Quelles IA vos équipes utilisent-elles vraiment ?
L’audit IA fantôme observe vos postes pendant sept jours, sans lire aucun contenu, puis vous remet un rapport : les outils d’IA réellement utilisés, où partent les données, ce que cela implique au regard du RGPD et du règlement IA, et quoi faire en premier.
Comment se déroule l’audit
- Inscription et préalables. Votre SIRET, puis trois engagements : salariés informés, CSE consulté s’il existe, finalité unique. Les modèles sont fournis.
- Installation. Un installeur pour Windows (agent et extension Chrome, Edge, Firefox), à la main ou par stratégie de groupe. Cinquante postes au plus.
- Sept jours d’observation. En mode observation seule : rien n’est bloqué, rien n’apparaît sur l’écran des salariés.
- Le rapport. Niveau de risque, outils et éditeurs, exposition réglementaire, plan d’action. À imprimer ou à partager.
Ce que contient le rapport
- L’essentiel en une page : outils utilisés, régularité, origine des éditeurs.
- La carte des outils : éditeur, pays du siège, nombre de postes, régularité d’usage, envois et collages.
- Ce qui est confié à l’IA : types d’informations repérés dans les envois (données personnelles, financières, sensibles, informations de l’entreprise), en volumes.
- Les repères réglementaires utiles : RGPD (registre, contrats, transferts hors Union européenne) et règlement IA (maîtrise de l’IA par le personnel).
- Des prochaines étapes suggérées, chacune reliée à l’outil qui la traite.
- Une annexe de méthode : ce qui a été mesuré, ce qui ne l’a pas été.
Que mesure l'audit, exactement ?
Les sites d'IA ouverts dans le navigateur, avec le nombre de visites, d'envois et de copier-coller ; le type d'informations confiées à l'IA (par exemple « adresse de courriel », « IBAN », « santé »), repéré sur le poste ; les applications d'IA installées sur les postes Windows. Le texte lui-même n'est jamais lu par Mon Registre ni transmis : seul le type d'information est compté.
Est-ce une surveillance des salariés ?
Non. Le rapport est agrégé : il compte des postes et des usages, il ne nomme personne. Il mesure l'exposition de l'entreprise, pas l'activité des personnes. Les salariés doivent tout de même être informés avant l'installation, et le CSE consulté s'il existe : le lancement l'exige, et une note d'information prête à envoyer est fournie.
Que se passe-t-il au bout des sept jours ?
La collecte s'arrête seule : les postes restent installés, en sommeil, sans aucune perturbation, et plus rien n'est enregistré, même si personne n'a rien désinstallé. Le rapport est disponible. Sans abonnement, les données d'observation sont supprimées trente jours après la fin de l'audit, ou tout de suite à votre demande.
Si nous souscrivons ensuite, faut-il tout réinstaller ?
Non. Les postes sont rattachés à votre organisation, pas à l'audit. À la souscription, ils reprennent au prochain contact, sans intervention. Les outils détectés s'importent au registre IA Act en un clic.
Notre prestataire informatique peut-il s'en charger ?
Oui. Un prestataire partenaire de Mon Registre propose l'audit depuis son portefeuille ; vous validez les préalables, il déploie sur votre parc, et le rapport vous revient à tous les deux.