Audit IA interne : la checklist complète pour RSSI et DPO

Étape 1 : définir le périmètre d'audit

Avant d'auditer quoi que ce soit, cartographiez exhaustivement vos systèmes IA. Posez-vous ces questions pour chaque outil IA utilisé dans l'entreprise :

• Qui l'utilise ? (département, nombre d'utilisateurs)
• Quelles données traite-t-il ? (personnelles, sensibles, confidentielles)
• Quelle est sa fonction ? (décision automatisée, aide à la décision, génération de contenu)
• Qui le fournit ? (SaaS externe, open source, développé en interne)
• A-t-il accès à des systèmes critiques ? (ERP, CRM, bases de données clients)

N'oubliez pas le shadow AI : les outils IA non déclarés à la DSI. Une enquête interne anonyme révèle souvent 3 à 5 fois plus d'usages IA que ce que la DSI connaît. Incluez-les dans le périmètre.

Étape 2 : classification des risques EU AI Act

Pour chaque système IA identifié, déterminez sa catégorie de risque :

Catégorie	Exemples	Obligations
Risque inacceptable	Score social, manipulation subliminale	Interdit — décommissionnement obligatoire
Haut risque	IA RH, scoring crédit, IA médicale, IA sécurité	Documentation complète, supervision humaine, enregistrement EUDB
Risque limité	Chatbot client, génération de contenu	Transparence sur l'usage de l'IA
Risque minimal	Filtre anti-spam, jeux vidéo IA	Aucune obligation spécifique

Attention : un système que vous pensez à "risque minimal" peut être à "haut risque" si son output influence une décision impactant des droits fondamentaux (emploi, crédit, santé, éducation).

Checklist : systèmes à haut risque

Pour chaque système classé haut risque, vérifiez point par point :

Documentation technique (Art. 11)

• ☐ Description de la finalité et du fonctionnement du système
• ☐ Données d'entraînement documentées (sources, méthodes, biais testés)
• ☐ Architecture du modèle (ou description du modèle tiers utilisé)
• ☐ Métriques de performance et de précision
• ☐ Limitations connues et cas d'usage non couverts

Gestion des risques (Art. 9)

• ☐ Registre des risques identifiés et des mesures d'atténuation
• ☐ Tests de robustesse et de sécurité documentés
• ☐ Tests anti-discrimination (données sensibles : genre, âge, origine)
• ☐ Procédure de gestion des incidents

Supervision humaine (Art. 14)

• ☐ Interface de supervision humaine opérationnelle
• ☐ Procédure de recours / révision humaine documentée
• ☐ Formation des opérateurs à la supervision du système
• ☐ Mécanisme d'arrêt d'urgence fonctionnel

Logs et traçabilité (Art. 12)

• ☐ Logs automatiques de toutes les décisions/outputs
• ☐ Rétention des logs ≥ durée légale applicable
• ☐ Accessibilité des logs pour audit réglementaire

Volet RGPD : ce qui s'applique à tout système IA

Indépendamment de la catégorie AI Act, tout système IA traitant des données personnelles déclenche des obligations RGPD :

• ☐ Base légale du traitement identifiée et documentée dans le registre des traitements
• ☐ AIPD (Analyse d'Impact) réalisée si traitement à risque élevé (profilage, décision automatisée)
• ☐ Information des personnes concernées (mentions légales, politique de confidentialité)
• ☐ Droit d'accès et d'effacement techniquement implémenté
• ☐ Sous-traitants IA couverts par DPA (Data Processing Agreement)
• ☐ Transferts hors UE documentés et justifiés (Cloud Act, Schrems II)

Volet NIS 2 : pour les entités essentielles et importantes

Si votre entreprise est couverte par NIS 2 (secteurs énergie, transport, santé, finance, numérique, etc.) :

• ☐ Systèmes IA intégrés dans la cartographie des actifs critiques
• ☐ Analyse de risque cybersécurité incluant les vecteurs d'attaque spécifiques aux LLM
• ☐ Plan de continuité incluant la défaillance des systèmes IA
• ☐ Procédure de notification d'incident applicable aux incidents IA

Documentation à produire pour l'audit

• Registre de tous les systèmes IA (inventaire complet)
• Fiche de classification risque pour chaque système
• Documentation technique complète pour les systèmes haut risque
• Registre des risques et mesures d'atténuation
• Rapports de tests (performance, biais, sécurité)
• Procédures de supervision humaine et d'arrêt d'urgence
• Registre RGPD des traitements mis à jour
• Contrats fournisseurs IA (DPA, SLA, clauses conformité)

Calendrier et fréquence d'audit recommandés

• Audit initial : dès maintenant si pas encore fait, avant fin 2026 (pleine application AI Act)
• Audit annuel : minimum pour les systèmes haut risque
• Audit déclenché : à chaque mise à jour majeure d'un système IA, incident, ou changement réglementaire
• Revue continue : monitoring des logs et des indicateurs de dérive du modèle (model drift)