Audit IA d’une entreprise : la méthode complète pour savoir où vous en êtes
Un audit IA d’entreprise mesure cinq choses : la question stratégique à laquelle vos usages répondent, l’inventaire réel des outils en circulation, l’état des données qui les alimentent, la chaîne de responsabilité qui les encadre, et la séquence de travail des quatre-vingt-dix jours suivants. Aucune de ces cinq étapes n’exige de budget pour démarrer. La première tient dans une réunion de deux heures, la deuxième dans un tableau partagé. Voici la méthode, ce qu’on y mesure, et les seuils qui doivent vous alerter.
Amandine a commencé par demander la liste. Directrice générale d’une entreprise de services de 380 salariés, elle voulait savoir, avant d’arbitrer une ligne budgétaire, quels outils d’intelligence artificielle tournaient déjà chez elle. Trois semaines plus tard, le tableau remonté par ses directions comptait dix-neuf entrées, dont onze abonnements réglés sur des cartes bancaires de service et deux traitements de données clients que personne n’avait déclarés. Rien de tout cela n’était interdit. Simplement, rien n’était su. Nous détaillons ici la méthode d’audit IA qui produit cette photographie, étape par étape, et ce que vous pouvez en faire dès la semaine suivante.
Ce qu’un audit IA mesure vraiment, et ce que la maturité déclarée cache
Un audit IA ne note pas votre entreprise. Il compare deux choses que la plupart des organisations n’ont jamais mises côte à côte : ce que vos équipes font déjà avec l’intelligence artificielle, et ce que votre cadre de décision prévoit. L’écart entre les deux constitue le résultat de l’audit. Il n’a rien d’abstrait : il se lit en nombre d’outils non déclarés, en traitements de données sans base légale identifiée, en décisions automatisées sans porteur nommé.
Cet écart est désormais chiffré en France. La cinquième édition de l’Observatoire du métier de DPO, publiée en juillet 2026 par la CNIL avec le ministère du Travail et des Solidarités et l’Association française des correspondants à la protection des données, mesure que 70 % des organismes interrogés utilisent ou prévoient d’utiliser l’intelligence artificielle, dont 81 % en génératif. En face, moins d’un quart de ces organisations disposent d’une stratégie ou d’une politique formelle sur le sujet, moins d’un tiers ont mené des actions de sensibilisation ou adopté une charte d’utilisation, et 31 % ont commencé à se préparer à l’entrée en application du règlement européen sur l’intelligence artificielle.
Le même écart se lit sur la profondeur d’usage. Le 82e baromètre semestriel de conjoncture de Bpifrance Le Lab, conduit auprès de plus de 4 700 entreprises, situe à 55 % la part de TPE et PME utilisant l’IA générative fin 2025, contre 31 % un an plus tôt. Mais 17 % seulement en font un usage régulier, les 37 % restants relevant de l’usage occasionnel. Le baromètre France Num 2025 mesure de son côté 26 % de TPE et PME utilisant au moins un outil d’intelligence artificielle, contre 13 % un an avant. Deux périmètres, deux chiffres, une même leçon : l’essai progresse vite, l’ancrage dans les processus beaucoup moins. Nous avons détaillé ailleurs pourquoi les chiffres d’adoption disent si peu de la réalité quand on ne regarde pas leur périmètre.
C’est précisément ce que corrige un audit IA d’entreprise. Là où un baromètre agrège des déclarations, l’audit inventorie des faits vérifiables dans votre maison. Les modèles de maturité du marché, celui de Gartner par exemple, évaluent sept familles de capacités : stratégie, valeur, organisation, personnes et culture, gouvernance, ingénierie, données. Ces grilles situent votre entreprise par rapport à son secteur, mais ne remplacent pas l’inventaire : elles reposent sur ce que l’organisation déclare savoir d’elle-même.
Étapes 1 et 2 · cadrer la question, puis inventorier ce qui tourne
Étape 1 · à quelle décision l’audit sert-il ?
Un audit IA sans décision en aval produit un document que personne ne lit. La première étape ne coûte rien et se tient en une réunion de deux heures avec le comité de direction : formuler la décision que l’audit doit éclairer. Trois formulations reviennent le plus souvent en séance de cadrage. Faut-il investir dans une plateforme d’entreprise ou laisser les directions s’équiper ? Peut-on tenir nos obligations de transparence sur nos usages actuels ? Quel processus métier gagnerait le plus à être outillé cette année ?
Ces trois questions n’appellent pas le même audit. La première demande une évaluation économique des usages existants. La deuxième impose un inventaire juridiquement documenté. La troisième réclame une cartographie des processus et de leur volumétrie. Choisir avant de collecter vous évite de produire un audit IA générique de quarante pages qui ne tranche rien.
