Inventaire des systèmes d'intelligence artificielle : comment le construire étape par étape

01

La réponse en bref

Une entreprise construit l'inventaire en listant chaque système d'IA selon la définition de l'article 3, point 1 du règlement (UE) 2024/1689, en notant pour chacun le rôle d'entreprise assumé — fournisseur, déployeur, importateur, distributeur ou représentant autorisé — et les données traitées pour générer les sorties.

C'est l'une des questions indiquées comme question de vérification approuvée pour orienter la gouvernance interne de l'IA.

02

Pourquoi le rôle change tout

Le règlement distingue nettement fournisseur, déployeur, importateur, distributeur, représentant autorisé et, plus généralement, opérateur. Chaque rôle entraîne des obligations différentes, donc l'inventaire ne peut se limiter à lister des logiciels : il doit enregistrer qui fait quoi par rapport à chaque système, conformément aux définitions de l'article 3.

03

Les étapes pour construire l'inventaire

Étapes

1. Lister chaque système automatisé qui déduit des sorties à partir d'entrées, selon la définition d'un système d'IA.
2. Attribuer à chaque système le rôle d'entreprise correct : fournisseur, déployeur, importateur, distributeur ou représentant autorisé.
3. Si l'entreprise est fournisseur d'un système d'IA à haut risque, enregistrer dans le système de gestion de la qualité la finalité prévue et les données traitées lors des phases d'acquisition, collecte, analyse, étiquetage et archivage.
4. Vérifier si le système génère des contenus synthétiques soumis à des obligations de marquage ou de signalement comme les deep fakes.
5. Si l'entreprise est fournisseur d'un système d'IA à haut risque, indiquer dans le cadre de responsabilité qui, parmi la direction ou le personnel, est responsable de chaque aspect du système de gestion de la qualité.

04

Un exemple hypothétique

Exemple hypothétique : une entreprise utilise un système tiers pour générer des textes marketing et développe en interne un système de catégorisation des clients. Pour le premier, l'entreprise est déployeur et vérifie si les sorties synthétiques sont marquées comme générées artificiellement, comme requis pour les fournisseurs de tels systèmes. Pour le second, étant un développement interne, l'entreprise enregistre ses propres processus de gestion des données, de l'acquisition à l'archivage.

05

Éléments minimaux à enregistrer pour chaque système

• Nom du système et définition technique appliquée (système d'IA).
• Rôle d'entreprise assumé par rapport au système (fournisseur, déployeur, importateur, distributeur, représentant autorisé).
• Finalité prévue et, pour les fournisseurs de systèmes d'IA à haut risque, les données traitées dans les phases du cycle de données prévues par le système de gestion de la qualité.
• Éventuelles obligations de transparence sur les contenus synthétiques ou deep fakes applicables au système.
• Pour les fournisseurs de systèmes d'IA à haut risque, le référent responsable de chaque aspect indiqué dans le cadre de responsabilité du système de gestion de la qualité.

06

Ce qui peut être configuré dans un logiciel de gestion

Une entreprise peut demander à son partenaire logiciel de prendre en charge un registre structuré des systèmes d'IA, avec des champs pour le rôle, la finalité, les données traitées et le référent responsable, afin de rendre l'inventaire consultable et actualisable dans le temps.

C'est un choix opérationnel recommandé, non une obligation du produit : chaque organisation définit quelles informations suivre et qui peut les modifier, en restant cohérente avec les rôles indiqués par le règlement.

07

Questions fréquentes

L'inventaire doit être mis à jour chaque fois qu'un nouveau système est introduit ou que le rôle d'entreprise change par rapport à un système existant, car des rôles différents impliquent des enregistrements différents.

Un système interne développé par l'entreprise elle-même doit tout de même être listé dans l'inventaire avec rôle et finalité selon les définitions de l'article 3 ; si l'entreprise assume le rôle de fournisseur d'un système d'IA à haut risque, les données de gestion de la qualité prévues pour ce rôle doivent également être ajoutées.

Les obligations de marquage des contenus synthétiques concernent spécifiquement les fournisseurs de systèmes générant des sorties audio, image, vidéo ou texte, et doivent être notées dans l'inventaire lorsque pertinentes.

08

Prochaine étape

Commencez par lister les systèmes d'IA déjà utilisés dans l'entreprise, en attribuant un rôle et un référent à chacun : c'est le premier pas concret vers une gouvernance de l'IA traçable.