Deux objets, deux périmètres
L'audit de cybersécurité porte sur des infrastructures, des accès et des flux. Il vérifie que les pare-feu tiennent, que les comptes sont cloisonnés, que les correctifs sont appliqués et que l'on saurait détecter une intrusion. Sa matière première est technique et son horizon, celui d'une attaque : que peut faire un adversaire avec les droits dont il dispose ? L'audit IA, lui, part de l'usage. Il se demande ce que le système produit, sur quelles données il s'est construit, comment ses décisions se justifient et qui répond des effets observés. Les deux démarches se ressemblent par leur rigueur méthodologique, mais elles ne mesurent pas la même chose.
Cette différence de périmètre explique pourquoi les mêmes mots désignent des travaux opposés. Une « évaluation des risques » en sécurité recense des vulnérabilités exploitables ; en audit IA, elle recense des situations où une décision automatisée peut nuire. Un « test de résistance » en cybersécurité simule une attaque ; en IA, il éprouve le modèle sur des cas limites, des données décalées ou des populations minoritaires. Confondre les deux revient à croire qu'un système sécurisé est forcément un système fiable.
L'audit cybersécurité part des infrastructures
Le travail d'un auditeur sécurité commence par la cartographie. Il inventorie les serveurs, les interfaces, les bases de données, les comptes à privilèges. Vient ensuite l'analyse des vulnérabilités, puis les tests d'intrusion et la revue des journaux. Le cadre de référence est bien balisé, avec des normes reconnues et des pratiques documentées. Le résultat prend la forme d'une liste de failles classées par gravité, chacune assortie d'une recommandation corrective. C'est un audit tourné vers la fermeture : chaque faille trouvée doit pouvoir être fermée.
Cette logique fonctionne parce que l'objet audité est stable. Une configuration serveur ne change pas d'avis toute seule. L'audit IA affronte un objet d'une autre nature : un modèle statistique dont le comportement dépend des données vues à l'entraînement et des données rencontrées en production. Fermer une faille ne suffit pas, car le risque peut réapparaître avec une nouvelle distribution de données. La sécurité informatique protège contre un adversaire intentionnel ; l'audit IA protège aussi contre des effets non voulus, qui n'ont aucun attaquant derrière eux.
L'audit IA interroge les modèles et leurs décisions
L'audit IA part de questions que la cybersécurité ne pose pas. D'où viennent les données d'entraînement, et a-t-on le droit de les utiliser ? Le modèle est-il reproductible, ou bien son comportement varie-t-il d'une version à l'autre ? Comment une décision de refus, de score ou de recommandation se justifie-t-elle auprès de la personne concernée ? Quelles mesures permettent de détecter une dérive en production ? Ces questions relèvent autant du droit et de l'éthique que de la technique, ce qui explique la place prise par des référentiels comme l'ISO 42001 ou par le règlement européen sur l'intelligence artificielle.
Le livrable change aussi de forme. Là où l'audit sécurité produit une liste de vulnérabilités, l'audit IA produit une appréciation de conformité et de maîtrise : documents, journaux d'entraînement, procédures de validation, dispositifs de recours. La difficulté tient au fait qu'une part du raisonnement d'un modèle reste opaque. L'auditeur ne peut donc pas tout prouver ; il doit construire des preuves indirectes — tests de robustesse, analyses d'équité, revues de versionnage — pour rendre l'usage défendable.
Faire dialoguer les deux démarches
Sur le terrain, les deux audits ne s'opposent pas : ils s'enchaînent. L'audit IA a besoin des fondations de la cybersécurité. Sans cloisonnement des accès et sans journalisation, impossible de garantir qu'un modèle n'a pas été altéré ni de retracer ses décisions. À l'inverse, l'audit IA révèle des zones que la sécurité classique ignore, notamment les traitements de données personnelles effectués silencieusement par des outils embarqués dans les logiciels métiers. Une entreprise qui n'audite que la sécurité réseau laisse passer ces usages.
La bonne pratique consiste à nommer clairement l'objet de chaque mission et à faire circuler l'information entre les deux. Une équipe qui a déjà l'habitude des revues de conformité s'appuiera sur ses procédures existantes, sans les plaquer telles quelles sur un système d'IA. Le bon réflexe n'est pas d'empiler les référentiels, mais de comprendre ce que chaque audit protège, et de refuser une conclusion globale là où deux métiers distincts sont en jeu.
Aller plus loin
Ces distinctions se travaillent en pratique, sur des cas réels et des documents d'audit, plutôt qu'en théorie. Pour situer les compétences attendues et choisir un parcours adapté, parcourez le catalogue des 31 formations.
Vous voulez maîtriser ce sujet en pratique ?
Cabinet MARA forme en ligne, sur des cas réels, avec des modules courts et un suivi de progression.
Voir la formation liée Les 31 formations