Le cadrage fixe aussi trois paramètres opérationnels. Le périmètre : quelles entités, quelles directions, quels pays. La profondeur : usages professionnels déclarés seulement, ou également les usages personnels de comptes gratuits sur des données de l’entreprise. Le porteur : qui pilote l’audit, avec quel mandat écrit. Sur ce dernier point, l’étude de la CNIL est instructive : 55 % des délégués à la protection des données déclarent avoir déjà le règlement IA dans leur périmètre de responsabilité, mais 27 % seulement estiment bien connaître le texte et 85 % n’ont suivi aucune formation spécifique à l’intelligence artificielle. Confier l’audit à cette fonction sans financer sa montée en compétence revient à déléguer un sujet sans transmettre les moyens.
Étape 2 · l’inventaire, la seule étape que personne ne peut faire à votre place
L’inventaire est le cœur de l’audit IA. Il liste, outil par outil, ce qui tourne réellement. Sept colonnes suffisent : l’outil et son éditeur, la direction utilisatrice, le cas d’usage précis, la nature des données saisies, le mode d’acquisition (abonnement d’entreprise, carte bancaire de service, compte gratuit personnel), la personne référente, et la présence ou l’absence d’une décision automatisée en sortie.
Deux règles de méthode changent tout. La première : ne demandez pas « utilisez-vous de l’IA ». La question déclenche un réflexe défensif et fait disparaître la moitié des lignes. Demandez plutôt quels outils numériques l’équipe a adoptés au cours des douze derniers mois, et lesquels génèrent du texte, de l’image, du code, un score ou une recommandation. La seconde : croisez les déclarations avec deux sources factuelles, les relevés de cartes bancaires de service et la liste des applications autorisées par la direction des systèmes d’information. L’écart entre les trois listes est souvent la découverte la plus utile de l’audit.
Thierry, directeur des systèmes d’information d’un groupe agroalimentaire de 1 470 personnes, avait mené cet exercice au printemps. Sa liste initiale comptait quatre outils validés. L’inventaire croisé en a fait remonter vingt-deux, dont un générateur de réponses installé par le service client sur son propre budget de fonctionnement, alimenté avec l’historique des réclamations. Personne n’avait dissimulé quoi que ce soit. La chaîne d’autorisation n’avait simplement jamais été outillée pour ce type d’achat.
L’inventaire produit enfin une information que les baromètres ne donnent pas : la répartition entre ce que vous achetez et ce que vous construisez. Dans l’étude de la CNIL, deux tiers des organisations concernées achètent leurs solutions à des fournisseurs externes, contre 22 % qui les développent en interne. Cette proportion détermine votre exposition : si vous achetez, votre risque principal est contractuel et documentaire. Si vous construisez, il est technique et se joue sur vos données.
« Une gouvernance IA se met progressivement en place. Toutefois, cette gouvernance reste encore peu structurée dans la majorité des cas : moins d’un quart des organisations disposent d’une stratégie ou d’une politique formelle sur le sujet. »
CNIL, ministère du Travail et des Solidarités et AFCDP, Observatoire du métier de DPO, 5e édition, juillet 2026
Étape 3 · vos données décident avant vos modèles
La troisième étape de l’audit IA porte sur la matière première. Elle se conduit sur les trois à cinq cas d’usage que l’inventaire a désignés comme les plus consommateurs de données internes, jamais sur l’ensemble du patrimoine informationnel : un audit de données exhaustif prend des mois et n’éclaire aucune décision à court terme.
Quatre questions par cas d’usage suffisent à qualifier le terrain. D’où viennent les données, et sous quelle base légale sont-elles traitées ? Qui en est propriétaire au sens métier, c’est-à-dire qui décide de leur définition et de leur qualité ? À quelle fréquence sont-elles mises à jour, et que se passe-t-il quand la mise à jour échoue ? Ces données quittent-elles l’Union européenne, et par quel sous-traitant ?
La quatrième question mérite un traitement particulier dans un audit IA. Un outil génératif hébergé hors d’Europe et alimenté avec des données de clients identifiables déplace votre sujet du terrain de la performance vers celui de la conformité. La CNIL met à disposition des fiches pratiques et une liste de points à vérifier pour le développement des systèmes d’intelligence artificielle : cette liste constitue le meilleur point de départ gratuit pour cette étape, et elle a l’avantage d’être opposable, puisqu’elle vient du régulateur lui-même.
