L'entrée en application progressive de l'AI Act européen et les exigences persistantes du RGPD placent aujourd'hui l'audit conformité IA et, plus largement, la conformité des usages IA au cœur des arbitrages des directions générales et des DSI. Sur les entreprises que nous accompagnons, nous constatons que la majorité a déployé des outils d'IA générative, des automatisations ou des systèmes de décision assistée sans avoir cartographié les risques associés ni formalisé la moindre documentation.

La question n'est plus de savoir si un audit de conformité IA est nécessaire, mais comment le conduire avec méthode pour réduire les expositions juridiques et opérationnelles. Cet article détaille ce que couvre un tel audit, comment il se déroule, ce qu'il produit comme livrables et comment choisir le bon interlocuteur pour le mener.

Audit conformité IA – RGPD et AI Act en entreprise

Temps de lecture : ~12 min

1. Qu'est-ce qu'un audit de conformité IA

2. Quelles entreprises sont concernées par l'AI Act et le RGPD

3. Comment se déroule un audit conformité IA étape par étape

4. Quels documents préparer avant de lancer un audit

5. Audit interne ou cabinet externe : quelle approche choisir

6. Les risques en cas de non-conformité à l'AI Act ou au RGPD

7. Comment choisir un prestataire pour auditer la conformité de ses usages IA

8. Engager la démarche d'audit conformité IA

9. FAQ

Qu'est-ce qu'un audit de conformité IA

Définition et objectifs de l'audit conformité IA

Un audit de conformité IA est une évaluation formelle et documentée qui vérifie si les systèmes d'intelligence artificielle qu'une organisation utilise, achète ou développe respectent les obligations réglementaires applicables, notamment l'AI Act et le RGPD, ainsi que les politiques internes de gouvernance. Il ne s'agit pas d'un audit informatique au sens classique du terme. L'objet central est la conformité des usages et des systèmes, pas seulement la sécurité technique.

Concrètement, un audit conformité IA couvre plusieurs dimensions : l'inventaire des systèmes d'IA en production ou en cours de déploiement, la classification de chacun selon les niveaux de risque définis par l'AI Act, la vérification de l'absence de pratiques interdites au sens de l'article 5 du règlement, la conformité des traitements de données personnelles au regard du RGPD, la documentation technique des systèmes à haut risque, la supervision humaine effective, la transparence envers les utilisateurs et les personnes concernées, et la gouvernance interne des usages.

Pour les entreprises qui ont adopté des outils d'IA générative, l'audit inclut également des contrôles spécifiques sur la gestion des prompts, la journalisation des interactions, la gestion des sorties produites par les modèles et la sécurité des LLM utilisés. Ce périmètre élargi est souvent sous-estimé lors d'un premier audit.

Résumé des points clés à retenir :

• Périmètre : inventaire des systèmes, classification des risques, analyse des écarts, plan d'actions correctives et suivi.

• Documents à préparer : registre des traitements, contrats fournisseurs IA, politiques internes, journaux d'incidents.

• Entreprises concernées : toute organisation qui utilise, achète ou fait développer des systèmes d'IA, quelle que soit sa taille.

• Risques en cas de non-conformité : sanctions financières, responsabilité des opérateurs et atteinte à la réputation.

Important : L'AI Act prévoit des sanctions pouvant atteindre 35 millions d'euros ou 7 % du chiffre d'affaires mondial pour le déploiement de systèmes d'IA interdits au sens de l'article 5 du règlement. Ces seuils s'appliquent indépendamment de la taille de l'entreprise concernée.

Quelles entreprises sont concernées par l'AI Act et le RGPD

Une idée reçue consiste à penser que l'AI Act ne concerne que les grands groupes ou les éditeurs de logiciels. Ce n'est pas exact. Le règlement européen s'applique à toute organisation qui place sur le marché européen ou met en service un système d'IA, qu'elle en soit le développeur, le déployeur ou l'opérateur. Une PME qui utilise un outil de scoring commercial, un système de recommandation ou un assistant IA pour traiter des données clients entre dans le champ d'application dès lors que ces systèmes sont qualifiés à haut risque ou qu'ils interagissent avec des données personnelles.

