Assistant IA activé par défaut pour toutes les licences
Les synthèses reposent désormais sur un autre modèle
Nouvelles conditions : les contenus clients peuvent servir à améliorer les fonctionnalités d’IA
Usage
L’approbation se fait une fois par produit, mais le même outil peut présenter un risque faible dans une équipe et élevé dans une autre.
Chaîne d’approvisionnement
Votre contrat est passé avec le fournisseur. Le fournisseur de modèles sous-jacent, vous ne l’avez jamais évalué.
Responsabilité
Achats, sécurité, protection des données et juridique gèrent chacun une partie du fournisseur. Personne n’est responsable de l’IA qu’il intègre.
Sécurité
Le fournisseur est validé, et rien dans le dossier ne décrit son IA.
Gouvernance de l’IA
Il avait été approuvé pour rédiger des textes, et son nouvel usage est classé à haut risque au titre de l’EU AI Act.
Protection des données
L’avis arrive dans une boîte partagée, et personne ne fait le lien avec les équipes qui utilisent le produit.
Achats
L’approbation se trouve dans un échange des achats datant de deux ans, et son responsable a quitté l’entreprise depuis.
Pourquoi cela se répète
64 % des organisations évaluent la sécurité d’un outil d’IA avant son déploiement, mais seules 40 % la réexaminent périodiquement.1 Dans les services financiers britanniques, 46 % des entreprises déclarent ne comprendre que partiellement l’IA qu’elles utilisent, principalement à cause des modèles tiers.2 Le score moyen du Foundation Model Transparency Index est passé de 58 en 2024 à 40 en 2025.3
Du fournisseur au modèle
Motif : le fournisseur a basculé les synthèses vers un nouveau modèle
Soumettez la nouvelle fonctionnalité à une revue
Créez une demande pour cette seule fonctionnalité. L’approbation précédente reste dans son dossier, et la nouvelle décision apparaît dans l’inventaire.
Découvrir Demandes et revue de l’IAÉvaluez le nouvel usage séparément
Chaque système construit sur le produit d’un fournisseur fait l’objet de sa propre évaluation, au regard de l’EU AI Act ou de votre propre politique. Les risques fournisseur apparaissent sur chaque système associé.
Découvrir Risques et conformité de l’IAGardez la chaîne, du fournisseur au modèle
Reliez chaque fournisseur à ses produits, aux systèmes qui les utilisent et aux modèles sous-jacents. Remplacez un modèle : le motif, l’auteur et la date sont conservés.
Découvrir Détection et inventaire de l’IAQu’est-ce que la gestion des risques liés à l’IA tierce ?
La gestion des risques liés à l’IA tierce consiste à savoir quelle IA vos fournisseurs vous livrent, quels modèles se trouvent dessous, comment vos équipes l’utilisent et quels risques en découlent. Une seule revue à l’achat ne suffit pas, car les fournisseurs ne cessent d’ajouter des fonctionnalités, de changer de modèles et de réécrire leurs conditions.
Enzai remplace-t-il nos outils de TPRM ou de GRC ?
Non. Gardez vos questionnaires, contrats et due diligence fournisseurs là où ils sont. Enzai couvre le détail IA que ces revues atteignent rarement : quels produits utilisent l’IA, les systèmes et modèles qui les sous-tendent, et les risques de chaque usage qu’en font vos équipes. Vous pouvez exporter la fiche d’un fournisseur en PDF ou CSV pour l’archiver avec votre revue fournisseur.
Que se passe-t-il quand un fournisseur change de modèle ?
Quelqu’un de votre équipe l’enregistre. Remplacez le modèle sur chaque système qui l’utilise et indiquez un motif. Enzai conserve l’auteur et la date de la modification, avec l’ancien modèle dans l’historique du système. Enzai ne surveille pas pour vous les notes de version, les conditions ni les listes de sous-traitants ultérieurs des fournisseurs : c’est toujours une personne qui signale le changement.
Comment montrer à un auditeur la façon dont l’IA d’un fournisseur a été approuvée ?
Partez de la fiche du fournisseur : ses produits, les systèmes qui les utilisent et leurs responsables, les évaluations et l’historique des modèles de chaque système, et les risques notés sur le fournisseur avant et après traitement. Chaque demande conserve ses décisions, avec les noms et les dates. C’est à votre auditeur de décider si cela satisfait une norme comme ISO 42001.
