Utilisez-vous déjà de l’IA sans le savoir ?
Pourquoi tout commence par un inventaire
De nombreuses organisations pensent ne pas encore utiliser d’intelligence artificielle. En réalité, elles en utilisent souvent déjà, sans l’avoir identifiée. Cet article explique pourquoi l’IA est fréquemment présente sans être nommée, pourquoi c’est un angle mort à risque, et comment y remédier par une première étape simple : l’inventaire des usages.
Pourquoi utilise-t-on de l'IA sans le savoir ?
Parce que l’IA n’arrive presque jamais avec une étiquette.
Elle s’installe à l’intérieur d’outils que l’on utilise pour autre chose : une plateforme publicitaire, un logiciel de recrutement, un service client, un tableur enrichi de fonctions automatiques. L’organisation achète une fonctionnalité, pas « de l’IA », et ne réalise pas toujours que cette fonctionnalité repose sur un modèle d’apprentissage automatique.
La publicité en ligne en est l’exemple le plus parlant. Le ciblage des audiences, les enchères automatiques, la création de segments ou l’optimisation des campagnes s’appuient fréquemment sur des modèles prédictifs. Une organisation qui « fait simplement de la publicité » utilise donc, dans bien des cas, de l’IA, sans l’avoir décidé explicitement.
Le même constat peut s’appliquer à de nombreux métiers :
- dans les ressources humaines, avec le tri ou le classement de candidatures ;
- dans la relation client, avec les assistants conversationnels et la génération de réponses ;
- dans la finance, avec la détection de fraudes ou d’anomalies ;
- dans le marketing, avec la personnalisation des contenus et des recommandations ;
- dans les fonctions support, avec les outils intégrant des fonctions de génération, de synthèse ou de classification.
L’IA s’est ainsi intégrée aux outils du quotidien sans toujours devenir visible dans les processus internes de gouvernance.
Pourquoi ces usages invisibles constituent-ils un risque ?
Un système d’IA non identifié risque d’échapper aux processus habituels d’évaluation, de conformité et de sécurité.
Les personnes chargées de la protection des données, de la cybersécurité, des risques ou de la conformité ne peuvent intervenir efficacement que si elles savent où et comment l’IA est utilisée.
En l’absence de visibilité, plusieurs questions peuvent rester sans réponse :
- Le système traite-t-il des données personnelles ?
- Ces données sont-elles utilisées sur une base juridique appropriée ?
- Le fournisseur réutilise-t-il certaines données pour entraîner ou améliorer ses modèles ?
- Le système influence-t-il une décision concernant une personne ?
- Ses résultats peuvent-ils produire des erreurs ou des discriminations ?
- Une validation humaine est-elle prévue lorsque cela est nécessaire ?
- Les responsabilités entre l’organisation et le fournisseur sont-elles clairement définies ?
- Les obligations applicables ont-elles été identifiées ?
Ces questions peuvent relever du règlement général sur la protection des données (RGPD), du règlement européen sur l’intelligence artificielle (AI Act), d’exigences contractuelles ou, plus largement, de la gestion des risques de l’organisation.
Toutes les utilisations de l’IA ne présentent pas le même niveau de risque et ne sont pas soumises aux mêmes obligations. Mais aucune analyse sérieuse n’est possible tant que les systèmes concernés n’ont pas été recensés.
Les angles morts apparaissent souvent au moment d’un incident, d’une réclamation, d’un audit ou d’un contrôle. À ce stade, l’organisation découvre parfois qu’un système influence depuis longtemps des décisions ou traite des données sans avoir été intégré à ses dispositifs de gouvernance.
Le mot « IA » désigne-t-il une seule réalité ?
Non, et c’est une source fréquente de confusion.
Un outil qui applique une règle prédéfinie, un modèle qui produit une prédiction et un système capable de déclencher une action ne fonctionnent pas de la même manière. Ils ne présentent pas non plus les mêmes risques.
Il est donc important de distinguer notamment :
- l’automatisation fondée sur des règles ;
- les modèles prédictifs ou de classification ;
- les systèmes génératifs ;
- les systèmes de recommandation ou d’aide à la décision ;
- les systèmes capables de déclencher des actions avec une autonomie plus ou moins importante.
Employer le terme « IA » de manière vague dans un contrat, un audit ou une politique interne donne l’impression de traiter le sujet sans préciser ce que l’on cherche réellement à maîtriser.
Avant de pouvoir gouverner l’IA, une organisation doit donc définir le périmètre de son analyse et distinguer les usages selon leur fonctionnement, leur finalité et leur impact.
Cette clarification n’est pas un exercice purement théorique. Elle permet de concentrer les efforts de conformité, de sécurité et de contrôle sur les usages qui créent réellement de nouveaux risques.
Comment réaliser un inventaire des usages d'IA ?
La première étape d’une démarche sérieuse n’est pas d’écrire une charte ni d’acheter un nouvel outil. C’est de réaliser un inventaire honnête des usages d’IA déjà présents dans l’organisation. Concrètement, cet inventaire répond à quelques questions simples pour chaque système :
Quels outils ou processus s’appuient sur des modèles d’IA, y compris à l’intérieur de logiciels achetés pour d’autres fonctions ?
Sur quelles données ces systèmes s’appuient-ils, et ces données comprennent-elles des données personnelles ?
Quelles décisions ces systèmes prennent-ils ou influencent-ils, et ces décisions affectent-elles des personnes ?
Jusqu’où ces systèmes peuvent-ils agir sans validation humaine ?
Qui, dans l’organisation, en est responsable ?
