Audit IA

Ce que l'audit doit établir

Un audit commence par une cartographie, pas par une opinion sur les modèles. Il recense les outils réellement utilisés, y compris ceux qui sont entrés par la porte de service : un compte gratuit ouvert par un salarié, un module ajouté dans un logiciel de gestion, un assistant intégré à une messagerie. Cette liste est souvent plus longue que ce que la direction imagine. Chaque usage est ensuite rattaché à un processus, à un responsable et à un volume de traitement.

Le deuxième volet porte sur les données. Quelles informations entrent dans l'outil, où sont-elles stockées, qui peut les consulter, combien de temps restent-elles ? Un audit sérieux distingue les données ordinaires des données personnelles, des secrets d'affaires et des informations soumises à des obligations particulières. Cette analyse détermine ce qui peut rester chez un fournisseur externe et ce qui doit revenir sur un serveur maîtrisé, en Guadeloupe ou ailleurs, avec les sauvegardes et les accès que cela suppose.

La méthode sur le terrain

La collecte se fait par entretiens courts et observation directe, plutôt que par questionnaire exhaustif. On demande à voir les écrans, les fichiers, les consignes enregistrées. Un utilisateur qui décrit son usage de mémoire le simplifie toujours, et les écarts entre le discours et la pratique révèlent les vrais risques : copier un contrat client dans un outil public, valider sans relire, envoyer un document sans en connaître le destinataire réel.

L'audit mesure ensuite les effets, ce qui suppose un avant et un après. Temps passé par dossier, taux de reprise, nombre d'erreurs détectées en relecture, coût mensuel des abonnements et des appels : ces éléments se collectent avec les outils existants. Sans cette base chiffrée, toute discussion sur le retour sur investissement repose sur des impressions. L'auditeur ne juge pas la technologie, il documente ce qu'elle change dans le travail réel.

Ce qui en sort et ce qu'on en fait

Le livrable utile tient en quelques pages : une liste d'usages classés par risque et par maturité, les zones grises à régulariser, les gains constatés, les compétences manquantes. On y ajoute une règle simple sur ce qui est autorisé, ce qui exige une validation et ce qui est interdit, avec des exemples concrets plutôt que des principes. Ce document devient la référence interne, celle qu'on consulte avant d'ouvrir un nouvel abonnement.

Un audit sans suite se périme vite. Il doit déboucher sur deux ou trois décisions datées : fermer un usage non conforme, former une équipe, lancer un prototype sur le cas le plus rentable. Prévoir une revue à intervalle régulier évite que la cartographie ne redevienne une fiction. Dans les structures de petite taille, cette revue peut se limiter à une heure par trimestre, à condition d'être tenue avec la même rigueur qu'un contrôle de gestion.

Les limites de l'exercice

Un audit ne dit pas ce qu'il faudrait faire à la place d'un usage contestable. Il constate, il classe, il documente ; la décision d'arrêter un projet ou d'investir dans un autre relève de la direction. Confondre les deux rôles transforme l'auditeur en prescripteur, avec le risque de voir ses conclusions contestées dès qu'elles touchent un service influent. La séparation est saine : elle protège la crédibilité du diagnostic et laisse à chacun la responsabilité de ses choix.

La photographie vieillit aussi vite que les outils. Un modèle change de version, un fournisseur modifie ses conditions, un salarié part avec ses habitudes. Un audit ponctuel, même bien fait, ne vaut que quelques mois. C'est pourquoi il est plus utile de laisser derrière soi un dispositif léger et permanent, avec un registre des usages et des règles à jour, qu'un rapport relié dont personne ne rouvre les annexes au bout de six mois.