Bâtir un inventaire des systèmes d'IA prêt pour l'audit et la conformité en entreprise

La conformité réglementaire à travers plusieurs juridictions exige une visibilité totale sur chaque modèle d'intelligence artificielle, moteur de décision automatisé et API déployés dans l'organisation. Un inventaire des systèmes d'IA complet et prêt pour l'audit constitue le prérequis indispensable pour l'EU AI Act, la norme ISO 42001 et les exigences internationales émergentes.

Schéma de données pour un registre d'entreprise

Pour répondre aux exigences de documentation technique et de responsabilité, un inventaire d'IA ne peut être un simple tableur. Il doit fonctionner comme un registre dynamique et lisible par machine :

1. Identité et provenance du système

• Identifiant unique : URN interne et appellation opérationnelle.
• Propriétaire et responsable technique : Personnes référentes habilitées à valider les déploiements.
• Modèle de déploiement : Modèle interne, open source réajusté ou API commerciale tierce (Azure OpenAI, Anthropic, etc.).
• Version et traçabilité : Hash de commit, identifiant de modèle de base et numéro de version active.

2. Contexte opérationnel et finalité

• Fonction métier : Processus précis pris en charge (tri de CV, détection de fraude, assistance client).
• Utilisateurs cibles : Collaborateurs internes, partenaires ou personnes physiques dans des zones réglementées.
• Niveau d'autonomie : Automatisation complète, contrôle humain préalable (approbation requise) ou surveillance a posteriori.

3. Classification réglementaire et obligations

• Niveau EU AI Act : Prohibé (Art. 5), Haut Risque (Annexe III), IA à usage général (Chap. V) ou Risque Minimal.
• Réglementations sectorielles : DORA, MDR, HIPAA ou ISO 42001.
• Périmètre géographique : Déploiements UE, États-Unis, Royaume-Uni, etc.

4. Contrôles et preuves d'audit

• Évaluation des risques : Liens vers les rapports d'audit et plans de remédiation.
• Traçabilité des données : Documentation sur la provenance des jeux de données d'entraînement et d'inférence.
• Télémétrie continue : Données en direct sur les alertes de dérive, les incidents et les interventions humaines.

Automatisation du registre

La gestion manuelle d'un inventaire devient rapidement obsolète. Les organisations performantes intègrent des scanners automatisés dans le CI/CD, surveillent les appels API via des passerelles d'IA et déclenchent des revues de conformité à chaque modification de version de modèle.