Inventaire des systèmes IA : l’exigence du règlement européen sur l’IA que toute organisation doit respecter
Si votre organisation utilise des outils IA, ce qui est le cas de presque toutes en 2026, vous êtes probablement assis sur une bombe à retardement de conformité. Le règlement européen sur l’IA, les normes australiennes de sécurité IA et les cadres mondiaux émergents exigent tous que les organisations sachent quels systèmes IA elles utilisent, qui les emploie et quelles données sont traitées.
Le problème ? La plupart des organisations n’en ont aucune idée.
Une enquête de 2025 a révélé que 78 % des équipes IT d’entreprise ne pouvaient pas nommer précisément tous les outils IA utilisés activement par leurs employés. L’IA fantôme, l’usage d’outils IA non sanctionnés hors de la visibilité IT, rend presque impossible la tenue d’un inventaire précis des systèmes IA par des processus manuels seuls.
Ce guide explique ce qu’est un inventaire des systèmes IA, pourquoi c’est désormais une obligation légale dans de nombreuses juridictions, et comment en construire un avant que les régulateurs (ou les attaquants) ne l’imposent.
Qu’est-ce qu’un inventaire des systèmes IA ?
Un inventaire des systèmes IA est un catalogue structuré de chaque système d’intelligence artificielle utilisé dans votre organisation. Cela inclut :
- **Outils sanctionnés** approuvés et déployés par l’IT (Microsoft Copilot, ChatGPT Enterprise, Salesforce Einstein)
- **Outils d’IA fantôme** utilisés de manière indépendante par les employés (comptes personnels ChatGPT, Claude, Gemini, Perplexity)
- **IA intégrée** dans les plateformes SaaS existantes (Grammarly, Notion IA, compagnon IA Zoom)
- **Modèles personnalisés** développés en interne ou par des prestataires tiers
- **Agents et automatisations IA** exécutant des tâches planifiées ou déclenchées par événements
Pour chaque système, un inventaire complet doit recenser : le nom et la version de l’outil IA, les données traitées, les personnes ayant accès, les décisions influencées, le fournisseur et les conditions contractuelles de traitement des données, ainsi que la classification des risques.
Pourquoi l’inventaire des systèmes IA est désormais une obligation légale
Règlement européen sur l’IA
Le règlement européen sur l’IA, entré en vigueur en août 2024 et pleinement applicable à partir de 2026, exige explicitement que les organisations déployant ou utilisant des systèmes IA tiennent une documentation de ces systèmes. Pour les systèmes IA à haut risque - couvrant des domaines comme les décisions d’emploi, le scoring de crédit, l’identification biométrique et les infrastructures critiques - une documentation technique détaillée et un journal de bord sont obligatoires.
Les organisations incapables de démontrer les systèmes IA qu’elles exploitent s’exposent à des amendes pouvant atteindre 15 millions d’euros ou 3 % du chiffre d’affaires annuel mondial en cas de non-conformité.
Normes australiennes de sécurité IA
La norme volontaire australienne de sécurité IA (2024) et le cadre obligatoire à venir pour les cas d’usage IA à haut risque insistent tous deux sur la transparence et la responsabilité - ce qui commence par savoir ce que vous possédez. L’Australian Signals Directorate (ASD) a également identifié la gouvernance IA comme une priorité pour les organisations soumises au cadre Essential Eight.
ISO 42001
L’ISO 42001, norme internationale pour les systèmes de gestion IA publiée en décembre 2023, exige que les organisations établissent, mettent en œuvre, maintiennent et améliorent continuellement un système de gestion IA - ce qui repose fondamentalement sur un inventaire complet des systèmes IA concernés.
