Aller au contenu principal
Quel logiciel RGPD

Inventaire des outils d’IA : tableau, module, ou plateforme ?

Pour qui : Votre direction vous demande la liste des outils d’IA utilisés dans l’organisation. Vous tenez déjà le registre des traitements, ou vous le suivez, et vous vous demandez s’il faut acheter quelque chose pour répondre.

Pour répondre à votre direction, un tableau suffit. Ajoutez à vos fiches de registre une rubrique qui nomme l’outil d’IA utilisé, quand il reçoit des données personnelles. N’achetez rien à ce stade.

Si vous avez déjà un logiciel RGPD et que le tableau ne tient plus, demandez le prix du module de votre éditeur. Une plateforme dédiée se justifie quand vous développez ou déployez de nombreux systèmes, ou que plusieurs entités contribuent.

Cette page traite le suivi des outils du point de vue des données personnelles. Si vous fournissez un système d’IA ou si un système touche à des décisions sur des personnes, lisez le règlement européen sur l’IA ou faites-vous conseiller : nous n’en reprenons ni les obligations ni le calendrier.

Notre avis

Ne cherchez pas d’outil tant que vous n’avez pas la liste. Dressez-la dans un tableau et reliez au registre les outils qui reçoivent des données personnelles. Le premier achat utile sera le module de votre éditeur, si le tableau ne tient plus.

Pourquoi

  • Nous n’avons lu aucun texte qui impose un logiciel d’inventaire, et aucun non plus qui valide expressément une rubrique : c’est un choix d’organisation.
  • La CNIL demande d’identifier les traitements par finalité et non par logiciel. Un même outil d’IA peut servir à plusieurs traitements : il vous faut les deux vues.
  • Le travail difficile est de découvrir ce que les équipes utilisent. Un module organise ce que vous savez déjà : il ne le découvre pas seul, sauf fonction annoncée de détection à faire démontrer.

Ce qui change le choix

Passez au module quand une mise à jour se perd d’un trimestre à l’autre malgré un tableau tenu. Examinez une plateforme si vous affinez vous-même des modèles, si plusieurs entités doivent contribuer ou si un client vous demande des preuves que le tableau ne produit pas.

L’ordre à suivre

  1. Une personne peut tenir la liste : tableau des outils et rubrique au registre, sans rien acheter.
  2. Vous avez déjà un logiciel RGPD et la liste change d’un trimestre à l’autre : demandez le prix et le contenu du module de votre éditeur.
  3. Vous développez ou affinez des systèmes, plusieurs entités contribuent, ou des outils échappent à toute déclaration : examinez une plateforme dédiée.

Un tableau et une rubrique répondent à deux questions

Le tableau répond à « quels outils ? ». Le registre répond à « quel traitement, pour quel objectif ? ». Un assistant de rédaction sans données personnelles reste dans le tableau seul. Un outil de tri de candidatures apparaît dans les deux, et sa fiche du recrutement le mentionne. Ces colonnes sont notre proposition : aucun texte lu ne les fixe.

Colonnes proposées pour le tableau des outils
ColonnePourquoi
Nom de l’outil et fournisseurPour savoir à qui poser vos questions.
Équipe et responsable métierPour savoir qui prévient quand l’usage change.
Usage réel et données saisiesPour repérer les données personnelles, sans se fier au nom du produit.
Type de compte : professionnel ou personnelLa CNIL déconseille la création de comptes avec des adresses personnelles.
Fiche de registre liéePour relier l’outil au traitement, ou écrire « aucune donnée personnelle ».
Contrat et réutilisation des donnéesPour vérifier le contrat et ce que le fournisseur peut faire de vos données.

Faire la liste en une semaine, sans logiciel

Partez de ce qui laisse une trace, et demandez ensuite aux personnes.

  1. Sortez les abonnements et les factures, puis les outils installés. Comptez aussi les fonctions d’IA ajoutées à un logiciel déjà payé.
  2. Demandez à chaque responsable d’équipe : quels outils d’IA utilisez-vous, avec quel compte, pour y mettre quoi ? Posez la question sans menace de sanction, ou vous n’aurez pas de vraie réponse. C’est notre avis.
  3. Reliez au registre chaque outil qui reçoit des données personnelles. Selon la CNIL, toute modification des conditions d’un traitement se porte au registre.
  4. Fixez une date de revue et un propriétaire du tableau. Nous proposons une revue par trimestre, sans valeur légale.

Trois sorties, et ce que nous savons de leur prix

Nous n’avons trouvé aucun prix d’inventaire d’IA dans ce que nous avons lu le 5 novembre 2026. Vous aurez donc une question de prix à poser à chaque étape, sauf la première. La mention d’Adequacy selon laquelle le tableur montre vite ses limites reste l’argument d’un vendeur, sans mesure lue.

Options et éléments lus
SortiePour quiCe que nous avons luÀ demander
Tableau et rubriqueUne personne peut tenir la listeAucun coût de licenceLe temps d’une revue par trimestre
Module de votre éditeurOrganisation déjà équipéeDastra : disponible si le plan l’inclut. Leto : accès annoncé depuis son interface RGPD. Adequacy : module additionnel. Witik : page dédiéeLe prix, le lien avec le registre, l’export
Plateforme dédiéeGroupe, développement interne, nombreux systèmesNaaia : inventaire, qualification, surveillance. OneTrust : détection d’outils annoncée, facturation selon les administrateurs et la taille de l’inventaireUn devis et une démonstration sur vos cas

Le cas qui change la réponse : vous modifiez le système

Selon la CNIL, un déployeur qui affine un système avec ses propres données en devient responsable pour cet affinage. Celui qui connecte le système à sa base de connaissances est responsable de ce traitement si elle contient des données personnelles. Elle recommande alors d’associer le DPO et, le cas échéant, de mener une analyse d’impact. Une ligne de tableau ne suffit plus à documenter cela. Vous aurez besoin de fiches plus détaillées, dans un outil ou non.

Limites de cette page

Nous n’avons lu aucune source indépendante qui compare un tableau et un module, et aucun outil n’a été essayé. La liste des fournisseurs n’est pas exhaustive. La CNIL a annoncé d’autres travaux sur l’IA : vérifiez sa dernière publication sur votre secteur.

Prochaine action

Cette semaine, sortez la liste de vos abonnements et envoyez la question aux responsables d’équipe. Reliez ensuite au registre les outils qui reçoivent des données personnelles. Si vous affinez un modèle, connectez une base de données interne ou utilisez un outil pour décider sur des personnes, associez votre DPO dès cette étape.

Preuves et sources

Lu le 5 novembre 2026 : les pages de la CNIL sur le registre et sur le déploiement de l’IA générative, datées du 13 avril 2018 et du 18 juillet 2024 ; les pages de Dastra, Leto, Witik, Adequacy, OneTrust et Naaia sur leur inventaire d’IA. Cette page ne reprend aucun calendrier du règlement européen sur l’IA.

Chaque élément ci-dessous dit s’il s’agit d’un fait lu dans une source, d’une déclaration d’éditeur, de notre calcul, de notre méthode ou de notre avis. Aucun outil n’a été testé. Notre méthode