L'IA dans l'entité : les questions que tout conseil et tout comité d'audit devraient poser

L'intelligence artificielle (IA) est rapidement passée du statut de technologie expérimentale à celui d'outil stratégique. Les organisations l'intègrent à la finance, aux opérations, aux ressources humaines, à la relation client et à la prise de décision afin de gagner en efficacité, de réduire les coûts et de produire des analyses.

Mais à mesure que l'IA s'intègre à des processus critiques, elle introduit de nouveaux risques. Contrairement aux systèmes traditionnels, elle peut produire des résultats imprévisibles, reposer sur des algorithmes complexes, s'adapter à des données changeantes et influencer des décisions avec une transparence limitée. Cela soulève des enjeux de responsabilité, de protection des données, de cybersécurité, de conformité et d'usage éthique.

Pour les conseils[1] et les comités d'audit[2], la question n'est plus d'adopter ou non l'IA, mais de savoir si elle est correctement gouvernée. Un dispositif de gouvernance solide devient indispensable pour une adoption responsable et une maîtrise des risques émergents.

L'IA n'est plus seulement une affaire informatique

La gouvernance technologique relevait autrefois surtout des directions informatiques ; l'IA a changé cela. À mesure qu'elle influence l'information financière, les achats, la relation client, les décisions de crédit et la planification stratégique, elle devient un enjeu de gouvernance aux conséquences directes sur la performance financière, la conformité réglementaire, la réputation et la confiance des parties prenantes.

Pour maîtriser ces risques, les organisations ont besoin de dispositifs de gouvernance clairs, garantissant un usage responsable de l'IA, une surveillance continue et une cohérence avec les objectifs de l'entreprise. C'est là que le comité d'audit joue un rôle déterminant.

Le rôle grandissant du comité d'audit

Les responsabilités du comité d'audit se sont étendues au-delà de l'information financière, du contrôle interne et de la gestion des risques, pour englober la supervision de la gouvernance de l'IA. Cela suppose de savoir où l'IA est utilisée, si les responsabilités sont clairement établies, comment les risques liés sont maîtrisés, si les contrôles traitent correctement les productions de l'IA, et comment l'évolution de la réglementation peut affecter les processus concernés.

La vérification des faits et le contrôle humain sont eux aussi devenus des contrôles essentiels.

Les productions de l'IA ne doivent pas être présumées exactes au seul motif qu'elles paraissent crédibles ou émanent de systèmes sophistiqués. Le comité d'audit doit s'assurer que la direction dispose de processus permettant de vérifier de façon indépendante faits, chiffres, citations, sources et autres informations importantes produites ou étayées par l'IA, avant leur usage dans l'information financière, les décisions de gestion, les déclarations réglementaires ou les communications externes.

Un comité d'audit n'a pas à être expert en IA, mais il doit s'assurer que la direction dispose d'un dispositif de gouvernance solide, avec des contrôles appropriés : vérification des faits, revue humaine, supervision, documentation et assurance indépendante.

Bâtir un dispositif efficace de gouvernance de l'IA

Si chaque organisation adoptera l'IA à sa manière, un dispositif de gouvernance efficace devrait comporter quelques éléments essentiels :

• Une gouvernance et des responsabilités claires : désigner les propriétaires des systèmes d'IA et attribuer la responsabilité des risques, de la conformité et du suivi des performances.
• Une politique d'IA responsable : fixer des règles d'usage éthique, de supervision humaine, de gouvernance des données et de validation avant déploiement.
• Qualité et sécurité des données : mettre en place des contrôles solides d'intégrité, de confidentialité et de cybersécurité, afin de limiter le risque de résultats inexacts ou biaisés.
• Évaluation et suivi des risques : apprécier régulièrement les modèles d'IA — exactitude, biais, explicabilité, risques cyber, dépendances aux tiers, conformité réglementaire — avec une surveillance continue à mesure qu'ils évoluent.
• Documentation et transparence : tenir une documentation claire des modèles d'IA, des sources de données, des tests, de la validation et du suivi, à l'appui de la supervision et d'une assurance indépendante.

Le point de vue de l'auditeur

L'IA ne remplace pas les principes d'audit traditionnels : elle les élargit. L'auditeur interne comme externe doit apprécier si l'IA est gouvernée efficacement, si l'information qu'elle produit est fiable pour l'information financière et la décision, si des contrôles appropriés sont en place, et si les risques liés aux fournisseurs d'IA tiers, à la conformité réglementaire et à l'usage éthique sont correctement maîtrisés.

