Préparation à l'audit de l'IA et le fossé entre la réussite et la gouvernance

Deux enquêtes de 2026 mesurent la confiance. Les cinq niveaux de posture en matière d'IA expliquent d'où elle provient

par Sam Rogers
9 min de lecture
analysis
governance
measurement
risk-management
regulated-industries
Préparation à l'audit de l'IA et le fossé entre la réussite et la gouvernance

Cet article est à des fins éducatives uniquement et ne constitue pas un avis juridique ni un critère de certification. Les organisations doivent consulter un conseiller qualifié concernant les obligations qui les concernent.

Croire réussir un audit IA est en soi un auto-diagnostic, et l'audit existe parce que les auto-diagnostics ne constituent pas une preuve.

Deux rapports, une même réalité

Le 29 juillet 2026, Schellman a publié son Rapport sur l'état de la gouvernance de l'IA 2026. Researchscape a mené cette enquête entre le 13 avril et le 11 mai 2026 auprès de 525 professionnels américains travaillant dans ou autour de la gouvernance de l'IA au sein d'organisations comptant plus de 500 employés et au moins 100 millions de dollars de revenus annuels. La conclusion principale était un fossé important : une large majorité pensait que son organisation pouvait réussir un audit de conformité IA aujourd'hui, tandis qu'un groupe beaucoup plus restreint décrivait sa gouvernance comme étant entièrement mature. Schellman a structuré le rapport autour de cinq domaines où la confiance et la maturité divergent : le financement, la surveillance de l'IA agentique, la responsabilité, la préparation réglementaire et l'impact commercial.

Le Rapport sur l'état de la GRC à l'ère de l'IA de Drata, publié le 15 juillet 2026, a sondé 300 professionnels de l'informatique et de la sécurité via Wakefield Research et a trouvé la même réalité sous un autre angle. Une faible minorité était entièrement convaincue de pouvoir identifier tous les outils d'IA utilisés dans son organisation. Une majorité a déclaré qu'un outil d'IA utilisé pour les activités de GRC avait déjà contribué, au moins une fois, à un audit raté ou à un écart par rapport à une norme réglementaire.

Les deux enquêtes sont des recherches commanditées par des éditeurs, et les deux sponsors vendent ce que recommandent les conclusions : Schellman est un organisme de certification ISO 42001, Drata vend l'automatisation de la conformité. Les pourcentages méritent donc le scepticisme que toute enquête sponsorisée mérite, et je leur accorde exactement cela. La réalité ne dépend pas d'eux. La confiance est élevée, la visibilité est faible, et l'audit a déjà échoué quelque part dans le bâtiment.

Ce qu'un audit teste réellement

L'expression « audit IA » masque un objet spécifique. Dans la plupart des entreprises, cela signifie la conformité à ISO/IEC 42001:2023, la norme de système de gestion de l'IA publiée en décembre 2023, ou à un programme basé sur celle-ci. Les exigences auditables sont contenues dans sept clauses : contexte de l'organisation, leadership, planification, support, opération, évaluation de la performance et amélioration. L'Annexe A ajoute un ensemble de contrôles de référence, regroupés sous des titres tels que les politiques relatives à l'IA, l'évaluation des impacts des systèmes d'IA, le cycle de vie du système d'IA, les données pour les systèmes d'IA et l'utilisation des systèmes d'IA.

Chacune de ces clauses teste le système de gestion. La Clause 6 demande si l'organisation a planifié le risque lié à l'IA et évalué l'impact de ses systèmes. La Clause 9 demande si elle a décidé ce qui doit être surveillé, par quelle méthode et quand, et si elle a mené un audit interne et une revue de direction. Une organisation qui documente tout cela, suit ses propres documents et peut les produire sur demande réussira. C'est le but d'un audit de système de gestion.

Remarquez maintenant ce qui n'est pas observé. La norme exige que l'organisation détermine ce qui doit être mesuré. Elle n'exige pas que cette mesure inclue le comportement de l'analyste lorsque la réponse du modèle est erronée. Une organisation peut détenir un certificat, une politique, une évaluation d'impact et une cadence de surveillance, et pourtant ne pas avoir aucun artefact indiquant si un seul professionnel a détecté une seule erreur initiale. Lorsque de nouveaux systèmes sont introduits, l'exécution est auditée. Le comportement, non.

Ainsi, les deux réponses dans l'enquête de Schellman sont des réponses à des questions différentes. « Pourrions-nous réussir un audit » demande si l'appareil existe. « Notre gouvernance est-elle mature » demande si l'appareil fonctionne. Le premier est une question de documentation. Le second est une question comportementale. Les répondants avaient raison de les répondre différemment. Le fossé est la partie honnête des données.

Où se situe le fossé sur l'échelle

Le modèle de maturité AI Posture donne des coordonnées à ce fossé. Il évalue une organisation sur trois vecteurs indépendants : les Personnes, l'Infrastructure et la Réglementation, et chaque vecteur monte les cinq mêmes niveaux : Perceiving (une reconnaissance écrite, rien de mesuré), Assessing (une base existe), Integrating (un changement de politique renvoie à cette base), Calibrage (mesuré en continu, défendable devant un évaluateur externe) et Ingénierie (maintenu comme capacité).