Le RGPD, lui, s'applique sans distinction de taille dès qu'un traitement de données personnelles est en jeu. Or presque tous les usages IA en entreprise impliquent des données personnelles : données clients, données salariés, données prospects. La CNIL a publié un guide d'auto-évaluation pour les systèmes d'IA qui permet à une organisation de situer ses obligations et d'identifier les traitements qui nécessitent une analyse d'impact relative à la protection des données, communément appelée AIPD ou DPIA.

Selon notre expérience, les entreprises de 50 à 500 salariés sont souvent les moins bien préparées : elles ont déployé des usages IA sous pression de performance, sans avoir mis en place ni la documentation ni la gouvernance que ces usages impliquent réglementairement. Pour identifier vos propres usages IA et évaluer votre exposition, vous pouvez commencer par cartographier vos cas d'usage IA.

Comment se déroule un audit conformité IA étape par étape

Les grandes étapes d'un audit conformité IA

Un audit de conformité IA structuré se déroule en cinq phases distinctes, chacune produisant des livrables exploitables par le CODIR ou la DSI.

Les cinq phases d'un audit de conformité IA : contenu, livrables et durées indicatives

• Phase: 1. Cadrage Contenu principal: Périmètre, parties prenantes, référentiels applicables Livrable: Note de cadrage validée Durée indicative: 1 à 2 jours

• Phase: 2. Inventaire Contenu principal: Cartographie des cas d'usage IA, des systèmes et des fournisseurs Livrable: Registre des systèmes d'IA Durée indicative: 3 à 5 jours

• Phase: 3. Analyse des écarts Contenu principal: Classification des risques, vérification des obligations, gap analysis Livrable: Matrice de conformité par système Durée indicative: 5 à 10 jours

• Phase: 4. Plan d'actions Contenu principal: Priorisation des écarts, actions correctives, responsables, délais Livrable: Plan d'actions correctives Durée indicative: 2 à 3 jours

• Phase: 5. Suivi Contenu principal: Monitoring post-déploiement, indicateurs de conformité, revue périodique Livrable: Tableau de bord de gouvernance IA Durée indicative: Continu

La phase d'inventaire est souvent celle qui réserve les surprises. Ce que nous appelons le « shadow IA », c'est-à-dire les usages déployés sans validation de la DSI ni du CODIR, représente en moyenne une part significative des systèmes identifiés lors de nos missions. Ces usages non gouvernés constituent le premier facteur de risque réglementaire.

L'analyse des écarts, ou gap analysis, est le cœur analytique de l'audit. Elle croise chaque système inventorié avec les obligations applicables : classification AI Act, base légale du traitement, minimisation des données, obligations de transparence algorithmique, supervision humaine, documentation technique, journalisation des incidents et robustesse et fiabilité des modèles. Pour les systèmes à haut risque au sens de l'AI Act, une AIPD est systématiquement requise si des données personnelles sont traitées.

La conformité des sous-traitants et fournisseurs IA fait également partie des points de contrôle à ne pas négliger lors de cette phase d'analyse.

Quels documents préparer avant de lancer un audit

La qualité d'un audit dépend directement de la qualité de la documentation disponible en amont. Les éléments à rassembler avant le démarrage d'une mission sont les suivants :

Le registre des activités de traitement tenu au titre du RGPD, les contrats passés avec les fournisseurs et sous-traitants IA, les politiques internes d'utilisation des outils IA si elles existent, les éventuelles AIPD déjà réalisées, les journaux d'incidents ou de dysfonctionnements liés aux systèmes IA, et les documents techniques des solutions déployées, notamment les fiches produits et les conditions d'utilisation des éditeurs.

Dans la majorité des cas, une partie de ces documents n'existe pas encore. Ce n'est pas un obstacle au démarrage de l'audit : c'est précisément l'un des résultats attendus. La mission produit ou structure ces documents là où ils manquent.

