Audit d'IA : ce que c'est, ce qu'il couvre et pourquoi les régulateurs y tiennent

La première fois qu’on vous dit que votre IA a besoin d’un audit, cela ressemble rarement à une suggestion amicale. La demande vient généralement d’un membre du conseil, de l’équipe de sécurité d’un gros client ou d’un régulateur, et elle arrive presque toujours avec une échéance. Voici donc la réponse claire que vous cherchez : ce qu’est un audit d’IA, ce qu’il couvre, quel type vous pourriez avoir besoin, qui en a besoin et ce que les réglementations actuelles sur l’IA attendent de vous.

Un audit d’IA est une revue structurée et fondée sur des preuves d’un système d’intelligence artificielle (IA) et de l’organisation qui l’exploite, mesurée à l’aune de critères techniques, opérationnels, éthiques et juridiques clairs. Il examine les données, le comportement du modèle, le logiciel qui l’entoure, la sécurité, la supervision humaine et la gouvernance, et il pose la seule question qu’une démonstration produit ne pose jamais : ce système fait-il réellement le travail pour lequel il a été construit, en toute sécurité et à un coût qui a du sens ?

C’est cette dernière question qui sépare un véritable audit d’un simple exercice de cases à cocher. Beaucoup de revues confirmeront si votre IA est juridiquement en règle. Bien moins nombreuses sont celles qui demandent si elle est fiable, si les gens lui feront confiance et si elle justifie ce qu’elle coûte.

Ce qu'un audit d'IA n'est pas

Avant d’aller plus loin, dissipons une certaine confusion, car l’expression se voit accolée à au moins trois choses sans rapport :

Un audit d’opportunités d’IA cherche les endroits de votre entreprise où l’IA pourrait être introduite.
Un audit réalisé avec des outils d’IA utilise un logiciel pour aider un humain à examiner des factures ou des contrats, ce qui en fait en réalité un audit interne ou financier plus intelligent.
Un audit financier traditionnel touche parfois un produit d’IA, même si son attention reste portée sur les comptes de l’entreprise plutôt que sur l’IA elle-même.

Cet article ne traite d’aucun d’eux. Notre sujet est la revue d’un système d’IA que vous exploitez déjà ou que vous êtes sur le point de livrer.

Même dans ce sens plus restreint, la forme exacte d’un audit dépend des critères que vous fixez, des preuves disponibles, de l’accès accordé aux examinateurs et du niveau d’assurance dont vous avez réellement besoin. Une vérification rapide avant une démonstration et une revue complète avant le lancement sont toutes deux des audits d’IA, et elles se ressemblent très peu. C’est cette même rigueur que Redwerk apporte à son travail d’audit logiciel indépendant, dont l’objectif est une image claire et honnête indiquant si l’on peut s’appuyer sur un système en toute sécurité.

Pourquoi un audit d'IA compte plus qu'une case de conformité à cocher

Il est tentant de ranger un audit d’IA sous « paperasse » et de passer à autre chose. Les chiffres plaident fortement contre cette idée.

À la fin de l’année dernière, Gartner a constaté qu’au moins la moitié des projets d’IA générative avaient été abandonnés après l’étape de preuve de concept, coulés par une mauvaise qualité des données, des contrôles de risque faibles, des coûts qui dérapent ou une valeur métier qui n’apparaissait jamais tout à fait. C’est une nette hausse par rapport aux quelque 30 % que le cabinet avait initialement prédits. Vous pouvez lire les détails dans l’analyse de Gartner sur les raisons de l’échec des projets d’IA générative. La leçon n’est pas qu’une part fixe de l’IA est condamnée, mais que la même poignée de problèmes continue de couler des travaux par ailleurs prometteurs, et chacun d’eux est quelque chose qu’un audit est conçu pour détecter.

Nous voyons les mêmes histoires se répéter encore et encore. Une démonstration éblouit tout le monde parce qu’elle tournait sur des données de test impeccables, puis trébuche dès l’arrivée de vraies demandes de clients. Un score de benchmark paraît fantastique, mais personne n’a vérifié si ces questions de test ressemblent à ce que les utilisateurs tapent réellement. Les prompts et les réglages sont ajustés à la volée sans trace de qui a changé quoi ni pourquoi. Les factures de cloud et de tokens grimpent en silence jusqu’à ce que les calculs de tout le projet cessent de tenir. La revue humaine figure dans le document de politique, mais n’existe nulle part dans le produit réel.

Beaucoup de ces problèmes sont précisément la raison pour laquelle tant de déploiements prometteurs ne dépassent jamais le stade de l’essai, un schéma que nous avons décortiqué dans pourquoi les pilotes d’IA en entreprise calent avant la production. Un audit transforme ces inquiétudes vagues et lancinantes en une liste concrète et priorisée sur laquelle vous pouvez agir avant qu’elles ne deviennent un titre de presse ou une vague de demandes de remboursement.