RGPD et loi australienne sur la protection de la vie privée
Tout outil IA traitant des données personnelles est soumis aux réglementations sur la vie privée. Sans inventaire, vous ne pouvez pas réaliser les évaluations d’impact sur la protection des données (DPIA) requises, répondre précisément aux demandes d’accès des personnes concernées, ni démontrer votre conformité. Selon les réformes de la loi australienne sur la vie privée, les informations personnelles traitées par des outils IA tiers restent sous la responsabilité de l’organisation collectrice.
Le problème de l’IA fantôme
Voici une réalité inconfortable : les approches traditionnelles pour constituer un inventaire des systèmes IA ne fonctionnent pas.
Un processus manuel - demander aux responsables de service de lister leurs outils IA, examiner les dossiers d’achat, auditer les listes de logiciels approuvés - passera à côté de la majorité des usages IA dans votre organisation. Les employés utilisent régulièrement des comptes personnels pour des outils IA, des extensions de navigateur avec IA intégrée, ou accèdent à des fonctionnalités IA dans des outils que le service informatique ne savait pas dotés de capacités IA.
Les recherches montrent systématiquement que les employés utilisent 3 à 5 outils IA invisibles pour le service informatique. Dans les grandes organisations, le nombre de points de contact IA non détectés peut atteindre plusieurs centaines.
Cela crée un problème direct de conformité. Si votre inventaire des systèmes IA repose uniquement sur l’auto-déclaration et les données d’achat, il sera incomplet - et un inventaire incomplet ne protège pas lors d’un audit réglementaire ou d’une enquête sur une violation de données.
Comment constituer un inventaire précis des systèmes IA
Étape 1 : Découvrir ce qui est déjà utilisé
Avant de pouvoir cataloguer les systèmes IA, vous devez les localiser. Cela nécessite une découverte active selon trois axes :
Analyse du trafic réseau et DNS - Les outils IA effectuent des appels API sortants vers des points de terminaison reconnaissables (api.openai.com, claude.ai, gemini.google.com, etc.). L’analyse du trafic sortant révèle quels outils sont activement utilisés, y compris les comptes personnels.
Audits des extensions et plugins de navigateur - De nombreux outils IA fonctionnent entièrement via des extensions de navigateur (Grammarly, Otter.ai, Monica AI). Un audit logiciel standard ne les détectera pas.
Revue des fonctionnalités IA des plateformes SaaS - Des plateformes comme Salesforce, HubSpot, Notion, Zoom et Microsoft 365 ont déployé des fonctionnalités IA qui peuvent être activées par défaut. Passez en revue les capacités IA de chaque plateforme et vérifiez leur activation.
Programmes de déclaration des employés - Créez un processus sûr et non punitif pour que les employés déclarent les outils IA qu’ils utilisent. Facilitez la démarche et présentez-la comme un soutien, non une surveillance.
Étape 2 : Classifier chaque système IA selon le risque
Tous les outils IA n’ont pas le même poids en matière de conformité. Une fois découverts, classez chaque système :
- **Risque critique** : IA utilisée dans des décisions affectant des personnes (recrutement, prêts, gestion des performances, contrôle d’accès)
- **Risque élevé** : IA traitant des données sensibles ou personnelles à grande échelle (analyse de données clients, dossiers médicaux, données financières)
- **Risque moyen** : IA utilisée dans des flux de travail internes avec exposition limitée aux données personnelles
- **Risque faible** : IA utilisée pour la productivité générale sans saisie de données sensibles (résumé de contenu public, assistance au codage avec données anonymisées)
Étape 3 : Documenter les flux de données pour chaque système
Pour chaque outil IA catalogué, documentez :
- Les types de données saisies (données personnelles, données commerciales confidentielles, propriété intellectuelle)
- L’emplacement et le traitement de ces données (serveurs du fournisseur, géographie, durée de conservation)
- Si les données sont utilisées pour entraîner les modèles du fournisseur
- Qui a accès aux résultats
Cette documentation constitue la base de vos obligations DPIA selon le RGPD et la loi australienne sur la vie privée.
