Cartographier ses systèmes IA consiste à recenser dans un tableau unique tous les outils d'intelligence artificielle utilisés dans l'entreprise, avec pour chacun son fournisseur, sa finalité, les données qu'il traite et la personne qui en répond. Dans une PME de 30 à 100 salariés, ce travail prend une demi-journée à deux jours, pas six semaines.
Lire le guide complet
AI Act 2026 : le guide de conformité complet pour PME et associations
Répondez à quelques questions et obtenez un diagnostic personnalisé avec des recommandations adaptées à votre secteur.
Évaluer ma maturité IAArticles liés
Approfondissez le sujet avec ces articles complémentaires.
L'AI Act (règlement UE 2024/1689) s'applique à votre PME ou association dès que vous utilisez un outil d'IA, même un simple abonnement ChatGPT. Depuis février 2025, vous devez former vos équipes ; le 2 août 2026, les obligations de transparence et le régime de sanctions entrent en application.
Cartographier ses systèmes IA consiste à recenser dans un tableau unique tous les outils d'intelligence artificielle utilisés dans l'entreprise, avec pour chacun son fournisseur, sa finalité, les données qu'il traite et la personne qui en répond. Dans une PME de 30 à 100 salariés, ce travail prend une demi-journée à deux jours, pas six semaines. C'est le point de départ obligé de toute démarche de conformité, et c'est aussi ce qui vous évite de payer trois fois le même abonnement.
La plupart des contenus disponibles sur le sujet vous orientent vers une plateforme de gouvernance IA facturée 2 000 à 15 000 € par an. Pour une entreprise qui utilise ChatGPT, Copilot, un correcteur orthographique augmenté et un outil de transcription de réunions, c'est disproportionné. Un tableur bien construit fait le travail, à condition de savoir quoi mettre dedans et où chercher. Cet article donne les deux. Il complète le guide de conformité AI Act pour PME et associations, qui pose le cadre réglementaire général.
Un système IA, au sens du règlement (UE) 2024/1689, est un système automatisé qui infère, à partir des données qu'il reçoit, des résultats tels que des prédictions, du contenu, des recommandations ou des décisions. La définition est large, volontairement. Elle attrape beaucoup plus de choses que ce que les dirigeants imaginent au premier abord.
Concrètement, entrent dans le périmètre :
N'entrent pas dans le périmètre les logiciels purement déterministes : une macro Excel, un moteur de règles métier figé, un filtre anti-spam classique par listes. La frontière est parfois floue. En cas de doute, inscrivez la ligne dans le tableau avec la mention "à qualifier" plutôt que de l'écarter. Une ligne en trop coûte cinq minutes, une ligne manquante coûte un angle mort.
La cartographie sert la conformité, mais elle rentabilise surtout du temps et du budget.
Sur le plan réglementaire, aucun texte n'impose littéralement "un registre des systèmes IA" à toutes les entreprises. En revanche, plusieurs obligations deviennent impossibles à tenir sans inventaire préalable : identifier si vous exploitez un système classé à haut risque au sens de l'article 6, vérifier qu'aucun usage ne relève des pratiques interdites de l'article 5, savoir à qui adresser une notice d'information IA. Côté RGPD, le registre des traitements est lui bien obligatoire, et chaque outil IA qui touche des données personnelles doit y figurer. Le recoupement des deux registres est traité en détail dans AI Act vs RGPD.
Sur le plan financier, l'effet est immédiat et souvent sous-estimé. Dans les cartographies que nous menons, il est courant de découvrir deux à quatre abonnements payés en double : un ChatGPT Plus sur la carte du dirigeant plus des licences Team achetées par un service, ou un outil de transcription redondant avec une fonction déjà incluse dans la suite bureautique.
Sur le plan opérationnel, enfin, l'inventaire révèle qui utilise quoi. C'est la base pour cibler la formation. Former les 8 personnes qui utilisent réellement un assistant tous les jours produit plus d'effet que former 60 personnes une demi-journée.
Les logiciels achetés par la DSI ou la direction se listent en vingt minutes. Ce sont les usages non déclarés, le shadow IA, qui font l'essentiel du travail.
Un salarié qui colle un extrait de contrat dans un assistant gratuit ne se dit pas qu'il déploie un système IA. Il gagne du temps. Il ne le déclarera donc pas spontanément, surtout si la question lui est posée sur un ton de contrôle.
Quatre sources permettent de reconstituer ce qui échappe aux déclarations :
Ce dernier point n'est pas une précaution de forme. Si la première cartographie débouche sur une interdiction sèche, la deuxième ne remontera plus rien et les usages passeront simplement sous le radar.
