Un inventaire des systèmes d’IA (également appelé registre des systèmes d’IA) est un catalogue complet et centralisé de tous les systèmes, modèles et agents d’IA utilisés au sein d’une organisation. Il recense leur finalité métier, leur responsabilité et leurs niveaux de risque - le fondement de tout programme de gouvernance d’entreprise. Élaborer un inventaire complet des IA est désormais un prérequis strict pour se conformer à l’AI Act de l’UE, à la norme ISO 42001, au cadre de gestion des risques liés à l’IA du NIST et au nouveau Cadre de gestion des risques liés à l’IA pour les services financiers du département du Trésor.

La plupart des organisations ne peuvent pas répondre à une question apparemment simple : combien de systèmes d’IA sont actuellement en fonctionnement dans l’ensemble de l’entreprise ? L’incapacité à fournir une réponse fiable - et l’absence d’un inventaire complet des IA - n’est pas qu’une lacune administrative. C’est un risque de non-conformité, un angle mort en matière de gestion des risques et une position de plus en plus intenable, à mesure que les cadres réglementaires mondiaux passent de l’orientation volontaire à l’obligation contraignante.

L’AI Act de l’UE, entré en vigueur en août 2024 et dont les obligations sont mises en œuvre progressivement jusqu’en 2027, exige des déployeurs de systèmes d’IA à haut risque qu’ils enregistrent ces systèmes dans la base de données de l’UE (article 71) et qu’ils conservent une documentation présupposant un recensement complet de chaque système relevant du périmètre.[1] ISO/IEC 42001, la norme internationale relative aux systèmes de management de l’IA, exige des organisations qu’elles documentent le périmètre et le contexte de leurs systèmes d’IA comme prérequis à la certification, faisant du catalogage systématique une nécessité pratique.[2] Le cadre de gestion des risques liés à l’IA du NIST considère l’identification et la classification des systèmes d’IA comme l’activité fondatrice de sa fonction Map, qui alimente ensuite toutes les activités de mesure et de gestion des risques.[3] Le Cadre de gestion des risques liés à l’IA pour les services financiers du département du Trésor, publié en février 2026, fait de l’inventaire des IA un objectif de contrôle à part entière (GV-1.6), avec six sous-objectifs allant de la détection de l’informatique fantôme à l’analyse du risque au niveau du portefeuille.[4] Sans inventaire complet des IA, la conformité à l’un quelconque de ces cadres est structurellement impossible.

Pourtant, la tâche consistant à cataloguer chaque système d’IA au sein d’une entreprise est bien plus complexe qu’il n’y paraît. Ce guide propose une approche systématique pour constituer un inventaire des IA à partir de rien, en précisant quoi recenser, comment découvrir des systèmes susceptibles d’être invisibles pour la gouvernance centrale, et comment maintenir l’exactitude de l’inventaire dans la durée.

Pourquoi un inventaire des IA est le fondement de la gouvernance

Au-delà des exigences réglementaires, un inventaire complet des systèmes d’IA constitue le prérequis de pratiquement toutes les activités de gouvernance en aval. Les évaluations des risques ne peuvent pas être menées sur des systèmes inconnus. Les audits de biais ne peuvent pas atteindre des outils d’IA que les achats n’ont jamais enregistrés. Les plans de réponse aux incidents ne peuvent pas prendre en compte des processus pilotés par l’IA que l’informatique ne peut pas voir.

Les conséquences pratiques d’une exploitation sans inventaire sont déjà visibles. Les organisations soumises à l’AI Act de l’UE font face à une obligation d’enregistrement pour les systèmes à haut risque dans la base de données européenne.[1] Celles qui visent la certification ISO 42001 doivent démontrer un processus systématique d’identification et de gestion des systèmes d’IA à l’échelle de l’organisation.[2] Les régulateurs financiers, notamment la Banque d’Angleterre, la FCA et la Banque centrale européenne, ont commencé à publier des attentes de supervision supposant que les établissements savent précisément quelles décisions sont influencées par des outils algorithmiques ou fondés sur l’IA.[5] Et, depuis février 2026, les institutions financières américaines doivent être en mesure de répondre au questionnaire du Treasury FS AI RMF, ce qui est impossible sans un inventaire de base des IA.[4]

Le défi est aggravé par le rythme d’adoption de l’IA. Le Global Survey on AI 2024 de McKinsey a révélé que 72 % des organisations avaient adopté l’IA dans au moins une fonction métier, avec une adoption presque doublée d’une année sur l’autre et une grande partie de celle-ci se produisant au niveau des départements, sans supervision centralisée.[6] Des plateformes telles qu’Enzai sont apparues précisément pour répondre à la complexité de la gestion d’un inventaire vivant des IA à l’échelle de l’entreprise, en reliant la découverte, la classification des risques et la surveillance continue dans une seule couche de gouvernance.