Étape 4 : Mettre en place une surveillance continue
Un inventaire des systèmes IA n’est pas un audit ponctuel - c’est un document vivant. De nouveaux outils IA apparaissent chaque semaine. Les plateformes SaaS existantes ajoutent constamment des fonctionnalités IA. Les employés modifient leur usage des outils.
Une surveillance continue efficace nécessite une découverte automatisée qui scanne en permanence les nouveaux points de contact IA, plutôt que de s’appuyer sur des audits manuels périodiques. Sans automatisation, votre inventaire sera obsolète en quelques semaines.
Étape 5 : Établir un cadre de gouvernance
Une fois que vous savez quels systèmes IA existent et comment ils sont utilisés, vous devez un cadre de gouvernance pour les gérer :
- Une politique d’utilisation acceptable de l’IA définissant les outils approuvés et leurs modalités d’usage
- Un processus permettant aux employés de demander l’approbation de nouveaux outils IA
- Des règles claires de gestion des données (ce qui peut ou ne peut pas être saisi dans les outils IA)
- Des cycles de revue réguliers pour mettre à jour les classifications au fur et à mesure de l’évolution des outils
À quoi doit ressembler un inventaire des systèmes IA
Une entrée bien structurée dans un inventaire des systèmes IA pourrait ressembler à ceci :
Outil : ChatGPT (comptes personnels, OpenAI) Statut : IA fantôme - non autorisée Données traitées : Emails clients (confirmé), documentation interne (suspectée) Classification du risque : Élevé - exposition de données personnelles Politique fournisseur : Les données peuvent être utilisées pour l’entraînement du modèle sauf désactivation (niveau Enterprise requis) Utilisateurs : Estimé à plus de 40 employés dans les équipes Ventes, Support, Marketing Action requise : Imposer le niveau Enterprise avec DPA, ou bloquer l’accès aux comptes personnels Dernière revue : mars 2026
Le coût de l’absence d’inventaire
Les conséquences d’une gouvernance IA insuffisante ne sont pas théoriques. En 2025, plusieurs entreprises européennes ont fait l’objet de sanctions RGPD liées à l’utilisation d’outils IA par leurs employés, non évaluée dans leurs cadres de protection des données. Les régulateurs australiens ont indiqué que les violations de la vie privée liées à l’IA seront traitées avec la même rigueur que les violations de données traditionnelles dans le cadre des réformes à venir de la loi sur la vie privée.
Au-delà du risque réglementaire, il y a le risque opérationnel : un employé qui copie des données clients dans un outil IA qui conserve et utilise ces données pour l’entraînement crée une obligation de déclaration de violation. Sans inventaire, vous ne saurez pas que cela s’est produit avant que le dommage soit fait.
Comment Aona aide
Aona a été conçu pour résoudre le problème de l’inventaire des systèmes IA. Plutôt que de s’appuyer sur l’auto-déclaration ou les dossiers d’achat, Aona découvre automatiquement l’usage des outils IA dans votre organisation grâce à une visibilité au niveau réseau - y compris les comptes personnels, les extensions de navigateur et les fonctionnalités IA intégrées dans les outils SaaS existants.
Aona fournit un inventaire des systèmes IA continuellement mis à jour montrant :
- Chaque outil IA en usage actif dans votre organisation
- Quels employés utilisent chaque outil
- Quelles catégories de données sont traitées
- Les classifications de risque alignées sur le règlement européen IA, l’ISO 42001 et les cadres australiens
- L’application des politiques pour bloquer ou alerter en cas d’usage non conforme
Pour les organisations devant démontrer leur gouvernance IA aux régulateurs, clients ou conseils d’administration, la sortie d’inventaire d’Aona fournit la documentation prête pour l’audit requise.
Prêt à découvrir quels systèmes IA fonctionnent réellement dans votre organisation ? [Réservez une démo](/book-demo) pour obtenir votre inventaire des systèmes IA en moins de 24 heures.
