Non classé
Combien de systèmes d’IA tournent aujourd’hui dans votre SI ? Si vous avez besoin d’un temps de réflexion, c’est que vous n’avez pas d’inventaire. Et sans inventaire, pas de gouvernance, pas de conformité AI Act et pas de maîtrise de vos coûts.
Les IA sont désormais dans votre SI. Un projet data peut mettre un modèle en production, un éditeur SaaS peut activer un assistant IA lors d’une mise à jour et une direction métier peut créer un agent sur une plateforme low-code sans passer par la DSI.
Et le phénomène s’accélère. Gartner prévoit qu’en 2028, les grandes entreprises utiliseront plus de 150 000 agents en moyenne alors qu’elles en avaient moins de 15 en 2025. Seulement 13 % des organisations estiment avoir la bonne gouvernance des agents. La deuxième des six étapes recommandées est justement de construire un inventaire centralisé des agents.
En France, le manque de visibilité est déjà dénoncé. Selon l’étude Okta Global CISO Insights 2026, 88 % des RSSI français interrogés constatent au moins un usage d’IA non autorisé dans leur organisation. Dans le monde, moins d’un RSSI sur deux (47 %) se dit capable d’identifier tous les agents IA de son entreprise.
Inventaire, registre, cartographie des système IA
L’inventaire des systèmes d’IA constitue le socle. Il comprend la liste exhaustive des IA utilisées ou développées par l’entreprise, avec une fiche par système.
Le registre IA est l’inventaire mis sous gouvernance, avec ses classifications de risque, ses propriétaires et ses décisions. C’est ce qu’attendent les juristes et des responsables conformité.
La cartographie des systèmes d’IA représente la vue qui relie chaque IA aux processus métier, aux sources de données, aux applications et aux flux du SI. C’est celle dont la DSI a besoin pour gérer les risques et les dépendances.
Il ne faut pas confondre ce registre interne avec deux autres obligations réglementaires qui portent un nom similaire. L’e registre interne n’est donc pas une case à cocher réglementaire. En revanche, c’est un outil qui vous permet de remplir toutes les autres obligations.
| Quoi | Règlementation | Qui est concerné | Contenu |
| Inventaire ou registre IA interne | Aucune | Toute organisation qui utilise de l’IA | Tous les systèmes d’IA quel que soit leur risque |
| Enregistrement dans la base de données de l’UE | AI Act, article 49 | Fournisseurs de systèmes à haut risque et déployeurs publics | Les seuls systèmes à haut risque |
| Registre des activités de traitement | RGPD, article 30 | Tout responsable de traitement | Les traitements de données personnelles, avec ou sans IA |
Pourquoi l’inventaire des IA est devenu prioritaire ?
L’AI Act s’applique par vagues et chaque vague suppose de savoir quelles IA vous utilisez.
- Depuis le 2 février 2025 : Les pratiques interdites (article 5) s’appliquent et pour prouver que vous n’en utilisez aucune, vous devez toutes les connaitre.
- Depuis le 27 juillet 2026 : L’Omnibus IA (règlement 2026/1744) fait de la maîtrise de l’IA (article 4) une obligation de moyens. Elle reste à la charge de l’entreprise et former les bonnes personnes suppose de savoir qui utilise quelle IA.
- Depuis le 2 août 2026 : Les obligations de transparence (article 50) s’appliquent aux déployeurs, par exemple signaler un contenu généré par IA.
- Au 2 décembre 2027 : Les obligations « haut risque » de l’annexe III (recrutement, crédit, assurance santé) entrent en application. Un outil RH peut vous asservir à cette obligation sans que vous le sachiez au moment du choix.
Nous détaillions ce calendrier dans l’épisode 1 de cette série.
Les référentiels convergent également vers la nécessité de maintenir un inventaire. La norme ISO/IEC 42001 exige de définir le périmètre de son système de management de l’IA et le cadre de gestion des risques de l’IA du NIST en fait une exigence explicite (GOVERN 1.6) avec la mise en place de mécanismes qui doivent permettre d’inventorier les systèmes d’IA.
Enfin, l’inventaire est la condition de la gouvernance des agents IA décrite dans l’épisode 2.
On ne gouverne pas ce qu’on ne voit pas. L’inventaire est la première brique.
Que faut-il recenser ? Les quatre catégories d’IA de votre SI
Un inventaire ne peut pas se limiter aux projets IA de la DSI, il doit couvrir :
- Les IA développées en interne : Modèles de machine learning, assistants RAG, agents développés par vos équipes ou par un prestataire. Bonne nouvelle, ce sont généralement les mieux documentées.
- Les IA embarquées dans les logiciels : Assistant du CRM, module de présélection du SIRH, détection d’anomalies de l’ERP. Elles sont souvent introduites lors d’une mise à jour et activées par défaut.
- L’IA générative en libre-service : Assistants conversationnels, extensions de navigateur, outils de transcription de réunion, etc. et autres « shadow IA ».