Bon à savoir : La CNIL a publié un guide d'auto-évaluation spécifique aux systèmes d'IA qui permet à toute organisation de situer ses obligations au regard du RGPD et d'identifier les traitements nécessitant une analyse d'impact. Ce document constitue un point de départ utile avant d'engager un audit externe.

Audit interne ou cabinet externe : quelle approche choisir

Comparer audit interne et audit externe

Cette question revient régulièrement dans nos échanges avec les DSI et les directions générales. La réponse dépend de trois facteurs : la maturité interne en matière de conformité IA, la sensibilité des systèmes concernés et la valeur attendue du livrable.

Un audit interne, souvent conduit via une auto-évaluation à partir du guide de la CNIL ou d'une checklist structurée, présente l'avantage de la rapidité et de la connaissance du contexte. Il convient pour un premier état des lieux ou pour préparer un audit externe. Sa limite principale est l'absence de regard indépendant et la tendance naturelle à minimiser les écarts difficiles à corriger.

Un audit conduit par un cabinet externe apporte l'indépendance, la méthode éprouvée, la connaissance des obligations réglementaires dans leur état actuel et la capacité à produire un plan d'actions correctives directement exploitable par le CODIR. Il est particulièrement justifié lorsque des systèmes à haut risque sont en jeu, lorsque l'entreprise est soumise à des contrôles sectoriels ou lorsqu'elle souhaite se préparer à une certification ISO/IEC 42001, la norme internationale de management des systèmes d'IA.

Il n'existe pas de tarif standard pour un audit de conformité IA. Le coût dépend du périmètre, du nombre de systèmes à auditer, de la complexité des traitements et du niveau de documentation existant. Un audit sous-dimensionné qui ne couvre pas l'ensemble des systèmes ni les obligations RGPD associées n'a que peu de valeur défensive en cas de contrôle de l'autorité nationale.

Les risques en cas de non-conformité à l'AI Act ou au RGPD

Les sanctions prévues par l'AI Act sont significatives. Pour les violations les plus graves, notamment le déploiement de systèmes interdits au sens de l'article 5, le règlement prévoit des amendes pouvant atteindre 35 millions d'euros ou 7 % du chiffre d'affaires mondial annuel. Pour les autres manquements, les amendes peuvent atteindre 15 millions d'euros ou 3 % du chiffre d'affaires. Ces seuils sont ceux définis par le texte adopté par le Parlement européen.

Au-delà des sanctions financières, la responsabilité des opérateurs IA est engagée en cas de dommage causé par un système non conforme. Pour une PME ou une ETI, l'exposition réputationnelle peut être aussi dommageable que l'amende elle-même, notamment vis-à-vis de grands donneurs d'ordre qui intègrent désormais des clauses de conformité IA dans leurs appels d'offres.

Le RGPD, de son côté, reste pleinement applicable et les contrôles de la CNIL sur les usages IA se sont intensifiés depuis 2024. Un traitement de données personnelles via un système d'IA sans base légale identifiée, sans information des personnes concernées ou sans AIPD lorsqu'elle est requise expose l'entreprise à des mises en demeure et à des sanctions.

Comment choisir un prestataire pour auditer la conformité de ses usages IA

Critères de choix d'un prestataire d'audit conformité IA

Le marché des prestataires d'audit conformité IA s'est considérablement développé depuis l'adoption de l'AI Act. Tous ne proposent pas le même niveau de rigueur ni la même capacité à produire des livrables exploitables par une direction générale.

Ce que nous recommandons d'évaluer lors du choix d'un prestataire : sa connaissance effective du texte de l'AI Act et de ses actes délégués en cours d'adoption, sa maîtrise du RGPD et de la doctrine de la CNIL sur les systèmes d'IA, sa capacité à conduire l'audit de bout en bout y compris la phase de plan d'actions correctives, son indépendance vis-à-vis des éditeurs de solutions IA, et sa capacité à s'adresser au CODIR avec un livrable de synthèse compréhensible sans jargon technique.

