L’expression « audit IA » recouvre deux choses différentes. Dans une grande entreprise, elle désigne parfois le contrôle d’un système d’IA déjà en place (biais, robustesse, conformité). Dans une PME, elle désigne presque toujours autre chose : un diagnostic d’opportunité, pour savoir où l’IA ferait gagner du temps, à quelles conditions et dans quel ordre. C’est de celui-ci que traite ce guide.
Les cinq volets d’un audit IA
| Volet | Question posée | Ce qu’on regarde |
|---|---|---|
| 1. Usages actuels | Qui utilise déjà l’IA, avec quoi, pour quoi ? | Outils, comptes personnels ou professionnels, données saisies, tâches concernées |
| 2. Processus et tâches | Où part le temps ? | Tâches répétitives, documents produits, relances, saisies, recherches d’information, par service |
| 3. Données et outils | L’IA aurait-elle de quoi travailler ? | Où sont les données (CRM, tableurs, messagerie, logiciel métier), leur fiabilité, les connexions possibles |
| 4. Risques et conformité | Qu’est-ce qui ne doit pas partir dans un outil ? | Données personnelles, secrets d’affaires, secret professionnel, usages relevant de l’AI Act (transparence, haut risque), sécurité des accès |
| 5. Compétences | L’équipe sait-elle s’en servir ? | Niveau réel des utilisateurs, appétence, besoins de formation, personne capable de porter le sujet |
Le volet 4 n’est pas une formalité. La CNIL recommande de faire précéder le déploiement d’un système d’IA générative d’une analyse des risques et d’une stratégie de gouvernance claire ; l’ANSSI recommande de son côté de proscrire l’utilisation d’outils d’IA générative sur Internet pour un usage professionnel impliquant des données sensibles, et de proscrire l’usage automatisé de systèmes d’IA pour des actions critiques. Un audit qui ignore ces sujets livre des cas d’usage inapplicables.
Mener l’audit soi-même en cinq étapes
- Fixer le périmètre et un responsable (une semaine) : un ou deux services pour commencer, une personne qui pilote, souvent le futur référent IA, et un sponsor à la direction.
- Inventorier les usages (une à deux semaines) : un questionnaire court et anonyme, sans sanction, sur les outils utilisés et les données qui y passent. C’est le seul moyen de voir le shadow IA.
- Cartographier les tâches : en entretien de 45 minutes par poste ou en atelier par service, lister les tâches récurrentes avec leur fréquence, le temps qu’elles prennent, les outils et les données qu’elles utilisent. Quelles tâches se prêtent à l’automatisation.
- Vérifier les données et les risques pour chaque tâche candidate : la donnée existe-t-elle, est-elle fiable, peut-elle sortir de l’entreprise, une validation humaine est-elle indispensable ? Une tâche qui dépend d’un fichier que personne ne tient à jour n’est pas prête. Désigner une source de vérité avant de brancher l’IA.
- Prioriser et décider en atelier avec les responsables de service, à l’aide de la grille ci-dessous, puis écrire le plan.
La grille de priorisation des cas d’usage
Notez chaque cas d’usage de 1 à 3 sur quatre critères, puis classez :
- Gain : fréquence × temps passé, et effet sur la qualité ou le délai client.
- Faisabilité : les données et les outils existent, l’usage peut démarrer avec un outil du marché ou une automatisation sans code.
- Risque (noté à l’envers) : données personnelles ou confidentielles, envoi à l’extérieur, décision sur une personne.
- Adhésion : l’équipe concernée demande ce gain et a quelqu’un pour le porter.
Les cas d’usage à lancer en premier sont ceux qui obtiennent un bon gain, une forte faisabilité et un risque faible, même s’ils paraissent modestes : rédaction de comptes rendus, synthèses de documents, réponses types, relances. Les études publiées vont dans ce sens : les gains les plus nets de l’IA générative apparaissent sur des tâches précises et répétées, intégrées au travail réel (Brynjolfsson, Li et Raymond, 2025). Notre synthèse des études.