L'IA peut être un outil précieux pour l'auditeur : elle améliore l'efficacité, la couverture d'audit et la qualité des travaux. Elle peut analyser de grands volumes de données, repérer des schémas inhabituels, soutenir l'appréciation du risque et automatiser la revue de documents et d'opérations, ce qui permet à l'auditeur de se concentrer davantage sur les zones à risque et le jugement professionnel.

Ces bénéfices dépendent toutefois de données fiables, de contrôles appropriés, d'une validation et d'une supervision humaine. L'IA doit donc être vue comme un outil qui renforce — et non remplace — le jugement professionnel, l'esprit critique et la responsabilité de l'auditeur. À mesure que son usage progresse, les missions d'assurance s'étendront probablement à des domaines tels que la gouvernance de l'IA, la qualité des données, la gestion des modèles et les pratiques d'IA responsable.

La gouvernance de l'IA en pratique : quand les cabinets de services professionnels se trompent

Les risques d'un usage non maîtrisé de l'IA ne sont plus théoriques. Des incidents récents dans de grands cabinets de services professionnels ont montré comment hallucinations, citations inventées et supervision humaine insuffisante peuvent miner la fiabilité d'un travail professionnel.

En 2026, PwC[3], EY et KPMG ont fait l'objet d'un examen critique sur différents marchés à propos de rapports contenant des références inexactes, inventées ou invérifiables, tandis que des controverses distinctes sur la qualité d'audit, impliquant de grands cabinets de services professionnels, ont aussi émergé au Canada. Ces affaires canadiennes n'étaient pas nécessairement liées à des hallucinations d'IA ou à des citations fabriquées, mais elles soulignent encore l'importance d'une supervision professionnelle et de contrôles qualité solides. Deloitte Australie avait précédemment été critiquée pour un rapport commandé par les pouvoirs publics comportant des erreurs produites par l'IA et des références inventées. Ces cas montrent que la question centrale n'est pas l'usage de l'IA en soi, mais l'absence de gouvernance, de supervision humaine et de contrôles appropriés autour de cet usage.[4]

L'IA peut améliorer la productivité et soutenir la recherche et l'analyse, mais ses productions ne doivent jamais être tenues pour automatiquement fiables. Une organisation a besoin de règles claires d'usage de l'IA, de revue humaine, de vérification des sources, de responsabilité et de documentation des contrôles avant qu'un travail assisté par l'IA ne soit diffusé ou utilisé.[5]

Pour les auditeurs et les comités d'audit, ces incidents sont un avertissement concret. La vraie question n'est plus simplement de savoir si une organisation utilise l'IA, mais si elle dispose de contrôles efficaces pour repérer, prévenir et corriger les erreurs liées à l'IA avant qu'elles n'affectent l'information financière, les déclarations réglementaires, les décisions de gestion ou la réputation.

Les questions que tout comité d'audit devrait poser

Pour renforcer la supervision de l'IA, les comités d'audit devraient régulièrement demander :

• Quels processus reposent sur l'IA ?
• Quels sont les risques majeurs de chaque application d'IA ?
• Qui est responsable de la gouvernance de l'IA ?
• Comment les productions de l'IA sont-elles validées avant d'éclairer une décision ?
• Comment les données sensibles sont-elles protégées ?
• Une assurance indépendante a-t-elle été obtenue sur les contrôles liés à l'IA ?
• L'organisation est-elle prête pour la réglementation à venir sur l'IA ?

Poser ces questions aide le comité d'audit à faire passer la supervision de l'IA d'une conformité réactive à une gouvernance anticipatrice. Elle lui permet de repérer les risques avant qu'ils ne se matérialisent, de clarifier les responsabilités, de mettre en cause les hypothèses de la direction, de renforcer le contrôle interne et de s'assurer que l'information produite par l'IA est correctement validée avant d'influer sur des décisions financières ou de gestion. En définitive, ces questions l'aident à déterminer si l'organisation utilise l'IA de façon fiable, transparente, sûre, conforme et cohérente avec son appétit pour le risque.

