Une PME qui utilise déjà des outils d’IA sans registre commun a besoin d’un inventaire exploitable, pas d’une simple liste de logiciels. L’objectif est de savoir, pour chaque système, qui en répond, quelles données il touche, quelles preuves existent et quelle décision prendre. Un bon inventaire sert donc à trancher entre garder, encadrer, remplacer ou arrêter. Il facilite aussi un audit IA PME plus large, car il met de l’ordre dans les usages, les fournisseurs et les responsabilités.
Pour le contexte et les livrables de la marque, consultez AI AUDIT France et la page blog AI AUDIT. Si vous devez passer de l’inventaire à une décision structurée, un audit IA PME cadré sert à transformer le registre en priorités d’action.
Critères de décision
La bonne question n’est pas seulement “utilise-t-on de l’IA ?”, mais “ce système est-il maîtrisé, justifié et réversible ?”. Pour un diagnostic IA entreprise, la direction doit juger chaque outil sur quatre axes : finalité métier, sensibilité des données, dépendance fournisseur et capacité de supervision humaine. La CNIL rappelle que les usages d’IA doivent rester compatibles avec la protection des données et la maîtrise des traitements, ce qui justifie de relier chaque système à ses données, ses accès et son responsable recommandations CNIL. Le texte du règlement soutient aussi une logique de gestion des risques et de traçabilité adaptée au niveau de risque du système.
Propriétaire : direction, avec DSI, juridique ou référent interne.
Preuve à inspecter : contrat, paramétrage, journal d’usage, base de données utilisée, validation humaine.
Seuil de décision : si l’un des axes est non documenté, le système passe en “encadrer” ou “suspendre”.
Matrice à remplir
Utilisez une matrice pondérée avec score de 1 à 5. Multipliez chaque note par son poids, puis additionnez. Le score final ne remplace pas le jugement, mais il évite de traiter tous les outils comme s’ils avaient le même enjeu.
| Critère | Poids | Score 1-5 | Preuve à voir | Propriétaire | Seuil d’alerte |
|---|---|---|---|---|---|
| Utilité métier claire | 20% | Objectif formalisé | Direction métier | <3 | |
| Données sensibles exposées | 25% | Catégories de données | DPO / DSI | >3 | |
| Contrôle humain réel | 20% | Revue ou validation | Manager opérationnel | <3 | |
| Dépendance au fournisseur | 15% | Contrat, réversibilité | Achats / Juridique | >3 | |
| Traçabilité et logs | 20% | Journal d’usage | DSI / Référent IA | <3 |
Seuil de décision : 75/100 ou plus = garder avec contrôle ; 50-74 = encadrer et corriger ; sous 50 = stopper ou remplacer. Cette logique soutient aussi la gouvernance IA et les vérifications attendues dans une approche d’AI Act PME. L’OCDE insiste sur la robustesse, la transparence et la responsabilité, ce qui renforce l’intérêt d’un registre exploitable plutôt qu’un simple inventaire d’outils principes OCDE.
Interprétation
Un inventaire utile ne se limite pas à lister des logiciels. Il doit aussi montrer les décisions déjà prises : qui a autorisé l’usage, sur quelle base, avec quel niveau de risque, et quand la revue sera faite. Cette logique évite les zones grises fréquentes dans un inventaire de systèmes IA pour PME : commencer par les outils visibles, puis remonter aux fichiers, prompts, API, sous-traitants et utilisateurs réels.
Propriétaire : un responsable par système, pas un comité abstrait.
Preuve à inspecter : date de mise en service, justification métier, incidents, revues mensuelles.
Décision : si aucune preuve n’existe, la PME ne doit pas “faire confiance par défaut”. Elle doit documenter avant d’étendre l’usage.
Pour voir comment un livrable d’audit se structure en pratique, comparez avec un rapport d’audit IA pour PME et avec un cas sectoriel santé, utile pour comprendre la logique de preuve quand les données sont sensibles.
Plan d'action
Voici une progression simple sur 30 jours.
Recenser les systèmes, modules, automatisations et services externes utilisant de l’IA.
Owner : DSI ou référent opérationnel.
Preuve : export des outils, contrats, accès, listes de comptes.
Décision : tout outil sans owner est marqué “à qualifier”.Classer les données traitées : public, interne, confidentiel, sensible.
Owner : DPO / juridique.
Preuve : catégories de données, finalité, base légale ou justification interne.
Décision : si des données sensibles sont traitées sans besoin clair, réduire ou arrêter.Noter chaque système avec la matrice.
Owner : direction métier.
Preuve : notes et commentaires.
Décision : score bas = action corrective prioritaire.Décider : garder, encadrer, remplacer, arrêter.
Owner : direction.
Preuve : seuil de décision et plan de correction.
Décision : aucune exception sans date de revue.Mesurer la valeur après 30 jours.
Owner : sponsor métier.
Preuve : nombre de systèmes inventoriés, décisions prises, risques réduits, actions lancées.
Décision : si aucune décision n’a changé, l’exercice doit être simplifié ou cadré autrement.
Exemple hypothétique
Une PME de services utilise trois outils : un assistant de rédaction, une plateforme de tri de prospects et un outil de synthèse d’appels. Le registre montre que le premier n’expose pas de données sensibles, le deuxième reçoit des fichiers clients, et le troisième enregistre des conversations pouvant contenir des informations confidentielles.
Décision appliquée :
- Assistant de rédaction : 82/100, garder avec consignes d’usage.
- Tri de prospects : 68/100, encadrer et retirer les fichiers sensibles.
- Synthèse d’appels : 44/100, suspendre jusqu’à validation juridique et technique.
Preuve : exports de paramètres, clauses contractuelles, revue des accès.
Owner : direction commerciale, DSI, juridique.
Valeur à 30 jours : moins d’outils non documentés, meilleures responsabilités, et un registre prêt pour un audit IA PME plus approfondi.
Questions fréquentes
Quelles preuves faut-il vérifier avant de décider ?
Vérifiez le contrat, les données envoyées, les journaux, le responsable du système et la possibilité de retirer l’outil sans bloquer l’activité. Sans ces preuves, la décision reste fragile.
Comment mesurer la valeur après 30 jours ?
Comptez le nombre de systèmes enregistrés, les risques classés et les décisions effectives. La valeur existe si la direction a supprimé des zones grises, pas si elle a seulement produit un document.
Quel résultat concret une PME doit-elle obtenir ?
Un registre exploitable avec owner, données, fournisseurs, preuves et statut de décision pour chaque système. C’est le livrable minimum avant tout élargissement.