Comment auditer la conformité IA de votre entreprise en 10 questions ?

Enjeu : Beaucoup d'entreprises pensent n'utiliser l'IA que dans un ou deux outils visibles, alors que des briques IA sont déjà présentes dans la relation client, les RH, les workflows internes ou les logiciels achetés à des tiers.

Ce que l'AI Act exige : L'AI Act suppose d'abord de savoir quels systèmes existent, à quoi ils servent et dans quel rôle l'entreprise intervient. Sans inventaire initial, aucune classification de risque n'est fiable.

Signe d'alerte : Vous découvrez les usages IA au fil des réunions, ou personne n'est capable de dire quels outils influencent réellement vos opérations.

Enjeu : Dès qu'un système influence un recrutement, un accès à un service, une évaluation de profil ou une décision ayant un effet significatif, l'exposition réglementaire et éthique monte fortement.

Ce que l'AI Act exige : Les systèmes qui contribuent à des décisions sur des personnes doivent être examinés avec une attention particulière sur l'information donnée, la supervision humaine et la justification des résultats.

Signe d'alerte : Les équipes parlent d'outil “d'aide” alors qu'en pratique personne ne conteste la recommandation produite par l'IA.

Enjeu : Emploi, santé, crédit, assurance, éducation, infrastructures critiques ou certains usages biométriques sont des zones où le règlement prévoit des exigences bien plus fortes.

Ce que l'AI Act exige : L'entreprise doit vérifier si le cas d'usage correspond à un domaine listé comme haut risque ou à un produit réglementé intégrant un composant IA.

Signe d'alerte : Vous supposez qu'un outil est “classique” parce qu'il est vendu en SaaS, sans vérifier si sa finalité réelle entre dans une catégorie sensible.

Enjeu : Sans information sur les données, leurs limites, leur qualité ou les biais potentiels, il devient très difficile d'évaluer la robustesse d'un système ou de répondre à un incident.

Ce que l'AI Act exige : Pour les usages les plus sensibles, la documentation et la traçabilité sont essentielles. Même quand vous n'entraînez pas vous-même le modèle, vous devez savoir ce que le fournisseur documente et ce qui reste opaque.

Signe d'alerte : Votre fournisseur ne fournit aucune information exploitable sur les données, ou vos équipes utilisent un système sans connaître ses limites de performance.

Enjeu : L'opacité d'un chatbot, d'un assistant interne ou d'un générateur de contenu crée un risque de confiance, de mauvaise décision et de non-respect des obligations de transparence.

Ce que l'AI Act exige : Lorsque des personnes interagissent avec certains systèmes d'IA, elles doivent être informées de cette interaction. Le même réflexe vaut pour certains contenus artificiellement générés.

Signe d'alerte : Le système est volontairement présenté comme un interlocuteur humain, ou les équipes ne savent pas quand une réponse provient d'un modèle.

Enjeu : Un usage IA n'est pas maîtrisé si personne n'est désigné pour le surveiller, suspendre une décision douteuse ou gérer une erreur manifeste.

Ce que l'AI Act exige : Pour les systèmes sensibles, l'organisation doit prévoir une supervision humaine réelle, avec des personnes formées, identifiées et capables d'intervenir.

Signe d'alerte : La supervision existe seulement dans un document, mais aucune équipe ne sait qui arrête le système ou comment corriger un résultat problématique.

Enjeu : Une grande partie du risque se cache dans la dépendance fournisseur: documentation manquante, responsabilités floues, absence d'engagement sur les incidents ou sur la qualité des informations transmises.

Ce que l'AI Act exige : L'entreprise doit pouvoir obtenir des informations suffisantes de ses prestataires pour utiliser le système de façon conforme et vérifier son niveau de risque.

Signe d'alerte : Le contrat traite le prix et le support, mais ne dit rien sur la documentation, la traçabilité, les incidents, les mises à jour ou la coopération réglementaire.

Enjeu : Sans analyse de risques, il est impossible de distinguer un usage bénin d'un usage exposé ou de justifier pourquoi certaines actions ont été priorisées.

Ce que l'AI Act exige : L'AI Act repose sur une approche par les risques. Même à un niveau préliminaire, vous devez être capables de démontrer que vous avez identifié les impacts potentiels sur les personnes, la sécurité et les droits fondamentaux.

Signe d'alerte : Le classement des usages est implicite, subjectif et dépend de la personne interrogée.

Enjeu : Le registre est la base d'une gouvernance durable. Sans lui, les audits, revues sécurité, due diligence clients et remédiations deviennent artisanaux.

Ce que l'AI Act exige : Le registre n'a pas besoin d'être complexe au départ. Il doit au minimum recenser l'outil, la finalité, le service propriétaire, le fournisseur, le niveau de risque pressenti et les documents disponibles.

Signe d'alerte : Vos informations sont dispersées entre achats, IT, produit, RH et juridique, sans point de vérité unique.

Enjeu : Quand personne ne porte le sujet, les décisions se prennent localement, les contrats ne remontent pas, et chaque équipe pense que la gouvernance relève d'une autre.

Ce que l'AI Act exige : Le règlement n'impose pas nécessairement un poste dédié dans toutes les entreprises, mais il impose de facto une capacité d'organisation. Un référent ou binôme pilotage est souvent indispensable pour centraliser les preuves et les arbitrages.

Signe d'alerte : La gouvernance IA dépend de la bonne volonté individuelle et aucun interlocuteur n'est identifié pour répondre à un client ou lancer une revue.