Identifier IA haut risque PME: scorecard fournisseur

Si vous devez identifier IA haut risque PME, la bonne question n’est pas seulement “cet outil est-il utile ?” mais “quelles preuves montrent qu’il peut relever d’un cadre plus strict, et faut-il poursuivre, encadrer ou arrêter l’achat ?”. Cet article s’adresse aux dirigeants, acheteurs, responsables RH, IT et conformité qui évaluent un logiciel d’IA ou une fonctionnalité intégrée. L’objectif est opérationnel: obtenir une décision d’achat documentée, une scorecard fournisseur et une liste courte de pièces à demander avant d’aller plus loin. Dans l’AI Act, certaines utilisations peuvent entraîner des obligations renforcées selon le rôle de l’organisation et l’usage prévu; il faut donc reconnaître tôt quand le dossier n’est plus un simple essai. Pour le cadre général, voir le texte du règlement EU AI Act et l’aperçu de la Commission European Commission AI Act overview.

Décision d’achat: ce que la PME doit obtenir

Avant de signer, l’objectif n’est pas une certitude absolue, mais un niveau de confiance suffisant pour décider si le système reste un achat standard, si un audit IA PME devient nécessaire, ou si le projet doit être refusé. Le propriétaire de cette décision est le sponsor métier, avec IT et juridique comme relecteurs. Les preuves à inspecter sont simples: cas d’usage décrit, rôle de l’outil dans la décision, données utilisées, paramètres de contrôle et mécanisme de recours humain. Seuil de décision: si le fournisseur ne peut pas expliquer le rôle exact du système dans un processus sensible, ou si la documentation ne permet pas de distinguer une aide d’une décision automatisée, le dossier doit passer en revue renforcée. C’est particulièrement important pour les usages proches du recrutement, de l’évaluation, de l’accès à des services ou d’autres contextes où l’AI Act peut exiger davantage de rigueur.

Preuves à demander au fournisseur

Le meilleur moyen de réduire les risques IA est de demander des pièces avant de discuter de fonctionnalités. Le responsable achat envoie une demande structurée et conserve les réponses. À exiger: description du système, finalité, limites d’usage, journalisation, gestion des incidents, tests de performance, paramètres configurables, documentation des données d’entraînement ou de référence quand elle existe, et engagement sur la surveillance humaine. Pour une PME, la question utile n’est pas “le fournisseur dit-il être conforme ?” mais “quelles preuves vérifiables démontre-t-il ?”. Si la réponse reste vague, la prochaine action est de suspendre le pilote jusqu’à réception des éléments. La CNIL rappelle que les usages d’IA doivent être pensés avec attention aux données, aux finalités et aux personnes concernées; voir CNIL AI guidance. Pour un cadrage commercial du parcours, voir aussi AI AUDIT FR et AI AUDIT blog FR.

Scorecard fournisseur: grille de lecture simple

Utilisez la scorecard fournisseur comme un dossier de preuve, pas comme un score marketing. Le propriétaire est l’acheteur principal; le réviseur est la fonction risque ou conformité. Notez chaque ligne de 0 à 2: 0 = absent, 1 = partiel, 2 = clair et vérifiable. Un total faible n’est pas automatiquement bloquant, mais certaines lignes sont non négociables. Voici un format minimal:

Seuil pratique: si 2 lignes non négociables sont à 0, la décision passe à “ne pas acheter pour l’instant”. Si au moins 4 lignes sont à 2 et que le rôle humain reste clair, le projet peut avancer vers un pilote encadré.

Processus en 5 étapes pour trier un dossier à haut risque

1. Décrire l’usage exact. Écrivez le cas d’usage, l’utilisateur, la population concernée et le moment où l’outil intervient.
2. Cartographier le rôle de l’IA. Indiquez si le système suggère, classe, filtre, priorise ou décide.
3. Vérifier les preuves du fournisseur. Demandez les documents listés plus haut et archivez les réponses.
4. Tester la supervision humaine. Vérifiez qui peut corriger, suspendre, contester ou annuler une sortie.
5. Décider du niveau de traitement. Classez le dossier en achat standard, pilote encadré, revue renforcée ou refus provisoire.

