Un inventaire IA n'est pas une photographie instantanée de ce que le service informatique a acheté. C'est un aperçu continu de ce qui est réellement utilisé dans l'organisation pour effectuer le travail, que cet usage ait été approuvé, acheté ou même connu du service qui décide formellement des logiciels. Quiconque souhaite constituer un inventaire couvrant cette différence doit chercher à davantage d'endroits que ce à quoi la plupart des organisations sont habituées.
La liste des applications approuvées est un point de départ logique, mais elle ne couvre que ce qui est entré via un parcours formel. Les fonctionnalités IA arrivent aussi par des canaux qui ne sont pas reconnus comme « nouvelle application » : une mise à jour d'un logiciel existant, une extension de navigateur, une fonction activée par un fournisseur sans notification distincte. Pourquoi la liste informatique est incorrecte décrit les mécanismes qui font qu'un inventaire reposant uniquement sur cette liste est par définition incomplet. Cela ne signifie pas que la liste est superflue — cela signifie qu'elle est une source parmi d'autres, pas la seule.
Les factures, abonnements et comptages de licences racontent une autre histoire que la liste informatique, car les achats se font souvent au niveau du service et ne passent pas toujours par un parcours informatique centralisé. Une équipe qui souscrit un abonnement pour un outil doté d'une fonction IA l'enregistre auprès des achats ou des finances, pas nécessairement auprès de l'informatique. Ce que révèlent les données d'achat et de licences montre quels schémas dans ces données indiquent un usage de l'IA qui n'a pas encore été remarqué ailleurs : abonnements récurrents de faible montant, dénomination des outils, croissance du trafic de données vers certains domaines. Ce n'est pas un substitut à une vérification directe, mais un moyen de savoir où orienter cette vérification en premier lieu.
Le trafic réseau, les journaux DNS et la gestion des accès peuvent donner des indications sur les services consultés depuis des équipements de l'entreprise. Tous les signaux ne sont pas aussi fiables : un trafic vers un fournisseur d'IA peut indiquer un usage actif, mais aussi un processus en arrière-plan sans rapport avec les activités quotidiennes. Quels signaux informatiques sont utilisables explique quels indicateurs techniques offrent des repères fiables et lesquels génèrent trop de bruit pour servir de base à un inventaire. Le résultat de ces signaux est une liste de présomptions, pas un aperçu confirmé — la confirmation vient des personnes qui effectuent le travail.
Aucun signal technique et aucun poste d'achat ne vous indique pourquoi quelqu'un utilise un outil, pour quelle tâche, et si l'usage est ponctuel ou structurel. Cette information ne se révèle que si les collaborateurs sont disposés à la partager. Cela ne se produit pas spontanément : quiconque soupçonne qu'une réponse à la question « quelle IA utilisez-vous » débouche sur une interdiction ou une note défavorable répondra de manière évasive, ou ne répondra pas. Comment poser la question aux collaborateurs sans sanction décrit comment poser cette question de manière à rendre une réponse honnête plus probable. Cette partie de l'inventaire fournit souvent la plus grande part des applications qui ne deviennent visibles par aucune autre source.
Un inventaire qui ne recueille que des noms d'outils n'est pas utilisable pour la gouvernance. Par application, davantage est nécessaire : qui utilise l'outil et pour quelle tâche, quel type de données y est saisi, si le résultat joue un rôle dans une décision concernant un client, un collaborateur ou un tiers, et quel fournisseur se trouve derrière. Ce qu'il faut consigner par application donne les champs nécessaires pour pouvoir classer ultérieurement une application selon son rôle et son niveau de risque, sans devoir répéter l'inventaire une fois cette classification demandée.
Dans une organisation comportant plusieurs sites, unités opérationnelles ou pays, l'inventaire lui-même devient un problème de coordination : qui pose la question, dans quel ordre, et comment les résultats sont-ils regroupés sans que les services ne corrigent ou n'atténuent mutuellement leurs réponses. Comment constituer un inventaire IA dans une organisation à plusieurs composantes traite de cette échelle : où la coordination se bloque et comment les résultats des différentes composantes restent comparables.
Un inventaire, une fois constitué, est une photographie à un instant donné. Pour qu'il reste utile aux dirigeants, DSI et responsables des risques, il doit être répété et relié à une classification qui s'aligne sur la structure de risque existante de l'organisation. Cet élément — inventorier, classer selon le rôle et le niveau de risque, et faire le lien avec la gouvernance — est ce sur quoi travaille le Responsible AI Scan. Le scan est en construction ; toute personne intéressée peut s'inscrire sur la liste d'attente.
Un inventaire répond à la question de savoir quelle IA est utilisée. Une autre question, complémentaire, est de savoir quelle part du travail effectif — tâche par tâche — peut être reprise par l'IA. C'est à cette question que répond le scan de travail de FTE TO AI, qui calcule par tâche quelle part du travail peut être reprise.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.