Un inventaire des IA n’est pas une simple case de conformité à cocher. C’est l’unique artefact dont dépendent toutes les autres activités de gouvernance.

Ce qu’il faut inclure dans votre inventaire des IA 2026 : exigences mises à jour

Deux éléments ont changé depuis la dernière fois où la plupart des organisations ont examiné la spécification de leur inventaire. Le niveau d’exigence réglementaire s’est élevé, et les systèmes inventoriés ont évolué. Un inventaire conçu en 2024 pour soutenir la préparation à l’AI Act de l’UE est matériellement insuffisant pour 2026.

Le contexte réglementaire de 2026

AI Act de l’UE - obligations applicables aux systèmes à haut risque à compter du 2 août 2026. L’ensemble complet des exigences applicables aux systèmes à haut risque au titre des articles 9 à 15, l’évaluation de conformité au titre de l’article 43, les obligations de transparence au titre de l’article 50 et l’enregistrement dans la base de données de l’UE au titre de l’article 71 prennent effet le 2 août 2026.[7] Le Digital Omnibus proposé en novembre 2025 prolongerait le délai de l’annexe III jusqu’en décembre 2027, mais cette proposition demeure en négociation trilogue et son issue reste incertaine. Planifiez pour août ; traitez toute prolongation comme un scénario de repli, et non comme la référence de base. L’implication pour l’inventaire est concrète : chaque système pouvant relever des catégories de l’annexe III doit être identifiable, classifié et prêt à être enregistré.

Cadre de gestion des risques liés à l’IA des services financiers du Trésor - publié le 19 février 2026. Le département du Trésor des États-Unis a publié le Cadre de gestion des risques liés à l’IA pour les services financiers (FS AI RMF) le 19 février 2026, accompagné d’un lexique de l’IA, en adaptant le NIST AI RMF aux institutions financières à travers 230 objectifs de contrôle.[4] La constitution de l’inventaire des IA constitue un objectif de contrôle à part entière - GV-1.6 - avec six sous-objectifs allant de la détection de l’informatique fantôme à l’analyse du risque au niveau du portefeuille. Le cadre est actuellement volontaire, mais il devrait rapidement façonner les attentes des auditeurs. Pour les organisations de services financiers, l’inventaire doit désormais permettre de répondre au questionnaire FS AI RMF comme base minimale.

Colorado AI Act et lois d’État parallèles. Le Colorado AI Act, initialement applicable à compter du 1er février 2026 et soumis à des amendements en attente, exige des développeurs et des déployeurs de systèmes d’IA à haut risque qu’ils fassent preuve d’un soin raisonnable afin d’éviter toute discrimination algorithmique dans les décisions ayant des conséquences.[8] Les inventaires destinés à soutenir la conformité au Colorado doivent intégrer l’impact sur les décisions, les populations concernées et des indicateurs de décision à incidence significative - des champs qui ne figurent pas toujours dans les inventaires d’IA plus anciens.

ISO/IEC 42001 et NIST AI RMF. Cadres volontaires toujours en vigueur. La certification ISO 42001 exige de démontrer un processus systématique d’identification et de gestion des systèmes d’IA. Le NIST AI RMF considère l’identification et la classification comme l’activité fondatrice de sa fonction Map.[2][3]

Nouveaux éléments à capturer en 2026

Les champs et considérations que 2026 ajoute spécifiquement :

• Indicateurs de système agentique. Le système est-il un agent autonome, quel est son niveau d’autonomie (voir le Guide de gouvernance de l’IA agentique d’Enzai) et quel est l’espace d’actions borné dans lequel il opère ?

• Dépendance à un modèle de fondation. Pour les systèmes bâtis sur des modèles de fondation tiers, le fournisseur du modèle, la version du modèle, la politique de verrouillage de version et les déclencheurs de revalidation lorsque le fournisseur publie des mises à jour.

