Un registre d'IA est déjà partiellement dépassé le jour de sa livraison. Un nouvel outil fait son apparition, quelqu'un a étendu un abonnement existant avec une fonction d'IA, une équipe a cessé d'utiliser quelque chose qui figurait sur la liste. Un registre n'est pas un document que l'on finalise. C'est un processus qui continue de fonctionner, sinon il s'arrête au bout de quelques mois.
La question « comment le maintenir à jour » est donc plus importante que « comment le constituer ». Un premier inventaire est une photographie à un instant donné. La valeur réside dans ce qui se passe après.
La cause principale n'est pas la négligence. C'est que l'IA se diffuse différemment des autres logiciels. Un nouvel outil ne nécessite souvent aucune procédure d'achat, aucune validation informatique, aucun tour de budget. Quelqu'un s'inscrit avec une adresse e-mail professionnelle et commence à l'utiliser. Personne n'est tenu de le signaler, et personne ne se sent obligé de le faire — surtout si l'attente est que signaler équivaut à une interdiction. Ce qui se passe avec les collaborateurs qui utilisent un outil que personne n'a approuvé déterminera si ces signalements arrivent un jour.
De plus, la nature des outils existants change. Un logiciel qui n'avait aucune fonctionnalité d'IA l'année dernière peut en avoir cette année, activée par défaut lors d'une mise à jour. La liste des fournisseurs de l'informatique ne change alors pas, mais le profil de risque de ces mêmes outils, oui.
Maintenir un registre à jour exige un rythme répétitif plutôt qu'une action ponctuelle. Ce rythme se compose de quelques éléments récurrents :
Une question fixe posée aux équipes, à un moment fixe, sur ce qui a été ajouté ou a changé. Pas comme une question de contrôle, mais comme élément d'une réunion récurrente — entretien trimestriel, réunion d'équipe, cycle d'évaluation. La question doit être suffisamment accessible pour obtenir une réponse honnête.
Un signal venant des achats ou de la gestion informatique lorsqu'un nouvel abonnement est conclu ou qu'un contrat existant est renouvelé. Tous les signaux ne conduisent pas à une modification du registre, mais chaque signal doit être examiné.
Une réévaluation des éléments existants au moment où le contexte change : un outil acquiert une nouvelle fonction, une équipe utilise une application d'IA pour un objectif différent de celui pour lequel elle a été classée. La fréquence de cette réévaluation dépend du niveau de risque de l'application et de la vitesse à laquelle l'environnement évolue — pour en savoir plus, consultez la page qui décrit à quelle fréquence vous devez reclassifier.
Aucune méthode ne capture tout. Un registre entièrement dépendant de l'auto-déclaration passe par définition à côté de ce que les gens ne signalent pas — par ignorance, par commodité, ou parce qu'ils ne réalisent pas qu'un outil relève de la définition de l'IA. Un registre entièrement dépendant des signaux informatiques passe à côté de ce qui est acquis en dehors de l'informatique, ce qui constitue désormais la plus grande partie de l'IA fantôme.
L'approche réaliste combine les deux, en sachant que cette combinaison n'est pas complète non plus. Un registre bien entretenu est une approximation plus proche de la réalité que l'absence de registre, pas une garantie que tout y figure.
Il existe également un piège organisationnel : un second processus ajouté à côté d'un processus existant est souvent simplement ignoré, même s'il est obligatoire sur le papier. Pourquoi cela se produit et comment l'éviter est décrit sur la page consacrée à pourquoi un second processus ajouté à l'existant est ignoré. La leçon sous-jacente est que la mise à jour tient le mieux lorsqu'elle est intégrée dans les routines existantes, et non lorsqu'elle devient une nouvelle obligation distincte.
Un registre à jour dépend en fin de compte de personnes qui comprennent pourquoi signaler est utile et ce qui advient de leur signalement. Cela touche à un point plus large sur ce que signifie la maîtrise de l'IA pour vos collaborateurs : celui qui ne sait pas ce qui relève de la définition de l'IA ne signale pas non plus ce qui devrait l'être. Et celui qui craint une sanction ne signale de toute façon rien — pas même ce qui relève de la définition.
Cela inclut aussi la conversation sur les données de l'entreprise. Un collaborateur qui colle des données clients ou des documents internes dans une fenêtre de chat gratuite n'utilise souvent pas un outil interdit au sens strict — cet outil n'est peut-être mentionné nulle part comme « interdit ». Le risque se situe dans l'usage, pas seulement dans la présence sur une liste. Ce qu'il convient d'en faire est décrit sur la page consacrée à ce que vous faites avec les données de l'entreprise dans une fenêtre de chat gratuite.
Un dernier élément d'un registre vivant est le contrôle de ce qui y figure déjà. Une application qui, lors de la classification, nécessitait un contrôle humain peut perdre ce contrôle dans la pratique sans que le registre ne le reflète. Ce que le contrôle humain signifie dans la pratique, et en quoi cela diffère du contrôle sur le papier, est décrit sur la page consacrée à ce qu'implique le contrôle humain dans la pratique.
Un registre à jour indique ce qui fonctionne et avec quel risque. Il n'indique pas quelle part du travail sous-jacent est réellement effectuée ou reprise par l'IA, et quelle part reste aux mains des personnes. Cette question se situe à un niveau plus profond : non pas quels outils existent, mais quelle proportion d'une tâche concrète l'IA peut assumer. Le scan de travail de FTE TO AI calcule cela tâche par tâche, offrant ainsi une image qui complète le registre — l'un indique ce qui existe, l'autre ce qui se fait réellement.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.