Audit IA : votre PME est-elle prête à lancer un pilote ?

Un audit IA doit vous aider à choisir la prochaine tâche à tester dans de bonnes conditions, pas décerner un label à votre entreprise. Répondez à 15 questions réparties en cinq domaines, vérifiez les critères bloquants, puis servez-vous du résultat pour organiser vos 90 prochains jours. Dans une petite entreprise (10-200 personnes), la réponse utile est concrète : ce workflow peut être testé avec ces contrôles, ou doit attendre que ces lacunes soient comblées.

Commencez par un workflow précis pour évaluer votre préparation à l’IA

Avant d’évaluer toute l’entreprise, examinez la tâche que vous souhaitez confier en partie à l’IA. Une société peut être prête à rédiger des points d’avancement internes, sans l’être à laisser un logiciel prendre des engagements auprès de clients. Ces deux usages demandent des preuves différentes, même avec les mêmes personnes et les mêmes outils.

Voyez cette préparation comme le contrôle d’un véhicule avant un trajet donné. Avoir les clés ne dit rien de l’état des freins ni de l’adéquation du véhicule au parcours. L’abonnement à un outil d’IA, ce sont les clés. Les données, les accès, les personnes chargées de vérifier les résultats et les règles de fonctionnement déterminent si le trajet est envisageable.

Choisissez une tâche récurrente, avec des éléments d’entrée identifiables, un résultat vérifiable et un responsable. « Améliorer les opérations » reste trop vague. « Rédiger le point d’avancement hebdomadaire à partir de notes approuvées, puis le faire vérifier par le chef de projet avant envoi » peut s’évaluer.

Cette grille sert à préparer un essai limité et supervisé sur une tâche courante. Les décisions qui touchent au recrutement, au crédit, à la santé, à la sécurité ou aux droits des personnes exigent une évaluation distincte, menée par des personnes qualifiées dans le domaine concerné. Un score élevé ici n’autorise pas ces usages.

Le dirigeant ou le directeur des opérations définit le résultat attendu et désigne la personne qui en répond. Le responsable informatique vérifie les autorisations et les paramètres. La personne qui réalise la tâche explique les cas particuliers et juge l’utilité du résultat. Dans une petite entreprise, une même personne peut cumuler plusieurs rôles ; aucun contrôle ne disparaît pour autant.

Audit IA : la grille d’une page à copier

Notez ce que vous pouvez démontrer aujourd’hui. Une politique que personne n’a lue, un paramètre administrateur que personne n’a vérifié ou un relecteur qui n’a jamais essayé de contrôler un résultat ne valent, au mieux, que des points partiels.

Le barème ci-dessous est un outil de planification propre à cet article. Sa pondération et ses seuils relèvent de choix éditoriaux : ce ne sont ni des indicateurs prédictifs validés, ni des références sectorielles, ni un examen de certification. Toutes les questions ont le même poids pour simplifier le calcul ; les critères impératifs empêchent cette simplicité de masquer une omission dangereuse.

Copiez la grille, de Tâche à Prochaine action, dans un document. Rangez les captures d’écran, fichiers d’exemple et notes justificatives dans un dossier séparé pour que l’évaluation reste compacte.

Checklist de préparation à l’IA

Tâche : __________ Responsable : __________ Date : __________

Notez chaque réponse : 0 = absent ou inconnu ; 1 = partiellement démontré ; 2 = entièrement démontré pour cette tâche. Ajoutez une courte référence à la preuve à côté de chaque note. Si une question comporte plusieurs vérifications, toutes doivent être satisfaites pour obtenir 2. Chaque domaine est noté sur 6 ; le total est sur 30.

A. La tâche à automatiser

• A1. Avez-vous identifié une tâche récurrente, un responsable nommé et des éléments d’entrée et de sortie clairement définis ?
• A2. Avez-vous relevé sa fréquence, le temps de traitement actuel et les erreurs courantes à partir d’exemples récents ?
• A3. Avez-vous décrit ce qu’un résultat utile doit contenir, avec des exemples acceptables et inacceptables ?

B. Données et accès

• B1. Les éléments d’entrée représentatifs sont-ils à jour, lisibles et suffisamment cohérents pour cette tâche ?
• B2. CRITÈRE IMPÉRATIF : Avez-vous confirmé l’autorisation d’utiliser ces éléments dans cet outil, pour cet usage ?
• B3. CRITÈRE IMPÉRATIF : Avez-vous vérifié que les utilisateurs et les connexions ne peuvent accéder qu’aux informations autorisées pour cette tâche ?

C. Les outils déjà payés

• C1. Avez-vous vérifié les abonnements existants, les fonctionnalités incluses, les licences disponibles et l’identité des administrateurs ?
• C2. CRITÈRE IMPÉRATIF : L’administrateur a-t-il approuvé précisément l’outil et le compte concernés, puis vérifié les paramètres et les conditions de traitement des données ?
• C3. Le workflow envisagé peut-il recevoir les éléments nécessaires et produire un résultat exploitable sans reposer sur des hypothèses non vérifiées ?

