Les agences ne peuvent pas gouverner les systèmes d’IA qu’elles ne parviennent pas à identifier

Google News a mis en lumière un conflit brutal pour les organismes publics : la gouvernance de l’IA commence par l’identification de systèmes souvent entrés dans l’administration sans étiquette claire indiquant qu’ils relevaient de l’IA.

Les politiques peuvent interdire le chargement de données sensibles, exiger une vérification humaine ou établir des principes d’utilisation responsable. Aucun de ces contrôles ne fonctionne si les responsables ne peuvent pas identifier les outils, fonctionnalités intégrées, services de fournisseurs et expérimentations d’employés qui influencent déjà le travail public.

Cette lacune de visibilité est devenue plus urgente à mesure que les agences dépassent les projets pilotes isolés de chatbots. L’IA apparaît désormais dans les plateformes d’autorisation, les services de traduction, les systèmes documentaires, les outils de détection des fraudes, les centres d’appels et les logiciels bureautiques ordinaires. L’enjeu n’est plus l’innovation contre la prudence. Il oppose une adoption documentée et continuellement surveillée à un usage fragmenté que la direction centrale découvre trop tard.

Ce que le titre de Google News comprend bien sur les inventaires d’IA

Un inventaire de l’IA devient le point de départ opérationnel de la supervision dans le secteur public, et non un simple tableur administratif supplémentaire.

Le titre diffusé par Google News résume un problème fondamental de gouvernance. Avant qu’une agence puisse classer les risques, tester l’exactitude ou attribuer des responsabilités, elle doit établir quels systèmes existent et comment ils sont utilisés.

Cela paraît simple jusqu’à ce que les responsables définissent ce qui constitue un système d’IA. Un service peut déclarer un chatbot génératif tout en négligeant le classement automatisé, la classification de documents, la prévision, la transcription ou la reconnaissance d’images intégrés à des logiciels existants.

Un inventaire doit donc couvrir davantage que les produits achetés dans le cadre d’un contrat d’IA. Il doit inclure les modèles développés en interne, les services hébergés par des fournisseurs, les fonctionnalités logicielles optionnelles, les outils choisis par les employés et les systèmes automatisés hérités d’anciens accords.

Les organismes publics doivent également documenter les usages, et pas seulement les produits. Le même modèle peut aider à rédiger une note interne ou recommander si une personne doit recevoir une prestation publique. Ces applications présentent des conséquences très différentes.

Un enregistrement d’inventaire utile identifie le service responsable, l’objectif opérationnel, la population concernée, les catégories de données, le fournisseur, le modèle ou service, l’autorité décisionnelle, le processus de vérification humaine et l’état actuel du déploiement. Il indique également si une personne peut contester un résultat.

Cette distinction est importante, car une liste d’applications ne répond qu’à une question limitée : quels logiciels l’organisation a-t-elle approuvés ? La gouvernance exige une réponse plus large sur les endroits où l’analyse automatisée modifie le travail public ou affecte les habitants.

L’expérience du gouvernement fédéral montre l’ampleur du phénomène. Une analyse de 2026 du dernier inventaire consolidé a recensé plus de 3 600 usages déclarés de l’IA dans 41 agences, contre environ 700 usages en 2023. La revue de l’adoption fédérale a également constaté que l’adoption déclarée restait concentrée dans les plus grandes agences.

Ces chiffres démontrent une croissance rapide, mais ils ne prouvent pas que chaque déploiement a été recensé. Les règles de déclaration évoluent, les agences interprètent les définitions différemment et les employés peuvent utiliser des services externes sans créer de dossier officiel d’achat.

Cela crée deux types de lacunes de visibilité. Le premier concerne l’IA fantôme, c’est-à-dire les outils utilisés sans approbation ni examen centralisés. Le second concerne l’IA intégrée, c’est-à-dire les fonctionnalités automatisées ajoutées à des produits qu’une agence possède déjà.

Les systèmes intégrés peuvent être particulièrement difficiles à suivre. Un fournisseur peut activer une fonctionnalité de synthèse, changer de fournisseur de modèles ou étendre une fonction de recommandation automatisée lors d’une mise à jour logicielle de routine.

