Cartographier ses systèmes d’IA : la première étape incontournable
On ne gouverne que ce que l’on connaît. Méthode pour recenser vos systèmes d’IA, qualifier leurs risques et bâtir un registre exploitable pour l’AI Act.
· 8 min de lecture
« On ne gouverne que ce que l’on connaît. » Avant de parler conformité à l’AI Act, d’analyse de risques ou de documentation, une question préalable se pose dans la plupart des organisations : combien de systèmes d’IA avons-nous réellement, et où sont-ils ? La cartographie est la première brique de toute gouvernance de l’IA.
Pourquoi c’est plus difficile qu’il n’y paraît
L’IA ne se résume plus à quelques projets data science identifiés. Elle s’est diffusée partout : copilotes intégrés aux outils bureautiques, fonctionnalités IA des logiciels métiers, modèles développés en interne, services tiers appelés par API… Beaucoup de ces usages échappent au radar de la DSI. C’est ce qu’on appelle le « shadow AI ».
Que recenser pour chaque système ?
Le système lui-même
- Finalité et cas d’usage métier
- Type (modèle interne, service tiers, fonctionnalité intégrée)
- Propriétaire et utilisateurs
Son contexte de risque
- Données traitées (dont données personnelles)
- Caractère décisionnel et impact sur les personnes
- Classification potentielle au titre de l’AI Act
Une méthode en quatre temps
Construire une cartographie ne demande pas un outillage complexe pour démarrer, mais une démarche structurée et répétable.
1 · Collecter
Interroger les directions métiers, la DSI et les achats, analyser les contrats logiciels et les factures cloud pour repérer les usages d’IA, y compris ceux embarqués dans des outils existants.
2 · Qualifier
Décrire chaque système : finalité, données, degré d’autonomie, impact potentiel sur les personnes. C’est cette qualification qui permettra ensuite de prioriser.
3 · Classer
Positionner chaque système sur l’échelle de risque de l’AI Act (inacceptable, haut risque, risque limité, minimal) et identifier les obligations associées.
4 · Prioriser
Concentrer les efforts sur les systèmes les plus critiques et les moins documentés, puis dérouler un plan d’actions réaliste.
Le shadow AI, un risque silencieux
Le principal ennemi d’une cartographie fiable n’est pas la complexité technique, mais l’invisibilité. Quand un collaborateur colle des données clients dans un assistant grand public, ou quand une équipe active la fonctionnalité IA d’un logiciel SaaS sans en informer la DSI, un nouvel usage apparaît — souvent sans analyse de risque ni encadrement.
Ces usages non déclarés posent trois problèmes : une fuite potentielle de données vers des tiers, une absence de traçabilité en cas de litige, et une sous-estimation du parc réel qui fausse toute la démarche de conformité. La cartographie n’est donc pas un exercice ponctuel de DSI, mais un travail transverse qui implique le métier, la conformité et la direction.
D’un inventaire figé à un registre vivant
Une cartographie n’a de valeur que si elle reste à jour. Un fichier tableur rempli une fois est périmé en quelques mois. L’enjeu est d’en faire un registre vivant, alimenté au fil des nouveaux usages et relié à l’analyse de risques et au plan d’actions.
C’est exactement la logique de GovernIA : partir de l’inventaire des systèmes d’IA, les classifier au regard de l’AI Act, puis dérouler la documentation et le suivi — sans repartir de zéro à chaque audit.
Démarrer votre cartographie IA
Sources et références
GovernIA, la plateforme d’audit augmentée par l’IA
Industrialisez vos audits IA, RGPD, NIS2, ISO 27001 et DORA sur une plateforme collaborative cabinet/client, hébergée en France.