En bref. Auditer l’usage de l’IA dans une organisation revient à examiner quatre piliers : la gouvernance et la stratégie, les risques techniques et la qualité des données, la conformité (AI Act, RGPD) et l’éthique, puis l’humain et la conduite du changement, shadow AI compris. Pour chaque pilier, la grille pose des questions précises et demande des preuves écrites. Elle s’appuie sur les recommandations publiées par la CNCC, le CPAB et l’IFACI, et sur les risques que les auditeurs citent eux-mêmes.
Pourquoi une grille en quatre piliers ?
Les organisations ont souvent commencé par l’usage : des salariés ouvrent un assistant conversationnel, une direction teste un outil, un éditeur active une fonction d’IA dans un logiciel déjà en place. L’encadrement arrive ensuite. Un audit de l’usage de l’IA vérifie que cet encadrement existe et qu’il fonctionne.
Les textes professionnels convergent sur quatre familles de questions. La CNCC, dans ses fiches « IA & Audit : Bonnes pratiques » de juin 2025, couvre la gouvernance, les données, la charte et la formation. Le CPAB (Conseil canadien sur la reddition de comptes) ajoute en septembre 2024 le contrôle qualité des outils et le scepticisme professionnel. L’IFACI insiste sur les biais, l’explicabilité et la responsabilité nominative. Nous avons regroupé ces apports en quatre piliers, que nous utilisons dans notre audit IA.
Pilier 1 : la gouvernance et la stratégie sont-elles définies ?
La première question est simple : qui décide, et sur quelle base ? La CNCC recommande de constituer une équipe dédiée qui réunit le métier, l’informatique, les données, la cybersécurité et les fonctions risques et conformité, et de désigner un référent IA, éventuellement entouré de « champions IA ». Elle propose une démarche en cinq temps : équipe, projet, documentation, acculturation, suivi et adaptation.
Le CPAB demande d’établir des politiques d’usage responsable de l’IA et d’en surveiller l’application. Le document de l’IFACI rappelle, en citant le NESTA, qu’une personne de la direction doit répondre de toute mesure prise à la suite d’une décision algorithmique.
Points à vérifier :
- Un inventaire des usages et des outils d’IA existe et il est tenu à jour. C’est l’objet de la cartographie des usages.
- Chaque outil a un responsable identifié.
- Les cas d’usage retenus sont reliés à des objectifs mesurables, et non à un effet de mode. La matrice impact et effort sert à le démontrer.
- Un processus d’approbation précède l’ouverture d’un nouvel outil.
Pilier 2 : les risques techniques et les données sont-ils maîtrisés ?
Ce pilier porte sur la fiabilité des résultats. Dans l’étude Grant Thornton et Université Paris Dauphine de 2022 menée auprès de 120 auditeurs, les risques les plus cités sont les erreurs de paramétrage des scripts ou des algorithmes (79 %), les biais dans la sélection des données et la définition des algorithmes (70 %) et l’effet « boîte noire » avec perte de maîtrise des résultats (environ 60 %).
Le CPAB recommande de tester tous les outils avant usage, y compris leur exactitude et leur fiabilité, et, pour les outils achetés, de vérifier la disponibilité d’un rapport SOC 2 sur les contrôles informatiques généraux. Il demande aussi de vérifier l’exhaustivité des données et de comparer les extractions avec les documents sources. Le document de l’IFACI reprend les recommandations de l’ACPR : faire valider les variables par des experts, contrôler régulièrement les résultats sur un jeu de données étalon, tester sur des données indépendantes de l’apprentissage et surveiller la dérive des modèles dans le temps.
Pilier 3 : la conformité et l’éthique sont-elles assurées ?
Le règlement européen sur l’IA (AI Act) est entré en application en août 2024, et l’interdiction des systèmes à risque inacceptable s’applique depuis le 2 février 2025. Selon Le Monde Informatique (mars 2026), un projet « omnibus » de simplification, qui touche aussi le RGPD, a décalé une partie du calendrier. L’audit vérifie donc l’état des obligations à la date de la mission, sans figer une lecture ancienne du texte.
Lors de la journée de la CNCC sur la confiance numérique de mars 2026, les intervenantes ont recommandé d’inventorier les systèmes d’IA pour s’assurer qu’aucun n’est interdit, de pseudonymiser ou d’anonymiser les données envoyées à l’IA, de vérifier où le fournisseur les stocke et combien de temps il les conserve, et de préférer un compte payant dont les garanties figurent au contrat. La charte type de la CNCC vise une utilisation « éthique, transparente et sécurisée » de l’IA générative, dans le respect du RGPD et de l’AI Act. Elle signale aussi le risque d’atteinte au droit d’auteur. Notre modèle de charte IA reprend ces exigences.
Pilier 4 : l’humain et la conduite du changement sont-ils pris en compte ?
La CNCC définit le shadow AI comme l’« utilisation non officielle ou non contrôlée d’outils et d’applications d’intelligence artificielle par les employés au sein d’une organisation ». Elle lui consacre une fiche spécifique dans sa version 2025/2026. Elle cite aussi l’excès de confiance : des réponses qui paraissent justes incitent à les reprendre sans relecture. Nous détaillons ces risques dans notre article sur le shadow AI.
