Comprendre la classification des risques
Le règlement raisonne par niveaux de risque, et tout le reste en découle. Les pratiques interdites sont listées ; certains systèmes sont jugés à haut risque en raison de leur domaine d'usage — recrutement, éducation, crédit, composants de sécurité — ; d'autres relèvent d'obligations de transparence, comme les contenus générés ou les interactions avec un agent conversationnel. La première tâche d'un audit est de situer chaque système dans cette grille, car la catégorie détermine l'ensemble des obligations qui s'appliquent, la profondeur du dossier à constituer et le niveau de preuve attendu par les autorités. Une mauvaise classification en amont fausse ensuite tout le raisonnement et fait perdre un temps considérable.
Cette classification n'est pas toujours évidente. Un même outil peut changer de catégorie selon l'usage réel qu'on en fait, et les usages dérivent avec le temps. Un module conçu pour un besoin interne peut se retrouver, quelques mois plus tard, à produire des décisions qui affectent des tiers. L'audit doit donc vérifier la classification déclarée contre les usages observés, et signaler les écarts. C'est souvent là que se révèlent les risques les plus sérieux, ceux que personne n'avait anticipés et qui ne figurent encore dans aucun registre officiel.
Constituer les preuves attendues
Pour les systèmes à haut risque, le texte européen attend un ensemble de preuves documentées : description du système et de sa finalité, gestion des risques, qualité des données d'entraînement, performances et limites connues, surveillance après mise sur le marché, information des utilisateurs. Ces éléments ne s'improvisent pas à la veille d'un contrôle, et les reconstituer en urgence coûte bien plus cher que de les produire au fil de l'eau. L'audit évalue ce qui existe déjà, ce qui manque et ce qui reste à formaliser, en distinguant les lacunes simples des chantiers structurels.
La qualité d'une preuve tient autant à son contenu qu'à sa traçabilité. Une évaluation sans version de modèle associée, une décision sans journal, une donnée sans base légale documentée perdent leur valeur en situation de contrôle. L'auditeur vérifie donc la cohérence de toute la chaîne : de la donnée d'entrée à la décision finale, en passant par les corrections humaines et les validations intermédiaires. C'est cette continuité, plus que la quantité de documents empilés, qui fait la solidité d'un dossier de conformité et sa capacité à convaincre un tiers informé.
Organiser la gouvernance et les rôles
Une conformité durable repose sur des responsabilités claires. Qui valide la mise en production d'un système ? Qui surveille ses performances dans le temps ? Qui reçoit une réclamation d'une personne affectée par une décision automatisée ? Sans réponse nommée, les obligations restent théoriques et personne ne porte réellement le sujet. L'audit examine ces circuits, identifie les zones où la responsabilité se dilue entre services et propose des points de passage explicites, avec des rôles écrits et des seuils de décision clairement définis.
L'articulation avec les fonctions existantes compte autant que la structure elle-même. Conformité, sécurité, juridique, data et métiers doivent disposer d'un langage commun et de rendez-vous définis. Des référentiels comme ISO/IEC 42001 fournissent un cadre utile pour formaliser ce système de management, sans se substituer au jugement des équipes. L'objectif n'est pas d'empiler des procédures, mais de rendre chaque décision vérifiable par un tiers informé, et de donner aux équipes un cadre qui tienne au-delà des personnes qui l'ont posé.
Préparer le suivi et les évolutions
La conformité n'est pas un état atteint une fois pour toutes. Le règlement prévoit une application échelonnée entre 2025 et 2026, et les autorités nationales précisent progressivement leurs attentes, souvent après la mise en service des systèmes. Un audit qui produit un constat figé se périme vite. Il doit laisser derrière lui un dispositif de veille, des indicateurs suivis et une fréquence de réévaluation clairement établie pour chaque système concerné, adaptée à la sensibilité de son usage et aux publics qu'il touche. Un calendrier de revue réaliste, calé sur les cycles de mise en production, vaut mieux qu'une fréquence théorique jamais respectée.
Documenter les évolutions du modèle, conserver les versions, suivre les incidents et les retours d'usage : ces pratiques transforment l'obligation en routine quotidienne. Elles permettent aussi de répondre rapidement si une autorité demande des comptes, ce qui arrive rarement avec un préavis confortable. La conformité bien menée cesse alors d'être un poids administratif pour devenir une manière de mieux connaître ses propres systèmes et d'en tirer de la valeur, y compris sur le plan commercial auprès de clients attentifs.
Aller plus loin
Le parcours « Auditeur IA » de Cabinet Mara aborde la classification, les preuves et la gouvernance à travers des exercices pratiques. Le catalogue des 31 formations permet de compléter ces bases avec des modules dédiés à la donnée et au management des risques.
Vous voulez maîtriser ce sujet en pratique ?
Cabinet MARA forme en ligne, sur des cas réels, avec des modules courts et un suivi de progression.
Voir la formation liée Les 31 formations