Guide de l'audit IA : les trois types, les normes ISO 42001 et AI Act, les prix 2026 et les 4 cas où il ne sert à rien

Depuis que le règlement européen sur l'IA est entré dans les comités de direction, les offres d'audit IA se multiplient. Une partie d'entre elles vend un questionnaire de conformité assorti d'une certification qui n'existe pas encore. Trois questions suffisent à faire le tri : de quel audit parle-t-on, sur quel référentiel s'appuie-t-il, et qui délivre quoi à la fin.

Ce guide vous aide à comprendre ce qu'on vous propose. Pour faire conduire la mission, notre page audit IA présente ce que Masteria examine, la façon de travailler, le rapport remis et les repères de prix.

« Audit IA » ne veut rien dire tant qu'on n'a pas dit lequel

Sous ce nom circulent trois missions. Chacune a son objet, ses profils d'intervenants et son livrable. Si le prestataire ne vous demande pas laquelle vous attendez, il y a de bonnes chances qu'il vous vende celle qu'il sait faire.

Le mot sert aussi à un quatrième exercice, sans rapport avec celui-ci : vérifier si ChatGPT ou Perplexity citent votre marque quand on les interroge sur votre métier. On parle alors d'audit GEO, traité sur notre page audit GEO IA.

La confusion coûte cher. Une direction qui achète un audit de conformité en espérant une feuille de route d'automatisation reçoit un rapport de risques juridiques sans un seul cas d'usage. L'inverse arrive tout autant.

Ce que la loi impose réellement, et ce qu'elle n'impose pas

Sur ce point, le marché entretient le plus grand flou. Mieux vaut le poser avec le texte sous les yeux.

Tout part du règlement (UE) 2024/1689, que tout le monde appelle AI Act. L'Omnibus numérique, règlement (UE) 2026/1744 signé le 8 juillet 2026 et paru au Journal officiel le 24 juillet, en a déplacé les échéances du haut risque. Les systèmes autonomes listés à l'annexe III (recrutement, éducation, crédit, entre autres) devront être en règle le 2 décembre 2027.

Ceux qui sont intégrés à un produit déjà réglementé, visés par l'annexe I, ont jusqu'au 2 août 2028. Ces deux dates sont écrites dans le règlement.

Au 7 octobre 2026, quatre séries d'obligations sont déjà en vigueur.

• L'article 5 dresse la liste des pratiques interdites, comme la notation sociale ou la manipulation des comportements. Il est en vigueur depuis le 2 février 2025 ; une interdiction supplémentaire, qui vise les outils fabriquant des images intimes sans consentement, entre en application le 2 décembre 2026.
• L'article 4 demande de former les personnes qui utilisent l'IA, depuis le 2 février 2025 également. Sa nouvelle rédaction, applicable depuis le 27 juillet 2026, en fait une obligation de moyens : l'entreprise agit pour faire progresser la maîtrise de l'IA dans ses équipes, sans avoir à garantir un niveau par personne.
• Les fournisseurs de modèles à usage général, ceux d'OpenAI, de Google ou de Mistral par exemple, ont leurs propres règles depuis le 2 août 2025.
• L'article 50, sur la transparence, est entré en application le 2 août 2026. Un chatbot doit se présenter comme tel et un contenu généré diffusé au public doit être signalé ; pour les systèmes déjà sur le marché avant cette date, le marquage lisible par machine est attendu au 2 décembre 2026.

Le contraste avec d'autres textes éclaire ce choix. Le règlement sur les services numériques impose bien un audit externe annuel, mais aux seules plateformes que le texte qualifie de « très grandes plateformes en ligne », une poignée d'acteurs.

Aux États-Unis, la loi locale 144 de la ville de New York impose un audit de biais aux employeurs qui utilisent des outils automatisés de recrutement, applicable depuis le 5 juillet 2023. Le règlement européen a retenu une autre logique pour la majorité des cas.

Autre conséquence pratique : la présomption de conformité prévue à l'article 40 suppose des normes harmonisées citées au Journal officiel de l'Union. À l'été 2026, aucune ne l'était encore pour le règlement IA, et le comité technique européen qui les rédige, le JTC 21 du CEN-CENELEC créé en juin 2021, poursuit ses travaux.

Une offre de conformité « certifiée » au règlement IA promet donc un label que personne ne sait délivrer aujourd'hui.

Sur le registre des systèmes d'IA, même prudence. Aucune obligation générale de tenir un inventaire n'existe. L'enregistrement des articles 49 et 71 s'impose aux fournisseurs de systèmes à haut risque de l'annexe III et les déployeurs publics, et il suit le report du haut risque.

