Vos équipes déploient déjà une dizaine d’outils IA.
Certaines initiatives restent invisibles du comité de direction.
L’EU AI Act impose une classification par risque et des obligations précises aux deployers.
Suivez cette méthode pour cartographier et sécuriser vos projets sans externaliser à un cabinet.
Semaine 1 : listez tous les outils et usages
Convoquez un atelier de 90 minutes avec les responsables de chaque direction.
Demandez à chaque participant de noter tous les outils utilisés : abonnements officiels, versions gratuites, plugins intégrés au CRM ou à l’ERP.
Incluez les usages indirects : génération de code par Copilot, synthèse de comptes-rendus par Claude, scoring automatique de leads dans un outil de marketing automation.
Collectez les factures des 12 derniers mois pour identifier les fournisseurs.
Centralisez le tout dans un tableur unique partagé avec le DPO ou le responsable conformité.
Cette liste exhaustive constitue votre point de départ. Elle évite les angles morts que les autorités examineront en cas de contrôle.
Semaine 2 : classez chaque usage selon les 4 niveaux de risque
L’EU AI Act définit quatre catégories : inacceptable, haut risque, risque limité, risque minimal.
Les pratiques inacceptables sont interdites : notation sociale généralisée, exploitation des vulnérabilités des personnes, scoring prédictif de récidive par les entreprises privées. Vérifiez qu’aucun outil ne correspond. Si un doute persiste, supprimez-le immédiatement.
Les systèmes à haut risque concernent l’emploi, l’éducation, l’accès au crédit, l’évaluation des performances ou la sélection de candidats. Un outil qui analyse les entretiens vidéo pour classer les profils entre dans cette catégorie.
Les usages à risque limité exigent seulement de la transparence : un chatbot client doit indiquer clairement qu’il s’agit d’une IA. La plupart des GenAI conversationnelles relèvent de cette catégorie quand elles génèrent du texte ou des images.
Les usages minimaux, comme un générateur de visuels pour une présentation interne, restent libres.
Attribuez un niveau à chaque ligne de votre inventaire. Impliquez le responsable métier et le juridique pour valider les choix.
Semaine 3 : appliquez les mesures obligatoires par catégorie
Pour les usages à haut risque, documentez la qualité des données d’entraînement utilisées par le fournisseur.
Exigez de ce dernier une fiche technique qui précise les métriques de performance, les cas de biais connus et les mesures de cybersécurité.
Mettez en place une supervision humaine systématique : toute décision produite par le système doit pouvoir être contestée ou corrigée par un collaborateur.
Conservez les logs d’utilisation pendant au moins six mois. Ces traces démontrent que vous respectez les exigences de traçabilité.
Pour les chatbots et générateurs de contenu, ajoutez une mention systématique : « Ce texte a été produit avec l’aide d’une IA ».
Mettez à jour vos contrats avec les éditeurs pour obtenir leurs attestations de conformité. Les grands acteurs comme Microsoft et Google publient déjà ces documents ; demandez-les.
Semaine 4 : intégrez la gouvernance IA dans vos processus
Rédigez une charte d’usage de l’IA en trois pages maximum.
Elle précise les outils autorisés, les interdictions et les mentions de transparence obligatoires.
Intégrez une étape « revue AI Act » dans votre processus d’achat de nouveaux logiciels. Le responsable conformité valide le niveau de risque avant signature.
Formez les managers en sessions de 45 minutes. Montrez des exemples concrets issus de votre propre inventaire plutôt que des cas théoriques.
Planifiez un réexamen trimestriel de la cartographie. Les nouveaux outils apparaissent vite ; la liste doit rester à jour.
Cette gouvernance légère protège l’entreprise sans ralentir les initiatives métier.
L’EU AI Act ne bloque pas l’innovation. Il oblige simplement à connaître vos usages et à documenter les plus sensibles. Les PME qui réalisent cet exercice en interne gagnent en visibilité et réduisent leurs risques futurs.
Testez PilotCrew pendant 14 jours gratuitement.