Un questionnaire annuel ne détectera pas ces changements de manière fiable. Lorsque l’enquête suivante arrivera, la fonctionnalité aura peut-être déjà traité des dossiers confidentiels ou influencé des centaines de décisions.

L’inventaire a donc besoin d’un mécanisme de mise à jour. Les événements d’achat, renouvellements de contrats, examens de sécurité, versions logicielles et demandes d’accès des employés devraient tous déclencher une vérification des capacités d’IA nouvelles ou modifiées.

Le Connecticut offre un modèle public. L’État indique qu’il tient un inventaire annuel des systèmes approuvés et évalue les usages proposés dans le cadre d’un processus de gouvernance multidisciplinaire. Son cadre étatique pour l’IA réunit des expertises technologiques, juridiques, politiques, éthiques et de sécurité dans l’examen.

Une publication annuelle peut améliorer la transparence, mais le registre interne doit évoluer plus vite que le calendrier de publication. Les habitants ont besoin d’une vision publique stable, tandis que les administrateurs ont besoin d’un registre opérationnel actualisé en continu.

Cette combinaison transforme le travail d’inventaire en infrastructure. Le document public soutient la responsabilité. Le système interne soutient les décisions quotidiennes sur l’accès, les essais, les achats, les incidents et le retrait.

Les lecteurs de Google News pourraient rencontrer l’argument de l’inventaire comme un simple appel à une meilleure tenue des dossiers. Son implication plus profonde est plus exigeante. Les agences doivent traiter l’identification de l’IA comme un contrôle continu qui accompagne chaque système, de la proposition initiale à son arrêt définitif.

La lacune de visibilité met sous pression les achats, les services juridiques et les responsables de programmes

Une IA invisible déplace le risque de la personne qui choisit un outil vers les responsables qui restent comptables de ses conséquences.

Les directeurs des systèmes d’information ne peuvent pas résoudre ce problème seuls. Ils gèrent généralement l’infrastructure approuvée, les exigences de sécurité et les contrats d’entreprise. Ils ne voient pas nécessairement chaque service web qu’un employé ouvre ni chaque fonctionnalité automatisée qu’un fournisseur active.

Les équipes chargées des achats rencontrent une limite similaire. Un appel d’offres peut décrire de l’analytique, l’automatisation des flux de travail ou l’aide à la décision sans utiliser le terme intelligence artificielle. Les catégories technologiques standard peuvent masquer le mécanisme qui mérite un examen.

Les équipes juridiques interviennent souvent après la rédaction d’un contrat. À ce stade, l’agence peut manquer de levier pour exiger une documentation sur le modèle, un accès aux audits, une notification d’incident, des restrictions sur les données ou un préavis pour les changements substantiels.

Les responsables de programmes supportent une autre forme de pression. Ils comprennent le flux de travail et les habitants concernés, mais ils ne reconnaissent pas toujours le moment où la fonctionnalité d’un fournisseur répond à la définition de l’IA de l’agence.

Chaque groupe ne voit donc qu’une partie du système. La gouvernance échoue lorsque chacun suppose qu’un autre service détient la vision complète.

Les achats constituent le point d’entrée le plus pratique, car ils peuvent exiger une divulgation avant le déploiement. Un fournisseur devrait expliquer quelles fonctions utilisent l’IA, quelles données elles traitent, quels tiers participent et si le système évolue après l’achat.

Les contrats devraient également traiter les mises à jour. Une divulgation effectuée lors de l’appel d’offres perd de sa valeur si le fournisseur remplace ensuite le modèle sous-jacent, introduit des actions de type agent ou étend la conservation des données sans nouvel examen.

Un agent d’IA est un logiciel capable de planifier ou d’exécuter une séquence d’actions vers un objectif. Cela rend le contrôle des changements particulièrement important, car le système peut faire davantage que produire une recommandation.

Un chatbot classique renvoie un texte qu’une personne doit évaluer. Un agent peut récupérer des dossiers, modifier un dossier, envoyer une notification ou lancer un autre processus. Le risque opérationnel dépend des autorisations, de la réversibilité et du nombre de dossiers concernés.