• Champs de classification des risques de l’AI Act de l’UE. Catégorie de l’annexe III (le cas échéant), justification de la classification à haut risque, voie d’évaluation de conformité, statut d’enregistrement dans la base de données de l’UE, référence du plan de surveillance post-mise sur le marché. Voir le Guide de conformité à l’AI Act de l’UE d’Enzai pour le détail complet des obligations.

• Cartographie FS AI RMF (services financiers). Affectation aux objectifs de contrôle pertinents, en particulier les sous-objectifs GV-1.6, notamment l’exposition externe, l’utilisation de données sensibles ou réglementées, l’impact sur les clients ou le marché, et la criticité.

• Indicateurs de détection des agents fantômes. Suivi spécifique des agents autonomes adoptés en dehors des processus d’achats formels - souvent intégrés dans des plateformes SaaS ou développés de manière informelle par des équipes de data science.

• Déclencheurs de modification substantielle. Critères définis pour déterminer quand une modification d’un système existant constitue une « modification substantielle » au sens de l’article 3(23) de l’AI Act de l’UE, déclenchant une nouvelle évaluation.

Ces éléments s’ajoutent au cadre de champs présenté ci-après. Les organisations dont les inventaires couvrent déjà les champs de base ci-dessous devraient prévoir une phase ciblée d’enrichissement pour ajouter les données spécifiques à 2026, plutôt que de tout reconstruire à partir de zéro.

Le défi de la découverte

Comprendre pourquoi les systèmes d’IA sont difficiles à recenser est essentiel avant même d’essayer de construire l’inventaire lui-même. L’IA ne se comporte pas comme un logiciel traditionnel en matière de visibilité. Elle s’intègre aux outils existants, fonctionne via des API tierces et se propage à travers des décisions individuelles d’employés qui ne passent jamais par les achats.

IA fantôme - Le défi de découverte le plus significatif est l’IA fantôme : des systèmes adoptés par des employés ou des équipes sans approbation formelle. Un analyste marketing s’abonnant à un outil de rédaction assistée par IA avec une carte de crédit personnelle, une équipe commerciale utilisant un service de transcription de réunions par IA, une équipe financière expérimentant un grand modèle de langage via une extension de navigateur. Chacun de ces cas correspond à un système d’IA traitant des données de l’organisation en dehors de tout cadre de gouvernance.

IA intégrée dans les plateformes SaaS - Les principaux éditeurs de logiciels d’entreprise ont intégré à une vitesse exceptionnelle des fonctionnalités d’IA dans leurs produits existants. Une plateforme CRM qui a introduit un scoring prédictif des prospects, un système RH qui a ajouté le tri des CV, un outil de support client qui a déployé la génération automatisée de réponses. Ce sont bien des systèmes d’IA, mais ils apparaissent souvent sous forme de mises à jour de fonctionnalités plutôt que de nouveaux achats, ce qui les rend invisibles pour les audits logiciels traditionnels.

IA des fournisseurs et tiers - Lorsqu’une organisation fait appel à un fournisseur qui utilise l’IA dans la prestation de ses services, elle peut devenir déployeur de ce système d’IA au titre de cadres réglementaires tels que l’AI Act de l’UE. Un prestataire de vérification d’antécédents utilisant l’IA pour filtrer les candidats, un sous-traitant du traitement des sinistres utilisant l’IA pour prioriser les dossiers, un partenaire logistique utilisant l’IA pour optimiser les itinéraires. Chacun crée une obligation de gouvernance qui commence par la connaissance de l’existence du système.

IA développée en interne - Les équipes de data science, les laboratoires d’innovation et les départements d’ingénierie logicielle peuvent concevoir et déployer des modèles d’IA qui ne passent jamais par un processus formel de gestion des mises en production. Des notebooks Jupyter promus en production, des modèles de machine learning exécutés sur des serveurs départementaux, des scripts de prise de décision automatisée qui sont passés du proof of concept au statut de processus critique sans qu’aucune validation formelle ne soit engagée.

Le défi de la découverte est fondamentalement un problème de visibilité. La gestion traditionnelle des actifs informatiques n’a pas été conçue pour l’IA, et les outils et processus sur lesquels s’appuient la plupart des organisations passeront à côté de la majorité de leur empreinte IA.

