Le service informatique tient à jour ce qui a été acheté, installé ou autorisé. C'est une information utile, mais elle répond à une autre question que celle que se posent réellement un administrateur, un CIO ou un General Counsel. La liste informatique montre ce qui est approuvé. La question qui compte est de savoir ce qui est utilisé.
Entre ces deux éléments, il y a de l'espace. Un collaborateur qui utilise un outil d'IA gratuit dans le navigateur n'est enregistré nulle part. Une équipe qui consulte un modèle de langage via une extension de navigateur n'apparaît pas dans un aperçu des licences. Un service qui a intégré un chatbot dans une macro de tableur ne figure pas dans un registre d'actifs. Rien de tout cela n'est par définition contraire aux règles. C'est seulement invisible pour la liste sur laquelle la direction et la surveillance s'appuient.
Le fossé entre la liste et la pratique n'apparaît pas parce que quelqu'un est négligent. Il apparaît parce que les applications d'IA sont devenues facilement accessibles, souvent sans processus d'achat, sans facture, sans implication du service informatique. Un collaborateur qui veut accomplir une tâche plus rapidement cherche une solution et la trouve souvent en quelques minutes, hors de tout canal formel. Ce comportement est prévisible et il engendre un problème réel : plus personne ayant une vue d'ensemble de l'organisation ne sait alors précisément quelle IA travaille effectivement avec quelles données.
La liste informatique n'est pas sans valeur. Elle constitue le point de départ d'un inventaire, pas le point final. Ce que révèlent les données d'achat et de licence montre que les factures et les contrats révèlent souvent davantage que le registre d'actifs lui-même : un abonnement d'essai qui a continué à courir, une licence souscrite par un service sans concertation avec l'informatique, une connexion API facturée chaque mois sans qu'une approbation formelle en soit à l'origine. Par ailleurs, il existe des signaux informatiques exploitables pour détecter l'IA fantôme : trafic réseau vers des domaines d'IA connus, nouvelles extensions de navigateur, pics inhabituels de trafic de données vers des services externes. Aucune de ces sources n'est complète en elle-même. Ensemble, elles donnent une image que la liste officielle n'offre pas.
Les signaux techniques montrent qu'une chose est utilisée, mais rarement pourquoi ou dans quel but précis. Ce contexte, vous ne l'obtenez qu'en le demandant aux personnes qui l'utilisent. Cela ne fonctionne que si la question n'est pas posée comme une enquête. Celui qui craint une sanction ne donne pas de réponse honnête, ou ne répond pas du tout. Comment poser la question aux collaborateurs sans sanction décrit comment poser cette question de manière à ce que les personnes racontent effectivement ce qu'elles utilisent réellement, et pourquoi, sans avoir l'impression de se trahir elles-mêmes.
Un inventaire est plus qu'une liste d'applications. Pour chaque application, vous documentez : qui l'utilise, pour quelle tâche, avec quelles données, et si le résultat joue un rôle dans une décision ayant des conséquences pour une personne extérieure à l'organisation. Cette dernière question déterminera le niveau de risque et donc les exigences de gouvernance applicables. Ce que vous devez documenter par application décrit ce format en détail. Pour les organisations comportant plusieurs services, sites ou filiales, s'ajoute une couche supplémentaire : la même application peut avoir un impact faible dans un service et concerner une décision relative aux clients dans un autre. Comment construire un inventaire de l'IA dans une organisation à plusieurs entités aborde cette échelle, et explique pourquoi la liste informatique y est encore plus éloignée de la réalité que dans un service unique.
Un inventaire construit à partir de plusieurs sources — la liste informatique, les données d'achat, les signaux techniques et les entretiens avec les collaborateurs — donne à un administrateur les moyens de rendre compte de ce qui se passe réellement, plutôt que de s'appuyer sur un registre dont il sait qu'il est incomplet. Ce n'est pas une garantie que tout est visible ; un usage invisible ne peut jamais être totalement exclu. C'est en revanche une base démontrablement construite, avec une méthode claire, plutôt qu'une liste qui existe par hasard.
Un inventaire montre quelles applications d'IA existent et qui les utilise. Il ne montre pas quelle part du travail sous-jacent ces applications reprennent effectivement, ni quelle marge subsiste pour transférer des tâches. C'est une autre question, qui appelle un autre instrument : le scan de travail de FTE TO AI calcule, par tâche, quelle part du travail peut être reprise par l'IA, sur la base de ce que cette tâche implique réellement plutôt que sur la base de l'intitulé du poste.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.