Fiche – Audit des systèmes d’IA

22 juin 2026.

Fiche – Audit des systèmes d’intelligence artificielle

Présentation générale

L’audit des systèmes d’intelligence artificielle désigne l’ensemble des procédures destinées à évaluer, vérifier, documenter et démontrer qu’un système d’IA respecte les exigences juridiques, techniques, organisationnelles et éthiques qui lui sont applicables. Il constitue aujourd’hui l’un des principaux instruments de gouvernance de l’intelligence artificielle.

L’audit peut intervenir à différentes étapes du cycle de vie d’un système :

  • conception ;
  • développement ;
  • déploiement ;
  • exploitation ;
  • mise à jour ;
  • retrait du marché.

Il peut également poursuivre des objectifs variés :

  • démontrer la conformité à l’AI Act ;
  • vérifier le respect du RGPD ;
  • contrôler la qualité des données ;
  • évaluer les risques pour les droits fondamentaux ;
  • vérifier les mesures de cybersécurité ;
  • examiner les mécanismes de supervision humaine ;
  • préparer une évaluation de conformité ou un contrôle d’autorité.

L’analyse de la base documentaire Dabo Tibi Ius montre que l’audit devient progressivement un élément central de la gouvernance des systèmes d’IA. Les notions de documentation technique, de gestion des risques, de supervision humaine, de traçabilité et de conformité réglementaire occupent une place croissante dans les travaux doctrinaux consacrés à l’AI Act.

L’audit ne constitue pas seulement un contrôle ponctuel. Il s’inscrit dans une logique de surveillance continue destinée à garantir la maîtrise des risques juridiques, techniques, économiques et réputationnels associés à l’utilisation de l’intelligence artificielle.

Points essentiels

  • L’audit vise à démontrer la conformité d’un système d’IA.
  • Il constitue un outil central de gouvernance et de gestion des risques.
  • La qualification juridique préalable du système est indispensable.
  • Les systèmes à haut risque nécessitent un niveau d’audit particulièrement élevé.
  • La documentation technique constitue l’un des piliers de l’audit.
  • Les audits doivent souvent intégrer les exigences du RGPD.
  • L’audit ne garantit pas l’absence de risque mais permet de les identifier, documenter et réduire.
  • L’AI Act renforce considérablement l’importance des mécanismes d’audit et de contrôle.

Définition

Définition technique

L’audit d’un système d’intelligence artificielle consiste à examiner son fonctionnement afin d’évaluer :

  • ses performances ;
  • sa robustesse ;
  • sa sécurité ;
  • ses biais éventuels ;
  • sa qualité documentaire ;
  • sa gouvernance ;
  • sa conformité réglementaire.

L’audit peut être réalisé :

  • en interne ;
  • par un cabinet spécialisé ;
  • par un organisme tiers ;
  • dans certains cas, par un organisme notifié intervenant dans le cadre de l’évaluation de conformité prévue par l’AI Act.

Définition juridique

D’un point de vue juridique, l’audit vise à démontrer qu’un système respecte les obligations qui lui sont applicables.

Selon les cas, il peut porter sur :

  • le règlement (UE) 2024/1689 (AI Act) ;
  • le RGPD ;
  • les réglementations sectorielles ;
  • les exigences de cybersécurité ;
  • les normes internes de gouvernance ;
  • les exigences contractuelles.

Cadre juridique

Le règlement européen sur l’intelligence artificielle (AI Act)

Le principal texte applicable est le règlement (UE) 2024/1689 du 13 juin 2024 établissant des règles harmonisées concernant l’intelligence artificielle.

L’AI Act adopte une approche fondée sur les risques et impose des obligations particulièrement importantes pour les systèmes qualifiés de haut risque.

Obligations susceptibles de faire l’objet d’un audit

Pour les systèmes à haut risque, l’audit porte notamment sur :

  • le système de gestion des risques ;
  • la gouvernance des données ;
  • la qualité des données ;
  • la documentation technique ;
  • les journaux de fonctionnement ;
  • la transparence ;
  • la supervision humaine ;
  • l’exactitude ;
  • la robustesse ;
  • la cybersécurité.

Source Dabo Tibi Ius

Systèmes d’IA à haut risque : définition et obligations (AI Act)
Source : Dabo Tibi Ius
Date : 12 juin 2026

URL :
https://dabotibius.ai/fiche-systemes-dia-a-haut-risque-ai-act/

Cette fiche rappelle que les obligations de conformité concernent l’ensemble du cycle de vie du système et que les autorités peuvent exiger des preuves documentées de conformité.

