Cet article fournit des orientations informatives générales. Voir les Mentions légales .
- Tout programme de conformité AI Act commence au même point, que l'entreprise compte un seul outil IA ou cinquante : un inventaire documenté de ce qui est réellement utilisé. Sauter cette étape explique pourquoi la plupart des démarches AI Act des PME s'arrêtent avant même de commencer.
- L'inventaire n'est pas un document juridique. C'est un document opérationnel. Neuf champs, une ligne par outil, suffisent pour la plupart des PME au démarrage.
- Le construire une fois ne suffit pas. Un inventaire non révisé chaque trimestre devient obsolète en quelques mois, tant les équipes adoptent rapidement de nouveaux outils IA.
Points Clés
- Le socle de toutes les obligations AI Act : Impossible de mener une classification de risque, de rédiger un plan de formation au titre de l'article 4, ou de réaliser une AIPD sans d'abord savoir quels outils sont concernés.
- Un exercice de découverte autant que de documentation : La plupart des PME sont surprises de ce qui remonte une fois que chaque équipe est interrogée.
- Un tableur, pas un dossier juridique : La rigueur réside dans le processus qui le maintient à jour, pas dans la sophistication du format.
Pourquoi C'est le Premier Document, Pas l'Un Parmi d'Autres
Les programmes de conformité échouent pour une raison prévisible : ils tentent de résoudre simultanément la classification, la formation et la documentation, avant que quiconque n'ait consigné ce qui doit précisément être classé. Un inventaire des systèmes IA règle ce problème de séquencement. C'est l'unique document dont dépend chaque tâche AI Act ultérieure. Impossible d'appliquer le test de classification à haut risque à un outil qui ne figure pas sur une liste, et impossible de concevoir un programme de littératie au titre de l'article 4 pour du personnel utilisant des outils que personne n'a nommés.
Cela reprend une discipline que les équipes conformité connaissent déjà via le RGPD. L' article 30 impose un registre des activités de traitement pour exactement la même raison structurelle : impossible de gouverner un traitement de données qu'on n'a pas inventorié. L'obligation de tenue de registre des déployeurs prévue à l' article 26(6) de l'AI Act suit la même logique. Un inventaire des systèmes IA constitue le prolongement naturel, et largement recoupant, d'un exercice de registre de traitement déjà engagé au titre du RGPD.
Une entreprise de logistique que nous avons rencontrée l'a découvert à ses dépens : trois équipes différentes avaient chacune adopté discrètement un assistant IA de planification distinct en dix-huit mois, jamais le même outil, jamais examiné par la même personne. Personne n'avait menti à ce sujet. Personne n'avait posé la question non plus.
Le Modèle : Neuf Champs
Restez assez simple pour qu'une personne non juriste puisse le remplir, et assez précis pour qu'il reste utile trois mois plus tard.
| Champ | Ce qu'il faut capturer | Exemple |
|---|---|---|
| Nom de l'outil | Le produit, pas seulement l'éditeur | « ChatGPT Enterprise », pas seulement « OpenAI » |
| Fonction métier | À quoi il sert, en langage clair | « Rédaction des réponses au support client » |
| Service / responsable | Qui est responsable de l'usage de cet outil | « Support client, J. Martin » |
| Offre / compte | Grand public, entreprise ou API, et présence d'un DPA | « Entreprise, DPA signé 03/2026 » |
| Types de données traitées | Quelles données y transitent | « Noms clients, historique de commandes, pas de données de paiement » |
| Nombre d'utilisateurs | Approximativement, combien de salariés l'utilisent | « 12, équipe support client » |
| Statut déployeur AI Act | Usage confirmé comme relevant du statut de déployeur, oui/non | « Oui, usage professionnel » |
| Classification de risque | Résultat du test à haut risque en 7 étapes, et date d'évaluation | « Pas à haut risque, évalué 08/2026 » |
| Date de révision | Dernière vérification de la ligne | « Prochaine révision : 11/2026 » |
Comment le Remplir Réellement : La Méthode de Découverte
Le modèle est simple. Le remplir avec précision l'est moins, car la plupart des outils utilisés ne sont pas ceux que l'on pense spontanément à lister.
- Partez de ce que la DSI et les achats savent déjà. Tout outil IA acquis via un processus formel : récupérez le contrat, le statut du DPA et la liste des utilisateurs. C'est le premier tiers, le plus facile.
- Interrogez directement chaque responsable d'équipe. « Quels outils IA votre équipe utilise-t-elle pour le travail, même de façon informelle ? » Présentez cela comme une démarche de constat, pas un audit. Les équipes sous-déclarent quand elles anticipent d'être blâmées, et l'objectif ici est l'exhaustivité, pas la sanction.
- Auditez votre parc SaaS existant pour des fonctionnalités IA intégrées. Des outils déjà payés ajoutent régulièrement des capacités IA via une mise à jour de fonctionnalité, sans nouvel achat ni revue de contrat. Vérifiez les notes de version récentes de tout outil SaaS traitant des données clients ou salariés.
- Vérifiez les notes de frais. Les abonnements IA individuellement remboursés sont un signal fiable et sous-exploité des outils jamais passés par les achats.
- Croisez chaque ligne avec les vérifications de déclencheurs d'AIPD et de classification à haut risque , afin que l'inventaire capture non seulement ce qui existe, mais les obligations qui s'y rattachent.
Que Faire d'Une Ligne Une Fois Renseignée
Un inventaire qui ne sert à rien d'autre n'est pas utile. Chaque ligne devrait déclencher deux actions de suivi :
- Lancer la classification de risque. Pour tout outil dont la fonction métier laisse penser à un territoire possible de l'annexe III (recrutement, décisions de crédit ou d'assurance, accès aux services essentiels), appliquez un test structuré de classification à haut risque et consignez le résultat et la date directement dans l'inventaire.
- Vérifier que l'offre est adaptée. Toute ligne indiquant un usage grand public pour des données concernant des clients ou des salariés doit alerter sur la nécessité de migrer cet usage vers une offre entreprise ou API avec DPA, ou de restreindre les données pouvant y transiter.
Maintenir l'Inventaire à Jour
Un inventaire construit une fois et jamais révisé est la photographie d'une entreprise qui n'existe plus. L'adoption d'outils IA dans les PME va vite, et une révision trimestrielle constitue le minimum réaliste. À chaque révision : ré-interrogez les équipes sur les nouveaux outils, revérifiez que les offres et les statuts DPA n'ont pas expiré, et refaites la classification pour tout outil dont le cas d'usage a évolué depuis la dernière vérification. Un outil adopté pour rédiger des e-mails et discrètement étendu à la présélection de candidats a besoin d'une réévaluation, pas d'une note dans une réunion que personne n'a consignée.
Questions Fréquentes
Un inventaire des systèmes IA est-il une obligation légale au titre de l'AI Act ?
En quoi cela diffère-t-il de notre registre des activités de traitement RGPD (article 30) ?
Nous sommes une entreprise de 15 personnes. Faut-il vraiment formaliser cela ?
À quelle fréquence faut-il mettre à jour l'inventaire ?
Themio.ai automatise la découverte de vos outils d'IA, cartographie vos obligations de déployeur au titre de l' AI Act européen , et génère votre inventaire formel ainsi que votre plan d'action en 5 étapes en quelques minutes. Découvrir le fonctionnement de Themio →
Cet article fournit une information générale et ne constitue pas un conseil juridique. Les entreprises doivent évaluer leur propre usage de l'IA avec un conseil qualifié ou leur DPO. Dernière révision : 11 septembre 2026.