Ce qu’il faut recenser dans votre inventaire des IA

Un inventaire des IA utile doit trouver le juste équilibre entre exhaustivité et praticité. Recenser trop peu d’éléments rend l’inventaire insuffisant pour l’évaluation des risques et la conformité. Recenser trop d’éléments crée une charge de maintenance qui conduit l’inventaire à se dégrader. Le cadre de modèle suivant couvre les champs exigés par les obligations réglementaires, les normes sectorielles et les besoins concrets de gouvernance.

Champs d’identification de base

Responsabilité et imputabilité

Classification des risques et de la conformité

Détails techniques et opérationnels

Champs spécifiques aux systèmes agentiques (le cas échéant)

Cycle de vie et statut

Tous les champs ne seront pas renseignés pour chaque système lors du premier passage. Une approche pratique consiste à définir quels champs sont obligatoires à l’intake (nom du système, responsable, type de déploiement, classification des risques) et lesquels peuvent être reportés au premier cycle de revue de gouvernance. Le schéma d’inventaire des IA d’Enzai met en œuvre cette approche par paliers, en distinguant les champs obligatoires à l’intake des champs d’enrichissement progressif, afin d’éviter que les équipes ne sautent tout ou ne se retrouvent paralysées par un formulaire de 22 champs pour chacun des 200 systèmes. L’objectif est d’établir la structure et de combler les lacunes de manière systématique, plutôt que de retarder l’inventaire jusqu’à ce que chaque champ puisse être rempli parfaitement.

Méthodes de découverte

Une fois les éléments à recenser clairement identifiés, la question suivante est de savoir comment trouver chaque système d’IA en fonctionnement au sein de l’organisation. Aucune méthode unique ne permettra d’atteindre une couverture complète. Un programme de découverte efficace combine plusieurs approches.

Analyse automatisée et découverte technique - L’analyse du trafic réseau peut identifier les appels API vers des fournisseurs de services d’IA connus, y compris les principaux points de terminaison d’IA cloud de fournisseurs tels qu’OpenAI, Google, Anthropic et AWS. Les journaux DNS, les enregistrements des serveurs proxy et les outils CASB (cloud access security broker) peuvent signaler des connexions à des services d’IA qui n’ont pas été officiellement approuvés. L’analyse de la composition logicielle peut identifier des bibliothèques et des frameworks d’IA au sein d’applications développées en interne.

Les organisations qui utilisent des plateformes telles qu’Enzai peuvent intégrer des capacités de découverte automatisée directement dans leur flux de gouvernance, réduisant ainsi l’effort manuel requis et garantissant que les systèmes nouvellement détectés sont immédiatement signalés pour classification et examen.

Audit des achats et des fournisseurs - Un examen systématique des dossiers d’achats, des contrats de licence logicielle et des contrats fournisseurs fera apparaître les systèmes d’IA acquis par les canaux formels. Cet examen doit inclure une revue rétrospective des contrats existants, car de nombreux fournisseurs ont ajouté des fonctionnalités d’IA à des produits auparavant non liés à l’IA. Les équipes achats doivent être sensibilisées afin de signaler toute nouvelle acquisition intégrant des capacités d’IA ou de machine learning.

Enquêtes auprès des employés et auto-déclaration - Le contact direct avec les unités métier demeure l’une des méthodes de découverte les plus efficaces pour l’IA fantôme. Une enquête structurée demandant aux équipes d’identifier tout outil, service ou modèle qu’elles utilisent et qui implique de l’IA, du machine learning, du traitement du langage naturel ou de la prise de décision automatisée révélera systématiquement des systèmes qu’aucune méthode de balayage technique ne détecterait. L’enquête doit être formulée de manière constructive, en mettant l’accent sur le soutien à la gouvernance plutôt que sur l’application des règles, afin d’encourager une divulgation honnête.

Questionnaires fournisseurs - Pour les relations existantes avec des tiers, un questionnaire ciblé demandant aux fournisseurs s’ils utilisent l’IA dans la prestation de services et, si oui, de quel type et à quelle fin, permet d’identifier l’IA intégrée et l’IA tierce. Cela est particulièrement important pour les processus métier externalisés, où l’IA peut être introduite par le fournisseur sans notification explicite au client.

Analyse du trafic réseau et API - Au-delà de la recherche de points de terminaison d’IA connus, une analyse plus approfondie des schémas de trafic API peut révéler des systèmes d’IA communiquant par des canaux non évidents. Le suivi de motifs compatibles avec des appels d’inférence de modèles, tels que des charges JSON structurées envoyées vers des points de terminaison externes avec des profils de latence typiques de l’inférence ML, peut faire émerger des systèmes que les autres méthodes ne détectent pas.

