Trois missions portent ce nom : l'audit de maturité et d'opportunité, l'audit de conformité, l'audit algorithmique. Leur objet diffère, leur livrable aussi. Un prestataire sérieux vous demande d'abord laquelle vous attendez ; chez Masteria, cette question ouvre chaque cadrage.
La plupart des directions veulent les deux premières ensemble : savoir où elles en sont et quoi automatiser, en traitant le volet réglementaire au fil de l'examen. C'est le périmètre par défaut de notre audit.
Le cadre légal, les normes et les repères de prix publics sont détaillés dans notre guide complet de l'audit IA. La question réglementaire seule a sa mission, l'audit de conformité IA ; les associations et établissements du secteur trouveront leur version sur la page audit IA médico-social.
Où en sommes-nous, et par quoi commencer ?
Le plus demandé. Il recense les usages en place, repère les processus où part le plus d'heures, range chaque cas d'usage par valeur et par difficulté, puis chiffre une trajectoire. Cette page le décrit en détail.
Respectons-nous les textes qui s'appliquent déjà ?
Il dresse la liste des systèmes d'IA utilisés, leur attribue un niveau de risque et relève les écarts. En 2026, le RGPD pèse davantage que l'AI Act, dont les règles sur les usages classés à haut risque par l'annexe III attendent le 2 décembre 2027.
Ce modèle précis donne-t-il des résultats justes et explicables ?
Une expertise technique sur un système désigné : performance mesurée, biais, explicabilité, qualité de la documentation. Nous la cadrons séparément, avec son propre périmètre et ses données d'essai.
Une quatrième acception circule : mesurer si ChatGPT ou Perplexity citent votre marque dans leurs réponses. Elle relève du marketing et dispose de sa propre mission, l'audit GEO IA.
L'examen porte sur cinq angles : les processus et les usages (outils adoptés sans l'accord de la DSI compris), les données, les outils et l'architecture, l'organisation et les compétences, le respect des deux textes européens qui comptent ici, RGPD et AI Act. Pour chacun, le rapport donne une note, la justifie et propose des actions.
L'audit compare les processus tels qu'ils sont écrits et tels qu'ils se pratiquent : ce que l'IA peut soulager, ce qui tient d'abord à l'organisation du travail, ce que les salariés font déjà avec des outils jamais validés par l'informatique. Ces usages hors cadre sont souvent la première découverte de la mission.
Les données nécessaires existent-elles, sont-elles fiables, avez-vous le droit de les utiliser ainsi ? Un cas d'usage privé de données exploitables n'avance pas. L'audit le vérifie avant toute dépense et désigne, s'il le faut, le chantier de données à mener d'abord.
Suite bureautique, logiciels métier, abonnements IA déjà payés, règles d'hébergement et de sécurité : la feuille de route part de ce socle et n'ajoute un outil que lorsqu'un besoin précis le justifie.
Qui porte les usages, quel niveau de maîtrise ont les équipes, quelles règles existent déjà. L'AI Act demande, à son article 4, des mesures de formation ; en vigueur depuis février 2025, ce texte est devenu en 2026 une obligation de moyens. L'audit recense les mesures prises.
Fichiers contenant des données personnelles, décisions laissées à la machine, dépendance envers un fournisseur, textes applicables. Chaque usage reçoit le niveau de risque que lui attribue l'AI Act, et les écarts RGPD passent en tête de liste, puisque ce sont eux que la CNIL contrôle dès aujourd'hui.
Dans la majorité des usages classés à haut risque, une évaluation interne documentée suffit, et l'échéance tombe en décembre 2027 pour l'annexe III, en août 2028 pour l'annexe I. Nous auditons pour éclairer une décision ; aucune obligation imaginaire ne sert d'argument de vente.
La grille reste la même d'une PME de quarante salariés à un groupe de dix filiales ; le nombre de processus examinés et la profondeur changent. Le périmètre se décide pendant le cadrage, il est écrit dans le devis et c'est lui qui fixe le forfait.
Sans DSI étoffée ni programme IA, une PME veut savoir où part le temps : devis, relances, administratif, production de documents. L'audit se concentre sur trois à cinq processus, sur les outils que les salariés utilisent déjà sans règle et sur les données disponibles.
Le dirigeant repart avec un plan qu'il peut piloter seul : un premier cas à lancer, ce qu'il faut écarter, le budget de chaque étape.
Dans une ETI, chaque direction a souvent commencé de son côté : un outil au marketing, des macros à la finance, des essais en production.
L'audit recense ces initiatives, mesure la maturité direction par direction, aligne données et outils, puis propose une gouvernance légère : des référents, des règles d'usage, un arbitrage des priorités, un volet conformité.
Pour un groupe ou un réseau de sites, chaque entité passe par la même grille. Le rapport sépare les cas d'usage à mutualiser des cas locaux, et ce qui revient au siège (données de référence, outils, conformité) de ce qui reste aux filiales.