- Les agents conçus par les métiers : Systèmes d’automatisations et agents créés sur des plateformes low-code ou no-code qui peuvent être connectés à la messagerie, au CRM ou au partage de fichiers.
C’est évidemment cette dernière catégorie qui comporte le plus de risques. Ces agents agissent avec les droits de la personne qui les a créés et ils sont rarement désactivés. Selon Okta, 21 % des organisations gèrent l’accès de leurs agents avec des identifiants partagés ou des comptes de service aux droits larges.
Comment découvrir les IA de votre SI ?
Un questionnaire déclaratif envoyé aux métiers ne suffit pas car il ne remonte que ce que les collaborateurs savent être de l’IA. La DSI doit le croiser avec d’autres sources.
- Le déclaratif : Un questionnaire par direction, complété par des entretiens avec les référents. Il révèle l’intention et l’usage réel.
- Les achats et les notes de frais : Abonnements à des outils d’IA, factures d’API de modèles, options IA ajoutées aux contrats SaaS. Les achats sont une source d’information à ne pas négliger.
- Les journaux réseau : Proxy, passerelle web, CASB et DNS révèlent les appels vers les domaines des fournisseurs d’IA. Ils permettent de mesurer les volumes par service.
- Les consentements et applications d’entreprise : Dans votre annuaire (Entra ID, Google Workspace), vous trouvez les autorisations OAuth accordées à des applications tierces et les extensions de navigateur installées.
- Les plateformes low-code et les clés d’API : Liste des agents et des automatisations publiés, connecteurs utilisés et clés d’API de modèles en circulation. Une passerelle IA, si vous en avez une, en donne la vue directe.
- Le code et la CMDB : Dépôts de code qui appellent un SDK de modèle ou téléchargent un modèle, fiches applicatives de la CMDB dont l’éditeur annonce une fonction IA.
Il est important de préciser que l’objectif est de cartographier des usages, pas de surveiller des salariés. En effet, l’article L1222-4 du Code du travail interdit de collecter une information sur un salarié par un dispositif qui ne lui a pas été porté à sa connaissance. Vous devez donc aussi Informer le comité d’entreprise et mener cette investigation sur des données agrégées par service.
La fiche d’identité d’un système d’IA
Chaque système IA recensé reçoit une fiche d’identité. Voici les rubriques que nous recommandons, du minimum vital aux champs propres aux agents.
01
Identification
Champs : Nom, version, éditeur ou équipe, date de mise en production, statut (en test, en production, retiré)
Pourquoi : Savoir de quoi il s’agit
02
Propriétaires
Champs : Responsable métier nommé, responsable technique
Pourquoi : Savoir qui répond du système
03
Finalité
Champs : Processus métier, utilisateurs, personnes concernées, décision aidée ou automatisée
Pourquoi : Qualifier le risque et l’usage
04
Qualification AI Act
Champs : Rôle (fournisseur ou déployeur), niveau de risque, justification, date de réexamen
Pourquoi : Savoir quelles obligations s’appliquent
05
Niveau d’autonomie
Champs : De 1 (assistant) à 4 (exécutant autonome étendu)
Pourquoi : Fixer le niveau de contrôle (voir l’épisode 2)
06
Données
Champs : Sources, données personnelles ou sensibles, localisation, lien vers le registre RGPD
Pourquoi : Faire le lien entre IA et protection des données
07
Composants
Champs : Modèle et version, fournisseur, hébergement, bibliothèques, jeux de données d’entraînement
Pourquoi : Constituer l’AI-BOM et gérer les dépendances
08
Identité et droits
Champs : Identité non humaine dédiée, habilitations, outils et API accessibles
Pourquoi : Appliquer le moindre privilège
09
Contrôles
Champs : Supervision humaine, journalisation, jeux de tests, arrêt d’urgence
Pourquoi : Prouver la maîtrise du système
10
Cycle de vie
Champs : Coût mensuel, incidents, date de la prochaine revue, critères de retrait
Pourquoi : Faire vivre la fiche dans le run
De l’inventaire à la cartographie, relier les IA au SI
Une fois que vous savez quelles IA vous avez réellement dans votre organisation, vous devez les cartographier afin d’identifier les impacts potentiels quand un modèle change et les flux de données échangés.
- Dans la CMDB : Déclarez chaque système d’IA comme un élément de configuration relié aux applications qui l’appellent, aux sources de données auxquelles il a accès et aux outils qu’il actionne. Les processus de gestion des changements et des incidents s’appliquent alors aux IA comme au reste du SI.
- Dans l’IAM : Affectez une identité propre à chaque agent, rattachée à sa fiche et à son propriétaire. Un agent sans identité dédiée sera impossible à tracer.