Documentation technique

La documentation constitue l’un des fondements de tout audit.

L’article 11 et l’annexe IV de l’AI Act imposent aux fournisseurs de systèmes à haut risque de produire une documentation suffisamment détaillée pour permettre l’évaluation de la conformité.

Source Dabo Tibi Ius

Une analyse critique des exigences en matière de documentation technique de l’article 11 et de l’annexe IV du règlement européen sur l’intelligence artificielle (IA Act)

  • Auteurs : Winston Maxwell et Alicia Breidenstein
  • Source : HAL
  • Date : 2025

URL :
https://dabotibius.ai/une-analyse-critique-des-exigences-en-matiere-de-documentation-technique-de-larticle-11-et-de-lannexe-iv-du-reglement-europeen-sur-lintelligence-artificielle-ia-act-2025/

L’étude met en évidence les difficultés pratiques rencontrées lors de la documentation des systèmes complexes et des modèles reposant sur des composants tiers.

Articulation avec le RGPD

Lorsqu’un système traite des données personnelles, l’audit doit également examiner :

  • la base légale du traitement ;
  • l’information des personnes ;
  • la minimisation des données ;
  • la sécurité ;
  • les transferts ;
  • la sous-traitance ;
  • les analyses d’impact ;
  • les décisions automatisées.

L’article 22 du RGPD revêt une importance particulière lorsqu’un système contribue à des décisions individuelles automatisées.

Source Dabo Tibi Ius

Intervention humaine, contrôle humain et explicabilité : propos sur l’articulation entre le Règlement sur l’intelligence artificielle et le RGPD

  • Auteur : Liane Huttner
  • Source : RDSS 2024, p. 757

URL :
https://dabotibius.ai/intervention-humaine-controle-humain-et-explicabilite-propos-sur-larticulation-entre-le-reglement-sur-lintelligence-artificielle-et-le-rgpd/

Cette étude analyse les complémentarités entre le RGPD et l’AI Act en matière de contrôle humain et d’explicabilité.

Méthodologie d’audit

1. Cartographie des systèmes

L’audit commence par l’identification :

  • des systèmes utilisés ;
  • des fournisseurs ;
  • des finalités ;
  • des utilisateurs ;
  • des données traitées ;
  • des personnes concernées ;
  • des intégrations techniques.

2. Qualification juridique

L’auditeur doit déterminer si le système relève :

  • des pratiques interdites ;
  • des systèmes à haut risque ;
  • des systèmes à risque limité ;
  • des GPAI ;
  • ou d’un logiciel ne relevant pas de certaines obligations spécifiques de l’AI Act.

3. Analyse des risques

L’audit examine notamment :

  • les risques pour les droits fondamentaux ;
  • les discriminations ;
  • les risques de sécurité ;
  • les atteintes à la vie privée ;
  • les risques de cybersécurité ;
  • les risques de responsabilité.

4. Vérification documentaire

L’audit contrôle :

  • la documentation technique ;
  • les registres ;
  • les politiques internes ;
  • les analyses d’impact ;
  • les contrats ;
  • les procédures d’incident ;
  • les instructions d’utilisation.

5. Tests et contrôles

Selon les cas :

  • tests de performance ;
  • tests de robustesse ;
  • évaluations des biais ;
  • audits de cybersécurité ;
  • vérifications d’explicabilité ;
  • contrôles des hallucinations pour les systèmes génératifs.

6. Plan de remédiation

L’audit doit déboucher sur :

  • des mesures correctrices ;
  • des améliorations documentaires ;
  • des adaptations organisationnelles ;
  • un renforcement de la supervision humaine ;
  • des actions de formation ;
  • une éventuelle limitation des usages.

Jurisprudence

CJUE, 7 décembre 2023, SCHUFA Holding AG, C-634/21

Cette décision constitue une référence importante pour l’audit des systèmes automatisés.

La Cour de justice a renforcé l’attention portée aux systèmes de scoring lorsqu’ils jouent un rôle déterminant dans une décision affectant une personne.

Pour les auditeurs, cet arrêt souligne l’importance :

  • d’analyser la chaîne décisionnelle complète ;
  • d’identifier le rôle réel du système ;
  • d’évaluer les garanties offertes aux personnes concernées.

Acteurs de l’audit

Les audits impliquent généralement :

  • fournisseurs de systèmes d’IA ;
  • déployeurs ;
  • directions juridiques ;
  • DPO ;
  • RSSI ;
  • directions conformité ;
  • directions métiers ;
  • auditeurs internes ;
  • cabinets spécialisés ;
  • organismes notifiés ;
  • autorités de surveillance.

