Lorsque les régulateurs auditent vos systèmes d'IA, ils ne se contentent pas de vérifier la documentation — ils veulent des preuves que vos contrôles de gouvernance fonctionnent réellement. Voici les 10 questions auxquelles vous devez être prêt à répondre.
1. Comment classifiez-vous vos systèmes d'IA par niveau de risque ?
Les auditeurs demanderont votre inventaire des systèmes d'IA et votre méthodologie de classification. Ils veulent s'assurer que vous avez évalué systématiquement chaque système au regard des référentiels réglementaires de risque.
- Inventaire complet des systèmes d'IA/ML en production
- Classification par niveau de risque pour chaque système, avec justification documentée
- Processus de réévaluation de la classification en cas de modification des systèmes
2. Qui a approuvé le déploiement de ce système d'IA ?
Avant la mise en service de tout système à haut risque, une approbation documentée des parties prenantes compétentes doit exister — et pas seulement une validation technique.
3. Comment les humains supervisent-ils les décisions de l'IA ?
C'est sur ce point que de nombreuses organisations peinent. Les auditeurs veulent des preuves d'une supervision humaine effective, pas simplement des politiques affirmant qu'elle existe.
- Procédures de supervision documentées
- Preuves que les humains peuvent intervenir et interviennent effectivement
- Registres des approbations et des corrections humaines
4. Pouvez-vous me montrer la piste décisionnelle pour ce cas précis ?
Les auditeurs peuvent sélectionner des cas individuels et vous demander de retracer la décision de l'entrée à la sortie, y compris les revues humaines. Votre piste d'audit doit être complète et accessible.
5. Comment détectez-vous et gérez-vous les défaillances ou erreurs de l'IA ?
Que se passe-t-il lorsque votre système d'IA commet une erreur ? Les auditeurs veulent voir des dispositifs de surveillance, d'alerte et des procédures de réponse aux incidents.
6. Quelles données d'entraînement ont été utilisées et comment ont-elles été gouvernées ?
La gouvernance des données est essentielle. Soyez prêt à expliquer les sources de données, les contrôles qualité, les évaluations de biais et la conformité en matière de protection des données personnelles.
7. Comment prévenez-vous et détectez-vous la dérive des modèles ?
Les systèmes d'IA se dégradent avec le temps. Démontrez votre approche de surveillance pour détecter quand les modèles subissent une dérive (model drift) par rapport au comportement attendu.
8. Qui peut accéder au système d'IA et le modifier ?
Les contrôles d'accès, la gestion des changements et les journaux d'audit des modifications du système constituent des exigences minimales.
9. Combien de temps conservez-vous les enregistrements de décisions de l'IA ?
Les politiques de conservation doivent être conformes aux exigences réglementaires — souvent 5 à 7 ans ou plus pour les secteurs réglementés.
10. Pouvez-vous exporter les preuves pour une vérification indépendante ?
Les auditeurs modernes s'attendent à pouvoir vérifier les preuves de manière indépendante, et non simplement se fier aux rapports internes. Vos exports de preuves doivent inclure une vérification d'intégrité (sommes de contrôle, signatures).
Foire aux questions
Combien de temps à l'avance faut-il se préparer à un audit IA ?
Commencez dès maintenant. Le meilleur moment pour vous préparer était lors du déploiement du système. Le deuxième meilleur moment, c'est aujourd'hui. Des audits blancs devraient être réalisés au moins une fois par trimestre.
Quel format de preuves les auditeurs préfèrent-ils ?
Les auditeurs veulent des preuves structurées et vérifiables — pas des journaux bruts. Des dossiers de preuves avec manifestes, sommes de contrôle et correspondance claire avec les exigences réglementaires rendent les audits plus rapides et plus concluants.
Points clés à retenir
Le fil conducteur de toutes ces questions est la preuve. Les politiques et procédures comptent, mais les auditeurs veulent en définitive la démonstration que vos contrôles fonctionnent en pratique. Intégrez la collecte de preuves dans vos workflows d'IA dès le premier jour.