Que faut-il structurer face à l’AI Act ?
L’Artificial Intelligence Act (AI Act), ou règlement européen sur l’intelligence artificielle, demande d’identifier les systèmes, les usages et le rôle de l’organisation avant d’examiner les exigences applicables. Le Référent IA coordonne cet inventaire et la trace des décisions.
Le Règlement général sur la protection des données (RGPD) reste distinct lorsqu’il y a des données personnelles. Cette démarche ne constitue pas un avis juridique et ne classe aucun système automatiquement.
Structurez l’inventaire, les responsabilités et les questions à faire qualifier.
Préparer les fondations réglementaires→Comment préparer la qualification réglementaire ?
- 1
Inventorier
Documenter système, usage, finalité, données, personnes concernées, fournisseur et responsables.
- 2
Déterminer les rôles
Décrire la place de l’organisation et des parties prenantes sans conclure à partir du seul produit.
- 3
Faire qualifier
Transmettre contexte, questions et sources officielles aux fonctions compétentes pour examiner les exigences applicables.
- 4
Maintenir
Attribuer contrôles, preuves, échéances et revues déclenchées par les changements.
Quels livrables garder à jour ?
Les documents restent dans leurs référentiels habituels si le registre permet de les retrouver, d’identifier leur statut et de connaître leur responsable.
- Inventaire des systèmes et usages — Identité, finalités, métiers, données, fournisseurs, personnes concernées et périmètres.
- Matrice des responsabilités — Contributeurs, analystes, décideurs, exécutants et réviseurs pour chaque question ou action.
- Dossier de qualification — Questions, hypothèses, sources officielles, avis compétents, décisions, justificatifs et date de réexamen.
- Plan de maintien — Contrôles, preuves attendues, statuts, changements déclencheurs et calendrier de revue.
Pourquoi commencer par un inventaire ?
- 01
Systèmes et usages
Recenser ce qui est développé, fourni, déployé ou utilisé, y compris les usages d’un même outil dans plusieurs contextes.
- 02
Contexte vérifiable
Relier chaque entrée à une finalité, des utilisateurs, des données, un fournisseur, un propriétaire métier et un interlocuteur technique.
- 03
Informations manquantes
Distinguer les faits disponibles des éléments à demander au fournisseur ou à confirmer en interne.
- 04
Sources à jour
Consulter le Règlement (UE) 2024/1689 sur EUR-Lex, puis les ressources officielles de la Commission européenne et de la CNIL au moment de l’analyse. Cette page ne s’y substitue pas.
- 05
Juridique et direction
Le juridique conduit l’analyse de droit ; la direction assume les arbitrages et validations relevant de son mandat.
- 06
DPO
Le délégué à la protection des données (DPO) intervient sur les questions de protection des données personnelles et l’analyse RGPD appropriée.
- 07
RSSI et DSI
Le responsable de la sécurité des systèmes d’information (RSSI) traite la cybersécurité ; la DSI intervient selon l’architecture, l’exploitation et les accès.
- 08
Métiers et Référent IA
Les métiers portent la finalité et l’usage. Le Référent IA coordonne inventaire, avis, actions et traçabilité sans décider à leur place.
Qui intervient, et dans quelles limites ?
Le Référent IA donne à chaque question le contexte nécessaire pour qu’elle soit examinée par la fonction compétente. Il rassemble la finalité, l’usage, les données concernées et les choix déjà effectués, puis oriente le sujet vers le métier, la DSI, le juridique, le DPO, le RSSI ou la direction sans se substituer à leur mandat.
Cette préparation rend les arbitrages plus lisibles. Les interlocuteurs peuvent confronter les bénéfices attendus aux contraintes du projet, préciser ce qui manque et décider de la suite dans leur champ de responsabilité. Le Référent relie leurs réponses, signale les dépendances et conserve le raisonnement qui a conduit à poursuivre, adapter ou différer l’usage.
Il transmet ensuite la décision aux équipes dans un langage applicable au travail quotidien, avec les points qui devront être revus si le contexte change. Les métiers savent ainsi qui solliciter et quelles informations partager, tandis que les fonctions expertes reçoivent des demandes mieux qualifiées. L’organisation évite les avis dispersés, garde une continuité entre cadrage et exploitation et peut réexaminer ses choix sans reprendre toute l’instruction depuis le début.