Les programmes de découverte les plus robustes exécutent ces méthodes en parallèle et les répètent selon un cycle régulier. Un balayage unique capturera la majorité des systèmes, mais une découverte continue est nécessaire pour suivre le rythme auquel de nouveaux outils d’IA entrent dans l’organisation.

Mise en place du processus d’inventaire

Un inventaire des IA n’est durable que si le processus et la structure de gouvernance qui le soutiennent le sont. Sans responsabilité claire, implication interfonctionnelle et flux de travail définis, même un catalogue initial approfondi se dégradera en quelques mois.

Établir la responsabilité - Une fonction unique doit être responsable de l’inventaire des IA en tant qu’actif de l’entreprise. Dans la plupart des organisations, cela revient à l’un de trois rôles : le Chief AI Officer (lorsque ce poste existe), le Chief Information Security Officer ou le Chief Compliance Officer. L’exigence essentielle est que le responsable dispose d’une autorité suffisante pour obtenir la divulgation de toutes les unités métier et d’une crédibilité technique suffisante pour dialoguer avec les équipes d’ingénierie sur la classification et l’évaluation des risques.

Implication interfonctionnelle - Le processus d’inventaire nécessite la participation active de plusieurs fonctions :

• IT et Ingénierie fournissent des capacités de découverte technique et peuvent identifier les systèmes d’IA développés en interne, les détails d’infrastructure et les points d’intégration.

• Achats signalent les nouvelles acquisitions d’IA et examinent rétrospectivement les relations fournisseurs existantes.

• Juridique et conformité classent les systèmes au regard des exigences réglementaires, y compris les catégories de risque de l’AI Act de l’UE, les objectifs de contrôle FS AI RMF et les obligations de protection des données.

• Responsables d’unités métier identifient les outils d’IA utilisés au sein de leurs équipes et attribuent la responsabilité métier pour chaque système.

• Protection des données / vie privée évalue le traitement des données à caractère personnel et veille à l’alignement avec le RGPD et les cadres équivalents.

• Audit interne valide périodiquement l’exhaustivité et l’exactitude de l’inventaire.

Définir le flux d’intake - Chaque nouveau système d’IA, qu’il soit acheté, développé ou découvert par analyse, devrait suivre un flux d’intake standardisé. Ce flux devrait inclure l’enregistrement initial (renseignement des champs d’identification de base), la classification préliminaire des risques, l’affectation des responsables métier et techniques, ainsi que la planification d’une revue complète de gouvernance. Le processus d’intake doit être suffisamment léger pour ne pas inciter à le contourner, tout en restant assez rigoureux pour qu’aucun système n’entre en production sans documentation de gouvernance de base.

Définir la cadence de gouvernance - L’inventaire doit être formellement revu au minimum chaque trimestre. Chaque revue doit évaluer l’exhaustivité (de nouveaux systèmes ont-ils été ajoutés depuis le dernier cycle ?), l’exactitude (les informations des systèmes existants sont-elles toujours correctes ?) et la posture de conformité (des systèmes fonctionnent-ils en dehors de leurs paramètres de risque approuvés ?).

Un processus sans responsabilité claire relève de l’intention. Un processus doté d’une responsabilité, d’un soutien interfonctionnel et d’une cadence définie constitue un programme de gouvernance.

Maintenir l’inventaire dans la durée

La construction initiale est la moitié la plus simple du défi. Maintenir un inventaire exact et vivant exige des déclencheurs, de l’automatisation et une intégration avec la gestion plus large des changements organisationnels.

Déclencheurs de mise à jour de l’inventaire - L’inventaire doit être mis à jour chaque fois que l’un des événements suivants se produit :

• Un nouveau système d’IA est acheté, développé ou déployé

• Un système existant est modifié de manière significative (nouvelles sources de données, périmètre décisionnel modifié, réentraînement du modèle, changement de version du modèle de fondation)

• Un système est retiré du service ou suspendu

• Un fournisseur informe l’organisation de l’ajout de fonctionnalités d’IA à un produit existant

• Un changement réglementaire modifie la classification de risque d’un système existant

• Un incident impliquant un système d’IA est signalé

• Une restructuration organisationnelle modifie la responsabilité métier d’un système

Découverte continue - Les méthodes de découverte technique doivent fonctionner en continu plutôt que comme des exercices périodiques. La détection automatisée du trafic vers les API d’IA, les alertes CASB pour les nouveaux outils SaaS d’IA et l’intégration aux chaînes de déploiement logiciel pour signaler les composants d’IA dans les nouvelles versions contribuent toutes à réduire le délai entre l’entrée d’un système dans l’organisation et son apparition dans l’inventaire.

