Ce que la réglementation appelle évaluer la conformité
L'AI Act organise les obligations des fournisseurs et des utilisateurs selon le niveau de risque du système. Pour les systèmes à haut risque — biométrie, infrastructures critiques, éducation, emploi, crédit, migration — le texte impose une évaluation de conformité avant la mise sur le marché, appuyée sur une documentation technique, un système de gestion des risques et un dispositif de surveillance humaine. L'audit n'est donc pas un exercice de style : il matérialise la preuve que ces exigences sont tenues. C'est cette preuve, plus que l'intention affichée, qui est demandée en cas de contrôle, de réclamation ou de litige commercial. Une organisation peut appliquer des pratiques sincères et échouer faute de traces exploitables, ce qui explique l'écart fréquent entre la réalité d'une équipe et ce qu'un auditeur peut constater.
Les échéances s'étalent dans le temps. Les interdictions de pratiques à risque inacceptable et l'obligation de littératie IA s'appliquent depuis février 2025, les règles sur les modèles d'IA à usage général depuis août 2025, les obligations de transparence sur les contenus générés depuis août 2026, et les exigences les plus lourdes pour les systèmes autonomes arrivent en décembre 2027. Un audit se planifie donc par vagues successives, jamais en une seule fois, en calant chaque chantier sur la date qui le concerne et sur le niveau de risque réel du système analysé. Cette progressivité permet d'étaler l'effort sur plusieurs exercices plutôt que de le concentrer à la veille d'une échéance.
Quels systèmes entrent réellement dans le champ
Beaucoup d'organisations croient être hors périmètre parce qu'elles « n'utilisent pas d'IA à haut risque ». La première étape d'un audit consiste précisément à contester cette intuition. Un outil de tri de candidatures, un scoring de crédit, un logiciel d'orientation scolaire, un module de surveillance de l'attention au travail : tous peuvent relever du haut risque selon la fonction qu'ils remplissent, indépendamment de la technicité affichée par l'éditeur. La classification dépend de l'usage réel et du contexte d'emploi, pas de l'étiquette commerciale. Un même logiciel peut être banal dans un service et hautement sensible dans un autre, selon la population qu'il affecte et les décisions qu'il prépare.
L'inventaire est donc le socle de tout le reste. Il faut lister chaque système, son fournisseur, la finalité, la population affectée et les données traitées, puis confronter cette liste aux catégories du règlement. Cette cartographie détermine ensuite quelles obligations s'appliquent et quelle profondeur d'audit est nécessaire. Sans elle, l'évaluation flotte, les priorités restent floues et les efforts se dispersent sur des cas secondaires tandis que les usages les plus sensibles passent inaperçus. Un inventaire tenu à jour devient un actif réutilisable pour toutes les obligations à venir.
Ce qu'un audit d'IA examine en pratique
Un audit sérieux ne se limite pas à vérifier des cases. Il examine la qualité des jeux de données d'entraînement, les métriques de performance par sous-population, la documentation des modèles, la traçabilité des versions, l'efficacité de la surveillance humaine et les procédures de remontée d'incidents. Il interroge aussi la gouvernance : qui décide, qui contrôle, qui répond en cas de dérive. Un système performant globalement peut se révéler défaillant sur un groupe précis, et c'est exactement ce que l'audit doit mettre au jour avant qu'un tiers ne le fasse à votre place, avec les conséquences réputationnelles et juridiques qui en découlent.
La norme ISO 42001, qui décrit un système de management de l'IA, fournit un cadre utile pour structurer ces preuves dans la durée. Elle ne remplace pas l'AI Act, mais elle aide à tenir ce que le règlement exige ponctuellement, et à le renouveler à chaque évolution des systèmes. Sur le volet accessibilité, les principes du RGAA et de la norme EN 301 549 rappellent qu'un système audité se juge aussi à son usage réel par toutes les personnes concernées, y compris celles en situation de handicap, souvent oubliées des campagnes de test.
Préparer l'audit avant l'échéance
Attendre la date limite pour s'organiser revient à auditer dans l'urgence. Les organisations qui anticipent commencent par l'inventaire, désignent un responsable, formalisent une politique d'usage et documentent leurs décisions au fil de l'eau. Ce travail préalable transforme l'audit en confirmation plutôt qu'en découverte, et réduit nettement le coût de la mise en conformité. Il évite surtout de découvrir à la dernière minute qu'un outil central du quotidien relève d'une catégorie réglementée, avec les conséquences que cela suppose pour les délais et l'organisation des équipes.
Il suppose aussi des compétences internes : lire un règlement, comprendre un modèle, dialoguer avec un fournisseur, rédiger une documentation exploitable. C'est un métier, et il s'apprend. Les entreprises qui l'internalisent gagnent en autonomie là où d'autres dépendent d'un prestataire pour chaque question, avec les délais et les coûts que cela implique à chaque nouvelle version d'un système ou à chaque évolution du cadre réglementaire. Ces compétences se construisent par la pratique, sur des cas concrets, plus sûrement qu'en lisant le texte seul, et elles deviennent vite un appui pour toute l'organisation.
Aller plus loin
Pour maîtriser la méthode d'évaluation et de documentation des systèmes d'IA, Cabinet MARA propose des formations dédiées, accessibles à distance. Le programme de la formation Auditeur d'IA figure dans vers le catalogue des 31 formations.
Vous voulez maîtriser ce sujet en pratique ?
Cabinet MARA forme en ligne, sur des cas réels, avec des modules courts et un suivi de progression.
Voir la formation liée Les 31 formations