Qu’est-ce qu’un audit de gouvernance IA ?
Un audit de gouvernance de l’intelligence artificielle (IA) est un état des lieux impartial des usages, outils, comptes, dépenses, données et responsabilités déjà engagés dans l’entreprise. Il produit un registre initial et une lecture des risques directement exploitables par le comité de direction, avant tout nouvel investissement.
Le diagnostic observe ce qui existe réellement : abonnements souscrits par les équipes, automatisations assemblées sans cadre, prestataires déjà engagés, données transmises à des services externes et obligations encore non traitées. Il n’évalue pas les personnes et ne présuppose aucun outil cible.
Décrivez vos outils IA en circulation, vos dépenses connues et les décisions que vous devez sécuriser.
Demander un état des lieux→Quels signaux justifient un état des lieux ?
- 01
Personne ne sait combien d’outils IA sont utilisés
Assistants, générateurs et automatisations arrivent par les équipes, souvent sur des comptes personnels ou des offres gratuites. La direction découvre les usages au fil des conversations.
- 02
Les dépenses IA sont dispersées
Abonnements, crédits d’API, licences intégrées à un logiciel existant et prestations ponctuelles se répartissent entre plusieurs budgets. Le coût réel n’est consolidé nulle part.
- 03
Les données circulent sans cadre validé
Documents commerciaux, données de production, dossiers clients ou informations personnelles sont copiés dans des outils dont l’hébergement et la réutilisation n’ont pas été vérifiés.
- 04
Les obligations restent en suspens
Registre des systèmes, information des utilisateurs, rôle des personnes qui valident les résultats : ces sujets sont identifiés mais aucun responsable ne les a encore instruits.
Que regarde réellement le diagnostic ?
Le diagnostic relie trois lectures que les organisations traitent souvent séparément : les usages effectivement pratiqués, l’argent déjà engagé et les obligations qui pèsent sur ces usages. C’est leur mise en regard qui rend une décision possible.
La première lecture porte sur les usages non déclarés, souvent regroupés sous le terme de Shadow AI. Un collaborateur qui colle un extrait de contrat dans un assistant grand public cherche à avancer sur son dossier, pas à contourner une règle. Le diagnostic recense ces pratiques par service, identifie les données concernées et distingue celles qui peuvent être encadrées de celles qui doivent cesser immédiatement.
La deuxième lecture reconstitue la dépense. Un abonnement par équipe, une option activée dans un logiciel métier, des crédits consommés par une automatisation et une prestation de développement forment un ensemble que personne n’a additionné. Rapprocher ces montants des résultats obtenus fait apparaître les usages utiles, les doublons et les engagements qu’il vaut mieux ne pas renouveler.
La troisième lecture confronte l’existant au cadre applicable. Le règlement européen sur l’intelligence artificielle, ou Règlement (UE) 2024/1689 appelé AI Act, dont les obligations s’appliquent par étapes depuis 2025, demande notamment d’identifier les systèmes utilisés, de qualifier leur niveau de risque, d’informer les personnes concernées et d’assurer un niveau suffisant de littératie IA. Ces exigences s’ajoutent au Règlement général sur la protection des données (RGPD) lorsque des données personnelles circulent. Le diagnostic ne délivre pas un avis juridique : il montre où l’entreprise se situe et quelles vérifications engager avec les fonctions compétentes.
Comment se déroule le diagnostic ?
- 1
Recenser
Entretiens courts par service, relevé des outils, comptes, automatisations, prestataires et données manipulées.
- 2
Qualifier
Pour chaque usage : finalité, données mobilisées, personne qui valide le résultat, dépendance et criticité pour l’activité.
- 3
Confronter
Mise en regard des usages avec les dépenses engagées, les règles internes et les obligations issues de l’AI Act et du RGPD.
- 4
Restituer
Présentation au comité de direction : ce qui est gardé, encadré, arrêté ou instruit, avec un responsable par sujet.
Un état des lieux qui produit des décisions, pas un rapport de plus
La restitution est construite pour être discutée en séance, dans le vocabulaire de la direction. Chaque constat est relié à ce qu’il coûte, à ce qu’il expose et à la personne capable de trancher. Un usage sans propriétaire identifié reste un risque, même lorsqu’il rend service à une équipe.
Le diagnostic sépare volontairement l’urgent du structurant. Un compte à fermer, une donnée à retirer d’un outil externe ou une clause à vérifier chez un fournisseur relèvent de la première catégorie. Le choix des chantiers à financer, la répartition des responsabilités et le rythme de pilotage relèvent de la seconde et alimentent l’arbitrage de la feuille de route.
Les livrables restent la propriété de l’entreprise et demeurent exploitables par vos équipes, votre DSI ou un autre partenaire. Les limites d’observation, les zones non couvertes et les vérifications à mener avec les fonctions juridiques ou de conformité sont explicitées plutôt que masquées.
Quels livrables recevez-vous ?
Un socle de gouvernance immédiatement utilisable
Le niveau de détail dépend du périmètre retenu, du nombre de services concernés et des informations réellement accessibles.