Appliquons les réponses de l'enquête à cette échelle. Une organisation disposant d'une politique IA écrite et sans mesure comportementale est Perceiving sur le vecteur des Personnes, quelle que soit sa confiance. Une organisation qui réussirait un audit ISO 42001 a, sur le vecteur Réglementation, quelque chose proche de Integrating : les obligations existent sous forme de contrôles, et ces contrôles sont documentés. « Entièrement mature » est une affirmation concernant le Calibrage ou au-delà. Ce que l'enquête a mesuré est la distance entre le Niveau 1 sur un vecteur et le Niveau 4 sur un autre, rapportée par le même répondant comme s'il s'agissait d'un seul chiffre.

La règle de contrainte d'AI Posture refuse cette moyenne. La posture globale d'une organisation est le minimum de ses vecteurs concernés. Un Calibrage sur la Réglementation avec Perceiving sur les Personnes donne Perceiving. C'est structurel, et c'est pourquoi un certificat ne règle pas la question de la maturité : le certificat élève un vecteur, mais les vecteurs ne s'élèvent pas mutuellement. Les obligations du vecteur Réglementation à travers les juridictions sont répertoriées sur EveryAILaw ; la préparation du vecteur Infrastructure pour l'interaction agentique est une discipline distincte avec ses propres preuves. Aucun des deux n'est le vecteur des Personnes, et c'est sur ce dernier que les répondants de Schellman étaient le moins mesurés et le plus confiants.

La découverte de l'examen humain est révélatrice

La section sur la surveillance agentique de Schellman est la partie du rapport qui touche au vecteur des Personnes, et c'est la partie qui devrait inquiéter les personnes confiantes. Parmi les organisations ayant des agents en phase de test ou de production, la version publique indique seulement que les approches pour examiner les décisions et les actions des agents varient considérablement. Trois modèles d'examen couvrent cette gamme. Certains définissent des seuils déclenchant un examen humain. Certains examinent uniquement les décisions jugées à haut risque, sans rien établir sur ce que signifie « haut risque ». Le reste exige qu'une personne examine chaque action de l'agent, quel que soit le risque.

Le troisième modèle est celui que produit la confiance. Il sonne comme de la rigueur, mais il s'estompe au contact du volume. Lorsqu'une seule personne doit approuver tout, les approbations deviennent des tampons au bout d'un ou deux trimestres, et l'organisation assume le coût de l'examen sans la protection. Le deuxième modèle présente le même défaut, mais à un rythme plus lent : un seuil non défini est un seuil que chaque examinateur fixe dans le délai imparti. C'est la séquence de dérive opérationnelle au point où l'examen humain devient purement formel, bien que l'étape de revue existe toujours sur le diagramme du processus. Un auditeur lisant le diagramme voit une surveillance. Les tableaux de bord montrent une activité. Ils ne montrent pas la fiabilité.

Rien dans un audit de système de gestion ne distingue une étape de revue qui détecte les erreurs d'une étape qui les horodate. C'est à l'organisation qu'est laissée cette mesure de la Clause 9, et c'est celle que les organisations confiantes n'ont pas prise en compte.

Ce qui rendrait la confiance méritée

Passer de Perceiving à Assessing sur le vecteur des Personnes nécessite un artefact : une base de données sur la manière dont les personnes se comportent réellement lorsque le résultat de l'IA est incertain, incomplet ou erroné. Pas ce qu'elles rapportent, mais ce qu'elles font.

PAICE (People + AI Collaboration Effectiveness) produit cette base. L'évaluation introduit des erreurs du type qui arrivent aux dépôts et aux rapports clients, plausibles, confiants et fausses, et évalue si le professionnel les détecte, vérifie l'affirmation qui porte la décision, fait escalader lorsqu'une source ne peut être confirmée et corrige plutôt que de défendre. Quelqu'un qui semble parler couramment mais manque l'erreur initiale obtient un score inférieur à une personne concise qui tout détecte. Le résultat est un profil de fiabilité au niveau de la cohorte, ce qui est exactement le type de mesure de surveillance que la Clause 9 demande à une organisation de choisir et qu'elle ne peut pas choisir pour elle.

L'architecture maintient une gouvernance sans surveillance. Les scores sont attachés à des identifiants hachés. Aucun texte de conversation n'est conservé. Les résultats individuels sont structurellement inaccessibles à l'organisation, non pas retenus par une politique. Un comité de gouvernance voit la fiabilité de sa cohorte et la direction qu'elle prend. Il ne voit pas avec quel analyste parler. L'analyste, oui.

Une organisation détenant cette base peut répondre aux deux questions de l'enquête avec un seul chiffre, car ce chiffre n'est plus un auto-diagnostic. Elle peut nommer son niveau sur le vecteur des Personnes, montrer la preuve et nommer le prochain palier. Jusqu'à présent, l'audit que nous pensions réussir testait les documents, et la maturité que nous doutions était la partie que les documents n'avaient jamais atteinte.

Vous souhaitez évaluer la préparation de votre équipe à la collaboration en IA ? Découvrez PAICE pour les organisations ou passez une évaluation individuelle pour le voir par vous-même.

Lectures recommandées

Curieux mais pressé ?

Faites le PAICE Pulse en 3 minutes — une vérification rapide qui cartographie votre perception de votre posture de collaboration IA. Aucune connexion requise.