- Dans une AI-BOM : Renseignez la nomenclature des composants d’un système d’IA (modèles, versions, jeux de données, bibliothèques). Les formats standards CycloneDX et SPDX 3.0 la prennent en charge. Ainsi, quand une faille affecte un modèle ou une bibliothèque, vous pouvez savoir rapidement quels systèmes sont exposés.
La vue finale de la cartographie croise les systèmes d’IA avec les processus métier, leur niveau de risque et leur niveau d’autonomie. C’est elle que le comité IA utilise pour décider où renforcer les contrôles.
Retours d’expérience clients
Dès les premiers inventaires IA menés, nous avons constaté que l’écart est considérable entre ce que la DSI semble savoir et la réalité. Les IA embraquées dans les logiciels et les automatisations construites par les métiers constituent la majorité des découvertes.
« Nous vous conseillons de commencer par un modèle de fiche simple, une définition claire de ce que vous appelez un système d’IA et un propriétaire par fiche. Un inventaire IA à jour à 80 % vaut mieux qu’un inventaire parfait qui n’est pas utilisé. »
Luc Doladille, Directeur Conseil de Smartpoint
Par où commencer ? Un premier inventaire en quelques semaines
-
1
Semaines 1 et 2
Cadrer
Définir ce que vous appelez un système d’IA, fixer le périmètre (une direction pilote ou toute l’entreprise), choisir le modèle de fiche et l’outil (un tableur partagé suffit en gardant la CMDB comme cible).
-
2
Semaines 3 et 4
Découvrir
Lancer le questionnaire, récupérer les données des achats, analyser les journaux réseau et les consentements OAuth, lister les agents des plateformes low-code.
-
3
Semaines 5 et 6
Qualifier et décider
Nommer un propriétaire par système, classer chacun par niveau de risque et d’autonomie, puis trancher en comité IA : autoriser, encadrer ou retirer.
Le plus important que votre inventaire vive. Pour cela, vous devez instaurer qu’aucune mise en production d’IA se fasse sans fiche, une revue trimestrielle des journaux réseau et des achats, une clause dans les contrats SaaS qui oblige l’éditeur à déclarer ses fonctions IA.
Un inventaire des systèmes IA est un processus du run, au même titre que la gestion des habilitations.
Inventaires des Systèmes IA en quelques questions à nos experts Data IA
L’inventaire des systèmes d’IA est-il obligatoire ?
Aucun article de l’AI Act n’impose un registre interne explicitement mais il est indispensable pour respecter l’article 4 (maîtrise de l’IA), l’article 5 (pratiques interdites), l’article 50 (transparence) et, à partir du 2 décembre 2027, les obligations liées au haut risque.
Quelle différence entre registre IA et registre RGPD ?
Le registre RGPD (article 30) recense les traitements de données personnelles. Le registre IA recense les systèmes d’IA, y compris ceux qui ne traitent aucune donnée personnelle. Les deux doivent se référencer l’un l’autre.
Qui doit tenir l’inventaire des IA ?
La DSI porte l’outil et la découverte technique. Chaque fiche a un propriétaire métier. Le comité IA, où siègent DSI, CDO, RSSI, juridique et DPO, valide la classification et arbitre.
Comment détecter le shadow AI sans surveiller les salariés ?
En travaillant sur des données agrégées par service (journaux proxy, achats, consentements OAuth), en informant le CSE et en proposant une alternative autorisée.
Faut-il un logiciel de registre IA ?
Pas pour commencer. Un tableur partagé suffit pour un premier inventaire. Au-delà de quelques dizaines de systèmes, intégrez-le à la CMDB ou à un outil de gouvernance de l’IA.
Qu’est-ce qu’une AI-BOM ?
C’est la nomenclature des composants d’un système d’IA : Modèles, versions, jeux de données, bibliothèques et fournisseurs. Elle permet de savoir vite quels systèmes sont touchés par une faille ou par le changement d’un modèle.
Inventorier pour garder le contrôle
Un inventaire des systèmes d’IA n’est pas un exercice de conformité de plus, c’est ce qui permet au comité IA de décider quelles IA garder, lesquelles encadrer et lesquelles retirer.
Engager ce chantier dès maintenant vous permettra d’avoir une classification prête d’ici l’échéance de décembre 2027 et de ne pas prenre le risque de découvrir leurs IA à haut risque au moment d’un contrôle.
Vous ne pouvez pas gouverner, sécuriser ni piloter le coût d’une IA que vous ne voyez pas.
Pour aller plus loin
- Gouvernance de l’IA : qui décide, qui valide, qui répond d’un agent en production ? : l’épisode 2 de la série
- AI Act : que mettre en place pour les IA déjà en production : l’épisode 1
- Agents IA en production : les prérequis techniques d’un agent en production
- Combien coûte un agent IA
- Gartner, six étapes pour maîtriser la prolifération des agents
Smartpoint est une ESN pure player Data & IA basée à Paris. Nos équipes accompagnent les DSI et CDO de la gouvernance des données à l’industrialisation de l’IA en production.
