Pourquoi auditer sa conformité ?
Un audit poursuit trois objectifs : objectiver l'exposition réelle de l'organisation (au-delà des impressions), prioriser les actions selon le risque et l'urgence, et constituer des preuves de la démarche. Il transforme une inquiétude diffuse (« sommes-nous concernés ? ») en une feuille de route claire. C'est aussi la meilleure défense en cas de contrôle : démontrer une démarche structurée est une circonstance atténuante.
La méthode en 6 étapes
- 01
Cartographier les usages d'IA
Recensez tous les systèmes et usages, y compris l'IA générative utilisée spontanément par les équipes (shadow AI). Sans inventaire, pas d'audit.
- 02
Qualifier rôle et niveau de risque
Pour chaque usage : êtes-vous fournisseur ou déployeur ? L'usage est-il interdit, à haut risque, soumis à transparence, ou minimal ?
- 03
Confronter aux obligations
Reliez chaque usage aux obligations applicables (art. 5, 8-27, 50, 53…) selon sa qualification.
- 04
Mesurer les écarts
Pour chaque obligation : satisfaite, partielle ou absente ? Notez la preuve associée, ou son absence.
- 05
Prioriser les actions
Hiérarchisez selon le risque et l'urgence : d'abord l'exigible (interdictions, littératie) et le haut risque.
- 06
Documenter
Consignez la démarche, les constats et le plan d'action : c'est le livrable de l'audit et un élément de preuve.
Quels points de contrôle selon le niveau de risque ?
| Niveau | Points de contrôle clés |
|---|---|
| Tous usages | Littératie IA (art. 4), politique d'usage, gouvernance |
| Pratiques interdites | Absence d'usages de l'article 5 (biométrie, manipulation, notation sociale) |
| Haut risque | Gestion des risques, données, documentation, contrôle humain, information, journaux (art. 8-27) |
| Transparence | Signalement de l'IA, marquage des contenus, deepfakes (art. 50) |
| GPAI (si fournisseur) | Documentation, droit d'auteur, résumé des données (art. 53) |
Audit interne ou externe ?
Les deux approches sont complémentaires. Un audit interne permet un premier état des lieux rapide et une appropriation par les équipes. Un audit externe apporte un regard indépendant, une expertise sur les qualifications délicates (usages sensibles, haut risque) et une crédibilité accrue vis-à-vis des tiers. Une démarche efficace combine souvent les deux : cartographie interne, puis validation externe des points à enjeux.
À quelle fréquence auditer ?
La conformité AI Act n'est pas un état figé : elle évolue avec vos usages et avec le règlement (lignes directrices, normes, actes délégués). Un audit initial pose la base ; des revues périodiques (au moins annuelles, et à chaque nouveau projet d'IA significatif) maintiennent le dispositif à jour. L'audit devient alors un rituel de pilotage, pas un exercice ponctuel.
Questions fréquentes
Un audit AI Act est-il obligatoire ?
Le règlement n'impose pas d'« audit » sous ce nom, mais il exige de connaître ses usages, de les qualifier et de documenter sa conformité. L'audit est le moyen le plus efficace de satisfaire ces exigences et de préparer un éventuel contrôle.
Par où commencer un audit ?
Par la cartographie des usages d'IA. C'est le préalable indispensable : sans savoir ce que l'on utilise, aucune qualification ni évaluation n'est possible. Cette étape est surtout un travail d'enquête interne.
Le diagnostic en ligne remplace-t-il un audit ?
Un diagnostic de positionnement donne une première lecture rapide de votre exposition et de vos priorités. Un audit complet va plus loin : il examine chaque usage, mesure les écarts et constitue un dossier de preuves. Le diagnostic est un excellent point de départ ; l'audit, l'approfondissement.
Faut-il un auditeur certifié ?
Il n'existe pas, à ce stade, de certification d'auditeur AI Act obligatoire. Ce qui compte est la compétence : maîtrise du règlement, capacité à qualifier les usages et à évaluer les écarts. Un accompagnement par un cabinet expert du sujet apporte cette rigueur.