L'inventaire est le seul livrable dont dépendent tous les autres. Classer un système par niveau de risque, qualifier son rôle de fournisseur ou de déployeur, décider si une mention de transparence est due : chacune de ces questions présuppose une liste. La plupart des PME n'en ont pas, et celles qui s'y mettent y consacrent beaucoup plus de temps que nécessaire, faute d'avoir arrêté un périmètre avant de commencer.
Pourquoi l'inventaire vient avant tout le reste
Le règlement (UE) 2024/1689 ne définit aucune obligation générale de tenir un registre des systèmes d'IA pour un déployeur. C'est une objection qu'on entend, et elle est exacte sur le plan formel. Elle rate néanmoins l'essentiel : le règlement impose des obligations qui sont attachées à des systèmes déterminés, et il fait peser sur l'opérateur la charge d'établir sa position.
Trois exemples suffisent. L'article 6 et l'annexe III définissent le haut risque par la destination du système : sans liste, l'analyse n'a pas d'objet. L'article 50 impose des mentions de transparence sur des usages précis, applicables depuis le 2 août 2026. L'article 4 exige des mesures de maîtrise de l'IA proportionnées aux outils utilisés et aux personnes qui les manipulent, ce qui suppose de savoir quels outils et quelles personnes.
Le report des obligations « haut risque » au 2 décembre 2027 par le règlement (UE) 2026/1744 ne change rien à ce point. Il déplace l'échéance de mise en œuvre, pas la date à laquelle il devient utile de savoir où l'on en est.
Fixer le périmètre avant d'ouvrir le tableur
L'erreur qui coûte le plus de temps consiste à démarrer la collecte sans avoir décidé ce qui entre dans le champ. On finit alors par arbitrer système par système, en pleine collecte, avec des critères qui dérivent d'un service à l'autre.
La définition de référence est celle de l'article 3, point 1, précisée par les lignes directrices de la Commission du 6 février 2025. Elle est large : un système fondé sur une machine, conçu pour fonctionner avec des niveaux d'autonomie variables, qui infère à partir des entrées reçues comment générer des sorties. Un moteur de règles entièrement déterministe n'entre pas dans le champ ; un modèle statistique appris sur des données historiques, oui.
En pratique, trois cercles concentriques structurent la collecte, et il est plus efficace de les traiter séparément que de chercher l'exhaustivité en une seule passe.
Le premier cercle regroupe les outils achetés explicitement comme de l'IA : assistant conversationnel, outil de génération de contenu, module de scoring. Il est presque toujours connu de la direction et représente la plus petite part du total.
Le deuxième cercle rassemble les fonctions d'IA embarquées dans des logiciels achetés pour autre chose : suggestion de réponse dans l'outil de support, tri des candidatures dans l'ATS, détection d'anomalies dans l'outil comptable, résumé automatique dans la suite bureautique. C'est le cercle le plus large et le plus souvent sous-estimé, parce que la décision d'achat n'a jamais porté sur une fonction d'IA.
Le troisième cercle couvre les usages non achetés : comptes personnels ou gratuits utilisés dans un cadre professionnel. Il est inconfortable à documenter, et c'est précisément pour cette raison qu'il ne faut pas le renvoyer à une phase ultérieure.
Point de méthode
Un inventaire recense des systèmes, pas des contrats. Une même suite logicielle peut porter trois fonctions d'IA distinctes, avec trois destinations différentes et donc trois classifications possibles. La bonne granularité est la fonction, pas la licence.
La méthode en trois passes
Le questionnaire envoyé à tous les services donne des résultats médiocres, pour une raison simple : les utilisateurs ne qualifient pas d'« IA » l'outil qu'ils manipulent tous les jours. Poser la question sous cette forme revient à demander à chacun de faire une qualification juridique qu'il n'a aucun moyen de faire.
Une séquence en trois passes produit un résultat plus complet pour un coût inférieur.
Première passe : les traces financières. La revue des factures et abonnements logiciels des vingt-quatre derniers mois, extraite de la comptabilité ou du relevé de carte bancaire d'entreprise, donne la liste des éditeurs. Elle est factuelle, rapide, et ne dépend de la mémoire de personne. Comptez une demi-journée.
Deuxième passe : les traces techniques. La liste des applications connectées à l'annuaire d'entreprise ou au fournisseur d'identité, celle des extensions de navigateur déployées et celle des connecteurs autorisés sur la messagerie révèlent ce que la comptabilité ne voit pas, notamment les offres gratuites. Une demi-journée avec la personne qui administre le système d'information.
Troisième passe : les entretiens. Trente minutes par direction, avec une question posée par tâche et non par outil : quelles décisions ou quels contenus votre équipe produit-elle en s'appuyant sur une suggestion automatique ? Cette formulation fait remonter les usages du troisième cercle, que les deux premières passes manquent par construction.