Le CPAB recommande une formation avant le déploiement de chaque outil, puis une formation continue sur ses capacités, ses limites et l’interprétation de ses résultats. La CNCC prévoit un plan de formation qui intègre les obligations issues de l’AI Act et une formation à l’éthique de l’IA pour tous les collaborateurs.
La grille de synthèse
| Pilier | Questions d’audit | Preuves attendues |
|---|---|---|
| Gouvernance et stratégie | Qui décide ? Quels usages sont autorisés ? Qui répond des résultats ? | Inventaire des outils, responsables nommés, processus d’approbation, comptes rendus de l’équipe IA |
| Risques techniques et données | Les outils ont-ils été testés ? Les données d’entrée sont-elles fiables ? La dérive est-elle suivie ? | Rapports de test, rapport SOC 2 des outils achetés, contrôles de rapprochement avec les sources |
| Conformité et éthique | Un système interdit est-il utilisé ? Les données personnelles sont-elles protégées ? Les contrats couvrent-ils la conservation ? | Classement des usages au regard de l’AI Act, analyse RGPD, clauses contractuelles, charte IA |
| Humain et conduite du changement | Les équipes sont-elles formées ? Les usages non déclarés sont-ils connus ? Les résultats sont-ils relus ? | Plan de formation, résultats d’enquête interne, règles de relecture, retours d’expérience |
Comment conduire l’audit en pratique ?
Nous procédons en trois temps. D’abord, des entretiens avec les directions et un questionnaire anonyme auprès des équipes pour faire apparaître les usages réels, y compris ceux qui ne sont pas déclarés. Ensuite, la revue des documents : charte, contrats, paramétrages, plan de formation. Enfin, une notation de chaque pilier et une liste d’actions classées par priorité, reprises dans le plan d’implémentation.
Questions fréquentes
Qui doit auditer l’usage de l’IA dans l’entreprise ?
L’audit interne peut le faire s’il en a les compétences, ce que l’IFACI encourage. Un regard extérieur est utile quand la fonction manque de recul technique ou quand la direction veut un état des lieux indépendant.
Faut-il attendre la stabilisation de l’AI Act pour lancer l’audit ?
Non. L’interdiction des systèmes à risque inacceptable s’applique déjà, et le RGPD s’applique à toute donnée personnelle envoyée à un outil d’IA. Le calendrier des autres obligations se vérifie à la date de la mission.
Comment repérer le shadow AI ?
Par un questionnaire anonyme, des entretiens et l’analyse des outils accessibles depuis les postes. Le but n’est pas de sanctionner, mais de comprendre les besoins pour proposer des outils autorisés.
Combien de temps dure un tel audit ?
Cela dépend du périmètre et du nombre de directions concernées. Notre audit IA dure 3 jours minimum et démarre à partir de 2 900 € HT.
Passer à l’action
Notre audit IA applique cette grille à votre organisation. Il débouche sur un plan d’actions que nous pouvons ensuite mettre en œuvre avec vous dans le cadre de notre offre d’implémentation de l’IA, et sur des formations ciblées avec Inside. Pour un diagnostic IA gratuit de votre situation, contactez-nous.
Sources
- CNCC, « IA & Audit : Bonnes pratiques », fiches Introduction et Avancé, juin 2025 : https://doc.cncc.fr/docs/fiches-bonnes-pratiques-ia-intro/attachments/cncc-fiches-ia-introduction et https://doc.cncc.fr/docs/fiches-bonnes-pratiques-ia-avance/attachments/cncc-fiches-ia-avance
- CNCC, « IA & Audit : Bonnes pratiques 2025/2026 », fiches Avancé, fiche A4 datée de février 2026 : https://doc.cncc.fr/docs/fiches-bonnes-pratiques-ia-niveaa2026/attachments/cncc-fiches-ia-avancev2
- Conseil canadien sur la reddition de comptes (CPAB), « L’utilisation de l’intelligence artificielle dans l’audit : équilibrer l’innovation et le risque », septembre 2024 : https://cpab-ccrc.ca/docs/default-source/thought-leadership-publications/2024-use-of-artificial-intelligence-in-the-audit-fr.pdf
- IFACI, J.-M. Pluzanski, « L’auditeur interne et les algorithmes d’IA », mis en ligne en mars 2021 : https://docs.ifaci.com/wp-content/uploads/2021/03/Lauditeur-interne-et-les-algorithmes-dIA.pdf
- Grant Thornton France et Université Paris Dauphine-PSL, « La place de l’Intelligence Artificielle dans les pratiques d’audit », juin 2022 : https://www.grantthornton.fr/globalassets/1.-member-firms/france/images/insights/2022/2022-06-30_etude-ia-grant-thornton-x-dauphine-2022.pdf
- Le Monde Informatique, E. Delsol, « Les commissaires aux comptes se préparent aux évolutions de l’IA Act », 20 mars 2026 : https://www.lemondeinformatique.fr/actualites/lire-les-commissaires-aux-comptes-se-preparent-aux-evolutions-de-l-ia-act-99667.html