Les services opérationnels doivent décrire ces conséquences en langage clair. Une description technique d’un modèle ne révèle pas si une erreur retarde une note de routine ou bloque l’accès à une aide au logement.

Le Maryland a lié le travail d’inventaire à sa gouvernance technologique existante plutôt que de créer un exercice de déclaration déconnecté. Son processus public d’inventaire de l’IA décrit un catalogue relié aux structures d’examen de l’État et aux déclarations de cas d’usage des agences.

Cette intégration est importante. Les agences disposent déjà de processus d’achat, de cybersécurité, de protection de la vie privée, de gestion des archives et de gestion des fournisseurs. L’identification de l’IA fonctionne mieux lorsque ces systèmes échangent des informations plutôt que d’exiger une soumission manuelle distincte.

Les obligations légales ajoutent également de la pression. La loi du Maryland établit des obligations d’inventaire et d’évaluation d’impact pour les systèmes à haut risque utilisés par les unités de l’État. Le calendrier distingue les nouveaux achats des systèmes acquis antérieurement.

Pourtant, une échéance ne peut pas produire à elle seule un inventaire exact. Les agences ont toujours besoin d’une méthode défendable pour découvrir les technologies achetées avant l’obligation ou classées sous une autre étiquette.

Les petites collectivités locales font face à la version la plus difficile de ce problème. Elles utilisent souvent les mêmes services cloud que les grandes juridictions, mais ne disposent pas de responsables dédiés à la protection de la vie privée, d’évaluateurs de modèles ou de spécialistes des achats d’IA.

Une enquête de 2026 en Pennsylvanie citée par Governing a constaté que 81 % des responsables publics répondants n’avaient aucune politique relative à l’IA générative. Parmi ces répondants, 62 % ont convenu qu’en disposer serait utile.

L’absence de politique est grave, mais la capacité limitée crée une contrainte encore plus grande. Une petite municipalité peut savoir que ses employés utilisent un assistant d’IA sans disposer de l’expertise nécessaire pour évaluer les flux de données ou négocier des clauses contractuelles spécialisées.

Les services partagés peuvent aider. Les États, comtés, associations et grandes villes peuvent publier des définitions communes, des formulaires d’admission, des modèles d’usage approuvés et des clauses contractuelles. Ils peuvent aussi fournir un soutien à l’examen pour les petites juridictions.

Cela n’élimine pas la responsabilité locale. Cela donne aux responsables un socle utilisable et réduit le risque que chaque municipalité répète la même enquête sur les fournisseurs.

La réponse imposée est organisationnelle, et pas seulement technique. Les achats doivent poser de meilleures questions, les équipes juridiques doivent obtenir une divulgation continue, les équipes de sécurité doivent cartographier les accès et les responsables de programmes doivent assumer l’usage réel.

Cette pression persistera parce que l’adoption de l’IA évolue plus vite que les budgets et contrats publics. Un système approuvé pour un objectif peut acquérir de nouvelles fonctions bien avant l’expiration de l’accord initial.

Les agences incapables de relier ces services gouverneront à partir d’instantanés incomplets. Celles qui créent un registre partagé peuvent passer d’une sensibilisation dispersée à des décisions responsables.

Le principal conflit oppose l’adoption documentée à l’IA fantôme

L’enjeu central oppose les systèmes qu’une agence peut retracer à un usage de l’IA qui se propage par commodité, paramètres par défaut et divulgation incomplète.

L’IA fantôme ne commence pas toujours par une violation délibérée des règles. Elle débute souvent lorsqu’un employé utilise un outil public familier pour résumer un document, améliorer un e-mail, traduire une notification ou analyser une feuille de calcul.

Le bénéfice immédiat est clair. L’outil réduit le travail répétitif et produit un résultat en quelques secondes. Le coût de gouvernance reste caché jusqu’à ce que quelqu’un demande quelles informations ont quitté l’agence ou comment le résultat a influencé une décision.

Bloquer tous les services publics peut pousser davantage l’usage dans la clandestinité. Les employés confrontés à une pression de charge de travail peuvent se tourner vers des appareils personnels, des comptes privés ou des produits que les équipes de sécurité ne peuvent pas observer.

