AI Act : l'IA que votre entreprise utilise sans le savoir
Vos logiciels embarquent de l'IA activée par défaut, sans que personne n'ait tranché la question. Voici comment la repérer et la cadrer.
Un responsable RH découvre que son logiciel de recrutement trie déjà les CV
Un responsable RH ouvre un jour les paramètres avancés de son logiciel de recrutement, cherche une fonction anodine, et tombe sur une option activée par défaut : un module de scoring automatique des candidatures, basé sur un modèle qu'il n'a jamais choisi, qu'il ne sait pas nommer, et dont il ignore ce qu'il fait vraiment des données envoyées. Personne dans l'entreprise n'a signé pour ça. Personne n'a évalué le risque. Le module était simplement là, coché par l'éditeur, au moment de la mise à jour.
Cette scène se reproduit dans presque toutes les PME, sous des formes différentes : un CRM qui résume les échanges clients avec un modèle tiers, une extension de navigateur qui envoie du texte à un serveur externe pour "améliorer la productivité", un chatbot installé sur le site web par un prestataire qui a changé de moteur sans le signaler. L'IA n'est plus un choix qu'on fait consciemment. Elle arrive intégrée, activée, silencieuse.
Pourquoi ce qu'on n'a pas choisi engage quand même l'entreprise
Le cadre réglementaire européen sur l'intelligence artificielle raisonne par usage et par niveau de risque, pas seulement par fournisseur du modèle. Une entreprise qui utilise un système reste responsable de la façon dont elle l'utilise, même si elle n'a rien développé elle-même. Un module de tri de CV, une notation automatique de clients, une décision d'octroi de crédit assistée par un algorithme : ce sont des usages qui comptent, quel que soit l'éditeur du logiciel qui les propose.
Le problème n'est donc pas juridique en premier lieu. Il est opérationnel : la plupart des dirigeants ne savent pas exactement quelles fonctions IA tournent dans leurs outils, ni quelles données elles traitent. On surveille les contrats, les accès, les mots de passe. On ne surveille pas les cases cochées par défaut dans les paramètres d'un logiciel SaaS mis à jour un mardi soir.
Comment cartographier l'IA réellement utilisée dans l'entreprise
L'audit ne demande pas un projet informatique lourd. Il demande une méthode simple, appliquée avec rigueur, et tenue à jour.
- Dresser la liste complète des logiciels, extensions et services utilisés par les équipes, poste par poste, en incluant les outils installés localement et pas seulement les licences achetées centralement.
- Pour chaque outil, vérifier dans les paramètres si une fonction IA est activée par défaut, et demander à l'éditeur une description claire du traitement : quelles données sont envoyées, à quelle finalité, vers quel pays.
- Séparer les usages à faible enjeu, comme la correction orthographique ou la suggestion de texte, des usages sensibles, comme le tri de candidatures, la notation de clients ou toute forme de décision automatisée qui affecte une personne.
- Désactiver les fonctions IA qui ne servent à rien dans l'activité, et encadrer par contrat celles qui restent nécessaires, en exigeant des garanties écrites sur les données traitées.
- Désigner en interne une personne responsable de cet inventaire, chargée de le mettre à jour au moins une fois par an et à chaque changement de logiciel.
Cette liste n'est pas un exercice de conformité isolé. Elle sert aussi à autre chose : savoir précisément ce qui automatise quoi dans l'entreprise, et pouvoir en discuter avec un fournisseur ou un client sans découvrir la réponse en temps réel.
Ce qui indique que le travail est fait sérieusement
Le signe que la démarche fonctionne n'est pas un dossier de conformité épais. C'est la capacité, à tout moment, à répondre en quelques minutes à trois questions : quels outils utilisés dans l'entreprise embarquent de l'IA, quelles fonctions sont activées, et quels usages touchent à des décisions sensibles pour des personnes réelles, salariés, candidats ou clients.
Si cette liste existe, si elle a moins d'un an, et si aucune fonction IA sensible n'a été activée sans validation explicite, l'exposition est cadrée. Si la réponse demande d'appeler trois éditeurs et de fouiller des menus de configuration, l'angle mort est toujours là.
Faire l'inventaire de l'IA qui tourne déjà dans vos outils
ArkonLabs conçoit des logiciels de gestion sur mesure où chaque fonction, y compris celles qui relèvent de l'IA, est choisie et documentée plutôt que subie. C'est aussi le point de départ d'un audit sérieux de l'existant : savoir ce qui tourne avant de décider ce qui doit rester. Pour en discuter, rendez-vous sur www.arkon-labs.com.