Cartographie des risques IA en entreprise : méthode pratique pour ETI et groupes régulés
Vous déployez des outils IA dans la finance, les RH ou la relation client — mais savez-vous lesquels exposent réellement votre organisation ? La cartographie des risques IA en entreprise n'est plus un exercice optionnel : l'AI Act impose aux opérateurs de systèmes à haut risque une documentation formelle avant mise en service. Voici une méthode opérationnelle, testée dans des ETI et des groupes régulés, pour passer de l'inventaire brut à la priorisation actionnable.
Pourquoi la cartographie IA diffère d'un audit IT classique
Un audit de sécurité recense des actifs et des vulnérabilités techniques. La cartographie des risques IA intègre une dimension supplémentaire : l'impact sur les décisions qui touchent des personnes. Un algorithme de scoring de crédit ou un outil de tri de CV n'est pas seulement un logiciel — c'est un système décisionnel dont les biais peuvent engager la responsabilité civile et pénale de l'entreprise.
Trois différences structurelles s'imposent :
- Opacité du modèle : contrairement à une règle métier codée en dur, un modèle de machine learning peut évoluer et produire des décisions difficiles à expliquer.
- Périmètre diffus : la shadow AI — ces outils IA adoptés sans validation IT — gonfle silencieusement le parc à cartographier.
- Double référentiel réglementaire : AI Act pour la classification des risques, RGPD pour les traitements à décision automatisée (article 22).
Étape 1 — Inventorier par domaine métier, pas par fournisseur
La première erreur consiste à partir du catalogue éditeurs. Partez des processus métier : recrutement, octroi de crédit, détection de fraude, maintenance prédictive, service client automatisé. Pour chaque domaine, posez trois questions :
- Existe-t-il une aide à la décision automatisée, même partielle ?
- Des données personnelles sont-elles traitées en entrée ou en sortie ?
- Des collaborateurs utilisent-ils des outils IA non référencés (ChatGPT, Copilot personnel, etc.) ?
En pratique, un atelier de 90 minutes par direction métier — animé par le DPO ou le RSSI — suffit à faire émerger 80 % des systèmes. Documentez chaque système dans une fiche minimale : nom, fournisseur, cas d'usage, données traitées, population impactée.
Étape 2 — Scorer selon deux axes : criticité et probabilité
Une fois l'inventaire constitué, appliquez une grille de scoring à deux dimensions.
Axe criticité (impact potentiel)
Notez de 1 à 4 selon :
- 1 — Faible : outil de productivité interne, pas de décision sur des personnes (résumé automatique de réunion, génération de code).
- 2 — Modéré : aide à la décision avec validation humaine systématique (recommandation de produit, priorisation de tickets).
- 3 — Élevé : décision semi-automatisée impactant droits ou emploi (scoring RH, évaluation fournisseur).
- 4 — Critique : décision automatisée sur des personnes dans un secteur régulé (crédit, assurance, santé, contrôle d'accès).
Axe probabilité (maturité du contrôle)
Notez de 1 à 4 selon la solidité des garde-fous existants : documentation technique, tests de biais, logs d'audit, procédure de contestation. Un système critique mais parfaitement documenté et audité régulièrement verra sa probabilité réduite.
Le score global (criticité × probabilité) produit une matrice 4×4. Les systèmes en zone rouge (score ≥ 12) constituent votre liste de surveillance prioritaire.
Étape 3 — Qualifier selon l'AI Act et le RGPD
Pour les systèmes en zone orange ou rouge, appliquez une double qualification réglementaire :
- AI Act : le système entre-t-il dans l'annexe III (haut risque) ? Concerne-t-il l'emploi, l'éducation, les services essentiels, la justice ? Si oui, l'opérateur doit désigner un responsable, tenir un registre et, dans certains cas, enregistrer le système dans la base EU.
- RGPD article 22 : la décision est-elle entièrement automatisée et produit-elle des effets juridiques ou significatifs ? Si oui, une AIPD renforcée et un mécanisme d'opposition sont obligatoires.
Exemple concret : une ETI industrielle de 800 salariés identifie lors de l'inventaire un outil SaaS de présélection de CV utilisé par la DRH. Score criticité : 3 (semi-automatisé, impacts emploi). Score probabilité : 3 (pas de documentation biais, pas d'audit). Score global : 9 — zone orange. La qualification AI Act confirme l'annexe III. Action prioritaire : exiger du fournisseur la documentation technique conforme et désigner un référent IA interne avant tout nouveau recrutement via cet outil.
Étape 4 — Prioriser et planifier les actions correctives
La cartographie n'a de valeur que si elle débouche sur un plan de remédiation daté. Structurez-le en trois horizons :
- Court terme (0-3 mois) : suspendre ou encadrer strictement les systèmes en zone rouge sans documentation. Mettre en place un inventaire de la shadow AI via une déclaration volontaire.
- Moyen terme (3-12 mois) : conduire les AIPD manquantes, exiger les notices de conformité AI Act auprès des fournisseurs, former les responsables métier.
- Long terme (12-24 mois) : intégrer la cartographie dans le cycle de gouvernance annuel, automatiser la détection des nouveaux outils via la politique d'achat IT.
Intégrer la cartographie dans la gouvernance continue
Une cartographie statique devient obsolète en six mois. Trois mécanismes assurent sa pérennité :
- Clause IA dans les appels d'offres : tout nouveau SaaS doit déclarer s'il intègre des fonctions IA et fournir sa classification AI Act.
- Revue trimestrielle : le DPO et le RSSI valident les nouvelles entrées et les changements de score suite à des mises à jour de modèles.
- Indicateur de pilotage : le taux de couverture documentaire des systèmes IA à haut risque devient un KPI de conformité reporté au COMEX.
Des plateformes de gouvernance IA comme Yvoria permettent d'automatiser cet inventaire, de centraliser les fiches systèmes et de générer les rapports réglementaires en continu — réduisant le temps de mise à jour de la cartographie de plusieurs jours à quelques heures.
FAQ
Par où commencer une cartographie des risques IA quand on n'a pas d'inventaire existant ?
Commencez par des ateliers métier de 90 minutes par direction, en posant trois questions : existe-t-il une aide à la décision automatisée, des données personnelles sont-elles traitées, et des outils IA non référencés sont-ils utilisés ? Cette approche identifie 80 % des systèmes sans audit technique préalable.
Quels systèmes IA sont considérés à haut risque selon l'AI Act ?
L'annexe III de l'AI Act liste huit domaines : infrastructures critiques, éducation, emploi, services essentiels (crédit, assurance), contrôle des frontières, administration de la justice et démocratie. Un outil de présélection de CV ou un scoring de crédit y entre directement.
Faut-il inclure la shadow AI dans la cartographie ?
Oui, absolument. Les outils IA adoptés sans validation IT (ChatGPT via compte personnel, extensions Copilot non gérées) exposent l'entreprise autant que les systèmes officiels. Une déclaration volontaire anonymisée est souvent le moyen le plus rapide de les faire remonter.
À quelle fréquence mettre à jour la cartographie des risques IA ?
Une revue trimestrielle est recommandée pour les groupes régulés, semestrielle pour les ETI. Tout changement majeur de modèle chez un fournisseur ou tout nouvel outil déployé doit déclencher une mise à jour immédiate de la fiche concernée.
La cartographie IA remplace-t-elle l'AIPD RGPD ?
Non, elle la prépare. La cartographie identifie les systèmes qui nécessitent une AIPD ; elle ne se substitue pas à cette analyse d'impact sur la protection des données, qui reste obligatoire pour tout traitement automatisé à risque élevé au sens de l'article 35 du RGPD.