Audit de maturité IA
savoir où en est votre organisation avant de décider
L'audit de maturité IA établit ce que votre organisation fait réellement avec l'intelligence artificielle, y compris les usages installés sans cadre par les équipes. Il distingue les usages à arrêter, ceux à encadrer et ceux à développer, et débouche sur une feuille de route priorisée présentée à la direction.
L'obligation de maîtrise de l'IA du règlement (UE) 2024/1689 présenté par la Commission européenne s'applique depuis le 2 février 2025 : former ses équipes suppose de savoir d'abord qui utilise quoi, avec quelles données.
✅ État des lieux des usages réels de l'IA, service par service
✅ Usages à arrêter, à encadrer et à développer, tranchés un à un
✅ Feuille de route priorisée et restituée à votre direction
Mis à jour le 6 novembre 2026.
Pourquoi la direction ne connaît pas tous les usages de l'IA de ses équipes
La direction connaît les outils qu'elle a achetés, pas ceux que les équipes ouvrent elles-mêmes dans un navigateur, sur des comptes personnels et sans ligne budgétaire : c'est cet écart entre l'usage supposé et l'usage réel que l'audit va chercher, service par service.
DéfinitionShadow AI : usage d'outils d'intelligence artificielle par les équipes sans validation ni cadre formalisé de l'organisation.
- Accès immédiat : un assistant génératif s'ouvre sans installation ni achat.
- Gain individuel : le temps gagné ne se déclare pas.
- Absence de règle : sans charte, personne ne se sait en infraction.
- Crainte du refus : déclarer, c'est risquer l'interdiction.
Un inventaire demandé par la hiérarchie ne remonte que ce que les équipes acceptent de dire : d'où le questionnaire confidentiel, dont les réponses ne remontent pas nominativement.
Un inventaire demandé par la hiérarchie ne remonte que ce que les équipes acceptent de dire. Le questionnaire confidentiel, dont les réponses ne remontent pas nominativement, fait apparaître l'écart entre usages déclarés et usages constatés.
Ce que l'audit recense : les usages réels, service par service
L'audit recense outil par outil les usages installés dans chaque service, fonctions d'IA intégrées à un logiciel métier comprises, puis rattache chaque usage aux traitements du registre de l'article 30 du RGPD et aux décisions automatisées visées par son article 22 sur la décision individuelle automatisée.
- Rédaction et traduction : courriers, notes, comptes rendus.
- Relation client : agents conversationnels exposés au public.
- Ressources humaines : tri de candidatures, suivi d'activité.
- Analyse documentaire : contrats injectés dans les invites.
- Développement : génération de code.
Un outil non estampillé « IA » peut entrer dans le périmètre. Un agent conversationnel public relève d'obligations de conformité propres au chatbot, et les usages recensés se confrontent aux recommandations de sécurité de l'ANSSI sur l'IA générative.
Arrêter, encadrer, développer : les trois décisions que l'audit permet
Chaque usage recensé reçoit une décision : les trois régimes décalquent le règlement (UE) 2024/1689, dont les pratiques interdites (article 5) s'appliquent depuis le 2 février 2025, et les obligations déjà posées par le RGPD.
| Décision | Ce qui la déclenche | Ce que l'organisation met en place |
|---|---|---|
| Arrêter | Pratique interdite par le règlement (UE) 2024/1689 | Suspension immédiate, information des équipes |
| Encadrer | Décision automatisée (article 22) ou traitement listé par la délibération CNIL n° 2018-327 du 11 octobre 2018 | Règle d'usage écrite, information des personnes, analyse d'impact (article 35) |
| Développer | Gain confirmé, sans donnée personnelle | Extension à d'autres services, formation |
L'avis 28/2024 du Comité européen de la protection des données, adopté le 17 décembre 2024, rappelle qu'un modèle entraîné sur des données personnelles n'est pas anonyme par principe : l'anonymat s'apprécie au cas par cas, et l'organisation qui déploie un outil tiers doit vérifier comment il a été développé. L'audit constate sans produire ni registre, ni analyse d'impact, ni classification de vos systèmes ; il s'achète seul et prépare la mise en conformité au règlement européen sur l'IA sans l'engager. Son cadrage dépend du nombre de services et d'outils recensés.
