La rigueur de l’audit appliquée à l’IA : le constat comme unité de preuve

Produire du texte est devenu presque gratuit, et une réponse fluide inspire confiance bien avant d’avoir été vérifiée. Pour une organisation qui prépare un comité, instruit un dossier ou rédige un avis avec l’IA générative, la question n’est plus de savoir si le texte est bien écrit, mais sur quoi il repose. Transformer des informations dispersées en une conclusion fiable, l’audit en a fait un métier depuis longtemps. Sa norme de preuve vaut bien au-delà de ses rangs.

Ce que l’audit appelle une preuve

Avant de conclure, l’auditeur réunit des éléments probants suffisants et appropriés. Suffisants pour étayer la conclusion, appropriés parce qu’ils sont pertinents par rapport à l’objectif et fiables, selon la définition qu’en donne le glossaire d’audit de la Cour des comptes européenne.

En France, la NEP 500, norme d’exercice professionnel homologuée par arrêté du 19 juillet 2006, en précise les termes. Le caractère suffisant s’apprécie au regard de la quantité d’éléments collectés, qui dépend du risque et de leur qualité. La fiabilité des éléments dépend de leur origine, de leur nature et des circonstances dans lesquelles ils ont été recueillis. La formule figure dans chaque rapport de certification des comptes : les éléments collectés y sont jugés suffisants et appropriés pour fonder l’opinion de l’auditeur.

La formule a l’air administrative. Elle contient pourtant toute une éthique du travail intellectuel.

Une conclusion vaut ce que valent les éléments qui la fondent, et quelqu’un doit pouvoir remonter de l’une aux autres sans dépendre de la mémoire de celui qui l’a écrite.

Cette exigence a longtemps été un luxe réservé aux professions qui y étaient obligées. Vérifier prend du temps, retrouver la bonne pièce aussi, et la plupart des organisations fonctionnent avec une confiance raisonnable dans leurs propres documents. L’IA change cette équation : elle rend possible, pour la première fois, une vérification systématique à grande échelle, à condition de construire les outils pour cela.

Les métiers du renseignement décrivent ce travail comme un cycle. On oriente la recherche, on collecte, on exploite ce qu’on a trouvé, on diffuse le résultat, et ce résultat réoriente la recherche suivante. Le cycle décrit aussi bien le travail d’une cellule de veille que celui d’une équipe d’audit interne ou d’un service d’études : chaque organisation produit de l’intelligence, souvent sans l’appeler ainsi.

Du rapport au constat

Face aux erreurs de sourçage des outils d’IA, références inventées ou citations qui n’appuient pas ce qu’on leur fait dire, la réponse existe déjà dans les métiers de l’audit. Elle consiste à changer d’unité. On cesse de considérer le rapport comme un bloc de texte, et on le traite comme un assemblage de constats, chacun rattaché à ses sources au passage près.

Un constat digne de ce nom répond aux deux critères de la norme d’audit. Il est suffisant, c’est-à-dire appuyé par assez d’éléments pour tenir, et approprié, c’est-à-dire appuyé par des éléments pertinents et fiables. À ces deux critères, l’IA permet d’en ajouter deux autres, autrefois trop coûteux. Le constat est traçable, puisqu’un clic mène au passage exact. Il est reproductible, puisqu’on peut rejouer la recherche et retrouver les mêmes éléments.

Relire constat par constat, contrôler selon le risque

Cette unité change la manière de travailler. La relecture se fait constat par constat, et un relecteur peut valider, contester ou demander une seconde source sur un point précis. Le versionnage garde la trace de chaque modification.

Le contrôle humain, lui, se proportionne au risque. La NEP 500 ne fixe aucun nombre de sources : elle demande une quantité d’éléments proportionnée au risque et à leur qualité. La méthode que nous proposons s’en inspire. Un constat qui engage une décision importante gagne à être corroboré par une seconde source et relu ; un constat descriptif peut s’appuyer sur une seule. Le jour où quelqu’un demande d’où vient un chiffre, la réponse prend dix secondes.

Ce que les régulateurs commencent à attendre

Les professions régulées formalisent en premier ce qui s’imposera à tous, et elles ont commencé. La Royal Institution of Chartered Surveyors, organisme professionnel de l’immobilier et de la construction, applique depuis le 9 mars 2026, à ses membres et aux entreprises qu’elle réglemente dans le monde, une norme professionnelle obligatoire sur l’usage responsable de l’IA. Selon LexisNexis, elle couvre la gouvernance et la gestion des risques, le jugement professionnel et la supervision, la transparence envers les clients et le développement responsable, avec des registres de risques, des politiques d’usage et une vérification des fournisseurs avant tout achat.

Au niveau européen, le règlement (UE) 2026/1744, dit Omnibus numérique IA, a modifié le règlement sur l’IA. Entré en vigueur le 27 juillet 2026, il reporte au 2 décembre 2027 les obligations des systèmes à haut risque de l’annexe III, et au 2 août 2028 celles des systèmes intégrés à des produits réglementés. L’avocat Arnaud Dimeglio rappelle que les obligations de transparence de l’article 50 s’appliquent depuis le 2 août 2026, l’Omnibus les ayant laissées à leur date. Interroger ses documents ou en tirer des livrables sort, la plupart du temps, du champ du haut risque. Mais la direction est claire : documenter, superviser, pouvoir expliquer.

Ces textes convergent, dans leurs champs respectifs, vers une même attente : pouvoir montrer d’où viennent les conclusions produites avec l’IA. Notre lecture est que cette attente s’étendra au-delà des professions régulées. S’organiser dès maintenant autour du constat sourcé, c’est prendre de l’avance.