Audit IA : ce qu'il contient vraiment, ce qu'il coûte, et les 4 cas où il ne sert à rien

Depuis que l'échéance du règlement européen approche, les propositions d'audit IA se multiplient. Beaucoup vendent un questionnaire de conformité en promettant une certification qui n'existe pas encore. Le tri se fait sur trois questions simples : de quel audit parle-t-on, quel référentiel est appliqué, et qui délivre quoi.

« Audit IA » ne veut rien dire tant qu'on n'a pas dit lequel

Trois missions circulent sous le même nom. Elles n'ont ni le même objet, ni les mêmes compétences, ni le même livrable. Un prestataire qui ne vous demande pas laquelle vous voulez ne sait pas ce qu'il vend.

Un quatrième usage du mot brouille les recherches : l'audit de visibilité dans les moteurs génératifs, qui consiste à mesurer si une marque est citée par ChatGPT ou Perplexity. Le sujet est légitime, il n'a rien à voir avec celui-ci.

La confusion coûte cher. Une direction qui achète un audit de conformité en espérant une feuille de route d'automatisation reçoit un rapport de risques juridiques sans un seul cas d'usage. L'inverse arrive tout autant.

Ce que la loi impose réellement, et ce qu'elle n'impose pas

C'est le point sur lequel le marché entretient le plus grand flou, et il mérite d'être posé avec le texte en main.

Le règlement (UE) 2024/1689, dit règlement européen sur l'intelligence artificielle, a été modifié par le règlement (UE) 2026/1744 du 8 juillet 2026, publié au Journal officiel de l'Union européenne le 24 juillet 2026. Ce paquet a reporté les obligations pesant sur les systèmes à haut risque : au 2 décembre 2027 pour ceux de l'annexe III, au 2 août 2028 pour ceux de l'annexe I. Ce sont des dates fixes.

Voilà ce qui s'applique aujourd'hui, au 3 août 2026.

• Les interdictions de l'article 5, depuis le 2 février 2025. Certaines pratiques sont proscrites, pas encadrées.
• La littératie IA de l'article 4, depuis le 2 février 2025. Le paquet du 8 juillet 2026 l'a assouplie en obligation de moyens : soutenir la montée en compétence, sans garantir un niveau individuel.
• Les obligations sur les modèles à usage général, depuis le 2 août 2025.
• La transparence de l'article 50, depuis le 2 août 2026. C'est elle qui impose d'annoncer à une personne qu'elle interagit avec une IA.

Le contraste avec d'autres textes éclaire ce choix. Le règlement sur les services numériques impose bien un audit externe annuel, mais aux seules plateformes que le texte qualifie de « très grandes plateformes en ligne », une poignée d'acteurs. Aux États-Unis, la loi locale 144 de la ville de New York impose un audit de biais aux employeurs qui utilisent des outils automatisés de recrutement, applicable depuis le 5 juillet 2023. Le règlement européen a retenu une autre logique pour la majorité des cas.

Une conséquence pratique en découle. À l'été 2026, aucune norme harmonisée n'a été citée au Journal officiel de l'Union européenne au titre du règlement IA. La présomption de conformité prévue par l'article 40 n'est donc pas disponible, et le comité technique européen chargé de ces travaux, le JTC 21 du CEN-CENELEC créé en juin 2021, poursuit ses travaux. Un prestataire qui vous propose aujourd'hui une conformité au règlement IA « certifiée » vend quelque chose qui n'est pas encore certifiable.

Sur le registre des systèmes d'IA, même prudence. Aucune obligation générale n'existe de tenir un inventaire. L'enregistrement prévu aux articles 49 et 71 concerne les fournisseurs de systèmes à haut risque de l'annexe III et les déployeurs publics, et il est reporté au 2 décembre 2027. L'inventaire reste une bonne pratique, recommandée par le cadre américain NIST, et non une obligation opposable.

Le vrai risque français en 2026 passe par le RGPD

Pendant que le marché regarde le règlement IA, le contrôle qui peut tomber cette année vient d'ailleurs. La CNIL a publié le 3 avril 2026 ses thématiques prioritaires de contrôle, dont le recrutement. Elle y vise les systèmes de décision automatisée, l'information des candidats et les durées de conservation, en ciblant les grandes entreprises et les cabinets de recrutement. Elle indique elle-même que ce thème préfigure son futur rôle de surveillance du marché dans le champ du travail au titre du règlement IA. Les thèmes prioritaires représentent environ 20 % de ses contrôles annuels.

