Les systèmes informatiques enregistrent des comportements, pas des intentions. Cela en fait un point de départ utile pour un inventaire, tout en constituant une source incomplète. Qui souhaite dresser un aperçu de l'IA réellement utilisée doit savoir quels signaux disent quelque chose et lesquels donnent un faux sentiment d'exhaustivité.
Le trafic vers les domaines des fournisseurs d'IA est généralement le signal le plus concret disponible. Un pare-feu ou un proxy enregistre quels domaines sont consultés, depuis quel appareil, et à quelle fréquence. Cela révèle un usage que personne n'avait besoin de signaler. Cela ne montre pas ce qui s'est passé dans cette interaction : quelles données ont été saisies, pour quelle tâche, avec quel résultat. Le trafic vers un domaine de chatbot peut être un test ponctuel ou une routine de travail quotidienne. Sans contexte supplémentaire, cette distinction reste invisible.
Les factures, abonnements et débits de carte de crédit montrent quels outils ont été formellement acquis, souvent en dehors des achats IT officiels. Une équipe qui souscrit un abonnement avec une carte d'entreprise laisse une trace que les achats ou la finance peuvent retrouver. Ce signal est fiable pour ce qui a été acquis, mais ne dit rien des outils gratuits, versions d'essai ou comptes personnels utilisés pour le travail. Ce que cette trace révèle concrètement est décrit sur la page consacrée aux traces d'achat et de licences comme source pour un inventaire IA.
Les plateformes de single sign-on et les fournisseurs d'identité enregistrent quelles applications ont été connectées à un compte d'entreprise. Ce signal capte les outils qui ont obtenu un accès via OAuth, par exemple à un compte de messagerie ou un environnement documentaire. C'est une des rares sources qui montre également quels droits un outil a obtenus, pas seulement qu'il a été utilisé. La limite : les outils utilisés sans connexion, via un navigateur et un compte séparé, restent hors de portée.
Les logiciels installés sur les ordinateurs portables et postes de travail sont généralement visibles via la plateforme de gestion que l'IT utilise pour les correctifs et mises à jour. Cela révèle les outils d'IA installés, mais omet tout ce qui fonctionne via un navigateur web sans installation. Pour la plupart des applications d'IA utilisées aujourd'hui, cela représente une part substantielle du total.
Dans les organisations où travaillent des développeurs, l'usage de modèles d'IA via des API constitue une trace distincte. Les plateformes de gestion des fournisseurs cloud et les passerelles API enregistrent quelles clés sont actives et quel volume elles traitent. Ce signal est souvent le plus sous-estimé : un script isolé qui appelle un modèle pour une tâche interne échappe à toute conversation sur les « outils d'IA » car personne ne le reconnaît comme tel.
Chacune de ces sources montre une partie du comportement, enregistrée par un système qui n'a pas été conçu à cet effet. Aucun de ces signaux ne consigne pourquoi un outil est utilisé, pour quelle tâche, avec quel type de données, ni qui en est responsable. C'est la raison pour laquelle un inventaire qui repose uniquement sur la technique donne une image faussée. Pourquoi la liste fournie par l'IT ne correspond structurellement pas à ce qui est réellement utilisé est expliqué sur la page consacrée aux raisons pour lesquelles la liste IT est inexacte.
Les signaux techniques sont une raison de poser des questions, pas un substitut à la question elle-même. Un collaborateur qui utilise un outil pour rédiger des textes provisoires, accélérer une analyse ou vérifier du code sait des choses qu'aucun journal ne consigne : pourquoi il a choisi cet outil, ce qu'il en fait, et ce qui lui manquerait s'il était supprimé. Cette conversation n'apporte quelque chose que si elle est menée sans sanction. La manière de procéder concrètement est décrite sur la page consacrée à poser des questions sans que cela ressemble à une reddition de comptes.
La valeur des données réseau, des traces d'achat, des journaux d'identité et des conversations avec les collaborateurs n'apparaît que lorsqu'on les rassemble dans une structure fixe : quelle application, quel rôle, quel niveau de risque, quel propriétaire. Sans cette structure, cela reste une collection d'observations isolées. La manière dont cette construction se déroule étape par étape est décrite sur la page consacrée à la construction d'un inventaire IA, et ce qui doit précisément être consigné par application figure sur la page consacrée aux champs de consignation par application d'IA.
Un aperçu complet de l'IA utilisée répond à la question de la vue d'ensemble et du risque. Il ne répond pas à la question de savoir quelle part du travail lui-même peut être reprise par l'IA, et à quoi cela aboutit concrètement par tâche. Dès qu'il est clair quels outils sont déployés dans quel rôle, cette question suivante s'impose naturellement. Le scan de travail de FTE TO AI calcule, par tâche, quelle part du travail peut être reprise par l'IA, en complément de l'aperçu que fournit le Responsible AI Scan.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.