Audit de conformité d’un système d’IA.

Nous auditons un système d’IA de bout en bout, sur la conformité et sur le risque. Vous recevez une opinion formelle, à la manière d’un audit financier, les preuves qui la fondent et un plan de remédiation ordonné par exposition plutôt que par facilité.

Durée: 2 à 6 semaines
Accès requis: Aucun aux poids du modèle
Référentiels: AI Act, ISO/IEC 42001, NIST AI RMF
Livrable: Opinion formelle et feuille de route

Cadrer un audit

Pourquoi un regard tiers

Le règlement admet une auto-évaluation de la conformité pour la plupart des systèmes à haut risque. Une auto-évaluation se défend mal le jour où une autorité, un client ou un comité la conteste. Un regard extérieur et une opinion formelle rendent votre position défendable.

Sans accès au modèle

L’évaluation fonctionne en boîte noire. Vous n’êtes pas bloqué par ce que vous ne pouvez pas ouvrir : un produit fournisseur, un éditeur qui refuse l’accès, une équipe de conception qui a quitté l’entreprise.

Périmètre

Huit piliers, vérifiés en pratique.

Nous ne cochons pas une liste de documents. Pour chaque pilier, la question est la même : est-ce que cela tient réellement ?

Gestion des risques et gouvernance. Un processus de risque qui fonctionne, avec des responsabilités et des droits de décision clairs.

Gouvernance des données. Qualité, traçabilité, minimisation et représentativité des données.

Documentation et traçabilité. Une documentation et une journalisation qui gardent le système auditable après coup.

Transparence et explicabilité. La capacité à rendre compte d’une décision devant un régulateur, un client ou une personne concernée.

Contrôle humain. La capacité des opérateurs à comprendre le système, à intervenir et à passer outre.

Exactitude, robustesse et sécurité. La performance sur la population réellement servie, et la résistance aux tensions, à la dérive et aux attaques.

Équité et droits fondamentaux. Les écarts de résultat entre groupes de personnes, et leur justification.

Alignement réglementaire. La bonne classification, et les obligations qui en découlent.

Volet dédié

Découverte et inventaire. Un registre vivant de tous les systèmes d’IA, IA non déclarée et IA embarquée dans les outils fournisseurs comprises, conduit comme un chantier à part entière et qui alimente l’audit en continu.

Déroulement

Six étapes, de la question posée au plan d’action.

Cadrage et appétence au risqueCe que l’audit doit trancher, le périmètre, et le seuil de matérialité qui définit ce que nous relevons.
Classification et rôleChaque système reçoit un niveau sur notre échelle de risque consolidé, Léger, Moyen ou Maximal, qui agrège son exposition en matière de réglementation de l’IA, de vie privée, de cybersécurité et d’éthique, ainsi qu’une qualification de fournisseur ou de déployeur. Le niveau fixe la profondeur de l’audit.
Revue proportionnéeUn cas Léger se traite par un questionnaire allégé. Un cas Maximal reçoit une analyse d’impact sur la protection des données et sur les droits fondamentaux, des tests de biais et de robustesse, et une revue de la documentation, de la gouvernance des données, du contrôle humain et de la journalisation.
Analyse d’écartsMesurée par rapport aux obligations en vigueur et à celles qui sont le plus susceptibles de vous concerner ensuite, pour que la remédiation reste valable.
Opinion formelle et rapportUne opinion, une restitution prête pour un comité de direction et un dossier de preuves d’audit.
Plan d’actionDes actions de remédiation hiérarchisées par risque, effort et échéance, chacune avec un responsable.

Livrables

Ce que vous recevez.

Inventaire des systèmes audités Classification par niveau de risque Analyse d’écarts hiérarchisée Scorecard de risques par dimension Tests de biais quantitatifs Tests de robustesse Analyse d’explicabilité Fiche modèle normalisée Feuille de route de remédiation Registre des risques résiduels Opinion formelle et dossier de preuves Synthèse pour la direction Recommandations de surveillance

À qui s’adresse l’audit

Aux directions de la conformité, des risques et du juridique, aux délégués à la protection des données et aux responsables de la gouvernance de l’IA qui doivent répondre d’un système devant un comité, un client ou une autorité.

Avant et après l’audit

L’audit s’inscrit dans un parcours.

Avant · Cartographier

Inventaire et registre des systèmes d’IA

Pour choisir le bon système à auditer, encore faut-il les connaître tous.

Après · Remédier

Mise en conformité AI Act

L’exécution du plan d’action, jusqu’à une position que vous pouvez défendre.

Prochaine étape

Cadrer un audit.

Indiquez-nous le système concerné. Nous revenons vers vous avec une proposition de périmètre, une durée et un prix forfaitaire.

Nous écrire