Ce processus simple évite de confondre une fonctionnalité utile avec un usage qui mérite davantage de contrôle. Il aide aussi à repérer tôt les cas où les obligations liées à l’AI Act peuvent devenir plus lourdes selon la nature du traitement et le contexte d’usage. Si un seul élément reste flou après l’étape 3, il ne faut pas accélérer la signature: il faut demander une clarification écrite avant de passer à l’étape suivante.

Signaux de refus: quand la prudence s’impose

Le sponsor métier doit refuser ou geler le dossier si le fournisseur évite les preuves, mélange promesse commerciale et conformité, ou refuse de préciser qui contrôle le résultat. Autre signal: le système est présenté comme “assistant” alors qu’il influence un tri, une notation ou une exclusion sans mécanisme de contestation. Dans ces cas, le risque n’est pas seulement technique; il est organisationnel et réglementaire. Si l’usage touche un domaine pouvant relever de l’AI Act PME avec exigences renforcées, la prochaine étape n’est pas la négociation de prix mais un diagnostic IA entreprise plus structuré, avec revue des données, du workflow et de la supervision humaine. Pour le contexte réglementaire officiel, voir EU AI Act et European Commission AI Act overview.

Exemple hypothétique clairement identifié

Exemple hypothétique: une PME de services envisage un outil d’IA pour trier des candidatures avant entretien. Le fournisseur présente une démonstration, mais la documentation ne précise pas si le système classe seulement des CV ou s’il écarte aussi automatiquement certains profils. La scorecard montre 2 pour l’usage et les logs, 1 pour les données, et 0 pour les contrôles humains parce qu’aucun responsable n’explique comment corriger un rejet. Dans ce cas, la décision raisonnable n’est pas d’acheter immédiatement; il faut demander le mécanisme de recours, confirmer le rôle exact du système et ne reprendre le projet qu’avec des preuves vérifiables. Cet exemple ne crée pas de conclusion juridique générale, mais il montre comment une PME peut utiliser la scorecard pour éviter de confondre un outil de présélection avec une décision qui demanderait un niveau de contrôle plus strict.

Prochaine étape: mesurer la valeur après 30 jours

La valeur ne se mesure pas seulement au prix d’achat. Après 30 jours, le propriétaire doit comparer trois éléments: temps gagné, décisions réellement corrigées par l’humain, et nombre d’écarts documentés. Si le système réduit le travail mais ajoute des vérifications manuelles sans amélioration de qualité, la valeur nette peut être faible. Seuil simple: si le pilote ne produit pas une trace claire des décisions corrigées, des erreurs évitées et des incidents traités, il n’est pas encore prêt pour un déploiement large. Pour accompagner la suite, le lien de contact ou d’achat doit rester contextuel: AI AUDIT FR / paiement FR. Si votre cas ressemble à un outil RH ou de recrutement, voyez aussi audit IA recrutement RH.

Quelles preuves faut-il vérifier avant de décider ?

Le responsable achat doit vérifier l’usage prévu, la part d’automatisation, les logs, les contrôles humains et la gestion des incidents. Si deux de ces éléments manquent, la décision doit être suspendue.

Comment savoir si le système exige une revue plus stricte ?

Le signal principal est le rôle du système dans une décision sensible. Si l’outil classe, filtre ou influence l’accès à une opportunité sans explication ni recours, la revue doit être renforcée.

Comment mesurer la valeur après 30 jours ?

Comparez le temps économisé, le nombre de corrections humaines et les incidents traités. Si la charge de contrôle augmente sans gain clair, ajustez le périmètre ou stoppez le pilote.