Un inventaire doit permettre une décision, pas seulement un comptage
Ce dossier relit l'année 2025 depuis 2026. Les décisions proposées et le scénario sont illustratifs, sans résultat client CYTIZEN revendiqué. En 2025, de nombreuses organisations demandaient combien d'outils d'intelligence artificielle elles utilisaient. La question plus utile était : quels usages peuvent modifier une décision, transmettre une information ou agir sur un système, et qui est capable d'en répondre ? Une liste de fournisseurs ne permet pas cette qualification.
Un même outil peut servir à préparer un courriel, résumer une procédure et présélectionner des candidats. La présence d'un modèle identique ne rend pas ces usages équivalents. Leur finalité, les personnes affectées, les données, l'autonomie et l'intégration aux décisions comptent davantage que le nom commercial. L'inventaire opérationnel doit donc décrire un usage situé, puis relier celui-ci à un responsable, une qualification et une action.
Scénario illustratif : un abonnement cache quatre usages
Claire, responsable du programme IA, reçoit un tableau de huit abonnements. Le service juridique demande les systèmes à examiner en priorité. Les achats proposent de classer les fournisseurs par dépense. Malik, directeur des ressources humaines, ajoute que son équipe ne possède aucun outil IA : elle utilise seulement une fonction incluse dans son logiciel de recrutement.
Un atelier de quarante minutes identifie quatre usages du même abonnement : correction de courriels, recherche documentaire interne, classement de candidatures et préparation de comptes rendus. Les deux premiers disposent de propriétaires distincts ; le troisième n'a aucun dossier de décision ; le quatrième traite parfois des informations sensibles. Claire cesse de demander « avez-vous une IA ? » et demande « quelle sortie utilisez-vous, à quelle étape, avec quelle conséquence ? »
Le tableau de huit licences devient un registre de douze usages. Trois attendent une qualification approfondie, deux sont suspendus faute de responsable, et sept poursuivent un examen proportionné. Ces nombres sont un exemple de gouvernance, pas une estimation de ce qu'une entreprise devrait découvrir. La suspension n'est pas une déclaration d'illégalité : elle empêche une exploitation sans responsabilité connue.
Une ligne remplie vaut mieux que vingt champs vides
Chaque usage reçoit un identifiant stable et une description qui peut être comprise par le métier. Le fournisseur et le modèle sont des attributs, non l'identité du cas. Si le modèle change mais que le parcours reste identique, mettre à jour la version ; si la finalité ou l'autonomie change, revoir la qualification avant de traiter la modification comme une simple mise à niveau technique.
| Champ | Exemple rempli | Décision rendue possible |
|---|---|---|
| Identifiant et finalité | RH-04 : proposer un ordre de lecture des candidatures | Distinguer assistance rédactionnelle et sélection |
| Personnes affectées | Candidats externes ; recruteur utilisateur de la sortie | Examiner conséquences et contestation |
| Données et sortie | CV, exigences du poste, classement commenté | Évaluer pertinence, accès et conservation |
| Autonomie | Aucune notification automatique ; recruteur examine tous les dossiers | Vérifier que la supervision est effective |
| Responsabilités | Propriétaire RH ; applications pour intégration ; juridique pour qualification | Nommer celui qui autorise la mise en service |
| Version et prochaine revue | Configuration V3 ; revue avant ajout du rejet automatique | Déclencher une nouvelle analyse en cas d'évolution |
Cette fiche ne préjuge pas de la classe réglementaire finale. Elle rend la discussion possible et conserve la preuve de ce qui a été évalué. Ajouter les contrats, la notice fournisseur et les tests pertinents par lien, plutôt que recopier des descriptions longues qui divergeront rapidement.
Qualifier le rôle avant de cocher une catégorie
L'équipe doit déterminer qui fournit le système, qui le déploie et si une modification transforme son rôle dans la chaîne de valeur. Un achat ne suffit pas à conclure que l'entreprise n'est que cliente. Une intégration, un changement de finalité ou une modification substantielle peut demander une analyse distincte. Cette qualification relève des personnes compétentes, avec les éléments techniques et contractuels du cas.
Le métier décrit le parcours et la conséquence. L'IT décrit les accès, les interfaces et les actions possibles. Le fournisseur précise le fonctionnement, les limites et les engagements. La sécurité examine l'exposition et les abus. Le délégué à la protection des données intervient lorsque le traitement de données personnelles le justifie. Le juridique établit les obligations applicables. Le responsable de l'usage rassemble ces avis et porte les décisions d'exploitation ; il ne devient pas expert de toutes les disciplines.
Une sortie lue par un humain n'est pas automatiquement sans conséquence. Si le classement détermine en pratique les seuls dossiers consultés, la supervision peut être nominale. Examiner une séance réelle avec des cas préparés : combien de propositions le recruteur peut-il contester, dispose-t-il des données nécessaires et a-t-il le temps de les examiner ? Une case « humain dans la boucle » ne répond à aucune de ces questions.
