoir des obligations et des risques différents.
Le shadow AI n’est pas d’abord un problème disciplinaire
Les usages non déclarés apparaissent souvent parce que les outils sont accessibles et utiles. Les interdire sans proposer de cadre encourage le contournement. À l’inverse, autoriser sans visibilité expose l’organisation à des transferts de données non maîtrisés, à des résultats erronés ou à des décisions difficiles à expliquer.
L’inventaire doit donc être présenté comme un moyen de rendre possibles les bons usages. Il permet d’identifier rapidement les cas simples, les expérimentations à encadrer et les situations qui exigent une analyse approfondie.
Cinq informations suffisent pour commencer
Pour chaque usage, l’organisation peut relever : l’outil ou le système concerné ; la tâche et la finalité ; les données entrantes et sortantes ; les personnes affectées ; le propriétaire métier. Il est ensuite possible d’ajouter le fournisseur, le niveau d’automatisation, les contrôles, les incidents et la date de révision.
Cette cartographie doit être menée avec les métiers. La DSI voit les applications, mais pas toujours les pratiques. Le DPO comprend les enjeux de données, mais ne connaît pas seul l’importance opérationnelle. Les ressources humaines, les achats, la sécurité et les responsables de processus détiennent chacun une partie du tableau.
La classification vient après la description
Le règlement européen sur l’IA suit une approche par les risques. Pour déterminer si une pratique est interdite, soumise à transparence, à des obligations spécifiques ou à un régime de risque élevé, il faut d’abord décrire précisément le système et son usage. Le nom commercial du produit ne suffit pas.
La cartographie facilite aussi le travail RGPD. Lorsqu’un système traite des données personnelles, il faut examiner la finalité, la base légale, la minimisation, l’information, les droits, la sécurité et, lorsque le risque est élevé, la nécessité d’une AIPD. La CNIL rappelle que RGPD et règlement sur l’IA peuvent s’appliquer simultanément.
Un inventaire doit vivre avec les expérimentations
L’erreur serait de lancer une campagne annuelle lourde. Un formulaire court, un responsable identifié et un circuit de validation proportionné permettent d’intégrer les nouveaux usages au fil de l’eau. L’organisation peut alors distinguer découverte, test limité, pilote et production, avec des exigences adaptées à chaque étape.
Ce que Lyopi apporte
Lyopi aide à recenser les usages IA et à les relier aux traitements de données, aux responsables, aux risques, aux actions et aux preuves. Cette vue commune évite de créer une gouvernance IA séparée du reste de la conformité. Les qualifications proposées doivent être confirmées par les personnes compétentes.
Questions fréquentes
Les réponses essentielles
Faut-il inventorier les outils d’IA générative gratuits ?
Oui, dès lors qu’ils sont utilisés pour une activité professionnelle. Le niveau d’analyse peut être proportionné, mais l’organisation doit connaître les usages et les données qui y sont introduites.
L’inventaire doit-il porter sur les produits ou sur les usages ?
Sur les deux, avec une priorité donnée à l’usage. Un même produit peut être utilisé pour une tâche sans impact ou pour une décision sensible.
Qui doit tenir l’inventaire IA ?
Un pilote doit être nommé, mais la collecte est nécessairement collective. Les métiers décrivent les usages ; les fonctions juridique, données, sécurité, RH et achats apportent leur analyse.
Sources
Textes et ressources de référence
Sources consultées et vérifiées lors de la mise à jour du 11 août 2026.
- digital-strategy.ec.europa.euCommission européenne - Cadre réglementaire de l’AI Act
Référence utilisée pour vérifier le cadre et les recommandations de cette analyse.
- www.cnil.frCNIL - Développement des systèmes d’IA : recommandations RGPD
Référence utilisée pour vérifier le cadre et les recommandations de cette analyse.
- www.cnil.frCNIL - Comment déployer une IA générative
Référence utilisée pour vérifier le cadre et les recommandations de cette analyse.
Note éditoriale : cette ressource fournit une information générale. Elle ne constitue ni un conseil juridique ou assurantiel personnalisé, ni une certification NIS2, ni une garantie de couverture.