Intégration à la gestion des changements - L’inventaire des IA doit être intégré aux processus existants de gestion des changements et de gestion des services informatiques. Les comités consultatifs de changement devraient inclure l’impact sur l’inventaire des IA comme critère d’évaluation standard. Les processus de déploiement logiciel devraient inclure un contrôle des composants d’IA. Les flux de gestion des fournisseurs devraient inclure la déclaration de l’IA comme exigence contractuelle et de revue standard.

Historique des versions et piste d’audit - Chaque modification apportée à une entrée d’inventaire doit être enregistrée avec un horodatage, l’identité de la personne ayant effectué le changement et la raison de la mise à jour. Cette piste d’audit n’est pas seulement une bonne pratique. C’est une exigence explicite de plusieurs cadres réglementaires, et elle sera attendue par les auditeurs et les autorités de supervision.

C’est au stade de la maintenance que la plupart des inventaires d’IA échouent. Les organisations qui réussissent sont celles qui considèrent l’inventaire comme un système vivant intégré aux flux opérationnels, et non comme un document statique revu une fois par an.

Pièges courants

Même les organisations bien dotées en ressources rencontrent des modes d’échec prévisibles lorsqu’elles construisent et maintiennent un inventaire des IA. Reconnaître ces schémas à l’avance améliore considérablement la probabilité d’un résultat durable.

Définir l’IA de manière trop étroite. Les organisations qui limitent leur inventaire aux « modèles de machine learning » manqueront les systèmes de décision automatisée fondés sur des règles, l’automatisation robotisée des processus avec des éléments cognitifs, les agents autonomes et les outils d’IA générative utilisés de manière informelle dans l’ensemble de l’entreprise. La définition de ce qui constitue un système d’IA à des fins d’inventaire doit être volontairement large et alignée sur les définitions réglementaires, comme le cadre extensif de l’article 3(1) de l’AI Act de l’UE.[1]

Traiter l’inventaire comme un projet IT. Si l’inventaire est exclusivement détenu par l’IT, l’adoption de l’IA côté métier sera systématiquement sous-déclarée. À l’inverse, s’il relève exclusivement de la conformité, les détails techniques seront rares et peu fiables. La responsabilité interfonctionnelle n’est pas facultative.

Rechercher la perfection dès le premier passage. Les organisations qui exigent de renseigner chaque champ pour chaque système avant de publier l’inventaire ne publieront jamais l’inventaire. Une approche pragmatique accepte des enregistrements partiels lors de la construction initiale et met en œuvre un programme structuré pour combler les lacunes au cours des cycles d’examen suivants.

Négliger l’IA des fournisseurs. Les systèmes d’IA ayant l’impact le plus important sur une organisation sont souvent ceux exploités par des tiers - l’IA d’un prestataire de vérification d’antécédents, le modèle d’un bureau de scoring de crédit, les outils de sécurité automatisés d’une plateforme cloud. Ceux-ci exigent la même attention en matière de gouvernance que les systèmes développés en interne, et souvent davantage, compte tenu de la visibilité réduite.

Négliger les systèmes agentiques. La plupart des inventaires historiques ont été conçus pour une IA statique - des modèles qui produisent des prédictions ou des contenus à l’intention d’êtres humains. Les systèmes agentiques, qui exécutent des actions de manière autonome à travers des flux de travail en plusieurs étapes, nécessitent des champs supplémentaires (niveau d’autonomie, liste blanche d’actions, déclencheurs d’escalade, emplacement de la piste d’audit) et des disciplines de gouvernance additionnelles. Un inventaire qui ne distingue pas les systèmes agentiques des modèles statiques ne peut pas soutenir une gouvernance proportionnée. Voir le Guide de gouvernance de l’IA agentique d’Enzai pour le cadre complet.

Ne pas relier l’inventaire à l’action. Un inventaire des IA qui existe sous la forme d’un tableur, révisé chaque année, déconnecté des processus d’évaluation des risques, de gestion des incidents et de reporting réglementaire, n’apporte qu’une valeur de gouvernance négligeable. L’inventaire doit constituer l’épine dorsale opérationnelle du programme de gouvernance de l’IA, et non une annexe.