Ce qu'implique l'audit de l'IA : les trois couches

Quand on demande ce qu’implique l’audit de l’IA, il est utile de penser le système comme trois couches, car les problèmes aiment se cacher à des endroits différents selon l’endroit où l’on regarde :

L’organisation et la gouvernance couvrent le versant humain du système : qui est propriétaire de l’IA, quelles politiques régissent son usage, comment les décisions sont validées, comment les incidents sont traités et si quelqu’un surveille réellement le système une fois qu’il est en service. Un modèle brillant sans propriétaire ni supervision est un risque qui n’attend que de faire surface.
Le modèle et les données est l’endroit où la revue vérifie à quel point le modèle est réellement précis, si les données d’entraînement et de test valent quelque chose, si le système traite équitablement différents groupes de personnes, si vous pouvez expliquer les décisions qu’il prend et si son comportement dérive avec le temps à mesure que le monde change autour de lui.
L’application et le système en production est le logiciel enveloppant le modèle. Il couvre la façon dont le système récupère l’information, gère ce que tapent les utilisateurs, se connecte à vos autres outils, se prémunit contre les abus, enregistre ce qui se passe quand quelque chose tourne mal et ce que coûte l’ensemble pour rester en fonctionnement. Un modèle sûr et précis peut tout de même semer le chaos si le logiciel qui le soutient fuit ou est fragile.

La profondeur à laquelle un audit descend dans chaque couche dépend de la façon dont le système est utilisé, du risque qu’il porte, de l’endroit où il se situe dans son cycle de vie, de l’accès dont disposent les examinateurs et des réglementations applicables. Un outil interne à faible enjeu et un système en contact avec les clients qui prend des décisions réglementées appellent des niveaux de contrôle très différents.

Les principaux types d'audit d'IA

En pratique, « audit d’IA » est un parapluie recouvrant plusieurs sortes de revues. Voici les principales, décrites par le risque métier que chacune est conçue à révéler plutôt que par la machinerie technique qui les sous-tend.

Audit de performance du modèle

Ceci vérifie si le modèle fonctionne réellement une fois que de vraies personnes commencent à l’utiliser, et pas seulement s’il faisait bonne figure dans la démonstration. Il examine les schémas d’erreurs, les réponses inventées ou « hallucinées », les cas limites délicats et si la performance se dégrade en silence avec le temps. La vraie question n’est jamais de savoir si le système a brillé à un test, mais s’il tient le coup quand les clients l’utilisent de façons que personne n’avait anticipées.

Audit de qualité et de confidentialité des données

Un système d’IA n’est fiable que dans la mesure des données qui le sous-tendent. Cette revue retrace d’où viennent les données, si vous aviez le droit de les utiliser, si elles reflètent l’usage réel et si des informations sensibles pourraient fuir ou être conservées plus longtemps qu’elles ne devraient. Des données faibles sont le coupable silencieux derrière un nombre surprenant d’échecs d’IA, et elles emportent des conséquences à la fois de précision et juridiques.

Audit de biais et d'équité

L’équité dépend beaucoup de ce que fait le système, aussi une bonne revue commence-t-elle par définir qui pourrait être affecté, à quoi ressemble le préjudice et ce qu’est un résultat acceptable. À partir de là, elle mesure si le système traite ces groupes de manière équilibrée et qui est responsable d’arranger les choses quand ce n’est pas le cas. Ratez cela et vous vous exposez à des plaintes, à un risque juridique et à une perte de confiance difficile à regagner.

Audit de sécurité de l'IA

Les systèmes d’IA ouvrent des risques que le logiciel traditionnel ne comporte pas, de l’injection de prompt (tromper le modèle avec une entrée habilement formulée) aux données sensibles qui fuient à travers le modèle, en passant par les agents d’IA à qui l’on a confié plus d’accès qu’ils ne devraient. Cette revue sonde qui peut atteindre le modèle et ses données, comment il se défend contre les abus et à quel point vous êtes prêt à réagir quand quelque chose tourne mal. Lorsque Redwerk a audité le code derrière Site Compass, une application de cartographie réseau, l’architecture s’est révélée solide, et pourtant la revue a tout de même mis au jour des problèmes de gravité critique et moyenne, ce qui a permis à l’équipe de les corriger discrètement et de lancer en toute confiance plutôt que de les découvrir à la dure en production.

Audit de gouvernance et de conformité

C’est la revue de la paperasse et des processus, et elle compte plus qu’il n’y paraît. Elle examine les politiques, la propriété, les étapes de validation, la supervision humaine, la documentation et la façon dont tout cela se rattache aux réglementations dont vous relevez. Elle couvre aussi la transparence : si les utilisateurs sont informés qu’ils ont affaire à une IA, si les décisions peuvent être expliquées et si vous conservez suffisamment de traces pour reconstituer ce qui s’est passé si quelqu’un le demande. Quand un régulateur ou un gros client veut que vous prouviez ce qu’a fait votre système et pourquoi, c’est cette couche qui vous sauve.

Dans la vraie vie, ces revues se produisent rarement de façon isolée. La plupart des missions en mêlent plusieurs, car les données, le modèle, le code et la gouvernance s’appuient tous les uns sur les autres. C’est particulièrement vrai quand une bonne partie du logiciel environnant a été écrite avec l’aide de l’IA, ce qui apporte ses propres risques de maintenabilité dans le code assisté par IA qu’il vaut la peine de vérifier au cours de la même revue.

Qu'est-ce qu'un audit de gouvernance de l'IA ?

Un audit de gouvernance de l’IA vérifie si votre organisation dispose de contrôles réels, documentés et suivis de manière cohérente pour choisir, construire, déployer, surveiller, modifier et, à terme, retirer des systèmes d’IA. Un audit technique vous dit si le système fonctionne. L’audit de gouvernance regarde un cran au-dessus, du côté de savoir si les personnes et les processus autour de ce système le maintiennent véritablement sous contrôle.

La raison pour laquelle cela mérite son propre nom est qu’il existe dans ce domaine quantité de termes qui se ressemblent mais signifient des choses différentes. Savoir lequel vous faut réellement fait gagner du temps, de l’argent et pas mal de confusion.

Revue