Votre IA interne survivrait-elle à un audit ?

Un outil d'IA entre dans l'entreprise en quelques jours. Les questions, elles, arrivent plus tard : questionnaire sécurité d'un client grand compte, renouvellement de l'assurance cyber, contrôle interne, obligations de déployeur du règlement européen. Le test est simple : si vous ne pouvez pas répondre aux sept questions ci-dessous, pièces à l'appui, votre outil d'IA est un risque en attente d'examen. Les voici, dans l'ordre où un auditeur les pose.

1. Quel modèle tourne, dans quelle version ?

Question d'apparence anodine, souvent fatale : beaucoup d'acheteurs de solutions packagées ne savent pas quel modèle traite leurs données, ni si l'éditeur peut en changer sans les prévenir. Un modèle qui change silencieusement, c'est un comportement qui change silencieusement, sur des processus qui engagent l'entreprise.

2. Où vos données sont-elles traitées, et sous quelle loi ?

L'hébergement ne suffit pas à répondre. Des données stockées en Europe mais traitées par un opérateur américain restent exposées au droit américain. La question complète a trois étages : où sont les serveurs, qui est l'opérateur, sous quelle juridiction. C'est le coeur de la grille du risque souverain.

3. Vos données entraînent-elles le modèle d'un tiers ?

Selon l'offre et les réglages, ce que vos équipes soumettent peut servir à améliorer le service, donc sortir de votre contrôle. La réponse doit être écrite dans le contrat, pas déduite d'une page marketing. Si votre prestataire ne peut pas la produire, vous avez votre réponse.

4. Existe-t-il un journal d'audit ?

Qui a demandé quoi, quand, sur quelles pièces, et quelles sources la réponse citait : sans ce journal, vous ne pouvez ni tracer un incident, ni prouver votre sérieux à un client, ni répondre à un régulateur. Un outil d'IA sans journal d'audit est une boîte noire posée au milieu de vos processus.

5. Comment sortez-vous ?

Export de vos données, dans quels formats, sous quel délai, avec quelle assistance : la réversibilité se lit dans le contrat, avant de signer. L'absence de clause de sortie est la vraie mesure de la dépendance. Le sujet mérite un guide complet : changer de solution IA sans tout perdre.

6. Qui opère le système ?

Un nom, un engagement de service, une procédure d'incident. Entre l'outil déployé puis laissé à lui-même et le système opéré, surveillé et mis à jour, la différence ne se voit pas à la démo ; elle se voit au premier incident. Un auditeur demandera qui est responsable ; "l'éditeur, sans doute" n'est pas une réponse.

7. Vos équipes utilisent-elles autre chose ?

La question que les DSI redoutent à raison. Quand l'outil officiel déçoit, les équipes retournent aux outils grand public, avec les données de l'entreprise. Ce shadow AI est la pire ligne d'un audit : l'exposition existe, et personne ne la mesure. Un outil interne qui fonctionne vraiment est la seule réponse durable ; les causes de la déception sont connues et corrigeables.

Répondre avant qu'on ne vous demande

Ces sept questions tiennent en une cartographie : pour chaque processus où l'IA intervient, quel modèle tourne, où, sous quelle loi, avec quel journal et quelle porte de sortie. Établir cette carte est précisément la première étape de l'offre root : la Carte de Souveraineté. L'intérêt dépasse la conformité : le jour où la question arrive, vous ne subissez pas un audit, vous sortez un document.

Questions fréquentes

Qui pose réellement ces questions ?

Aujourd'hui : les directions achats des grands comptes, les assureurs cyber au renouvellement, les DSI en comité, les commissaires aux comptes sur les processus financiers. Demain : le régulateur, à mesure que les obligations de déployeur du règlement européen entrent en application. La fréquence augmente ; le sens de la question ne change pas.

Notre prestataire ne sait pas répondre. C'est grave ?

C'est une information précieuse : l'absence de réponse est une réponse. Un fournisseur sérieux produit ces éléments en quelques jours, contrat et architecture à l'appui. Un fournisseur qui ne le peut pas vous transfère le risque sans vous transférer les moyens de le gérer.

Le RGPD ne couvre-t-il pas déjà tout cela ?

Le RGPD couvre les données personnelles : c'est nécessaire, et insuffisant. Vos données stratégiques non personnelles - dossiers clients, contrats, chiffres - n'y sont pas protégées, et la question de la juridiction de l'opérateur reste entière même en conformité RGPD parfaite. Si vous voulez passer votre outil en place au travers de cette grille, parlons-en.