La restitution à la direction et la feuille de route priorisée
La restitution présente à la direction l'écart entre usages déclarés et usages constatés, puis la feuille de route — arrêts immédiats, règles d'encadrement à écrire, usages à étendre — chaque action portant un responsable et un rang de priorité.
- Agréger les réponses par service, sans désigner personne.
- Présenter l'écart entre usages déclarés et usages constatés.
- Trancher les usages à suspendre immédiatement.
- Ordonner les règles d'encadrement par niveau de risque.
- Attribuer chaque action à un responsable, avec une échéance.
La fonction « Map » du cadre de management du risque IA du NIST (AI RMF 1.0, janvier 2023) pose la cartographie avant la gouvernance. La direction arbitre : la conformité reste celle de l'organisation, article 24 du RGPD. Une structure déjà dotée d'un délégué part de son registre ; l'audit s'articule avec un mandat de délégué à la protection des données externalisé plutôt qu'il ne s'y substitue.
Questions fréquentes sur l'audit de maturité IA
Comment recueillir des usages d'IA que les équipes ne déclarent pas à leur hiérarchie ?
Par un double canal : des entretiens par service et un questionnaire adressé directement aux équipes, dont les réponses ne remontent pas nominativement à la direction. La confidentialité est annoncée avant le recueil, et la restitution agrège les réponses par service, sans identifier personne. C'est cette garantie qui fait apparaître les outils installés en dehors de tout cadre, souvent sur comptes personnels. Sans elle, l'état des lieux ne reflète que ce que la direction sait déjà.
L'audit a-t-il un intérêt si aucun outil d'IA n'a été déployé officiellement chez nous ?
Oui, et c'est souvent là qu'il rapporte le plus. L'absence de déploiement officiel ne signifie pas l'absence d'usage : assistants de rédaction, traduction, transcription de réunions ou génération de code s'installent par initiative individuelle. L'audit mesure cet écart entre l'usage supposé et l'usage réel, puis indique ce qui doit cesser immédiatement et ce qui mérite d'être encadré. Une organisation qui n'a rien décidé reste responsable de ce que ses équipes font.
Que couvre l'audit de maturité IA de moins qu'un audit RGPD ?
Il ne dresse pas l'inventaire complet des traitements de l'organisation, ne produit pas le registre et ne statue pas sur les besoins d'analyse d'impact de l'ensemble des activités. Il porte sur les usages de l'intelligence artificielle : qui s'en sert, pour quoi, avec quelles données et quel fournisseur. Les constats qui touchent aux données personnelles sont signalés et renvoyés vers le chantier RGPD, qui se conduit séparément.
Peut-on s'arrêter après l'audit et exploiter les conclusions en interne ?
Oui : l'audit s'achète seul. Vous repartez avec l'état des lieux des usages, le tri entre ce qui doit s'arrêter, s'encadrer ou se développer, et une feuille de route priorisée exploitable par vos équipes. Les décisions urgentes — un usage à suspendre, une donnée sensible envoyée vers un service grand public — peuvent être prises dès la restitution. La suite, charte d'usage et mise en conformité à l'IA Act, se décide ensuite, sans engagement pris au départ.
Qui reçoit la restitution, et sous quelle forme ?
La restitution s'adresse à la direction générale, accompagnée selon les cas du responsable informatique, du délégué à la protection des données et des directions métiers concernées. Elle présente les usages constatés par service, les décisions à prendre et leur ordre de priorité. Les réponses au questionnaire restent agrégées : aucune personne n'y est désignée. C'est à la direction, et non au prestataire, qu'il revient d'arbitrer ce qui est autorisé dans l'organisation.
Notre DPO ne peut-il pas faire cet état des lieux lui-même ?
Il en est un acteur naturel, et son registre constitue un point de départ utile. L'audit élargit le regard : il recueille aussi, sous garantie de confidentialité, les usages que les équipes n'ont déclarés à personne, et il couvre ce qui dépasse les seules données personnelles : qualité des sorties, dépendance à un fournisseur, propriété intellectuelle, information des personnes concernées par une décision automatisée. Il s'articule avec le délégué déjà en place plutôt qu'il ne s'y substitue.
Nos prestations
DPO Externe
Mise en conformité RGPD
Mise en conformité IA Act