La chronologie utile : année étudiée et état courant
Pour comprendre 2025, distinguer l'entrée en vigueur du règlement en 2024 de ses obligations devenant applicables par étapes. Les pratiques interdites et les obligations de maîtrise de l'IA ont commencé en février 2025 ; les règles de gouvernance et certaines obligations concernant les modèles à usage général ont suivi en août 2025. Il serait donc incorrect de traiter 2025 comme une période sans obligations.
Au 4 octobre 2026, la Commission indique une application générale depuis août 2026 avec exceptions, et décrit les modifications AI Omnibus : certains usages à haut risque relèvent désormais de décembre 2027, certains systèmes intégrés aux produits d'août 2028. Le registre doit retenir le texte, le rôle et l'échéance propres au cas, pas une date unique affichée pour toute l'organisation. Ce passage est un repère documentaire, pas une qualification juridique individuelle.
Prioriser avec trois questions observables
Première question : la sortie peut-elle modifier une décision importante pour une personne, un processus sensible ou la sécurité d'un produit ? Deuxième question : l'usage peut-il divulguer des données, contacter un tiers ou exécuter une action ? Troisième question : qui détecte une sortie incorrecte et peut arrêter son utilisation ? Les réponses déterminent l'ordre d'examen, sans remplacer les catégories légales.
Dans l'exemple, un score de tri interne sert seulement à organiser le travail : conséquence sur personne, deux points ; action externe, un point ; arrêt ou propriétaire non démontré, deux points. Le maximum vaut cinq. Les usages à quatre ou cinq passent en revue prioritaire, les autres suivent le processus normal. Un risque interdit présumé n'attend jamais son tour dans ce score : il est isolé pour examen immédiat. Ce barème pédagogique ne doit pas être présenté comme un calcul de conformité.
Pour chaque fiche, produire une action formulée avec un verbe et une preuve : démontrer les droits d'accès, documenter le rôle du recruteur, limiter les documents admis ou suspendre l'envoi automatique. « Sensibiliser » peut être nécessaire mais ne prouve pas une réduction d'exposition. La fermeture de l'action doit renvoyer à un test, une configuration ou une décision, pas uniquement à un compte rendu.
Mesurer la qualité du registre et prévoir les changements
Le taux de complétude utile est le nombre d'usages avec propriétaire, finalité, conséquence, données et décision à jour, divisé par les usages actifs recensés. Ne pas inclure les lignes purement exploratoires dans le dénominateur sans les distinguer. Pour douze usages actifs et neuf fiches exploitables, le taux est 75 %. La priorité est de traiter les trois fiches manquantes selon leur exposition, pas de créer trente champs supplémentaires.
Chaque changement de finalité, nouvelle source de données, nouvel outil connecté ou augmentation d'autonomie déclenche une revue. Le propriétaire informe le registre avant activation. L'équipe vérifie ensuite par échantillon que les usages déclarés correspondent aux configurations réelles. Une revue trimestrielle peut être adaptée à un portefeuille stable ; un système modifié chaque semaine nécessite un déclencheur lié aux versions plutôt qu'une attente calendaire.
Conserver les décisions successives permet de comprendre pourquoi un usage a été autorisé, restreint ou arrêté. Les achats doivent communiquer les changements de service annoncés par le fournisseur. Les départs de salariés et réorganisations doivent transférer les responsabilités, faute de quoi le registre vieillira même si la technologie ne change pas.
Ce qui change selon le parcours
En ressources humaines, documenter la conséquence sur les candidats ou salariés, le fonctionnement réel de la supervision et les voies de contestation. Une aide à rédiger une annonce et un classement de candidatures doivent avoir des fiches distinctes, même dans le même logiciel.
Dans la qualité industrielle, séparer la recherche d'une procédure approuvée de la génération d'une instruction à exécuter. Préciser la version documentaire, le périmètre validé et la personne autorisée à approuver un changement. Le registre ne doit pas transformer une réponse plausible en instruction contrôlée.
Pour un assistant commercial, identifier les données client admises, les destinataires possibles et les actions d'envoi. Une préparation de réponse relue et un engagement contractuel transmis automatiquement présentent des conséquences différentes. Le propriétaire commercial valide les limites de promesse et l'IT vérifie techniquement leur application.
Sources, méthode et limites
Sources primaires consultées le 4 octobre 2026 : Commission européenne, cadre et calendrier de l'AI Act ; Commission, entrée en vigueur de l'AI Omnibus ; NIST, AI Risk Management Framework. Le NIST apporte une référence volontaire de gestion des risques, pas une présomption de conformité européenne.
La méthode proposée est une organisation du travail de qualification : décrire, attribuer, examiner, décider et maintenir. Les champs et seuils sont des choix pédagogiques. Les obligations exactes nécessitent l'examen du système, de sa finalité, du rôle de l'organisation et des textes à jour. Cet article ne constitue ni un avis juridique certifié ni une déclaration de conformité d'un produit.