Une alternative pratique combine des outils approuvés, des limites claires, de la formation et une surveillance proportionnée. Les employés doivent savoir quelles données peuvent entrer dans un système, quelles tâches exigent une vérification humaine et quelles décisions ne peuvent pas être déléguées.

L’IA intégrée crée une deuxième voie qui contourne l’examen formel. Une administration peut approuver une plateforme de gestion des dossiers, une suite bureautique ou un produit de gestion des cas avant que ce produit n’intègre des fonctions génératives.

Le fournisseur ajoute ensuite des capacités de synthèse ou de recommandation via une mise à jour ordinaire. Les utilisateurs voient un bouton pratique, tandis que les examens initiaux de sécurité et de confidentialité restent centrés sur le produit antérieur.

C’est pourquoi un inventaire fondé sur les produits est insuffisant. Les administrations ont besoin d’une vision au niveau des fonctionnalités, lorsqu’une fonction importante modifie l’utilisation des données, l’autorité décisionnelle ou l’exposition aux erreurs.

La divulgation par les fournisseurs est nécessaire, mais elle ne peut pas fournir toute la réponse. Les fournisseurs ont intérêt à commercialiser largement les fonctions d’IA, à décrire étroitement les dépendances techniques ou à traiter les changements de modèle comme de simples améliorations de service.

Les clients publics ont besoin d’un avis contractuel pour les changements qui affectent le risque. Ils ont également besoin de méthodes techniques et administratives permettant de confirmer à quoi les employés peuvent accéder.

Les journaux d’authentification unique peuvent révéler l’accès à des services approuvés. La surveillance des navigateurs et des réseaux peut identifier certains domaines non approuvés. Les notes de frais, tickets d’assistance, enquêtes et inventaires logiciels peuvent fournir des signaux supplémentaires.

Aucune de ces méthodes n’est complète. L’analyse technique peut identifier un service sans en expliquer la finalité. Les entretiens avec les employés peuvent saisir la finalité tout en omettant un usage occasionnel ou non autorisé.

Le meilleur processus de découverte combine les preuves. Il compare les dossiers d’achat, les journaux d’identité, les observations réseau, les divulgations des fournisseurs, les entretiens avec les programmes, les évaluations de confidentialité et les examens de sécurité.

Cette comparaison doit susciter des questions, et non des accusations automatiques. Une fonctionnalité d’IA jusque-là inconnue peut présenter un faible risque, être désactivée ou ne pas être pertinente pour les décisions publiques. La découverte déclenche la classification.

La classification détermine ensuite la réponse. Un assistant de rédaction utilisé avec des informations publiques exige des contrôles différents de ceux d’un système qui évalue des inspections, des candidatures à l’emploi ou des demandes de prestations.

Le risque élevé ne signifie pas simplement que la technologie est avancée. Il décrit les conséquences liées à une erreur, la sensibilité des données, la population concernée et la possibilité de correction humaine.

Cette approche ressemble à la gestion des actifs en cybersécurité. Une organisation ne peut pas corriger, surveiller ou retirer un appareil dont elle ignore l’existence. L’IA ajoute une dimension supplémentaire, car un produit connu peut modifier son comportement sans changer de nom.

Le cadre de gestion des risques liés à l’IA du National Institute of Standards and Technology organise le travail autour de la gouvernance, de la cartographie, de la mesure et de la gestion des risques. La découverte soutient chaque partie de ce cycle.

La cartographie exige un contexte sur l’usage prévu et les personnes concernées. La mesure exige des tests liés à ce contexte. La gestion exige un responsable capable de modifier, suspendre ou retirer le système.

Un inventaire statique peut néanmoins créer un faux sentiment de confiance. Les responsables peuvent célébrer un tableur complet tandis que les systèmes s’éloignent des conditions initialement examinées.

La dérive du modèle signifie que les performances ou le comportement évoluent à mesure que les données, les environnements ou les composants du système changent. Les mises à jour des fournisseurs peuvent produire des changements similaires même lorsqu’une administration ne réentraîne jamais un modèle.