Un prestataire qui se limite à une checklist générique sans adapter l'analyse au contexte de votre entreprise, à vos systèmes réels et à vos contrats fournisseurs n'est pas en mesure de produire un audit défendable. Un audit de conformité IA robuste produit : une cartographie des cas d'usage IA précise, une matrice de conformité par système, un registre des systèmes d'IA documenté, une analyse des écarts argumentée et un plan d'actions correctives priorisé avec des responsables désignés et des délais réalistes.

Engager la démarche d'audit conformité IA

L'audit de conformité IA n'est plus une démarche optionnelle pour les entreprises qui ont intégré l'IA dans leurs processus. C'est une obligation de diligence que les directions générales et les DSI doivent inscrire dans leur agenda 2026, avant que les premières vagues de contrôle des autorités nationales ne les y contraignent dans l'urgence.

Sur les systèmes d'information que nous accompagnons, les entreprises qui ont conduit un audit structuré en retirent un bénéfice qui va au-delà de la conformité : elles disposent enfin d'une vision claire de leurs usages IA réels, de leurs expositions et des leviers pour gouverner ces usages de manière durable.

Si vous souhaitez engager cette démarche, nous vous invitons à prendre rendez-vous avec nos équipes pour un premier échange de cadrage.

Vers une gouvernance durable de vos systèmes d'IA

En structurant un audit conformité IA autour d'un inventaire exhaustif, d'une analyse des écarts et d'un plan d'actions priorisé, votre organisation réduit ses risques réglementaires tout en clarifiant ses usages réels de l'IA. Cette démarche préparatoire vous permet d'anticiper les contrôles à venir, de dialoguer plus sereinement avec vos partenaires et de faire de la conformité un levier de confiance plutôt qu'une contrainte subie.

FAQ

Qu'est-ce que l'AI Act et quand s'applique-t-il aux entreprises françaises ?

L'AI Act est le règlement européen sur l'intelligence artificielle adopté par le Parlement européen en 2024. Il s'applique progressivement : les pratiques interdites sont prohibées depuis février 2025, les obligations relatives aux systèmes à haut risque s'appliquent à partir d'août 2026. Toute entreprise française qui utilise, déploie ou développe des systèmes d'IA entrant dans le champ du règlement est concernée, quelle que soit sa taille.

Un audit conformité IA remplace-t-il une AIPD au sens du RGPD ?

Non. L'audit de conformité IA est une démarche plus large qui couvre à la fois l'AI Act, le RGPD et la gouvernance interne. L'AIPD, ou analyse d'impact relative à la protection des données, est un document spécifique requis par le RGPD pour certains traitements présentant un risque élevé pour les personnes concernées. L'audit identifie les systèmes qui nécessitent une AIPD et peut en accompagner la réalisation, mais les deux démarches sont complémentaires, pas substituables.

Combien de temps faut-il pour réaliser un audit de conformité IA ?

La durée dépend directement du périmètre. Pour une entreprise de taille intermédiaire avec cinq à dix systèmes IA identifiés, un audit structuré se conduit généralement en trois à six semaines de travail effectif, en incluant les phases d'inventaire, d'analyse des écarts et de production du plan d'actions. Un périmètre plus large ou des systèmes à haut risque allongent naturellement cette durée.

L'audit de conformité IA est-il obligatoire pour toutes les entreprises ?

L'AI Act n'impose pas un audit formel à toutes les entreprises, mais il impose des obligations documentaires, de transparence et de supervision humaine aux opérateurs de systèmes à haut risque. En pratique, conduire un audit est la seule façon de savoir si vos systèmes sont concernés par ces obligations et si vous les respectez. En cas de contrôle de l'autorité nationale, l'absence de toute démarche documentée constitue une circonstance aggravante.

Quelle est la différence entre un audit de conformité IA et une certification ISO/IEC 42001 ?

L'ISO/IEC 42001 est une norme internationale de management des systèmes d'IA qui permet à une organisation d'obtenir une certification tierce attestant de la maturité de sa gouvernance IA. Un audit de conformité IA est une étape préalable utile pour identifier les écarts à corriger avant d'engager un processus de certification. Les deux démarches sont complémentaires : l'audit produit un diagnostic, la certification atteste d'un niveau de maturité reconnu.