Modèle 5 : inventaire des systèmes IA
Couvre : clause 4.3 (périmètre), A.4.2 (documentation des ressources), A.4.3 à A.4.6, A.6 (cycle de vie). Document obligatoire : non en tant que tel ; il porte la preuve de 4.3 et de A.4.2. La norme n'impose ni un fichier par exigence ni ces intitulés : l'inventaire peut vivre dans la CMDB.
Une fiche par système ou par outil. Un outil d'IA générative utilisé par le personnel a sa fiche : l'organisation en est déployeur, même si elle ne l'a pas développé.
Statuts du cycle de vie (A.6) :
idée besoin exprimé, aucune donnée réelle
expérimentation prototype, données fictives ou anonymisées, aucun effet sur une personne
développement conception, entraînement, tests
validation tests d'acceptation, évaluation d'impact, approbation de mise en production
production utilisé dans un processus réel
retrait arrêt programmé, conservation des journaux et de la documentation
Classe AI Act : interdit (art. 5), haut risque (art. 6, annexes I et III), transparence (art. 50), minimal. Toujours citer l'article ou le point d'annexe. Obligations haut risque applicables au 2 décembre 2027 (annexe III) et au 2 août 2028 (annexe I), règlement (UE) 2024/1689 modifié par 2026/1744. Art. 4 (maîtrise de l'IA) : vaut pour tout fournisseur et tout déployeur.
Modèle vide
Version n°, date, tenu par (référent IA), revu par (comité IA), prochaine revue
Mise à jour à chaque nouveau système, changement de statut, de fournisseur ou de modèle
Fiche par système
ID, nom S1, nom court
Finalité ce que le système décide, recommande ou produit
Dans le périmètre oui / non (renvoi au modèle 1) ; si non, pourquoi
Rôle AI Act fournisseur, déployeur, les deux ; justification
Classe AI Act classe + article ou point d'annexe cité
Propriétaire fonction qui répond du système
Statut statut du cycle de vie, version, date de mise en production
Données (A.4.3) sources, catégories (dont art. 9 RGPD), volume, conservation
Outils (A.4.4) modèle, bibliothèques, versions
Calcul (A.4.5) hébergement, pays
Compétences (A.4.6) équipe, personnes clés
Fournisseur éditeur, contrat, version du modèle figée ou non
Journaux ce qui est conservé, durée (art. 19 et 26 § 6 si applicables ; conditions au modèle 8)
Impact lien vers l'évaluation d'impact (modèle 4) ou date prévue
Risques identifiants du registre (modèle 3)
Systèmes découverts hors inventaire
Trouvé par recensement, proxy, signalement, audit
Décision régulariser (fiche + statut), suspendre, arrêter
Suite risque ajouté au registre, rappel de la politique, sans sanction si
signalé de bonne foi (politique, § 8)
Exemple rempli : mutuelle fictive
Version 1.0, octobre 2026, référent IA, revu par le comité IA, revue avril 2027
Source diagnostic d'octobre 2026, recensement des outils (action 0 à 3 mois)
S1 Tri des sinistres
Finalité orienter chaque dossier de soins vers gestion rapide ou approfondie
Périmètre oui
Rôle AI Act fournisseur (développé en interne) et déployeur
Classe à confirmer ; annexe III point 5 c vise la tarification et l'évaluation
des risques en assurance vie et maladie, pas le tri ; traité haut risque
par prudence (données de santé)
Propriétaire directeur des prestations
Statut production, v2.3
Données actes, montants, historique adhérent, agence ; santé (art. 9) ; 5 ans ;
environ 2 400 dossiers par jour ; jeu externe de 2024 retiré (modèle 6, A.7.3)
Outils modèle de classement interne, scripts versionnés
Calcul cloud hébergé en France
Compétences équipe data (6 personnes)
Journaux entrées et sorties à conserver 12 mois (politique) ; sorties non conservées
au diagnostic (A.6.2.8)
Impact modèle 4, novembre 2026
Risques R1
S2 Chatbot adhérents
Finalité répondre aux questions sur les garanties
Périmètre oui
Rôle AI Act fournisseur du système (assemblé sur l'API, mis en service sous le nom de
la mutuelle) et déployeur ; le fournisseur du LLM reste fournisseur du modèle
Classe transparence, art. 50 : l'adhérent est informé qu'il échange avec une IA
Propriétaire directeur relation adhérents
Statut production
Données documents de garantie ; questions des adhérents ; aucun accès aux dossiers
nominatifs (R3)
Fournisseur LLM américain, API entreprise, sans entraînement sur nos données ;
version à figer contractuellement (R4, A.10.3)
Calcul infrastructure du fournisseur
Journaux conversations 12 mois
Impact à conduire, 3 à 6 mois
Risques R2, R3, R4
S3 Détection de fraude
Finalité signaler des dossiers suspects à un gestionnaire, qui décide
Périmètre oui
Rôle AI Act fournisseur et déployeur
Classe minimal ; aucun point de l'annexe III ne vise ce cas ; décision finale
humaine ; à reclasser si le score devient bloquant
Propriétaire responsable fraude
Statut production
Données dossiers de remboursement, historique des fraudes avérées ; santé (art. 9)
Outils modèle interne ; contrôles qualité des données en place
Impact à conduire, 3 à 6 mois
Risques R6
S4 Assistant IA de la suite bureautique, offre entreprise
Finalité rédaction, synthèse, traduction par le personnel
Périmètre usage oui ; outil géré par la DSI groupe (interface, modèle 1)
Rôle AI Act déployeur ; classe minimal ; art. 4 (maîtrise de l'IA)
Propriétaire DSI ; liste tenue par le référent IA
Statut production ; données max confidentiel (politique, annexe 1)
Risques R5
S5 Assistant de code, offre entreprise
Finalité aide au développement, équipe data et DSI
Rôle AI Act déployeur ; classe minimal ; art. 4
Propriétaire DSI ; statut production ; aucune donnée réelle
Risques R5
S6 Transcription de réunion, hébergée en interne
Finalité comptes rendus de réunions internes
Rôle AI Act déployeur ; classe minimal ; art. 4
Propriétaire DSI ; statut production ; max personnel ; jamais en réunion adhérent
Risques R5
S7 Lecture des devis optiques et dentaires (IA fantôme régularisée)
Trouvé par recensement des outils, octobre 2026 ; déclaré par le gestionnaire lui-même
Constat prototype d'un gestionnaire : devis scannés envoyés à un LLM grand public
par un compte personnel, pour pré-remplir la saisie ; 3 semaines d'usage
Décision régulariser ; prototype arrêté, repris par l'équipe data sur l'API
entreprise du LLM de S2, devis anonymisés uniquement
Rôle AI Act fournisseur et déployeur si mis en production ; classe minimal (aide à la
saisie, le gestionnaire vérifie chaque champ)
Propriétaire responsable des prestations de l'agence ; appui référent IA
Statut expérimentation ; aucune décision sur un adhérent
Données devis = données de santé (art. 9) ; AIPD avant tout passage en développement
Suite incident de sécurité déclaré au RSSI et au DPO ; rappel de la politique,
sans sanction (déclaration spontanée) ; mesure M.1 du modèle 6
Impact avant passage en développement
Risques R5 ; R7 à créer (erreur de lecture -> montant mal saisi -> remboursement faux)