Perspectives

L'essor des cadres et des réglementations de gouvernance de l'IA[6]

À mesure que des outils d'IA générative tels que ChatGPT, Claude et d'autres se diffusent largement, les États et les régulateurs ont reconnu que l'IA peut créer des risques importants en matière de protection des données, de cybersécurité, de biais, de fraude, de sécurité nationale et de décision. L'actualité récente a montré que ces risques ne sont pas seulement théoriques. En 2026, Anthropic, concepteur de Claude, s'est trouvé dans un différend important avec le ministère américain de la Défense après avoir refusé de lever les restrictions d'usage de ses modèles pour des armes pleinement autonomes et une surveillance intérieure de masse. Le gouvernement américain a ensuite désigné Anthropic comme un risque pour la chaîne d'approvisionnement lié à la sécurité nationale et enjoint aux agences fédérales de cesser d'utiliser sa technologie, avant qu'un juge fédéral ne bloque cette désignation.

L'affaire illustre une question de gouvernance importante : qui détermine la façon dont des systèmes d'IA puissants peuvent être utilisés, et quelles mesures de sauvegarde doivent s'appliquer lorsque l'IA est déployée dans des environnements à haut risque ? Elle montre aussi que la gouvernance de l'IA dépasse la performance technique pour toucher à la responsabilité, à l'usage acceptable, à la supervision humaine, à la sécurité nationale, à l'éthique et à la conformité réglementaire.

Face à ces risques émergents, gouvernements et organisations internationales adoptent réglementations, normes et dispositifs de gouvernance destinés à promouvoir un usage responsable, transparent et redevable de l'IA.

Parmi les initiatives les plus marquantes :

1. Le règlement européen sur l'IA : une référence mondiale

L'AI Act de l'Union européenne est la première loi complète au monde encadrant l'intelligence artificielle. Elle adopte une approche par les risques, en imposant des exigences plus strictes aux systèmes d'IA les plus risqués, en particulier ceux employés dans les services financiers, la santé, le recrutement et les infrastructures critiques.

Les systèmes d'IA à haut risque doivent satisfaire à des exigences de transparence, de gestion des risques, de supervision humaine et de responsabilité. Les manquements peuvent entraîner de lourdes sanctions financières, ce qui souligne l'importance d'une gouvernance solide.

2. Le cadre de gestion des risques liés à l'IA du NIST : un guide pratique pour les organisations[7]

Aux États-Unis, l'accent a moins porté sur la législation que sur la mise à disposition d'orientations pratiques. Le National Institute of Standards and Technology (NIST) a élaboré le cadre de gestion des risques de l'IA (AI RMF) pour aider les organisations à identifier, apprécier, maîtriser et surveiller en continu les risques liés à l'IA tout au long de son cycle de vie.

Bien que volontaire, ce référentiel est vite devenu l'une des références les plus reconnues pour bâtir un programme de gouvernance responsable de l'IA. De nombreuses multinationales s'en servent désormais comme socle pour maîtriser les risques tout en soutenant l'innovation.

3. ISO/IEC 42001 : intégrer la gouvernance de l'IA aux systèmes de management[8]

Consciente du besoin d'une approche internationale cohérente, l'Organisation internationale de normalisation (ISO) a publié l'ISO/IEC 42001, première norme de système de management expressément conçue pour l'intelligence artificielle.

À l'image de la norme ISO/IEC 27001 pour la sécurité de l'information, l'ISO/IEC 42001 offre aux organisations un cadre structuré de gouvernance de l'IA. Elle les incite à définir des politiques claires, à préciser rôles et responsabilités, à mettre en place des processus de gestion des risques et à surveiller et améliorer en continu leurs systèmes d'IA. Elle les aide à inscrire des pratiques d'IA responsable dans leurs opérations quotidiennes, au lieu de traiter la gouvernance de l'IA comme un exercice de conformité isolé.

4. Principes de l'OCDE sur l'IA : bâtir la confiance dans l'intelligence artificielle[9]

Outre les cadres réglementaires et de management, l'Organisation de coopération et de développement économiques (OCDE) a élaboré un ensemble de principes internationalement reconnus, qui ont façonné les politiques d'IA dans le monde entier.

L'OCDE insiste sur une IA digne de confiance, transparente, responsable, équitable et sûre. Ces principes offrent un socle commun aux États et aux organisations qui souhaitent encourager l'innovation tout en protégeant les personnes, les entreprises et la société des risques potentiels liés à l'IA.

Ces principes ont depuis inspiré les stratégies nationales d'IA de dizaines de pays et demeurent une référence en matière de gouvernance responsable de l'IA.