Un inventaire continu ne signifie pas une inspection manuelle constante. Il signifie définir les événements qui nécessitent une réévaluation, comme une nouvelle source de données, le remplacement d’un modèle, l’élargissement du groupe d’utilisateurs, un changement de finalité, un incident ou une plainte du public.

C’est le principal arbitrage de l’article. La facilité d’accès aide les employés à expérimenter et à améliorer les services, mais l’adoption décentralisée réduit la visibilité. Un contrôle central strict améliore la supervision, mais une friction excessive encourage les contournements et ralentit les déploiements utiles.

La réponse n’est pas la restriction maximale. C’est un système d’examen suffisamment rapide pour que les employés préfèrent la voie approuvée, et suffisamment rigoureux pour que les usages ayant des conséquences fassent l’objet d’un contrôle approfondi.

La réactivité devient ainsi un contrôle de gouvernance. Si l’approbation d’un outil de synthèse à faible risque prend des mois, le processus formel devient moins pertinent par rapport à la façon dont les personnes travaillent réellement.

Les dirigeants devraient définir des voies d’examen selon les conséquences. Les usages à faible risque peuvent suivre des conditions standard, tandis que les systèmes qui affectent les droits, l’éligibilité, l’application des règles, la sécurité ou l’emploi font l’objet d’une évaluation plus approfondie.

L’adoption documentée ne l’emporte que lorsque la voie documentée reste utilisable. Sinon, l’inventaire enregistre l’organisation que les dirigeants souhaiteraient avoir, et non celle qui fonctionne réellement.

Pourquoi un inventaire de l’IA peut encore créer un faux sentiment de confiance

Trouver un système est nécessaire, mais un inventaire ne prouve pas que ce système est équitable, sécurisé, précis ou bien gouverné.

Un registre peut devenir un artefact de conformité. Les services soumettent des entrées, le personnel central publie une liste et chacun suppose que le travail le plus important est achevé.

L’entrée peut décrire une finalité approuvée sans montrer l’utilisation réelle. Elle peut identifier un fournisseur tout en omettant les sous-traitants, fournisseurs de modèles, sources de données ou plugins externes.

Elle peut également reposer sur l’auto-déclaration. Les employés et sous-traitants ne peuvent pas divulguer une fonctionnalité qu’ils ne reconnaissent pas, et les fournisseurs peuvent ne pas exposer clairement chaque dépendance.

Même les entrées exactes vieillissent rapidement. Un système peut passer de la rédaction de textes internes à la génération de communications destinées aux résidents. Un projet pilote peut devenir un flux de travail courant sans point de décision formel.

Ces limites ne rendent pas les inventaires inutiles. Elles expliquent pourquoi la découverte doit être reliée à la responsabilité, à l’évaluation, à la surveillance et à la réponse aux incidents.

Chaque usage répertorié devrait avoir un responsable métier redevable. Cette personne n’a pas besoin de comprendre chaque paramètre du modèle, mais doit comprendre la finalité, les conséquences et les conditions d’arrêt du système.

La responsabilité technique est différente. Les technologies de l’information ou un fournisseur peuvent maintenir une plateforme tandis que le bureau du programme reste responsable de la manière dont la sortie alimente une décision publique.

Un registre pertinent identifie donc les deux rôles. Sinon, le programme peut rejeter la faute sur le service informatique, tandis que celui-ci affirme n’avoir fourni qu’un outil.

Les évaluations d’impact fournissent la couche suivante. Elles examinent les groupes concernés, les préjudices prévisibles, la qualité des données, les tests, les procédures de recours, la supervision humaine et les alternatives à l’automatisation.

Toutefois, une évaluation réalisée avant le lancement reste une prédiction. Les performances réelles dépendent du comportement des utilisateurs, de l’évolution des données, de la pression opérationnelle et des cas qui parviennent au système.

La surveillance doit tester ces hypothèses après le déploiement. Les administrations devraient suivre les schémas d’erreurs, les dérogations, les plaintes, les résultats de traitement, les incidents de sécurité et les différences entre les groupes pertinents.