Répondre à ces questions fait apparaître la réalité des usages, y compris ceux qui étaient invisibles, comme le shadow AI (les outils d’IA utilisés par les équipes sans validation) ou l’IA embarquée dans des services de fournisseurs. C’est à partir de cette cartographie que tout le reste devient possible : évaluer les risques, vérifier la conformité, clarifier les responsabilités.
L’inventaire doit couvrir l’IA visible et l’IA invisible
Deux catégories d’usages méritent une attention particulière.
La première est le shadow AI, c’est-à-dire l’utilisation d’outils d’IA par des collaborateurs ou des équipes sans validation officielle de l’organisation. Cela peut inclure, par exemple, l’utilisation d’un service génératif grand public pour traiter des informations professionnelles.
La seconde est l’IA embarquée dans les produits de fournisseurs. Dans ce cas, l’outil a bien été acheté ou autorisé, mais certaines de ses fonctions reposant sur l’IA n’ont pas été recensées séparément.
Ces deux situations créent des angles morts différents. Le shadow AI pose notamment des questions d’autorisation, de confidentialité et de sécurité. L’IA embarquée soulève davantage de questions sur la transparence du fournisseur, les responsabilités contractuelles et l’évolution des fonctionnalités proposées.
Un inventaire utile doit couvrir les deux.
Que faire une fois l'inventaire réalisé ?
Un système d’IA non identifié risque d’échapper aux processus habituels d’évaluation, de conformité et de sécurité.
Les personnes chargées de la protection des données, de la cybersécurité, des risques ou de la conformité ne peuvent intervenir efficacement que si elles savent où et comment l’IA est utilisée.
En l’absence de visibilité, plusieurs questions peuvent rester sans réponse :
- Le système traite-t-il des données personnelles ?
- Ces données sont-elles utilisées sur une base juridique appropriée ?
- Le fournisseur réutilise-t-il certaines données pour entraîner ou améliorer ses modèles ?
- Le système influence-t-il une décision concernant une personne ?
- Ses résultats peuvent-ils produire des erreurs ou des discriminations ?
- Une validation humaine est-elle prévue lorsque cela est nécessaire ?
- Les responsabilités entre l’organisation et le fournisseur sont-elles clairement définies ?
- Les obligations applicables ont-elles été identifiées ?
Ces questions peuvent relever du règlement général sur la protection des données (RGPD), du règlement européen sur l’intelligence artificielle (AI Act), d’exigences contractuelles ou, plus largement, de la gestion des risques de l’organisation.
Toutes les utilisations de l’IA ne présentent pas le même niveau de risque et ne sont pas soumises aux mêmes obligations. Mais aucune analyse sérieuse n’est possible tant que les systèmes concernés n’ont pas été recensés.
Les angles morts apparaissent souvent au moment d’un incident, d’une réclamation, d’un audit ou d’un contrôle. À ce stade, l’organisation découvre parfois qu’un système influence depuis longtemps des décisions ou traite des données sans avoir été intégré à ses dispositifs de gouvernance.
Passer de l’invisibilité à la maîtrise
Le risque n’est pas simplement d’utiliser de l’IA. Il est de l’utiliser sans savoir précisément où elle intervient, quelles données elle traite, quelles décisions elle influence et qui en répond.
Les organisations qui cartographient leurs usages se donnent les moyens d’agir de manière éclairée. Elles peuvent mieux protéger leurs données, respecter leurs obligations, clarifier les responsabilités et détecter les situations qui nécessitent une surveillance renforcée.
La première étape n’est pas nécessairement technique ou coûteuse. Elle consiste à regarder honnêtement ce que l’organisation utilise déjà et à le nommer avec précision.
Car on ne maîtrise pas ce que l’on n’a pas défini.
Questions fréquentes sur le cadrage d'un projet d'IA
En réalisant un inventaire des usages. L'IA est souvent intégrée dans des outils achetés pour d'autres fonctions : plateformes publicitaires, logiciels de recrutement, services client, outils d'analyse. Passer en revue ces outils et demander à leurs fournisseurs s'ils reposent sur des modèles d'IA permet de révéler des usages jusque-là invisibles.
Parce qu'un usage non identifié échappe à toute évaluation : ses risques, ses biais, sa conformité au RGPD et à l'AI Act ne sont pas vérifiés. Il peut traiter des données personnelles ou influencer des décisions sans encadrement. Ces angles morts se révèlent souvent au moment d'un incident ou d'un contrôle, trop tard.
Fréquemment. Le ciblage des audiences, les enchères automatiques, la création de segments et l'optimisation des campagnes s'appuient souvent sur des modèles prédictifs et des systèmes d'apprentissage automatique. Une organisation qui fait de la publicité en ligne utilise donc probablement de l'IA, même sans l'avoir décidé explicitement.
C'est un recensement structuré des systèmes d'IA présents dans une organisation. Pour chacun, il précise les outils concernés, les données utilisées, les décisions prises ou influencées, le degré d'autonomie du système et la personne responsable. Il constitue la base de toute démarche de gouvernance de l'IA.
Le shadow AI désigne les outils d'IA utilisés par des équipes sans validation officielle de l'organisation. Ces usages échappent aux contrôles de conformité et de sécurité, et peuvent exposer l'organisation à des risques non maîtrisés — notamment en matière de traitement de données personnelles.
Oui. Le terme « IA » recouvre des réalités très différentes, des outils d'automatisation simples aux systèmes capables d'agir de façon autonome. Sans définition claire, il est impossible de concentrer les efforts de conformité là où les risques sont réels.
Par un inventaire structuré des usages existants. Il s'agit de recenser les outils concernés, les données qu'ils traitent, les décisions qu'ils influencent, leur niveau d'autonomie et les personnes qui en sont responsables. Cet inventaire constitue la base de toute démarche de gouvernance de l'IA.
