Pourquoi un audit de conformité IA ne suffit pas

Ce que produit un audit

Auditer un système d'IA, c'est constater un état : quel est le niveau de risque de discrimination dans les données d'entraînement, la documentation technique existe-t-elle, la supervision humaine est-elle réellement effective ou seulement nominale. Un audit sérieux (par exemple, une analyse de la représentativité d'un jeu de données et une détection statistique de biais) représente déjà plusieurs jours de travail à lui seul, avant même de parler de correction.

Le résultat d'un audit est un diagnostic : un rapport qui dit ce qui ne va pas, et pourquoi.

Ce qu'exige la mise en conformité

Rendre un système conforme, c'est agir sur ce que l'audit a révélé. Si l'audit détecte un déséquilibre dans les données d'entraînement, la mise en conformité implique de rééquilibrer ce jeu de données, potentiellement de ré-entraîner le modèle, puis de vérifier que la correction a bien résolu le problème identifié. Si l'audit constate l'absence de dispositif de journalisation, la mise en conformité implique de concevoir ce dispositif, de l'implémenter avec les équipes techniques, et de tester qu'il fonctionne réellement en production.

C'est un travail plus long, plus technique, et qui implique des compétences différentes de celles mobilisées pour l'audit lui-même. Il dépasse largement le seul conseil en conformité IA : la mise en conformité réelle mobilise autant l'expertise technique que l'expertise réglementaire.

Pourquoi cette distinction est rarement faite explicitement

Deux raisons expliquent cette confusion, et elles se renforcent l'une l'autre :

Le vocabulaire l'entretient. On parle indifféremment de "mettre un système en conformité" pour désigner le diagnostic et pour désigner la correction, alors que ce sont deux étapes séquentielles, pas une seule opération.

Les prestataires ont intérêt à l'entretenir. Un audit se vend plus facilement et se réalise plus vite qu'un accompagnement de mise en conformité réelle. Beaucoup d'approches de conseil IA s'arrêtent donc au diagnostic et à la documentation, laissant la charge de la correction effective aux équipes internes, sans méthodologie ni coordination dédiée pour ce second temps, souvent le plus exigeant.

Cette confusion audit/mise en conformité n'est d'ailleurs pas propre à l'AI Act : elle existe tout autant en matière de RGPD, où un audit de conformité et la mise en œuvre effective des mesures (chiffrement, durées de conservation, procédures de consentement) restent deux travaux tout aussi distincts.

Ce que ça change pour une organisation qui se lance dans ce chantier

Deux conséquences pratiques, si cette distinction n'est pas posée dès le départ :

Un budget de mission qui ne couvre que l'audit laissera l'essentiel du travail, et donc l'essentiel du risque résiduel, à la charge des équipes internes, sans qu'elles aient nécessairement la méthodologie ou le temps dédié pour le mener seules.

Un calendrier qui ne distingue pas les deux phases sous-estime systématiquement la durée réelle d'un programme de mise en conformité : le diagnostic se compte en semaines, la mise en conformité technique se compte en mois. C'est aussi à ce stade qu'une gouvernance de suivi devient nécessaire, pour arbitrer les priorités de correction plutôt que de les traiter au fil de l'eau.

La bonne question à se poser avant de lancer un projet de conformité IA

Ce n'est pas "avons-nous fait l'audit de nos systèmes d'IA" qui compte. La différence entre ces deux questions est exactement la différence entre un dossier qui rassure sur le papier et un système qui résiste réellement à un contrôle. C'est précisément ce que notre audit de conformité AI Act permet d'objectiver, système par système.

📎 Textes officiels : règlement (UE) 2024/1689 (AI Act) et règlement (UE) 2016/679 (RGPD).