Une PME de 30 personnes boucle sa première cartographie en une demi-journée si elle procède par sources plutôt que par services.
Passe 1, les achats : extraction comptable des abonnements logiciels sur 12 mois, tri par libellé. Comptez 45 minutes.
Passe 2, le SSO et les licences : export de la liste des applications connectées et des licences actives par utilisateur. Comptez 30 minutes.
Passe 3, les fonctions IA de l'existant : reprenez la liste de vos logiciels métier et vérifiez, fournisseur par fournisseur, quelles fonctions IA sont activées. C'est la passe la plus oubliée, et souvent la plus riche : votre outil de recrutement ou votre CRM a probablement activé des suggestions automatiques sans que personne ait pris de décision explicite. Comptez 1 heure.
Passe 4, les entretiens : 15 minutes par responsable de service, avec la question formulée comme indiqué plus haut. Pour cinq services, comptez 1h30.
Passe 5, la qualification : pour chaque ligne, renseignez le rôle et le niveau de risque, puis marquez les lignes à trancher. Comptez 1 heure.
Au-delà de 150 salariés ou en présence de systèmes développés en interne, la durée s'allonge nettement, jusqu'à plusieurs semaines. La logique reste la même.
Douze colonnes suffisent. Au-delà, le tableau ne sera pas tenu à jour.
| Colonne | Ce qu'on y met | Pourquoi |
|---|---|---|
| Nom de l'outil | ChatGPT Team, Copilot 365, Fireflies | Identification |
| Fournisseur | Éditeur et pays d'établissement | Chaîne de responsabilité |
| Finalité | Une phrase, en langage métier | Base de toute la qualification |
| Service utilisateur | Commercial, RH, direction | Cible de formation |
| Nombre d'utilisateurs | Chiffre réel, pas licences achetées | Détection des doublons |
| Type de données traitées | Publiques, internes, personnelles, sensibles | Lien avec le registre RGPD |
| Hébergement | UE, hors UE, non documenté | Transferts et clauses contractuelles |
| Votre rôle | Fournisseur, déployeur, distributeur, importateur |
Deux colonnes méritent un mot. "Votre rôle" est décisif : dans l'immense majorité des PME, vous êtes déployeur (vous utilisez un outil conçu par un tiers), pas fournisseur. Les obligations lourdes du règlement pèsent d'abord sur le fournisseur. Le périmètre exact est détaillé dans AI Act : qui est concerné.
"Décision automatisée" est le meilleur indicateur d'alerte à disposition d'un non-juriste. Un outil qui produit un brouillon relu par un humain n'a presque jamais le même profil de risque qu'un outil qui trie des candidatures ou refuse un dossier sans intervention.
Beaucoup d'articles datent encore l'application des règles sur les systèmes à haut risque au 2 août 2026. Ce n'est plus exact.
Le paquet dit Digital Omnibus a reporté l'entrée en application des obligations relatives aux systèmes à haut risque autonomes de l'annexe III au 2 décembre 2027, et à août 2028 pour les systèmes intégrés à des produits réglementés de l'annexe I. Les interdictions de l'article 5 s'appliquent, elles, depuis février 2025, et les obligations de transparence de l'article 50 depuis le 2 août 2026. Le détail figure dans le calendrier AI Act complet, et les montants encourus dans sanctions AI Act.
Ce report a une conséquence pratique directe sur votre cartographie : l'urgence n'est pas de documenter un système haut risque hypothétique, elle est de vérifier trois choses beaucoup plus banales. Aucun usage ne tombe dans les pratiques interdites. Les outils qui interagissent avec vos clients ou génèrent du contenu publié respectent les obligations de transparence. Les données personnelles qui transitent par ces outils sont couvertes par votre registre RGPD et par un contrat de sous-traitance en bonne et due forme.
Le même mouvement a assoupli l'article 4 sur la maîtrise de l'IA : l'exigence pesant sur les entreprises est devenue une incitation, la Commission et les États membres reprenant la main sur la promotion de la littératie IA. L'obligation de compétence subsiste néanmoins pour les déployeurs de systèmes à haut risque, au titre du contrôle humain effectif. Nous détaillons cette nuance dans Article 4 AI Act : la formation est-elle obligatoire. Autrement dit : formez vos équipes parce que vos outils sont mal utilisés, pas parce qu'un contrôleur va passer.
Une cartographie non mise à jour est périmée en quatre mois, parce que les fournisseurs activent des fonctions IA sans vous demander votre avis.
Trois règles suffisent à la maintenir.
Une revue trimestrielle de 30 minutes, calée sur un point de direction déjà existant. Elle porte sur trois questions : quoi de nouveau, quoi d'abandonné, quelle ligne a changé de statut.