Sous-estimer la charge de maintenance. Le rythme d’adoption de l’IA dans la plupart des organisations signifie qu’un inventaire achevé aujourd’hui sera matériellement incomplet dans trois à six mois sans processus de maintenance actif. Les organisations doivent budgéter un effort continu pour la maintenance de l’inventaire, et pas seulement pour sa construction initiale.

La différence entre un inventaire des IA qui crée de la valeur de gouvernance et un autre qui prend la poussière ne réside pas dans la sophistication du catalogue initial. Elle tient à la rigueur du processus qui le maintient à jour et relié à la prise de décision.

Implications pratiques

La trajectoire réglementaire est sans ambiguïté. L’AI Act de l’UE, ISO 42001, le NIST AI RMF, le Treasury FS AI RMF et un ensemble croissant d’attentes de supervision sectorielles convergent tous vers la même exigence fondamentale : les organisations doivent savoir quelle IA elles possèdent, où elle fonctionne, qui en est responsable et quels risques elle présente. Le coût de la mise en place de cette capacité ne fait qu’augmenter avec le temps, car le volume de systèmes d’IA dans une entreprise croît plus vite que la capacité à les cataloguer rétrospectivement.

Les organisations qui commencent dès maintenant, même avec un premier passage imparfait, seront nettement mieux positionnées que celles qui attendent qu’une échéance réglementaire les contraigne à agir. Le cadre de modèle, les méthodes de découverte et les structures de processus décrits dans ce guide offrent un point de départ concret.

Choisir le bon outil d’inventaire des systèmes d’IA est essentiel pour maintenir un système d’enregistrement auditable. Pour les organisations qui souhaitent opérationnaliser leur inventaire des IA au sein d’une plateforme spécialement conçue pour la gouvernance, le risque et la conformité liés à l’IA, Enzai propose une approche structurée de la découverte, de la classification et de la maintenance continue. Demandez une démonstration pour voir comment cela fonctionne en pratique.

Enzai est la plateforme leader de gouvernance de l’IA en entreprise, conçue spécifiquement pour aider les organisations à passer d’une politique abstraite à une supervision opérationnelle. Notre plateforme de gestion des risques liés à l’IA fournit l’infrastructure spécialisée requise pour gérer la gouvernance de l’IA agentique, maintenir un inventaire complet des IA et garantir la conformité à l’AI Act de l’UE. En automatisant des flux de travail complexes, Enzai permet aux entreprises de déployer l’IA à grande échelle en toute confiance, tout en restant alignées sur des normes mondiales telles que la norme ISO 42001 et NIST.

Références

1. Règlement (UE) 2024/1689 établissant des règles harmonisées en matière d’intelligence artificielle (acte sur l’intelligence artificielle). Journal officiel de l’Union européenne, août 2024.

2. ISO/IEC 42001:2023 - Technologies de l’information - Intelligence artificielle - Système de management. Organisation internationale de normalisation, décembre 2023.

3. Cadre de gestion des risques liés à l’intelligence artificielle (AI RMF 1.0), NIST AI 100-1. National Institute of Standards and Technology, janvier 2023.

4. Département du Trésor des États-Unis, « Le Trésor publie deux nouvelles ressources pour guider l’utilisation de l’IA dans le secteur financier », 19 février 2026. Inclut le Cadre de gestion des risques liés à l’IA pour les services financiers et le lexique de l’IA. L’inventaire des IA constitue l’objectif de contrôle GV-1.6.

5. Banque d’Angleterre, FCA, PRA et PSR, « Intelligence artificielle et apprentissage automatique », DP5/22, octobre 2022 ; Déclaration de supervision PRA SS1/23, 2023.

6. McKinsey & Company, « L’état de l’IA début 2024 : l’adoption de l’IA générative s’accélère et commence à créer de la valeur », mai 2024.

7. Règlement (UE) 2024/1689, articles 113-114 (dates d’entrée en vigueur et d’application). Le Digital Omnibus sur l’IA proposé par la Commission européenne en novembre 2025 pourrait prolonger les délais de l’annexe III, sous réserve du trilogue.

8. Colorado SB 24-205, concernant la protection des consommateurs en matière d’intelligence artificielle, signé en mai 2024. Date d’entrée en vigueur initiale : 1er février 2026 ; sous réserve d’amendements législatifs en attente.