Pourquoi cela compte pour les auditeurs

La gouvernance de l'IA devient le prolongement naturel de la gouvernance d'entreprise et du contrôle interne. Outre l'évaluation de l'information financière et de la conformité, on attend de plus en plus de l'auditeur qu'il apprécie si l'organisation dispose de politiques appropriées de gouvernance de l'IA, de responsabilités définies, de contrôles fiables sur les productions de l'IA, d'une protection adéquate des données sensibles et d'une conformité aux normes et réglementations émergentes.

À mesure que l'adoption de l'IA s'accélère, conseils et comités d'audit devront démontrer que l'IA est gouvernée par un cadre structuré, appuyé sur des contrôles et une supervision efficaces. La question n'est plus de savoir si une organisation utilise l'IA, mais si elle le fait dans un cadre de gouvernance auquel la direction, les auditeurs et les parties prenantes peuvent se fier.

L'IA offre d'importantes possibilités d'améliorer l'efficacité, l'innovation et la décision, mais elle introduit des enjeux de gouvernance qui dépassent la technologie. Les organisations qui bâtissent des cadres de gouvernance solides de l'IA seront mieux placées pour maîtriser les risques, préserver la confiance de leurs parties prenantes et s'adapter à une réglementation en évolution.

Pour un comité d'audit, superviser l'IA devient aussi essentiel que superviser l'information financière et le contrôle interne. En définitive, la réussite de l'IA tiendra non à la technologie seule, mais à la solidité de la gouvernance qui l'encadre.

En définitive, un usage responsable de l'IA doit faire partie de la pratique professionnelle quotidienne, et non constituer une simple exigence de conformité pour les auditeurs. Quiconque utilise l'IA a la responsabilité de vérifier l'information, de protéger les données confidentielles, d'exercer son jugement professionnel et de rester conscient des risques liés aux productions de l'IA. Bâtir cette culture dans toute l'organisation est essentiel pour que l'IA reste un outil de confiance, qui renforce la qualité et l'intégrité du travail professionnel au lieu de les compromettre.

Cette évolution est déjà visible partout dans le monde, où les décideurs publics se saisissent de plus en plus de l'usage de l'IA dans l'enseignement et par les étudiants. À mesure que l'IA s'inscrit dans la vie professionnelle et universitaire, la question n'est plus simplement de savoir si elle doit être régulée, mais si les organisations et les personnes doivent répondre de la façon dont elles l'utilisent — à l'image des attentes qui se sont développées autour de la cybersécurité et de la protection des données.

Références

Cet article devrait s'appuyer sur des sources faisant autorité plutôt que sur des articles de presse. Références recommandées :

1. International Auditing and Assurance Standards Board
2. Institute of Internal Auditors, guides sur la gouvernance de l'IA et l'audit interne.
3. Committee of Sponsoring Organizations of the Treadway Commission, Achieving Effective Internal Control Over Sustainability and Emerging Technologies et le référentiel de contrôle interne.
4. National Institute of Standards and Technology, AI Risk Management Framework (AI RMF 1.0). https://www.nist.gov/itl/ai-risk-management-framework
5. Organisation de coopération et de développement économiques, Principes de l'OCDE sur l'IA. https://oecd.ai/en/ai-principles
6. Organisation internationale de normalisation, ISO/IEC 42001:2023 — Système de management de l'intelligence artificielle.
7. Forum économique mondial, publications sur la gouvernance de l'IA et l'IA responsable.
8. PwC just got caught trying to pass AI slop as authentic research | TechSpot
9. Deloitte admits AI hallucinated quotes in government report, offers partial refund | TechSpot
10. Union européenne. Règlement (UE) 2024/1689 (règlement européen sur l'IA).

https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:32024R1689

[1] L'organe chargé de l'orientation stratégique et de la gouvernance

[2] Un comité du conseil chargé de la supervision de l'information financière, du contrôle interne, de la gestion des risques et des questions d'audit

[3] PwC just got caught trying to pass AI slop as authentic research | TechSpot

[4] Deloitte admits AI hallucinated quotes in government report, offers partial refund | TechSpot

[5] https://www.nist.gov/itl/ai-risk-management-framework

[6] Forum économique mondial, publications sur la gouvernance de l'IA et l'IA responsable.

[7] National Institute of Standards and Technology, AI Risk Management Framework (AI RMF 1.0). https://www.nist.gov/itl/ai-risk-management-framework

[8] Organisation internationale de normalisation, ISO/IEC 42001:2023 — Système de management de l'intelligence artificielle.

[9] https://oecd.ai/en/ai-principles