Les livrables à obtenir
Qu’il soit mené en interne ou par un intervenant, un audit IA doit produire des documents qu’on peut utiliser le lendemain :
- L’inventaire des usages et des outils, avec pour chacun les données concernées et la décision : garder, encadrer, arrêter.
- La cartographie des cas d’usage priorisés, notés selon la grille, avec le service, le responsable et l’indicateur de mesure.
- Les règles d’usage : une charte d’une page et la liste des outils validés.
- Le plan d’action à 90 jours : les trois ou quatre premiers cas d’usage, qui fait quoi, avec quel outil, quelle formation, et la date du point d’étape.
- Le besoin de formation par population : socle commun pour tous, formation par métier pour les services concernés, formation du référent.
Un rapport qui ne contient pas de plan daté avec des noms n’est pas un livrable, c’est une lecture.
Les erreurs qui font échouer un audit IA
- Partir des outils au lieu des tâches : « que peut-on faire avec Copilot ? » mène à des démonstrations, « où part le temps du service administratif ? » mène à des gains.
- Auditer sans les équipes : un diagnostic fait par la direction seule passe à côté des usages réels et des irritants du quotidien, et les personnes concernées n’adhèrent pas au plan.
- Sanctionner l’inventaire : si le questionnaire sert à repérer des fautes, plus personne ne déclare ses usages, et l’audit repose sur une image fausse.
- Oublier les données : un cas d’usage séduisant sur le papier échoue si l’information dont il dépend est dispersée, incomplète ou interdite de sortie.
- Vouloir tout traiter : trente cas d’usage listés sans priorité ne mènent à rien ; trois cas lancés avec un responsable produisent des résultats mesurables.
- Ne pas prévoir la formation : un outil livré à une équipe qui ne sait pas repérer ses erreurs crée plus de risques qu’il ne fait gagner de temps.
Faire appel à un intervenant : le diagnostic aidé
Un intervenant extérieur apporte un regard neutre, une méthode éprouvée et du temps que l’équipe n’a pas. Les pouvoirs publics cofinancent un diagnostic dans le cadre du plan national « Osez l’IA ». Selon la page de la Direction générale des entreprises mise à jour le 28 septembre 2026 et consultée le 30 octobre 2026 :
- Le Diagnostic Data IA, réalisé par Bpifrance Conseil : 8 jours-hommes, un état des lieux technique et opérationnel, l’identification de cas d’usage concrets et leur priorisation, pour un coût de 10 000 € HT dont 40 % pris en charge par France 2030. Il s’adresse aux PME et ETI de 10 à 2 000 salariés immatriculées au RCS.
- Les Accélérateurs IA, pour les entreprises de plus de 50 collaborateurs, de plus de 8 millions d’euros de chiffre d’affaires et d’au moins 3 ans : 18 mois d’accompagnement, avec un diagnostic de 12 jours, deux modules de 13 jours, un appui au déploiement et des formations collectives, pris en charge à 46 % par France 2030.
Vérifiez les conditions sur la page officielle avant de déposer une demande : elles peuvent évoluer. Pour une démarche qui va du diagnostic au déploiement et à la formation des équipes sur plusieurs semaines, voyez aussi notre accompagnement Diagnostic & déploiement, conçu pour les PME de 10 à 50 salariés environ.
Après l’audit
L’audit ne crée aucun gain par lui-même. Ce qui compte ensuite, dans l’ordre : former l’équipe au socle commun et aux règles, lancer les premiers cas d’usage avec un responsable chacun, mesurer au bout de 90 jours, puis étendre à d’autres services. Pour choisir entre conseil, intégrateur, formation ou mise en œuvre en interne, lisez notre guide sur l’accompagnement IA des PME et ETI. Pour former un service à ses cas d’usage, notre formation Déployer l’IA dans son entreprise part de la même cartographie.