Reste le piège classique, que nous avons décrit en détail en montrant pourquoi la donnée n’est jamais aussi prête qu’on le croit : une entreprise conclut de son audit qu’elle doit d’abord « nettoyer ses données » avant tout usage, lance un chantier de dix-huit mois, et ne produit aucune valeur entre-temps. L’audit IA bien conduit dit l’inverse. Il identifie le sous-ensemble de données suffisamment fiable pour un premier cas d’usage utile, et documente ce qui manque pour les suivants. Ambition et lucidité tiennent ensemble à cette condition précise.
Étape 4 · la gouvernance, ou qui répond quand le modèle se trompe
La quatrième étape de l’audit IA mesure la chaîne de responsabilité. Elle ne demande pas si vous avez une charte. Elle demande ce qui se passe concrètement dans quatre situations, et qui décide.
Premier scénario : une équipe veut adopter un nouvel outil. Qui autorise, sur quels critères écrits, en combien de jours ? Deuxième scénario : un contenu produit par un outil génératif contient une erreur factuelle publiée. Qui la détecte, qui la corrige, qui informe le client ? Troisième scénario : une décision partiellement automatisée est contestée par la personne concernée. Qui réexamine le dossier, avec quelle trace de l’intervention humaine ? Quatrième scénario : un fournisseur modifie son modèle sans préavis et la qualité des sorties baisse. Qui s’en aperçoit, et sur quel indicateur ?
Si les quatre réponses tiennent en un nom et un délai, votre gouvernance existe. Si elles renvoient à un comité qui se réunit trimestriellement, elle n’existe pas encore. Pour structurer cette étape, le cadre de gestion des risques liés à l’intelligence artificielle publié par le NIST offre une armature simple et gratuite en quatre fonctions : gouverner, cartographier, mesurer, gérer. Elle a l’avantage de séparer clairement ce qui relève de la décision et ce qui relève de la mesure.
Ces quatre scénarios se durcissent dès que les outils gagnent en autonomie. Un système qui déclenche lui-même des actions dans vos applications métier déplace la question de la supervision, comme nous l’avons montré à propos des agents IA autonomes et de ce qui tient en production. Auditer ce niveau d’autonomie fait partie de l’étape 4, pas de l’étape suivante.
Le calendrier réglementaire ajoute une urgence concrète. Les obligations de transparence du règlement européen sur l’intelligence artificielle s’appliquent depuis le 2 août 2026 : informer une personne lorsqu’elle interagit avec un système d’IA, et signaler les contenus générés ou substantiellement modifiés par une machine. L’obligation de maîtrise de l’IA, c’est-à-dire un niveau suffisant de compétence des personnes qui utilisent ces systèmes, s’applique de son côté depuis février 2025. Un audit IA conduit aujourd’hui vous dit si vous tenez ces deux obligations, ou seulement si vous en avez entendu parler. Si le vocabulaire du règlement vous reste opaque, notre lexique de l’IA traduit les termes qui comptent en langage de décision.
Étape 5 · le plan 90 jours qui sort de l’audit, et ce qu’il coûte de le sauter
Un audit IA qui ne débouche pas sur une séquence datée reste une note d’intention. La cinquième étape transforme les constats en trois vagues de trente jours, avec un porteur nommé par action et un indicateur de sortie par vague.
Trente premiers jours : régulariser. Fermer les usages qui exposent des données personnelles ou stratégiques sans base identifiée, basculer les abonnements individuels vers des contrats d’entreprise, publier une note d’usage d’une page qui dit ce qui est autorisé et ce qui ne l’est pas. Indicateur de sortie : zéro traitement de données clients sur un compte gratuit non contractualisé.
Jours 31 à 60 : outiller. Nommer un référent par direction, mettre en place le registre des usages qui prolonge l’inventaire de l’étape 2, former les équipes les plus exposées, y compris et surtout la fonction qui hérite de la conformité. Indicateur de sortie : chaque outil de la liste porte un nom de référent et une date de revue.
Jours 61 à 90 : prouver. Choisir un seul cas d’usage, celui que l’étape 3 a désigné comme le mieux servi par vos données, et le conduire jusqu’à une mesure de valeur avant/après. Un cas d’usage prouvé change les conversations budgétaires plus efficacement qu’un audit de quarante pages. Indicateur de sortie : un chiffre défendable devant votre comité de direction.
Ce que coûte l’absence de plan, en revanche, se voit rarement en ligne comptable. Il se voit dans la répétition : une entreprise qui audite sans séquencer refait son audit IA dix-huit mois plus tard, avec les mêmes constats et davantage d’outils. Et il se voit dans les pilotes qui ne franchissent jamais la marche suivante, sujet que nous avons traité en détail à propos des pilotes d’IA qui ne passent pas en production.
