Le registre des traitements, les analyses d'impact et le suivi des sous-traitants ont un point commun : ils ne valent que si l'on sait quels outils traitent réellement les données de l'organisation. Or, dans la plupart des structures, cette liste n'existe que dans la tête de quelques personnes, ou dans un tableur mis à jour au moment de la dernière mise en conformité.
Le phénomène s'est accéléré avec les outils d'IA générative et les applications SaaS qui se branchent en quelques clics sur la messagerie ou le stockage de l'entreprise. Un collaborateur peut connecter un assistant de rédaction, un outil de prise de notes ou un générateur de présentations à son compte professionnel sans que le DPO, ni parfois la DSI, en soit informé.
Pourquoi le déclaratif ne suffit plus
La méthode classique consiste à interroger les directions métiers : « quels outils utilisez-vous ? ». Elle a deux limites. Elle ne révèle que ce que les équipes pensent à mentionner, et elle vieillit dès le lendemain. Une cartographie utile doit partir de ce que les systèmes de l'organisation enregistrent déjà, puis être complétée par les entretiens, et non l'inverse.
La méthode en cinq étapes
- Partir des sources techniques. Dans Microsoft 365 comme dans Google Workspace, chaque application tierce autorisée à accéder aux données laisse une trace (autorisation OAuth, journal d'activité). C'est la source la plus fiable pour les outils connectés aux comptes professionnels.
- Compléter avec les achats et les notes de frais. Les abonnements SaaS payés par carte, souvent hors processus d'achat, révèlent les outils non connectés à l'annuaire.
- Qualifier chaque application. Éditeur, finalité, données accessibles, nombre d'utilisateurs, type d'autorisation (accordée par un administrateur ou par un utilisateur seul), localisation de l'hébergement.
- Évaluer le niveau de risque. Une application qui lit l'ensemble des emails n'a pas le même enjeu qu'un outil qui ne connaît que le nom et l'adresse de l'utilisateur. Le périmètre des autorisations accordées est le premier critère.
- Rattacher chaque application au registre. Une application sans traitement correspondant dans le registre révèle soit un traitement non documenté, soit un outil à retirer.
Le cas particulier des outils d'IA
Les outils d'IA demandent une qualification supplémentaire : leur classification au regard de l'AI Act, la réutilisation éventuelle des données pour entraîner des modèles et le lieu de traitement. Les inventorier dans la même cartographie que les autres applications évite de créer un registre parallèle, difficile à maintenir.
Faire vivre la cartographie
Une cartographie réalisée une fois par an est obsolète au bout de quelques semaines. La bonne pratique consiste à surveiller en continu les nouvelles autorisations accordées et à déclencher une revue dès qu'une application à risque apparaît, plutôt que d'attendre l'exercice annuel. C'est aussi ce qui permet de démontrer, en cas de contrôle, que l'organisation maîtrise ses outils dans la durée et pas seulement à une date donnée.
Pour le DPO, l'enjeu est moins d'obtenir une liste parfaite que de disposer d'une source de vérité qui se met à jour seule, sur laquelle appuyer le registre, les AIPD et le dialogue avec la direction.