Trois déclencheurs qui imposent une mise à jour hors calendrier : l'arrivée d'un nouvel outil, la mise à jour majeure d'un logiciel existant (c'est le cas le plus fréquent et le plus silencieux), et tout changement de périmètre de données.
Un responsable nommé. Dans une PME, c'est rarement un poste dédié : le contrôleur de gestion, le responsable administratif ou le dirigeant lui-même. L'important est que la colonne "responsable interne" ne contienne jamais un nom de service. La cartographie s'articule ensuite naturellement avec une politique IA formalisée, qui fixe les règles d'usage que l'inventaire aura rendues nécessaires.
La cartographie des systèmes IA est-elle obligatoire ? Pas en tant que telle pour la majorité des entreprises. Aucun article du règlement (UE) 2024/1689 n'impose un registre IA généralisé comparable au registre des traitements du RGPD. Elle devient toutefois indispensable en pratique, puisque les obligations qui vous concernent réellement ne peuvent pas être identifiées sans elle.
Un simple tableur suffit-il, ou faut-il un logiciel dédié ? Un tableur suffit jusqu'à une trentaine de lignes et un seul site. Les plateformes de gouvernance IA deviennent pertinentes au-delà, quand il faut gérer des workflows de validation, plusieurs entités juridiques ou un historique auditable des modifications. Commencer par un tableur ne vous empêche pas de migrer ensuite : les colonnes sont les mêmes.
Faut-il inscrire les outils utilisés par les prestataires externes ? Oui, dès lors qu'ils traitent vos données ou produisent des livrables en votre nom. C'est le cas de votre agence de communication qui génère des visuels, ou de votre cabinet comptable qui utilise un outil de reconnaissance de factures. Ajoutez une colonne "interne / prestataire" si le volume le justifie.
Comment savoir si un outil relève du haut risque ? Regardez d'abord la finalité, pas la technologie. L'annexe III vise des usages précis : recrutement et gestion des travailleurs, accès à l'éducation, évaluation de solvabilité, services publics essentiels, application de la loi, entre autres. Un assistant de rédaction interne n'en relève pas. Un outil qui présélectionne des CV, oui. Voir Article 6 AI Act.
Combien de temps faut-il vraiment y consacrer ? Une demi-journée pour une PME de 30 salariés en procédant par les cinq passes décrites plus haut. Deux à trois jours si vous avez plusieurs sites, des développements internes ou un historique d'achats logiciels peu structuré. Les durées de six semaines annoncées par certains prestataires correspondent à des organisations de plusieurs centaines de personnes.
Que faire des outils que la cartographie révèle comme non conformes ? Dans l'ordre : arrêter ce qui relève d'une pratique interdite, ce qui est rare ; encadrer par une consigne écrite ce qui traite des données personnelles sans base contractuelle, en attendant la régularisation ; laisser vivre le reste en le documentant. Une interdiction générale et immédiate produit surtout du contournement.
La cartographie doit-elle être communiquée aux salariés ? Ce n'est pas une obligation en soi, mais c'est vivement recommandé. Les usages remontent beaucoup mieux au second passage quand les équipes ont vu ce que le premier a produit, et que l'exercice n'a débouché sur aucune sanction.
Nous conduisons la cartographie avec vous plutôt qu'à votre place, pour une raison simple : le tableau doit rester tenable par vos équipes une fois notre intervention terminée. L'audit IA que nous menons couvre les cinq passes décrites ici, produit le tableau des douze colonnes rempli, et signale les lignes qui appellent une décision de votre part.
La suite dépend de ce que l'inventaire révèle. S'il montre surtout des usages non maîtrisés et des abonnements dispersés, la réponse est une formation IA opérationnelle ciblée sur les personnes qui utilisent réellement les outils. S'il montre des zones de risque réglementaire, la réponse est un travail de mise en conformité documentaire, à repartir depuis le guide AI Act pour PME. Dans les deux cas, la cartographie reste le document de référence.
GrowthPerf est un organisme de formation certifié Qualiopi, ce qui ouvre la prise en charge par votre OPCO sur le volet formation.
Pour faire le point sur vos usages IA actuels, réservez un audit gratuit de 30 minutes sur cal.com/growthperf/audit-gratuit.
| Détermine vos obligations |
| Décision automatisée | Oui, non, assistance à décision humaine | Signal de risque principal |
| Niveau de risque présumé | Interdit, haut risque, transparence, minimal | Priorisation |
| Responsable interne | Un nom, pas un service | Sans nom, rien n'avance |
| Statut | Validé, à qualifier, à arrêter | Pilotage |