Une obligation antérieure s'ajoute, souvent ignorée. La délibération n° 2018-327 du 11 octobre 2018 rend l'analyse d'impact relative à la protection des données obligatoire pour les algorithmes de sélection en recrutement. L'absence d'analyse d'impact lorsqu'elle est due expose à une sanction pouvant atteindre 10 millions d'euros ou 2 % du chiffre d'affaires mondial.

Un audit utile en 2026 commence donc par le RGPD, sur les traitements réellement en service, avant de traiter le règlement IA dont l'essentiel des obligations n'est pas encore applicable.

Les référentiels réellement publiés

Un audit sérieux s'appuie sur un référentiel nommé et daté. La famille de normes dédiée à l'IA est encore courte : trois documents seulement sont publiés à ce jour.

Deux précisions utiles pour ne pas se faire raconter d'histoires. ISO/IEC 42007 est encore au stade de projet et plusieurs pages commerciales la présentent à tort comme publiée. ISO/IEC 42003 n'existe pas encore. En revanche, deux normes voisines publiées en 2023 servent réellement dans une mission : ISO/IEC 23894 sur le management du risque lié à l'IA, et ISO/IEC 25059 sur la qualité des systèmes d'IA.

Côté américain, le cadre de gestion des risques du NIST, publié en janvier 2023 sous la référence AI 100-1, structure la réflexion autour de quatre fonctions : gouverner, cartographier, mesurer, gérer. Le NIST le qualifie lui-même de volontaire et non sectoriel. Il ne certifie rien et se prête bien à un audit de maturité.

En France, le Laboratoire national de métrologie et d'essais certifie des processus de conception, de développement, d'évaluation et de maintien en condition opérationnelle de l'IA. La distinction compte : la certification porte sur la façon de travailler, pas sur un modèle ni sur un produit. Le cycle prévoit un audit initial, des suivis à douze et vingt-quatre mois et un renouvellement à trois ans.

Dernier point sur les certificats, valable même quand ils sont authentiques : un certificat ISO/IEC 42001 couvre un périmètre déclaré, pas « l'IA de l'entreprise ». Microsoft, certifié, énumère nommément les services couverts et rappelle que son client reste responsable de l'évaluation de ses propres déploiements. Lire le périmètre avant d'être rassuré par le logo.

Ce que contient une mission sérieuse

Au-delà du vocabulaire, un audit se juge à ce qu'il produit. Les étapes qui reviennent dans les missions qui aboutissent tiennent en six temps.

1. 1Cadrage : périmètre, entités concernées, ce qui est explicitement hors sujet, et le format de restitution attendu par la direction.
2. 2Inventaire des systèmes en service, y compris les outils utilisés par les équipes sans validation de la direction informatique. C'est la découverte principale de la plupart des audits.
3. 3Entretiens métier, pour confronter les processus décrits aux processus réels.
4. 4État des données : disponibilité, qualité, droits d'usage. Un cas d'usage sans données exploitables reste une intention.
5. 5Qualification des risques : traitement de données personnelles, décision automatisée, exposition réglementaire, dépendance à un fournisseur.
6. 6Priorisation et feuille de route, avec pour chaque action un responsable, un ordre de grandeur budgétaire et une échéance.

Un rapport qui s'arrête à l'état des lieux n'a aucune valeur d'usage. Le livrable qui change quelque chose est celui qui nomme trois actions à lancer dans les quatre-vingt-dix jours, avec leur porteur.

Ce que ça coûte

J'ai cherché des fourchettes de prix publiées et vérifiables. Les chiffres qui circulent en ligne, de 5 000 à 40 000 euros selon les pages, viennent de sites de cabinets qui vendent la prestation, sans méthode, sans échantillon et sans date de collecte. Publier ces montants reviendrait à présenter le tarif d'un concurrent comme une référence de marché. Je m'en abstiens.

Un seul prix public et opposable existe en France, et il constitue un bon repère : le Diag Data IA de Bpifrance. Huit jours d'intervention d'un expert agréé, sur trois mois au maximum, avec un devis plafonné à 10 000 euros hors taxes et un reste à charge de 6 000 euros hors taxes après une subvention de 40 % au titre de France 2030. Il s'adresse aux PME et ETI de 10 à 2 000 salariés. Le bilan publié par Bpifrance en février 2026 fait état de 460 diagnostics Data IA réalisés.