Pour une entreprise de cinquante à trois cents personnes, l'ensemble tient en deux à trois semaines calendaires, avec une charge interne cumulée de l'ordre de trois à cinq jours-homme.
Les colonnes réellement utiles
Un inventaire trop riche ne se tient pas à jour. Le critère de sélection d'une colonne est simple : elle sert à répondre à une obligation identifiée, ou elle ne sert à rien.
| Colonne | À quoi elle sert |
|---|---|
| Nom de la fonction | Identifier le système, à la granularité de la fonction et non du contrat |
| Éditeur | Déterminer qui est fournisseur au sens de l'article 3, point 3 |
| Service utilisateur | Cibler les mesures de maîtrise de l'IA (article 4) |
| Destination | Déclencher la lecture de l'annexe III (article 6) |
| Sortie produite | Distinguer décision, recommandation, contenu de synthèse (article 50) |
| Personnes concernées | Identifier les obligations d'information et le lien avec le RGPD |
| Marque apposée | Détecter un basculement vers le statut de fournisseur (article 25) |
| Date de revue | Rendre l'inventaire opposable dans le temps |
La colonne « sortie produite » est la plus discriminante et la plus souvent absente. Un système qui produit une décision, un système qui produit un classement soumis à un humain et un système qui produit un texte publié n'appellent pas les mêmes obligations, même s'ils sont vendus par le même éditeur sous le même nom.
La colonne « marque apposée » sert un objectif précis : repérer les cas où l'entreprise revend ou met à disposition sous son propre nom un système développé par un tiers. C'est l'une des trois situations qui font basculer un déployeur vers le statut de fournisseur.
Ce qu'il est raisonnable de laisser de côté
Un inventaire n'a pas vocation à recenser toute automatisation. Trois familles peuvent être écartées, à condition d'écrire pourquoi.
Les systèmes purement déterministes, d'abord : règles de gestion, filtres booléens, formules de calcul. Ils ne procèdent pas par inférence au sens de l'article 3.
Les fonctions d'infrastructure sans effet sur une personne, ensuite : correction orthographique, compression d'image, indexation documentaire interne. Elles relèvent du risque minimal et n'appellent aucune obligation propre.
Les systèmes évalués puis abandonnés, enfin, à condition de conserver la trace de l'évaluation. Une preuve écrite qu'un outil a été examiné et écarté vaut mieux qu'un silence.
Dans les trois cas, ce n'est pas l'omission qui protège, c'est la ligne qui documente la décision d'omettre.
Tenir l'inventaire à jour sans y consacrer un poste
Un inventaire daté de dix-huit mois n'a plus de valeur probante. Deux mécanismes suffisent à le maintenir, et ils ne demandent pas de ressource dédiée.
Le premier consiste à greffer une question sur un processus existant : toute demande d'achat ou de renouvellement de logiciel porte une case indiquant si l'outil comporte une fonction d'IA et laquelle. Le second est une revue formelle semestrielle, courte, dont le seul objet est de vérifier que les systèmes inscrits existent encore et que les systèmes arrivés depuis sont inscrits.
L'articulation avec le registre des activités de traitement de l'article 30 du RGPD mérite d'être posée dès le départ. Les deux documents ne se recouvrent pas — un système d'IA sans données personnelles n'entre pas au registre, un traitement sans IA n'entre pas à l'inventaire — mais leur intersection est large. Les tenir dans le même outil, avec un champ de liaison, évite de faire deux fois le même travail de collecte.
Avertissement
Cet article présente une lecture opérationnelle du règlement et ne constitue pas un conseil juridique. Amada Piedade intervient sur le volet méthodologique et documentaire de la conformité. En cas de doute sur la qualification d'un système, référez-vous au texte et aux articles cités.
Pour situer rapidement votre exposition avant d'engager la collecte, le diagnostic AI Act reprend la logique de qualification appliquée ici.
Sources
Règlement (UE) 2024/1689 du 13 juin 2024 établissant des règles harmonisées concernant l'intelligence artificielle, notamment les articles 3, 4, 6, 25 et 50, et l'annexe III — texte consolidé sur EUR-Lex.
Règlement (UE) 2026/1744 du 8 juillet 2026 modifiant le règlement (UE) 2024/1689, publié au Journal officiel de l'Union européenne le 24 juillet 2026 et entré en vigueur le 27 juillet 2026 — texte au Journal officiel.
Commission européenne, lignes directrices sur la définition d'un système d'intelligence artificielle, 6 février 2025 — page de publication.
Règlement (UE) 2016/679 (RGPD), article 30 relatif au registre des activités de traitement.