Faut-il un cabinet pour tout cela ? Les étapes 1, 2 et 5 se conduisent en interne, et il est même préférable qu’elles le soient : elles reposent sur une connaissance fine de vos circuits d’autorisation. Un regard extérieur devient utile sur les étapes 3 et 4, où l’enjeu est de nommer ce que l’organisation préfère ne pas voir, et sur la traduction de l’audit en arbitrage d’investissement. C’est le périmètre de notre offre de transformation digitale et IA.
Auditez aussi votre visibilité dans les réponses des IA
Votre audit IA interne dit ce que vous faites avec l’intelligence artificielle. Il ne dit rien de ce que l’intelligence artificielle dit de vous. Or les moteurs de réponse orientent déjà une part des décisions d’achat de vos clients. Notre studio propose un audit gratuit de votre visibilité dans les IA génératives, qui mesure comment cinq systèmes différents citent, ou ignorent, votre entreprise sur les requêtes de votre marché.
Un audit IA d’entreprise ne sert pas à obtenir une note. Il sert à retrouver la main sur des usages qui se sont installés sans décision. C’est ce qui permet de faire croitre ce qui compte vraiment, plutôt que d’ajouter des outils à des processus que personne n’a réexaminés.
FAQ
Comment auditer la maturité IA de son entreprise ?
En cinq étapes. Cadrez d’abord la décision que l’audit doit éclairer, en réunion de comité de direction. Inventoriez ensuite les outils réellement utilisés, en croisant les déclarations avec les relevés de cartes bancaires de service et la liste des applications autorisées. Qualifiez les données des trois à cinq cas d’usage principaux. Testez votre chaîne de responsabilité sur quatre scénarios concrets. Terminez par un plan de quatre-vingt-dix jours avec un porteur nommé par action.
Combien de temps prend un audit IA dans une PME ?
Comptez trois à cinq semaines pour une entreprise de moins de 500 salariés, dont l’essentiel est consacré à l’inventaire, qui dépend de la réactivité des directions sollicitées. Le cadrage tient en une réunion de deux heures. La qualification des données demande une demi-journée par cas d’usage. La rédaction du plan de quatre-vingt-dix jours prend une journée. Ce n’est pas un chantier annuel.
Un audit IA est-il obligatoire avec le règlement européen ?
Le règlement sur l’intelligence artificielle n’impose pas d’audit sous ce nom. Il impose en revanche des obligations qu’un audit permet de vérifier : la transparence sur les interactions avec un système d’IA et sur les contenus générés, applicable depuis le 2 août 2026, et un niveau suffisant de maîtrise de l’IA chez les personnes qui utilisent ces systèmes, applicable depuis février 2025. Sans inventaire, vous ne pouvez pas démontrer que vous les tenez.
Faut-il faire appel à un cabinet pour un audit IA ?
Pas pour commencer. Le cadrage, l’inventaire et le plan de quatre-vingt-dix jours se conduisent en interne, et gagnent à l’être : ils reposent sur la connaissance de vos circuits d’autorisation. Un regard extérieur apporte de la valeur sur la qualification des données, sur la mise à l’épreuve de la gouvernance et sur la traduction des constats en arbitrage d’investissement, trois exercices où l’organisation a du mal à se voir elle-même.
Que faire si l’audit révèle des usages non déclarés ?
Ne sanctionnez pas : vous obtiendriez une deuxième vague d’usages encore plus discrets. Régularisez dans les trente premiers jours, en fermant d’abord les usages qui exposent des données personnelles ou stratégiques sans base légale identifiée, puis en basculant les abonnements individuels vers des contrats d’entreprise. Publiez ensuite une note d’usage d’une page. La clarté du cadre fait plus pour la remontée d’information que la menace.
Pour aller plus loin
- CNIL, ministère du Travail et des Solidarités et AFCDP · Observatoire du métier de DPO, les DPO à l’heure de l’IA (juillet 2026)
- CNIL · les fiches pratiques IA et la liste des points à vérifier
- Bpifrance Le Lab · 82e baromètre semestriel de conjoncture des TPE-PME
- France Num · baromètre du numérique et de l’IA dans les TPE et PME
- NIST · AI Risk Management Framework
Vous voulez lancer votre audit IA et savoir quelles étapes garder en interne : réservez un cadrage avec nous.
La rédaction Afervescence. Cabinet de conseil en stratégie et IA, fondé par Tania Gombert. Nous accompagnons dirigeants et comités de direction de PME et ETI sur le cadrage stratégique, la transformation digitale et l’IA responsable.
Recevoir les prochaines analyses
Methodologie GEO, cas d'audit anonymises, signaux marche IA. Publications regulieres.
Donnees hebergees en Europe. Desinscription en 1 clic.
