Un audit IA sérieux regarde au-delà du gain de temps. Les usages de l’intelligence artificielle traversent les données de l’entreprise, leurs accès et leurs flux vers des outils externes. Ce territoire est celui de la cybersécurité, et les deux lectures gagnent à se mener ensemble. Le vocabulaire varie d’une source à l’autre, audit cybersécurité, cyber audit ou cybersécurité audit, le périmètre reste le même. La protection des systèmes, la maîtrise des accès et la conformité des traitements forment le socle commun.
Pourquoi les deux audits se rejoignent
Un outil d’IA générative reçoit des données et en renvoie d’autres. Chaque usage crée un flux, vers un service hébergé, à travers des comptes, dans des historiques. La question de la valeur et la question de la sécurité se posent sur le même trajet. Prenons un cas répété dans les observations de terrain. Un collaborateur colle un extrait de contrat dans un assistant public pour gagner dix minutes. Le gain est réel, le flux de données l’est tout autant. L’audit d’usages seul regarde le premier, l’audit de sécurité seul regarde le second. La lecture combinée voit les deux.
L’observation de 245 fiches d’organisations et de 138 lignes de frictions, réunies dans une base interne consacrée aux TPE et PME françaises, montre des schémas qui se répètent. Des comptes partagés entre collègues, des exports de fichiers clients sur des postes personnels, des outils adoptés par une équipe sans validation officielle. Chacun de ces schémas est à la fois une friction d’usage et un sujet de sécurité. Les traiter d’un seul mouvement donne une carte unique, lisible par la direction et par les équipes.
Ce que le volet sécurité d’un audit IA examine
Trois familles de questions structurent ce volet. La gouvernance des accès d’abord. Qui peut utiliser quoi, avec quel compte, depuis quel poste. Les flux de données ensuite. Quelles informations entrent dans un outil, où elles sont conservées, combien de temps elles y restent, qui peut les retrouver. La conformité enfin. Le respect des principes du RGPD sur les données personnelles, la classification des usages selon les niveaux de risque de l’AI Act, la traçabilité des décisions assistées. Ces questions se traitent avec des moyens simples dès lors qu’elles sont nommées.
- Qui détient un compte sur quel outil, et qui peut créer ou supprimer des accès.
- Quelles données clients, salariés ou techniques sortent de l’entreprise à chaque usage.
- Où ces données sont hébergées, combien de temps elles y restent, qui peut les consulter.
- Quels usages touchent des données personnelles au sens du RGPD.
- Quels usages relèvent des niveaux de risque décrits par l’AI Act.
La conformité, au niveau des principes publics
Le RGPD s’applique dès qu’une donnée personnelle entre dans le circuit, quel que soit l’outil. Les principes connus tiennent en quelques repères. Minimiser les données transmises, informer les personnes concernées, encadrer les sous-traitants, garder une trace des traitements. L’AI Act, le cadre européen de l’intelligence artificielle, classe les usages par niveaux de risque et échelonne les obligations dans le temps selon cette classification. Certains usages sont interdits d’emblée, d’autres exigent une maîtrise renforcée, la plupart relèvent du régime commun. Le travail utile pour un dirigeant consiste à classer ses usages réels, puis à documenter les décisions assistées.
L’ANSSI publie des guides d’hygiène informatique accessibles aux petites structures. La gestion des identités et des accès y occupe une place centrale, et ces repères publics forment un socle qui s’articule naturellement avec l’analyse des usages IA.
Les usages fantômes, le point de recouvrement le plus net
Le volet sécurité fait remonter ce que l’audit d’opportunités voit moins. Une large part des collaborateurs utilise des outils IA grand public avec leurs comptes personnels, parfois avec des données clients ou des extraits de documents internes. Ces usages restent hors des politiques écrites et forment le risque le plus immédiat, précisément parce qu’ils sont invisibles. Un entretien d’équipe suffit souvent à les lister. La page consacrée à l’audit IA pour PME détaille cette partie, avec dix questions d’auto-audit prêtes à poser.
Un seul ordre de marche pour les deux lectures
Le même déroulé sert les deux objectifs, et l’observation de 142 outils analysés dans la même base interne confirme la récurrence des familles de risques. Cartographier les usages réels et les outils en circulation, comptes personnels compris. Tracer les flux de données qui accompagnent chaque usage. Classer les usages selon leur sensibilité et leur niveau de risque. Désigner un responsable des accès et des outils. Installer une revue courte et régulière qui met la carte à jour.
- Cartographiez usages, outils et comptes, y compris les usages personnels.
- Tracez les flux de données de chaque usage, entrants et sortants.
- Classez les usages par sensibilité et par niveau de risque.
- Nommez un responsable des accès et des outils.
- Tenez une revue courte qui met la carte à jour à chaque étape.
La valeur des usages et la sécurité des données se pilotent avec la même carte, celle de la gouvernance.
Relier les deux lectures à la méthode d’audit
La méthode complète se trouve dans l’article Audit IA en entreprise, la méthode complète pour démarrer. Cartographier, mesurer, prioriser. Le volet sécurité se greffe sur la première étape, les flux de données identifiés pendant la cartographie alimentent directement l’analyse de risque. Pour cadrer une commande d’audit externe, l’article Audit IA pour PME, ce qu’un diagnostic sérieux contient vraiment liste les quatre livrables à exiger et les questions à poser avant de signer.
Commencer par un repère gratuit
L’autodiagnostic IA Diagnostic couvre les cinq dimensions de la méthode, dont les données et les outils, puis l’ambition et la gouvernance. Vingt questions, un score de maturité, trois pistes de travail adaptées à vos réponses, sans inscription. Le résultat sert de première carte pour les deux lectures, la valeur des usages et la maîtrise des risques.