L'inventaire reste une bonne pratique, recommandée par le cadre américain du NIST, sans être une obligation opposable.

Le vrai risque français en 2026 passe par le RGPD

Pendant que le marché regarde le règlement IA, le contrôle qui peut tomber cette année vient d'ailleurs. La CNIL a publié le 3 avril 2026 ses thématiques prioritaires de contrôle, dont le recrutement. Elle y vise les systèmes de décision automatisée, l'information des candidats et les durées de conservation, en ciblant les grandes entreprises et les cabinets de recrutement.

Elle indique elle-même que ce thème préfigure son futur rôle de surveillance du marché dans le champ du travail au titre du règlement IA. Les thèmes prioritaires représentent environ 20 % de ses contrôles annuels.

Une obligation plus ancienne s'y ajoute, souvent ignorée. Par sa délibération n° 2018-327 du 11 octobre 2018, la CNIL range les algorithmes de sélection des candidats parmi les traitements qui exigent une analyse d'impact sur la protection des données (AIPD).

Ne pas la conduire quand elle est due expose à une sanction pouvant atteindre 10 millions d'euros ou 2 % du chiffre d'affaires mondial.

Un audit utile en 2026 commence donc par le RGPD, sur les traitements effectivement en service, avant d'aborder un règlement IA dont l'essentiel des obligations n'est pas encore applicable.

Les référentiels réellement publiés

Un audit sérieux s'appuie sur un référentiel nommé et daté. La famille de normes dédiée à l'IA est encore courte : trois documents seulement sont publiés à ce jour.

Deux précisions utiles pour ne pas se faire raconter d'histoires. ISO/IEC 42007 est encore au stade de projet et plusieurs pages commerciales la présentent à tort comme publiée. ISO/IEC 42003 n'existe pas encore.

En revanche, deux normes voisines publiées en 2023 servent dans une mission : ISO/IEC 23894 sur le management du risque lié à l'IA, et ISO/IEC 25059 sur la qualité des systèmes d'IA.

Côté américain, le cadre de gestion des risques du NIST, publié en janvier 2023 sous la référence AI 100-1, structure la réflexion autour de quatre fonctions : gouverner, cartographier, mesurer, gérer. Le NIST le qualifie lui-même de volontaire et non sectoriel. Il ne certifie rien et se prête bien à un audit de maturité.

En France, le Laboratoire national de métrologie et d'essais certifie des processus de conception, de développement, d'évaluation et de maintien en condition opérationnelle de l'IA. La certification porte sur la façon de travailler, et non sur un modèle ou un produit. Le cycle prévoit un audit initial, des suivis à douze et vingt-quatre mois et un renouvellement à trois ans.

Dernier point sur les certificats, valable même quand ils sont authentiques : un certificat ISO/IEC 42001 couvre un périmètre déclaré, et non « l'IA de l'entreprise ». Microsoft, certifié, énumère nommément les services couverts et rappelle que son client reste responsable de l'évaluation de ses propres déploiements. Lisez le périmètre avant de vous laisser rassurer par le logo.

Ce que contient une mission sérieuse

Au-delà du vocabulaire, un audit se juge à ce qu'il produit. Les missions qui aboutissent passent par six temps.

1. 1Le cadrage fixe le périmètre (quelles entités, quels métiers), écrit ce qui n'en fait pas partie et décide de la forme que prendra la restitution à la direction.
2. 2L'inventaire recense les outils d'IA en service, officiels ou non. Les usages lancés par les équipes sans passer par l'informatique y apparaissent presque toujours, et ce sont eux qui surprennent le plus les directions.
3. 3Les entretiens métier comparent le processus tel qu'on le décrit et le processus tel qu'on le pratique.
4. 4L'examen des données vérifie, cas par cas, qu'elles existent, qu'elles sont fiables et que l'entreprise a le droit de s'en servir. Sans données exploitables, un cas d'usage reste un souhait.
5. 5La qualification des risques regarde les données personnelles traitées, les décisions prises sans intervention humaine, l'exposition aux textes et la dépendance à un seul fournisseur.
6. 6La feuille de route classe les actions et donne à chacune un porteur, un budget approximatif et une date.

Un état des lieux seul ne change rien le lundi suivant. Le rapport utile désigne trois actions à démarrer dans les trois prochains mois et la personne qui conduit chacune.

