Pourquoi les fonctions support doivent piloter la cartographie des outils d’intelligence artificielle
Dans une PME ou une ETI, personne ne voit l’ensemble des usages numériques comme vous. Office manager, assistant de direction ou responsable des fonctions support, vous êtes au cœur de la gouvernance opérationnelle de l’entreprise et de la conformité. C’est précisément pour cela que la cartographie des outils d’intelligence artificielle ne peut pas être laissée uniquement à l’IT ou au DPO.
Le Règlement européen sur l’IA, souvent appelé AI Act, crée un nouveau cadre de conformité européenne qui s’ajoute au RGPD et aux obligations existantes. Ce texte classe les systèmes d’IA par niveaux de risque, du risque inacceptable au risque limité, avec des obligations applicables différentes selon le niveau de risque du système. Pour un directeur administratif et financier, ignorer ce risque act reviendrait à laisser filer un sujet qui peut coûter plusieurs millions d’euros en sanctions et en remédiation.
La cartographie des outils IA entreprise AI Act conformité devient donc un chantier structurant, au même titre que la facturation électronique ou la mise en conformité RGPD. Sans vision claire des systèmes utilisés, impossible de piloter la gestion des risques ni de prouver la conformité de l’entreprise en cas de contrôle. Votre rôle consiste à organiser la mise en conformité, à coordonner la documentation technique minimale et à sécuriser les droits fondamentaux des salariés et des clients.
Rendre visibles les IA cachées : de ChatGPT à votre logiciel comptable
Les outils « évidemment IA » sont faciles à repérer : ChatGPT, Microsoft Copilot, Google Gemini ou les assistants génératifs intégrés à Office. Le vrai sujet pour la cartographie des outils IA entreprise AI Act conformité, ce sont les systèmes d’IA cachés dans vos logiciels métiers, souvent activés par défaut sans documentation claire. On parle ici de scoring dans l’ATS de recrutement, de recommandations dans le CRM, de détection d’anomalies dans le logiciel comptable ou de chatbots intégrés au site.
Pour chaque service, vous devez recenser les logiciels utilisés et interroger les fournisseurs sur la présence de systèmes d’intelligence artificielle dans leurs produits. Un simple questionnaire structuré permet d’identifier si le système traite des données personnelles, s’il réalise un profilage, s’il prend des décisions automatisées ou s’il influence des décisions RH, financières ou commerciales. Cette première étape de guide interne vous aide à distinguer les usages d’IA à risque limité des usages susceptibles de relever d’un système à haut niveau de risque.
Le Règlement impose déjà une obligation de formation à l’« AI literacy » pour tous les utilisateurs de systèmes IA, ce qui ancre la formation comme pilier de la conformité act et du futur act RGPD. Pour approfondir ce point, un article de référence détaille comment l’obligation de formation s’applique déjà aux entreprises et aux fonctions support, en expliquant les impacts concrets sur les plans de formation et la gouvernance. Ne pas structurer cette formation autour des usages réels revient à cocher des cases sans réduire les risques, alors que l’objectif est une gestion des risques alignée sur la réalité du terrain.
Construire une méthode de cartographie pragmatique et exploitable par les fonctions support
La méthode la plus efficace pour les fonctions support tient en trois temps : inventaire, qualification, classification. Vous commencez par un inventaire des logiciels par service, en partant des achats centralisés puis en remontant les outils « sauvages » via un court questionnaire envoyé aux managers. Cette mise à plat révèle souvent des usages d’IA non déclarés, notamment dans les outils marketing, les solutions de paie ou les plateformes de gestion de notes de frais.
Deuxième temps, la qualification des systèmes : pour chaque outil, vous documentez la finalité, les données traitées, la population d’utilisateurs et le type de décisions influencées. Cette documentation doit préciser si le système traite des données personnelles sensibles, s’il peut générer un risque inacceptable pour les droits fondamentaux ou s’il se situe plutôt dans un système de risque limité. Vous créez ainsi une documentation technique minimale, exploitable à la fois par le DPO, la direction financière et les équipes métiers pour la mise en conformité.
Troisième temps, la classification par niveau de risque, en vous appuyant sur les catégories de systèmes de risque définies par le règlement européen. L’objectif n’est pas de devenir juriste, mais de distinguer les systèmes à haut niveau de risque, qui exigent une mise en conformité renforcée, des usages plus simples à encadrer. Cette approche structurée de la cartographie des outils IA entreprise AI Act conformité permet de prioriser les efforts, plutôt que de disperser les ressources sur tous les outils en même temps.
Ce qu’il faut documenter pour prouver la conformité : du CSE au DPO
Une fois les systèmes identifiés, la question n’est plus « avons nous de l’IA », mais « que devons nous prouver ». Pour chaque système, vous devez constituer un dossier de documentation qui couvre la finalité, les données utilisées, les usages concrets et les populations concernées. Cette documentation n’a pas besoin d’être parfaite, mais elle doit exister, être à jour et refléter la réalité de l’usage.
