Le besoin : un jugement que l'organisation ne peut pas porter seule
Une organisation qui met en service un système d'IA s'auto-évalue. Cette autodéfinition a une limite : on juge mal ce qu'on a bâti, surtout lorsqu'un projet est porté par une équipe convaincue de son bien-fondé. Le tiers de confiance introduit ce regard extérieur, sans intérêt à conclure que tout va bien. Son rôle n'est pas d'accabler mais de rendre visible ce que l'organisation ne voit plus. Pour une direction, disposer d'un avis indépendant change la nature de la décision ; pour la personne concernée par un système, c'est la promesse d'un recours réel.
Ce besoin s'intensifie avec le cadre européen. Le règlement sur l'IA, adopté en 2024, déploie ses obligations par étapes jusqu'en 2026 et pose pour certains systèmes des exigences d'évaluation, de documentation et de surveillance. Toutes les organisations n'ont pas en interne les compétences pour y répondre. Le tiers de confiance comble cet écart, sans se substituer à la responsabilité de l'exploitant. L'organisation reste responsable ; elle s'adjoint simplement une capacité d'analyse et de vérification qu'elle n'a pas, ou qu'elle préfère faire valider de l'extérieur pour être crédible auprès de ses clients.
Audit technique et contrôle documentaire
Le travail d'un tiers de confiance est souvent imaginé comme purement juridique. Il est aussi technique. Comprendre un système suppose de savoir sur quoi il a été entraîné, sur quelles données, avec quels garde-fous, et comment les résultats sont testés. Un audit crédible regarde les journaux et le code autant que les politiques écrites. Il vérifie que ce qui est déclaré correspond à ce qui tourne réellement. Cet écart entre le discours et la machine est fréquent, rarement malveillant, souvent le fait de projets qui ont évolué sans que la documentation suive.
Le contrôle documentaire garde sa place. Un référentiel de management comme l'ISO 42001 fournit une trame : gouvernance, analyse des risques, amélioration continue. S'y appuyer n'est pas obligatoire, mais cela donne un langage commun entre l'audité et l'auditeur, et des preuves comparables d'une revue à l'autre. L'essentiel reste l'utilité : un rapport qui produirait des constats génériques sans effet sur le système est un document mort. Le tiers de confiance se juge à ce qu'il change concrètement — un garde-fou ajouté, une pratique corrigée, un usage abandonné à temps, un risque documenté qui cesse d'être ignoré.
Le médiateur humain face aux décisions automatisées
Quand un système prend ou prépare une décision qui affecte une personne — un refus, une orientation, une priorisation —, il faut un lieu où contester. C'est là qu'intervient le médiateur humain : quelqu'un capable d'expliquer la décision, d'entendre un désaccord et de le traiter. Ce rôle répond à une exigence simple : une décision automatisée ne doit pas rester sans recours. Sans cette possibilité, la personne concernée ne trouve que le silence d'un algorithme et un formulaire sans effet, ce qui nourrit la défiance plus encore qu'une erreur isolée.
Ce médiateur doit avoir les moyens de son rôle. S'il ne peut ni accéder aux raisons de la décision ni la faire réviser, il ne sert qu'à absorber le mécontentement sans rien résoudre. Il lui faut une compréhension du système, une autorité pour demander une revue, et un possible humain à la fin du parcours. Le RGPD prévoit déjà des garanties contre les décisions entièrement automatisées produisant des effets significatifs sur une personne. Le médiateur humain incarne concrètement ces garanties. Sans lui, le droit reste théorique pour celui qui subit la décision sans pouvoir la comprendre.
Choisir un tiers de confiance et le faire vivre
Le choix d'un tiers de confiance engage plus qu'une prestation. Il faut quelqu'un d'indépendant, compétent sur les modèles comme sur le droit, capable de parler aux équipes techniques sans se perdre dans le jargon ni de les intimider par le vocabulaire. L'indépendance se vérifie : qui paie, quels liens existent, quelle liberté d'écrire ce qu'il constate ? Un audit dont les conclusions sont négociées à l'avance n'apporte rien et donne à l'organisation une fausse assurance. Mieux vaut un périmètre limité et une parole libre qu'une mission large et convenue d'avance.
Le rôle ne s'arrête pas à la remise du rapport. Un tiers de confiance utile revient, vérifie que les corrections ont été faites, suit l'évolution du système dans le temps. Ce suivi suppose une relation durable, avec des points réguliers et une mémoire des constats précédents. Pour l'organisation, c'est aussi un dispositif d'apprentissage : les mêmes failles reviennent quand personne ne s'assure qu'elles sont closes. Faire vivre cette relation, plutôt que la consommer comme une prestation isolée, est ce qui transforme une obligation réglementaire en un progrès réel, mesurable et durable pour toute l'organisation.
Aller plus loin
Tenir un rôle de tiers de confiance suppose de comprendre les modèles, le droit et les métiers concernés, et de savoir écrire des constats utiles plutôt que rassurants. Nos formations préparent à exercer cette fonction, du référentiel volontaire à la conformité — retrouvez-les dans le catalogue des 31 formations.
Vous voulez maîtriser ce sujet en pratique ?
Cabinet MARA forme en ligne, sur des cas réels, avec des modules courts et un suivi de progression.
Voir la formation liée Les 31 formations