La transparence publique ajoute une autre contrainte. Les administrations devraient divulguer suffisamment d’informations pour que les résidents comprennent les usages ayant des conséquences, sans publier de détails sensibles pour la sécurité ni de données personnelles protégées.

L’Organisation de coopération et de développement économiques a souligné que la confiance du public dépend en partie de la conviction que les gouvernements peuvent réglementer de manière responsable les technologies émergentes. Ses conclusions sur la confiance publique associent une gouvernance de qualité à des opinions plus positives sur l’IA dans le secteur public.

La transparence seule ne suffira pas à gagner cette confiance. Une liste publique perd en crédibilité si les résidents découvrent ensuite qu’un système non répertorié a influencé l’application des règles, l’emploi ou l’accès aux services.

La précision compte également davantage que la taille de l’inventaire. Une juridiction comptant 200 entrées vagues n’est pas nécessairement mieux gouvernée qu’une autre disposant de 40 registres précis et à jour, liés à de véritables contrôles.

Les comparaisons entre administrations peuvent donc induire en erreur. Une hausse du nombre d’entrées peut indiquer une adoption plus rapide, une meilleure déclaration, une définition plus large, ou les trois à la fois.

La même prudence s’applique à l’augmentation fédérale au-delà de 3 600 usages déclarés. Ce nombre montre une activité et une meilleure visibilité, mais il ne peut pas établir l’exhaustivité ni la qualité dans l’ensemble des administrations.

Des recherches indépendantes publiées en 2026 ont examiné plusieurs régimes fédéraux de divulgation et constaté qu’aucun système unique ne décrit pleinement la façon dont le gouvernement conçoit ou déploie l’IA. Cette conclusion suggère que même des structures de déclaration matures peuvent fragmenter les informations pertinentes.

Un autre risque est l’inflation du périmètre. Si un inventaire recense chaque règle automatisée de base, les évaluateurs peuvent consacrer une attention limitée aux outils ayant peu de conséquences tout en manquant des systèmes qui influencent matériellement les personnes.

Les définitions devraient être suffisamment larges pour empêcher les contournements, mais associées à des niveaux de risque. La découverte devrait ratisser large, tandis que les ressources d’évaluation suivent les conséquences.

Les administrations doivent également préserver la mémoire institutionnelle. Le roulement du personnel, les réorganisations et l’expiration des contrats peuvent dissocier un système des personnes qui en comprenaient les limites initiales.

L’inventaire devrait conserver les décisions, résultats de tests, conditions approuvées, incidents et historique des changements. Un nouveau responsable a besoin de davantage qu’un nom de produit et une date de lancement.

La continuité des connaissances est importante pour toute organisation qui gère un travail complexe soutenu par l’IA. Les équipes peuvent l’améliorer en maintenant une base de connaissances techniques consultable qui relie les politiques, évaluations, contrats et preuves opérationnelles.

Pour autant, la documentation ne doit pas devenir un substitut au jugement. Un dossier bien organisé peut montrer qu’un examen a eu lieu sans prouver que les évaluateurs ont posé les bonnes questions.

L’interprétation la plus sceptique mérite attention : les programmes d’inventaire peuvent donner l’impression que l’IA visible est contrôlée tandis que des usages non observés se poursuivent ailleurs.

Les administrations devraient tester cette possibilité. Elles peuvent comparer l’inventaire central avec l’activité réseau, les enquêtes auprès des employés, les données d’achat et les listes de fonctionnalités des fournisseurs, puis examiner les écarts significatifs.

Elles devraient également offrir aux travailleurs un canal de signalement sûr. Les employés sont plus susceptibles de divulguer leurs expérimentations lorsque la réponse se concentre sur la correction des risques plutôt que sur une sanction automatique.

Enfin, les dirigeants devraient publier les limites en même temps que les totaux. Un inventaire crédible explique son périmètre, sa méthode de déclaration, sa date de mise à jour, ses exclusions et ses incertitudes.

Cette honnêteté n’affaiblit pas la gouvernance. Elle empêche qu’un registre provisoire soit pris pour une carte complète.

Ce que les administrations devraient surveiller après la fin du cycle d’actualité Google News

Le prochain test consistera à voir si les gouvernements transforment les annonces d’inventaire en contrôles observables qui restent exacts après l’évolution des produits et des flux de travail.

