DPO SUITE apporte une réponse à cette problématique en associant plusieurs registres complémentaires : le registre des activités de traitement, le registre des logiciels, le registre des API, le suivi des sous-traitants et le registre Shadow IT.
Ces différents outils permettent de distinguer les applications utilisées des activités de traitement auxquelles elles participent. Cette distinction est essentielle pour analyser correctement les conséquences d’un nouvel agent d’IA.
Le registre Shadow IT : identifier les agents d’IA qui échappent aux circuits de validation
Le Shadow IT désigne les logiciels, services numériques et applications utilisés dans une organisation en dehors des procédures officielles de validation ou de contrôle de son système d’information.
Les agents d’IA peuvent accentuer ce phénomène. Un salarié peut connecter un assistant à sa messagerie professionnelle, transmettre des documents clients à un service externe ou autoriser un agent à consulter un espace documentaire sans avoir sollicité le responsable informatique.
Le registre Shadow IT de DPO SUITE permet de documenter ces outils non déclarés, d’évaluer les risques associés et de suivre les actions nécessaires à leur régularisation.
Le registre Shadow IT constitue ainsi un outil de connaissance et de maîtrise des usages non autorisés ou non déclarés. Il ne faut toutefois pas le confondre avec un dispositif garantissant la découverte automatique et exhaustive de tous les agents utilisés par les collaborateurs. Leur identification nécessite également des vérifications organisationnelles et techniques.
Des registres complémentaires pour reconstituer les flux de données
Une fois l’agent identifié, DPO SUITE permet d’organiser l’analyse à travers plusieurs modules complémentaires.
Le registre des traitements reste le document de référence
La démarche se termine par l’examen des activités de traitement concernées. Le DPO vérifie les finalités, les catégories de données, les destinataires, les transferts éventuels et les durées de conservation.
Si l’agent intervient dans une activité déjà documentée, la fiche existante est actualisée lorsque cela est nécessaire. Si son utilisation correspond à une nouvelle activité de traitement, une nouvelle fiche peut être créée.
Cette organisation permet de conserver un registre fidèle à sa vocation : documenter les activités de traitement sans les confondre avec les technologies utilisées.