Le devis justifie le périmètre entité par entité, et la restitution se tient devant le comité de direction.
Les obligations de l'AI Act arrivent à des dates différentes selon l'usage, et les gains mesurés par les études sérieuses restent modestes à l'échelle d'un salarié. L'audit replace ces deux constats dans votre organisation, service par service.
Interdictions de l'article 5 et exigence de maîtrise de l'IA de l'article 4 : toute structure qui se sert d'un système d'IA est concernée depuis ce jour-là. L'Omnibus voté en 2026 a transformé l'article 4 en obligation de moyens.
Source : EUR-Lex, règlement (UE) 2024/1689 modifié
L'article 50 s'applique : un agent conversationnel annonce qu'il est une machine, un contenu généré diffusé au public se signale comme tel.
Source : EUR-Lex, règlement (UE) 2024/1689
Entrée en application des règles sur les usages que l'annexe III classe à haut risque (recrutement, crédit, accès aux services essentiels), après le report voté en juillet 2026. Pour les produits réglementés de l'annexe I, ce sera le 2 août 2028.
Source : EUR-Lex, règlement (UE) 2026/1744 du 8 juillet 2026
ISO publie ISO/IEC 42001, norme certifiable consacrée au management de l'IA. À l'été 2026, aucune norme harmonisée n'avait encore été publiée au Journal officiel de l'UE pour l'AI Act.
Source : ISO ; Journal officiel de l’UE
du temps de travail gagné grâce aux assistants IA, mesuré au Danemark : 25 000 salariés de 11 métiers exposés, interrogés fin 2023 puis fin 2024, réponses rapprochées des registres de salaires. L'audit mesure l'écart entre l'outil acheté et le temps rendu, chez vous.
Source : Humlum et Vestergaard, NBER, document de travail 33777, version de mars 2026
Les références complètes sont listées en bas de page. Notre page ROI de l'IA en entreprise réunit une vingtaine de mesures de productivité, chacune présentée avec sa méthode et sa période de collecte.
Cadrage, inventaire, entretiens métier, état des données, qualification des risques, feuille de route : chaque étape alimente une partie du rapport. Les référentiels appliqués (ISO/IEC 42001 et 23894, cadre du NIST, RGPD, AI Act) figurent dans le devis, avec leur version.
Nous fixons le périmètre, les entités concernées, ce qui reste hors sujet et la forme de restitution attendue par la direction. Nous vous offrons cet échange de 30 minutes, et le devis en découle.
Tout ce qui tourne : outils officiels, options d'IA allumées dans les logiciels du quotidien, outils adoptés par les équipes sans validation informatique. L'inventaire ouvre la mission parce qu'il surprend presque toujours la direction.
Un processus documenté ne ressemble jamais tout à fait au processus vécu. Nous rencontrons celles et ceux qui exécutent ces tâches chaque jour, en plus de leurs responsables, pour confronter les deux versions.
Pour chaque cas d'usage envisagé, nous vérifions la disponibilité, la qualité et les droits d'usage des données nécessaires. Les projets voués à l'échec pour une raison connue d'avance sortent de la liste à cette étape.
Traitement d'informations personnelles, décision sans intervention humaine, obligations légales, dépendance à un prestataire unique : chaque système et chaque cas d'usage reçoit un niveau de risque et la liste de ses prérequis de conformité.
Chaque action reçoit un porteur, une enveloppe budgétaire et une échéance. Le rapport désigne les trois actions à engager dans les 90 jours et les cas écartés avec leur motif. La mission se termine devant la direction.
Six pièces composent le livrable : le rapport de maturité par dimension, les cas d'usage classés, la feuille de route chiffrée (porteur, budget et échéance de chaque action), le plan de mise en conformité, la liste des projets écartés avec leur motif, le support de restitution. L'ensemble se lit et s'exécute sans nous.
Processus, données, outils, organisation, conformité : votre situation notée et argumentée, à une date donnée. Le document sert de point de comparaison quand vous referez l'exercice l'année suivante.
Chaque cas est placé selon sa valeur et son effort, avec les données qu'il suppose et ses risques. Vous voyez ce qui se lance maintenant, ce qui patiente un trimestre, ce qui sort de la liste, avec la raison de chaque choix.
Pour chaque action, un porteur, une enveloppe et une date. Les trois premières tiennent dans les 90 jours qui suivent la restitution, pour que le rapport débouche sur des décisions datées.
Les écarts au RGPD comme au règlement européen sur l'IA, classés par gravité, chacun avec sa correction. Le rapport n'annonce aucune certification : le respect de l'AI Act ne se certifie pas à ce jour, et nous l'écrivons noir sur blanc.
Un audit qui recommande tout ressemble à un devis. Le rapport nomme ce que nous vous conseillons de ne pas lancer : données trop pauvres, valeur trop faible, risque disproportionné, calendrier inadapté.
Nous présentons le rapport aux décideurs et en discutons avec eux, pour transformer un constat en arbitrages. Le support de cette séance vous est remis avec le reste du dossier.