Débats actuels

Quel niveau de preuve faut-il fournir ?

Les organisations doivent démontrer leur conformité mais les standards pratiques d’audit restent en cours de construction.

Comment auditer les modèles opaques ?

Les modèles complexes, notamment les modèles génératifs, soulèvent des difficultés d’explicabilité et de vérification.

Les exigences documentaires sont-elles réalistes ?

Les travaux de Winston Maxwell et Alicia Breidenstein mettent en lumière les difficultés pratiques liées à la documentation des systèmes reposant sur des composants tiers.

Quel coût pour la conformité ?

Les PME, legaltechs et petites structures peuvent rencontrer des difficultés importantes pour financer des audits complets et continus.

Actualité récente

L’actualité récente montre une montée en puissance des démarches de préparation à l’AI Act.

Source Dabo Tibi Ius

À Sophia Antipolis, les entreprises s’organisent pour anticiper l’AI Act

  • Source : Les Petites Affiches des Alpes-Maritimes
  • Date : 2026

Cet article illustre le développement des dispositifs de gouvernance, de cartographie, de documentation et de conformité au sein des organisations.

Bibliographie documentaire Dabo Tibi Ius

1. Systèmes d’IA à haut risque : définition et obligations (AI Act)

2. Une analyse critique des exigences en matière de documentation technique de l’article 11 et de l’annexe IV du règlement européen sur l’intelligence artificielle (IA Act)

3. Intervention humaine, contrôle humain et explicabilité : propos sur l’articulation entre le Règlement sur l’intelligence artificielle et le RGPD

4. À Sophia Antipolis, les entreprises s’organisent pour anticiper l’AI Act

  • Source : Les Petites Affiches des Alpes-Maritimes
  • Date : 2026
  • URL : à compléter selon la base Dabo Tibi Ius.

5. Systèmes d’IA à haut risque : identification, obligations des différents acteurs

  • Auteur : Bertrand Cassar
  • Source : Le Lamy Droit de l’IA
  • Date : 2025
  • URL : à compléter selon la base Dabo Tibi Ius.

FAQ

L’audit d’un système d’IA est-il obligatoire ?

Pas systématiquement. Toutefois, pour les systèmes à haut risque, les obligations de conformité rendent l’audit pratiquement indispensable.

Qui peut réaliser un audit ?

Le fournisseur, le déployeur, un auditeur interne, un cabinet spécialisé ou un organisme notifié selon les situations.

Quels éléments faut-il auditer en priorité ?

La qualification du système, les données, la documentation, les risques, la supervision humaine et la cybersécurité.

L’audit concerne-t-il uniquement les systèmes à haut risque ?

Non. Les audits peuvent également être justifiés par le RGPD, la cybersécurité, les exigences contractuelles ou la gouvernance interne.

Un audit garantit-il l’absence de risque ?

Non. Il permet d’identifier, d’évaluer et de réduire les risques mais ne supprime jamais totalement les risques techniques ou juridiques.

Pour aller plus loin

  • AI Act
  • Systèmes d’IA à haut risque
  • Documentation technique
  • Évaluation de conformité
  • Gouvernance de l’IA
  • RGPD et intelligence artificielle
  • Gestion des risques algorithmiques
  • Explicabilité
  • Audit algorithmique

Méthodologie : Cette fiche a été générée avec l’assistance de l’intelligence artificielle à partir de la base documentaire et de sources juridiques complémentaires lorsque cela était nécessaire. Elle constitue une synthèse documentaire et ne remplace pas un avis juridique.

Résumé pédagogique

Définition

L’audit des systèmes d’intelligence artificielle consiste à vérifier qu’un système respecte les exigences juridiques, techniques et organisationnelles qui lui sont applicables.

Exemple

Une banque utilisant un système d’IA pour évaluer des demandes de crédit peut auditer ce système afin de vérifier sa conformité à l’AI Act, au RGPD et aux exigences internes de gestion des risques.

Problématique juridique

L’audit vise à démontrer la conformité, à réduire les risques de responsabilité et à assurer la protection des droits fondamentaux des personnes affectées par les systèmes d’IA.

Cadre légal

Le cadre juridique repose principalement sur le règlement (UE) 2024/1689 (AI Act), le RGPD, les règles sectorielles applicables ainsi que les obligations de documentation, de gouvernance et de gestion des risques imposées aux acteurs de l’intelligence artificielle.

Fiches Dabo Tibi Ius associées :

Articles connexes

Fiches connexes