Ce repère donne l'ordre de grandeur d'un audit de maturité pour une organisation de taille moyenne : une poignée de jours d'expertise, pas un chantier de plusieurs mois. Un devis qui s'éloigne de ce repère doit s'expliquer par un périmètre plus large, multi-entités ou multi-pays, et cela se dit.

Sur le coût d'une certification ISO/IEC 42001, aucun organisme certificateur français ne publie de tarif. La mécanique est en revanche connue : l'accompagnement à la mise en place du système de management, puis l'audit de certification par un organisme accrédité, puis les audits de surveillance. Trois lignes distinctes, à faire chiffrer séparément.

Les quatre cas où l'audit ne sert à rien

Un cabinet qui vend des audits a peu d'intérêt à écrire cette section. Elle évite pourtant les dépenses les plus stériles.

1. Vous connaissez déjà votre premier cas d'usage

Une direction qui sait que le sujet est la réponse aux appels d'offres ou le traitement des factures n'a pas besoin d'une cartographie complète pour le confirmer. Un cadrage court sur ce cas précis, puis un prototype, apportent davantage qu'un rapport de cinquante pages.

2. Le problème n'est pas un problème d'IA

Quand les données sont éparpillées, contradictoires ou inaccessibles, aucun audit IA ne réglera la question. C'est un chantier de données et de processus. L'audit dira ce que vous savez déjà, en facturant l'information.

3. La décision est déjà prise

Un audit commandé pour justifier une orientation arrêtée est un exercice de communication. Il coûte le prix d'un audit et produit la valeur d'une note d'intention. Autant assumer la décision et investir dans sa mise en œuvre.

4. L'organisation est trop petite pour l'exercice

En dessous d'une vingtaine de personnes, la cartographie tient dans une réunion. Le formalisme d'un audit apporte peu quand le dirigeant connaît chaque processus de son entreprise.

Un cinquième cas mérite d'être nommé, plus insidieux : l'audit de conformité mené pour se rassurer sans intention de changer les pratiques. La littérature sur la conformité algorithmique désigne ce travers, la conformité de façade. Un rapport rangé dans un tiroir ne protège de rien, ni juridiquement, ni opérationnellement.

Le conflit d'intérêts, puisqu'il faut en parler

Masteria audite, puis construit et forme. C'est exactement la position qui appelle une remarque : un cabinet qui diagnostique et vend ensuite la mise en œuvre a intérêt à trouver du travail. Le lecteur a le droit de le savoir en lisant ces lignes.

Deux garde-fous existent, et ils se demandent. Le premier : exiger que le rapport comporte les actions à ne pas lancer et les cas d'usage écartés, avec leur motif. Un audit qui recommande tout est un devis déguisé. Le second : séparer contractuellement le diagnostic de la mise en œuvre, de sorte que la feuille de route reste exploitable par un autre prestataire. Un livrable qui ne fonctionne qu'avec son auteur n'est pas un livrable.

Sur le terrain de la certification, la règle est plus stricte encore, puisque l'impartialité interdit à un organisme certificateur de conseiller le client qu'il certifie. Le conseil n'est pas soumis à cette règle, ce qui rend la transparence d'autant plus nécessaire.

Par où commencer

Trois décisions valent mieux qu'un appel d'offres. Nommer le type d'audit voulu, en sachant que maturité et conformité ne se traitent pas dans la même mission ni par les mêmes profils. Exiger le référentiel appliqué, avec sa référence et sa date. Fixer le livrable attendu en une phrase, en y incluant les actions écartées.

Le calendrier européen a reculé de dix-huit mois, ce qui laisse le temps de faire les choses dans l'ordre. Ce délai ne suspend ni les obligations déjà applicables, ni les contrôles de la CNIL sur le recrutement. La conformité s'organise mieux en amont d'un déploiement qu'après une mise en demeure.

1. 01« Audit IA » ne veut rien dire tant qu'on n'a pas dit lequel
2. 02Ce que la loi impose réellement, et ce qu'elle n'impose pas
3. 03Le vrai risque français en 2026 passe par le RGPD
4. 04Les référentiels réellement publiés
5. 05Ce que contient une mission sérieuse
6. 06Ce que ça coûte
7. 07Les quatre cas où l'audit ne sert à rien
8. 08Le conflit d'intérêts, puisqu'il faut en parler
9. 09Par où commencer

Questions fréquentes