Les entreprises ne savent pas quelle IA elles utilisent

L'AI Act est un règlement européen entré en vigueur en 2026, conçu pour encadrer l'utilisation des systèmes d'intelligence artificielle (IA) dans les entreprises et les administrations. Ce texte vise à classer les outils d'IA selon leur niveau de risque, allant des systèmes à haut risque (comme ceux utilisés dans les infrastructures critiques ou la justice) aux outils à faible risque (comme les chatbots ou les outils de tri d'emails). Cependant, sur le terrain, une question pratique et embarrassante se pose : les entreprises ignorent souvent quels outils d'IA elles utilisent réellement au quotidien. Cette méconnaissance pose un défi majeur pour la conformité avec l'AI Act, qui impose des obligations strictes aux entreprises selon le type d'IA déployé.

Selon Rémy Bozonnet, expert en protection des données chez Adequacy, de nombreuses entreprises ne savent pas quels outils d'IA sont intégrés dans leurs processus internes ou leurs services. Cela peut concerner des outils aussi variés que des algorithmes de recommandation, des assistants virtuels, ou des systèmes de traitement automatique de données. Par exemple, une entreprise pourrait utiliser un outil de tri d'emails basé sur l'IA sans en avoir conscience, ou intégrer un modèle de langage dans son site web pour répondre aux clients. Cette méconnaissance s'explique par la complexité croissante des chaînes de valeur technologiques, où les entreprises achètent des services à des fournisseurs qui eux-mêmes utilisent des outils d'IA sans toujours le signaler clairement.

L'absence de visibilité sur les outils d'IA utilisés expose les entreprises à des risques juridiques et financiers. L'AI Act impose des obligations strictes, comme la réalisation d'une évaluation des risques pour les systèmes à haut risque, la transparence envers les utilisateurs, ou encore la mise en place de mécanismes de surveillance. Une entreprise qui utilise un outil d'IA non déclaré pourrait se retrouver en infraction, avec des sanctions pouvant aller jusqu'à 6 % de son chiffre d'affaires mondial ou 35 millions d'euros, selon la gravité de la violation. De plus, cette méconnaissance peut entraîner des problèmes de protection des données, notamment si l'outil d'IA traite des informations personnelles sans que l'entreprise en ait conscience.

Pour répondre à ce défi, les entreprises sont invitées à réaliser un inventaire complet de leurs outils d'IA. Cela implique d'identifier chaque système utilisé, qu'il soit développé en interne ou acheté à un fournisseur externe, et de déterminer son niveau de risque selon les critères de l'AI Act. Des outils de cartographie et d'audit peuvent aider à cette tâche, comme des logiciels spécialisés ou des audits réalisés par des experts en conformité. Par exemple, une entreprise pourrait utiliser un outil comme Adequacy pour scanner ses systèmes et générer un rapport détaillé sur les outils d'IA en place. Une fois l'inventaire réalisé, l'entreprise peut adapter ses processus pour se conformer aux exigences légales et réduire ses risques.

Les fournisseurs d'outils d'IA jouent un rôle clé dans la transparence. Ils doivent informer clairement leurs clients sur les technologies utilisées et les risques associés. Par exemple, un éditeur de logiciel SaaS (Software as a Service) devrait préciser si son outil intègre des modèles d'IA, et si oui, de quel type. Cette transparence est essentielle pour permettre aux entreprises clientes de se conformer à l'AI Act. Cependant, dans la pratique, de nombreux fournisseurs ne communiquent pas suffisamment sur ces aspects, ce qui aggrave le problème de méconnaissance des entreprises utilisatrices.