Inventaire et registre des systèmes d’IA.

Nous recensons tous les systèmes d’IA de l’organisation dans un registre unique, IA non déclarée et IA embarquée dans les outils fournisseurs comprises. Chaque système y reçoit un responsable, une finalité, un rôle au sens du règlement et un niveau de risque. C’est l’inventaire de référence sur lequel tout le reste s’appuie.

Durée: 2 à 4 semaines
Couvre: IA interne, IA fournisseur, IA non déclarée
Qualification: Rôle et niveau de risque par système
Livrable: Registre unique et procédure de mise à jour

Cadrer un inventaire

Ce qui n’est pas recensé n’est pas gouverné

L’IA entre dans l’organisation par trois portes : les modèles que vos équipes construisent, les fonctions d’IA que les fournisseurs ajoutent à des outils déjà en place, et les usages que les équipes adoptent sans les déclarer. Le règlement s’applique aux trois. Une classification, un audit ou une politique ne valent que pour les systèmes que vous connaissez.

Un registre, pas un tableau figé

Un inventaire dressé une seule fois est périmé au premier achat de logiciel. Nous livrons le registre avec sa procédure de mise à jour : qui déclare un nouveau système, à quel moment, et qui valide sa classification.

Périmètre

Ce que le registre contient pour chaque système.

Une entrée par système, avec les mêmes champs pour tous, afin de pouvoir les comparer et décider lesquels traiter en premier.

Identité et responsable. Un nom, une description, une direction propriétaire et une personne qui en répond.

Finalité et décisions. Ce que le système fait, les décisions qu’il prend ou qu’il prépare, et les personnes qu’elles touchent.

Données utilisées. Les catégories de données en entrée, leur origine, et la présence de données personnelles.

Origine du système. Construit en interne, acheté à un fournisseur, ou fonction d’IA embarquée dans un outil existant.

Rôle au sens du règlement. Fournisseur ou déployeur, avec le motif de la qualification, modification du système ou apposition de votre marque comprises.

Niveau de risque. Interdit, haut risque, risque limité ou risque minimal, avec la justification écrite de la classification.

Statut. En projet, en test, en production ou retiré, et l’étendue du déploiement.

Documentation disponible. Ce qui existe déjà, contrats et notices du fournisseur compris, et ce qui manque.

Point d’attention

L’IA que personne n’a déclarée. Les usages adoptés par les équipes et les fonctions d’IA activées dans des outils déjà achetés n’apparaissent dans aucune liste de projets. Le recensement les fait remonter par les achats, les contrats et un questionnaire de déclaration adressé aux directions.

Déroulement

Cinq étapes, du périmètre au registre tenu à jour.

CadrageLe périmètre couvert, une entité, une direction ou le groupe, la définition retenue d’un système d’IA et les champs du registre.
RecensementEntretiens avec les directions métier, les équipes data et les systèmes d’information, revue des achats de logiciels et des contrats fournisseurs, questionnaire de déclaration pour les usages non déclarés.
Fiches d’identitéUne fiche par système : responsable, finalité, données utilisées, origine et statut.
Qualification et classificationLe rôle, fournisseur ou déployeur, et le niveau de risque de chaque système, avec leur justification écrite.
Restitution et passage de relaisLe registre, la liste des systèmes à traiter en priorité et la procédure de mise à jour, remise à la personne qui tiendra le registre.

Livrables

Ce que vous recevez.

Registre des systèmes d’IA Fiche d’identité par système Qualification fournisseur ou déployeur Classification par niveau de risque Recensement de l’IA non déclarée Recensement de l’IA fournisseur Liste des systèmes prioritaires Procédure de mise à jour Synthèse pour la direction

À qui s’adresse l’inventaire

Aux directions de la conformité, des risques, du juridique, des données et des systèmes d’information, aux délégués à la protection des données et aux responsables de la gouvernance de l’IA qui doivent savoir ce que l’organisation exploite avant de décider quoi auditer.

Avant et après l’inventaire

L’inventaire ouvre le parcours.

Avant · Méthode

Le parcours de conformité

L’inventaire en est le premier cycle : savoir ce qui existe, qui en répond et ce que chaque système décide.

Après · Évaluer

Audit de conformité d’un système d’IA

Le registre désigne les systèmes à auditer en premier, ceux dont le niveau de risque est le plus élevé.

Prochaine étape

Cadrer un inventaire.

Indiquez-nous le périmètre visé, une entité, une direction ou l’ensemble du groupe. Nous revenons vers vous avec une proposition de périmètre, une durée et un prix forfaitaire.

Nous écrire