Sur le volet RGPD, la protection des données impose déjà de décrire les traitements, les durées de conservation, les transferts éventuels hors Union européenne et les mesures de sécurité. Avec l’AI Act, vous ajoutez une couche de gestion des risques centrée sur les niveaux de risque du système, les risques pour les droits fondamentaux et les mesures de réduction des risques. Le DPO devient un partenaire clé pour articuler RGPD et conformité act, en veillant à ce que chaque système de risque soit correctement documenté et encadré.
La Cour d’appel de Paris a rappelé l’obligation de consultation du CSE pour les projets d’IA impactant l’organisation du travail, ce qui place les fonctions support en première ligne. Votre documentation doit donc aussi servir de base à cette consultation, en expliquant clairement l’usage, le niveau de risque et les garanties prévues. Sans cette transparence, la gouvernance de l’IA reste théorique, alors que l’objectif est de sécuriser à la fois la conformité et le dialogue social.
Articuler formation, gouvernance et sanctions financières : un enjeu de direction financière
Pour un directeur administratif et financier, l’AI Act n’est pas qu’un texte juridique, c’est un sujet de pilotage des risques financiers. Les sanctions peuvent atteindre plusieurs dizaines de millions d’euros ou un pourcentage significatif du chiffre d’affaires, avec une gradation selon la gravité des manquements. La cartographie des outils IA entreprise AI Act conformité devient alors un outil de priorisation budgétaire, au même titre qu’un plan de gestion des risques financiers ou qu’un dispositif de contrôle interne.
La gouvernance de l’IA doit intégrer trois piliers : la cartographie, la formation et la documentation continue. La formation ne se limite pas à une session ponctuelle, elle doit être intégrée au plan de formation annuel, avec un suivi du taux de transfert au poste et des usages réels. Sans cette mise en conformité structurée, les obligations applicables restent théoriques, et le risque act se matérialise au premier incident médiatisé ou au premier contrôle ciblé.
Les fonctions support peuvent s’inspirer de la démarche déjà engagée pour la facturation électronique, où l’administration a détaillé une stratégie de sanctions graduées pour accompagner la montée en conformité. La même logique s’appliquera probablement à l’IA, avec une attente forte sur la bonne foi, la qualité de la documentation et la réalité de la gestion des risques. Ce n’est pas le plan de conformité qui protège l’entreprise, mais la capacité à prouver, dossier par dossier, que chaque système d’IA a été identifié, évalué et encadré.
FAQ
Comment savoir si un logiciel utilisé par mon entreprise intègre de l’intelligence artificielle
Commencez par recenser tous les logiciels par service, puis consultez les fiches produits et les contrats pour repérer les mentions d’algorithmes, de scoring, de recommandations ou d’IA générative. Si ce n’est pas clair, adressez un questionnaire simple au fournisseur en demandant s’il utilise des systèmes d’IA pour analyser des données personnelles ou pour automatiser des décisions. En cas de doute persistant, classez le logiciel comme potentiellement à risque et prévoyez une analyse plus poussée avec l’IT ou le DPO.
Quelle est la différence entre un système d’IA à risque limité et un système à haut risque
Un système à risque limité influence des décisions sans produire d’effets majeurs sur les droits fondamentaux, par exemple des suggestions de contenu dans un outil bureautique. Un système à haut risque intervient dans des domaines sensibles comme les ressources humaines, le crédit, la santé ou la sécurité, avec un impact direct sur la vie des personnes. La classification dépend du contexte d’usage, du type de données traitées et du degré d’automatisation de la décision.
Quelles informations dois je documenter pour chaque outil d’IA cartographié
Pour chaque outil, décrivez la finalité, les données traitées, les catégories de personnes concernées et les décisions influencées ou automatisées. Ajoutez les mesures de protection des données, les durées de conservation, les transferts éventuels hors Union européenne et les dispositifs de contrôle humain. Conservez aussi les éléments fournis par le fournisseur, comme la documentation technique, les engagements contractuels et les preuves de conformité.
Comment intégrer l’obligation de formation à l’IA dans le plan de formation
Identifiez d’abord les populations exposées aux systèmes d’IA, par exemple les équipes RH, finance, commercial ou support client. Construisez ensuite un module de base sur les principes de l’AI Act, les risques principaux et les bons réflexes, complété par des ateliers métiers centrés sur les usages réels. Suivez des indicateurs concrets comme le taux de participation, la compréhension des risques et l’évolution des pratiques au poste.
Quel rôle concret pour l’office manager ou l’assistant de direction dans ce chantier
L’office manager ou l’assistant de direction peut coordonner l’inventaire des outils, centraliser les réponses des fournisseurs et structurer la documentation pour la direction et le DPO. Il ou elle peut aussi organiser les sessions de sensibilisation, préparer les supports pour la consultation du CSE et suivre l’avancement de la mise en conformité. Cette fonction devient un pivot entre les métiers, la direction financière, l’IT et les instances représentatives du personnel.