AI Act : l'IA que vous utilisez sans le savoir, et comment la cartographier

L'analyse relayée par le Journal du Net pointe un problème très concret : beaucoup d'entreprises abordent l'AI Act en pensant à des projets d'intelligence artificielle identifiés comme tels, alors que l'essentiel de leur exposition vient de fonctions d'IA intégrées à des outils déjà en place. Un module de scoring dans un CRM, une suggestion de réponse dans un outil de support, un tri de candidatures dans un logiciel de recrutement : personne n'a lancé de projet IA, et pourtant l'usage existe.

Le premier chantier n'est donc pas juridique, il est documentaire. Il s'agit d'établir un inventaire des systèmes utilisés dans l'entreprise et de repérer, pour chacun, les fonctions qui relèvent de l'intelligence artificielle. Cet inventaire se construit à partir de sources déjà disponibles : la liste des logiciels sous licence, les dépenses par carte d'entreprise sur des abonnements en ligne, les intégrations connectées à votre messagerie ou à votre CRM, et les prestations externalisées.

Les usages introduits par les métiers eux-mêmes, sans passage par la direction des systèmes d'information, constituent la zone la plus difficile à couvrir. Un recensement déclaratif, mené auprès des responsables d'équipe avec des questions simples et non accusatoires, donne généralement de meilleurs résultats qu'un audit technique. L'objectif est de savoir ce qui est utilisé, sur quelles données, et si des informations personnelles ou confidentielles y transitent.

Le troisième volet concerne les prestataires. Une agence de marketing, un cabinet de recrutement ou un centre de contact peuvent utiliser des outils d'IA sur vos données sans que votre contrat le mentionne. Le bon réflexe est d'envoyer un questionnaire court à vos fournisseurs actifs : quelles fonctions d'IA sont utilisées dans le cadre de notre prestation, sur quelles données, avec quel hébergement, et nos contenus servent-ils à entraîner un modèle ? Les réponses devraient rejoindre votre registre.

Pour les nouveaux contrats, ces éléments se traitent en amont. Ajoutez au cahier des charges une déclaration obligatoire des outils d'IA employés, l'interdiction de réutiliser vos données pour l'entraînement de modèles tiers sans accord écrit, l'obligation de notifier tout changement d'outil, et le droit d'auditer ces déclarations. Ces clauses coûtent peu à négocier avant signature et deviennent très difficiles à imposer ensuite.

Une fois l'inventaire disponible, la hiérarchisation devient possible. Les usages qui touchent des personnes, décisions de recrutement, évaluation, accès à un service, appellent une attention nettement plus soutenue que la génération d'un visuel de campagne. C'est à ce stade seulement qu'un accompagnement juridique spécialisé apporte de la valeur, parce qu'il travaille sur une matière réelle plutôt que sur des hypothèses.

La formation des équipes complète le dispositif. Des règles internes courtes, disant ce qui peut être versé dans un outil d'IA et ce qui ne le peut pas, quels outils sont validés et à qui s'adresser pour en faire valider un nouveau, réduisent immédiatement le risque. Un document d'une page appliqué vaut mieux qu'une politique de vingt pages ignorée.

En pratique, une entreprise qui souhaite avancer maintenant peut lancer deux chantiers en parallèle : l'inventaire interne, réalisable avec ses propres équipes, et le questionnaire fournisseurs, envoyable dans la semaine. Le recours à un prestataire spécialisé se justifie ensuite, pour qualifier les usages sensibles et rédiger les clauses contractuelles.