Masteria audite, construit des outils et forme des équipes. Un cabinet qui vend aussi la réalisation a intérêt à trouver du travail dans son propre rapport ; nous le reconnaissons, et le contrat l'encadre. Exigez ces quatre engagements de tout prestataire, nous compris.
L'audit se facture au forfait, dès que le cadrage a délimité ce qu'il faut examiner. Un audit resserré sur une PME commence à quelques milliers d'euros ; une organisation de plusieurs entités ou pays atteint plusieurs dizaines de milliers d'euros, sans plafond fixé d'avance.
Chaque ligne du devis se justifie par le périmètre.
Quatre paramètres : le nombre d'entités, de processus et de systèmes, et la profondeur du volet conformité. Aucun pack ne se vend sans cadrage.
Seul l'audit figure au devis : former les équipes, construire un outil ou installer une gouvernance se chiffre après la restitution, à partir des priorités du rapport, et seulement si vous le demandez.
Une mission de conseil comme celle-ci se paie sur le budget de l'entreprise : elle n'est pas finançable par votre OPCO, réservé à la formation. Certaines aides publiques au conseil, selon l'effectif, l'activité ou la région, peuvent en revanche s'appliquer : le cadrage le vérifie.
Une formation décidée après la restitution peut être prise en charge par l'OPCO de la branche, dans la limite de son règlement et de son budget.
Pour situer l'audit dans le budget d'ensemble d'une démarche IA, développement compris, lisez nos repères sur le prix d'un projet IA.
Un diagnostic par flux de travail dans une PME, un cadrage des pratiques de rédaction dans un cabinet de conseil : dans les deux cas, l'état des lieux est venu avant tout outil. Nos clients restent anonymes, et ce qui n'a pas encore eu lieu s'écrit au futur.
Trois personnes gèrent toute l'activité dans Odoo et voulaient vendre davantage sans recruter. Trois entretiens et la description de quatre flux de travail ont abouti à un plan sur 90 jours, remis aux dirigeants en septembre 2026.
L'équipe sera formée deux jours sur site en octobre, puis un premier relevé des gains suivra un mois plus tard.
Fort d'une vingtaine de consultants, ce cabinet a d'abord fait examiner ses pratiques de rédaction : comment naissent ses mémoires techniques, quelles familles de marchés reviennent, ce qu'un outil devait faire.
Le cahier de cadrage issu de ce travail a fixé l'architecture des quatre assistants, bâtis ensuite avec les consultants lors de quatre ateliers, de deux heures chacun.
Votre situation sort de ces cas ? Décrivez-la par écrit, ou gardez la question pour le cadrage.
Écrire à l'auditeurL'audit compte parmi les missions de notre cabinet de conseil en IA, qui cadre, construit et forme ; la formation des équipes se décide souvent après la restitution.
La porte d'entrée la plus rapide : priorités et premières actions, avant un audit ciblé si le besoin se confirme.
Ouvrir la pageLes trois familles d'audit, le cadre légal, les normes publiées et les repères de prix, en version longue.
Ouvrir la pageLe contenu d'une stratégie IA, une méthode en cinq étapes et les chiffres à connaître avant de la rédiger.
Ouvrir la pageQuand la direction veut transformer la feuille de route en trajectoire d'entreprise, arbitrée en comité exécutif.
Ouvrir la pageLa mission consacrée à la question réglementaire : RGPD, AI Act, écarts classés et plan daté.
Ouvrir la pageLa version pour associations et établissements : données d'usagers, dossier informatisé, hébergement HDS, financeurs.
Ouvrir la pageJournaux, documentation, supervision humaine : les preuves à pouvoir produire sur un système d'IA.
Ouvrir la pageFaire vivre le plan de conformité : comité, charte, règles RGPD et AI Act, revue périodique.
Ouvrir la pageSouvent le premier document rédigé après un audit : ce que les équipes ont le droit de faire avec l'IA.
Ouvrir la pageLes ordres de grandeur de la suite : prototype, agent, outil développé sur mesure.
Ouvrir la pageForfait, régie, accompagnement : les formats de travail proposés une fois le rapport rendu.
Ouvrir la pageMathias Nizan dirige chaque audit. Selon ce qu'il faut examiner, il fait appel aux consultants IA du réseau (une dizaine), à des développeurs (cinq environ) quand l'architecture doit être lue de près, et à des formateurs (une vingtaine) pour évaluer les compétences des équipes.
Tous sont indépendants. Masteria n'est lié à aucun éditeur, si bien que l'outil recommandé dépend de vos contraintes. Nos études de cas et notre revue de presse montrent des missions datées.
En 2022, à Lyon, Mathias Nizan lançait Masteria ; il répond lui-même de chaque rapport d'audit remis à une direction. Relue par lui le 7 octobre 2026, cette page renvoie à sa page de fondateur pour son parcours.
Cité dansLes ÉchosLire l'article