Ce que ça coûte

J'ai cherché des fourchettes de prix publiées et vérifiables. Les montants que l'on trouve en ligne, de 5 000 à 40 000 euros selon les pages, sont affichés par des cabinets qui vendent eux-mêmes l'audit : aucun ne dit comment il les a établis, sur combien de missions ni à quelle date. Les reprendre ici reviendrait à présenter le tarif d'un concurrent comme un prix de marché.

Je m'en abstiens.

Un ordre de grandeur se défend sans tricher. Dans une organisation de taille moyenne, un audit de maturité bien mené mobilise quelques jours d'expertise, répartis sur plusieurs semaines pour laisser le temps des entretiens ; il ne dure pas des mois.

Selon le profil de l'entreprise et sa région, des aides publiques au conseil peuvent alléger la facture : leur éligibilité se vérifie au moment du cadrage.

Un devis nettement plus élevé doit se justifier par un périmètre plus large, plusieurs entités ou plusieurs pays, et le dire. À l'inverse, un « audit complet » vendu pour une seule journée de travail ne peut couvrir ni les entretiens ni l'inventaire : demandez ce qu'il contient avant de signer.

Sur le coût d'une certification ISO/IEC 42001, aucun organisme certificateur français ne publie de tarif. La mécanique est en revanche connue : l'accompagnement à la mise en place du système de management, puis l'audit de certification par un organisme accrédité, puis les audits de surveillance. Trois lignes distinctes, à faire chiffrer séparément.

Quatre situations où l'audit est une dépense inutile

Un cabinet qui vend des audits gagnerait à taire ce qui suit. Ces quatre situations sont pourtant celles où l'argent part sans retour.

1. Vous connaissez déjà votre premier cas d'usage

Une direction qui sait que le sujet est la réponse aux appels d'offres ou le traitement des factures n'a pas besoin d'une cartographie complète pour le confirmer. Un cadrage court sur ce cas précis, puis un prototype, apportent davantage qu'un rapport de cinquante pages.

2. Le problème relève des données ou de l'organisation

Quand les données sont éparpillées, contradictoires ou inaccessibles, aucun audit IA ne réglera la question. Le chantier porte sur les données et les processus. L'audit vous dira ce que vous savez déjà, et vous facturera l'information.

3. La décision est déjà prise

Un audit commandé pour justifier une orientation arrêtée est un exercice de communication. Il coûte le prix d'un audit et produit la valeur d'une note d'intention. Autant assumer la décision et investir dans sa mise en œuvre.

4. L'organisation est trop petite pour l'exercice

En dessous d'une vingtaine de personnes, la cartographie tient dans une réunion. Le formalisme d'un audit apporte peu quand le dirigeant connaît chaque processus de son entreprise.

Un cinquième cas mérite d'être nommé, plus insidieux : l'audit de conformité mené pour se rassurer sans intention de changer les pratiques. La littérature sur la conformité algorithmique lui a donné un nom, la conformité de façade. Un rapport rangé dans un tiroir ne protège de rien, ni juridiquement, ni opérationnellement.

Le conflit d'intérêts, puisqu'il faut en parler

Masteria fait l'audit, puis construit les outils et forme les équipes. D'où une mise en garde : quand le même cabinet pose le diagnostic et vend la suite, il a intérêt à trouver du travail. Vous avez le droit de le savoir en lisant ces lignes.

Deux garde-fous se négocient dès le contrat. Le premier : le rapport liste aussi ce qu'il déconseille, les actions à ne pas lancer et les cas d'usage écartés, chacun avec sa raison. Un rapport qui recommande tout ressemble à une proposition commerciale.

Le second : le diagnostic et la mise en œuvre font l'objet de deux contrats, et la feuille de route doit pouvoir être reprise par un autre prestataire. Un plan que seul son auteur sait exécuter vous rend dépendant de lui.

La certification applique une règle plus stricte : au nom de l'impartialité, l'organisme qui certifie une entreprise s'interdit de la conseiller. Le conseil échappe à cette règle, ce qui rend la transparence d'autant plus nécessaire.

Trois décisions avant de lancer un audit

Trois décisions valent mieux qu'un appel d'offres. Nommer le type d'audit voulu, en sachant que maturité et conformité ne se traitent pas dans la même mission ni par les mêmes profils. Exiger le référentiel appliqué, avec sa référence et sa date. Fixer le livrable attendu en une phrase, en y incluant les actions écartées.

Le report du haut risque, seize mois pour les systèmes de l'annexe III, donne le temps d'avancer dans l'ordre. Les obligations déjà en vigueur restent dues, et la CNIL contrôle les pratiques de recrutement dès cette année. Préparer la conformité avant un déploiement coûte moins cher que la rattraper après une mise en demeure.

Questions fréquentes