Le premier signal est la qualité des inventaires publics. Davantage de juridictions publieront des listes, car les lois, les politiques exécutives et les attentes du public encouragent la divulgation.

Les lecteurs devraient regarder au-delà du nombre d’entrées. Les registres solides identifient l’usage, l’administration responsable, la finalité, le statut, le niveau de risque et le rôle de l’examen humain dans un langage que les résidents peuvent comprendre.

Les orientations de New York en matière d’inventaire offrent un exemple d’État définissant des attentes communes de déclaration à l’échelle des entités gouvernementales. Ses orientations sur l’inventaire portent sur l’identification des systèmes utilisés et sur le soutien à l’accessibilité publique de certaines données sélectionnées.

Si les registres publics deviennent plus précis et plus faciles à comparer au fil du temps, le modèle d’adoption documentée gagne du terrain. Si les listes restent vagues ou n’apparaissent qu’une seule fois, le problème de visibilité persiste.

Le deuxième signal est le langage des marchés publics. Les administrations devraient exiger des fournisseurs qu’ils identifient les fonctions d’IA, les fournisseurs de modèles, les pratiques relatives aux données d’entraînement ou d’exploitation, les mécanismes de mise à jour et les changements importants.

Le Government Accountability Office a indiqué en avril 2026 que certaines agences fédérales ne recueillaient pas systématiquement les enseignements tirés des acquisitions d’IA. Son évaluation des marchés publics considérait le partage des enseignements comme une étape importante pour améliorer les achats futurs.

Il faut surveiller si les gouvernements créent des clauses contractuelles réutilisables et examinent les conclusions. Cela montrerait que l’identification des usages influence la manière dont les agences achètent les technologies, et pas seulement la façon dont elles les décrivent après coup.

Il faut également vérifier si les contrats prévoient un préavis et des options pour les agences lorsque les systèmes évoluent. La capacité d’un fournisseur à remplacer un modèle sans examen substantiel peut rendre l’évaluation d’hier obsolète.

Le troisième signal est la preuve d’un rapprochement continu. Les agences devraient comparer leurs inventaires aux journaux d’identité, aux outils de sécurité, aux données de dépenses, aux registres logiciels et aux signalements des employés.

Un inventaire qui s’enrichit n’est pas automatiquement un échec. Il peut indiquer que l’identification des usages s’améliore. La vraie question est de savoir si les nouveaux usages détectés reçoivent des responsables, des classifications et des mesures correctives.

Les rapports publics sur les incidents fourniront un autre indice. Une agence ne signalant aucun problème lié à l’IA peut disposer d’excellents contrôles, mais elle peut aussi manquer de canaux pour les détecter et les divulguer.

Les dirigeants devraient suivre les quasi-incidents autant que les préjudices confirmés. Un document confidentiel téléversé dans un assistant non approuvé mérite attention, même si le fournisseur ne l’a pas conservé ou si aucun résident n’a subi de conséquence défavorable.

Le prochain titre de Google News cédera bientôt la place à une autre controverse sur les politiques d’IA. La question opérationnelle doit rester la même : une agence peut-elle nommer les systèmes qui influencent son travail, expliquer leur finalité et montrer qui peut les arrêter ?

Pour les agents publics, cette question devrait guider le choix des outils avant que des informations sensibles n’entrent dans une invite. Pour les acheteurs de technologies, elle devrait guider les contrats avant qu’un fournisseur ne devienne difficile à remplacer.

Pour les résidents, la qualité de l’inventaire offre un moyen concret d’évaluer si les promesses d’IA responsable sont devenues des contrôles opérationnels. Il convient de demander si la liste publiée couvre les usages réels, identifie les responsabilités humaines et consigne les mises à jour importantes.

Identifier l’IA ne constitue pas à lui seul tout le programme de gouvernance. C’est le point où les slogans rencontrent les preuves. Lorsque le prochain article de Google News mettra en lumière une décision automatisée défaillante, le fait le plus révélateur sera de savoir si les responsables connaissaient l’existence du système avant qu’il ne cause un préjudice.