D. Personnes et compétences

• D1. Une personne est-elle responsable de l’essai, avec du temps prévu pour le mener et un remplaçant désigné ?
• D2. CRITÈRE IMPÉRATIF : La personne chargée de la vérification sait-elle confronter les faits aux sources et repérer les erreurs lourdes de conséquences ?
• D3. Les futurs utilisateurs se sont-ils exercés à la tâche, notamment à remettre une réponse en question et à signaler un problème ?

E. Risques et règles d’usage

• E1. CRITÈRE IMPÉRATIF : Les données autorisées, les usages permis et les usages interdits sont-ils consignés par écrit et compris par les participants ?
• E2. Avez-vous identifié les personnes qu’une erreur pourrait affecter et les situations à transmettre à un responsable ?
• E3. CRITÈRE IMPÉRATIF : Avez-vous répété la validation humaine, l’arrêt de l’essai, le signalement d’un incident et le retour au processus manuel ?

Totaux : A ___/6 + B ___/6 + C ___/6 + D ___/6 + E ___/6 = ___/30.

Décision : 0-11 : consolider les bases. 12-21 : préparer un pilote au périmètre limité. 22-30 : mener un pilote avec mesure des résultats si les critères impératifs sont remplis. Tout critère impératif noté moins de 2 interdit les données réelles de l’entreprise ou des clients et tout usage opérationnel ; utilisez uniquement des exemples synthétiques dans un environnement approuvé. Tout domaine noté moins de 3/6 doit être renforcé avant d’élargir le périmètre.

Prochaine action : __________ Personne responsable : __________ Échéance : __________

Quelles preuves faut-il fournir ?

Une courte note renvoyant à un élément vérifiable suffit. Pour B2, indiquez quel responsable des données a autorisé l’usage et quelles limites s’appliquent. Pour B3, présentez une vérification des droits depuis le compte d’un utilisateur ordinaire du pilote, pas seulement depuis une vue administrateur. Pour C2, consignez le type de compte, les conditions applicables à la conservation des données et à leur utilisation pour l’entraînement, les connexions activées et la date de vérification. « Le fournisseur dit que c’est sécurisé » ne répond à aucune de ces questions.

Pour D2, demandez au relecteur de comparer un brouillon à sa source et de repérer une erreur factuelle introduite volontairement. Présentez clairement cette mise en situation comme un exercice et utilisez des éléments synthétiques. Il s’agit de vérifier une pratique de contrôle avant que quiconque s’y fie.

Une information inconnue vaut 0, pas « sans doute conforme ». En cas de désaccord entre collègues, retenez la note la plus basse jusqu’à ce que les preuves permettent de trancher. N’accordez pas de points pour une correction prévue le mois prochain.

Que faire de votre score au cours des 90 prochains jours ?

Utilisez la tranche de score pour hiérarchiser le travail, puis les critères impératifs pour décider si un essai en conditions réelles peut commencer. Ces périodes servent à planifier ; leur échéance ne donne aucune autorisation. Si une correction indispensable prend plus de temps, le pilote attend.

0-11 : consolider les bases

À faire en premier : choisir une tâche et nommer son responsable. Si vous ne pouvez pas décrire les éléments d’entrée, le résultat attendu et la personne qui en répond, acheter un outil supplémentaire ne lèvera pas cette incertitude.

Aux jours 1-30, rassemblez des exemples, décrivez le processus actuel et repérez où se trouvent les données. Examinez les logiciels déjà disponibles et rédigez les règles de base. Choisissez une tâche moins risquée si celle envisagée dépend de données que vous ne pouvez pas utiliser.

Aux jours 31-60, nettoyez un petit échantillon représentatif, vérifiez les accès et entraînez-vous sur des exemples synthétiques dans un environnement approuvé. Donnez aux participants un processus manuel fonctionnel auquel revenir. L’objectif est d’obtenir des preuves pour les questions encore sans réponse, pas de produire une démonstration spectaculaire.

Aux jours 61-90, évaluez à nouveau la même tâche. Ne lancez un pilote limité sur des données réelles qu’après avoir atteint au moins la tranche intermédiaire et rempli chaque critère impératif. Si la tâche ne convient toujours pas, terminer le trimestre sur une décision d’attente documentée reste un résultat utile.

12-21 : préparer un pilote au périmètre limité

À faire en premier : attribuer un responsable et une échéance à chaque critère impératif non rempli. Renforcez ensuite le domaine le plus faible plutôt que de perfectionner le plus solide.

Aux jours 1-30, finalisez ces garde-fous, définissez un résultat acceptable et consignez les performances du processus manuel de référence. Cette référence décrit le travail avant l’essai, y compris le temps de vérification et de correction. Une charte d’utilisation de l’IA peut fournir les règles écrites ; adaptez-la à la tâche et aux données réellement concernées.

Aux jours 31-60, si tous les critères impératifs sont remplis, faites réaliser la tâche par deux utilisateurs désignés, avec un relecteur. Les résultats restent des brouillons jusqu’à leur validation. Suivez le temps de traitement total, les corrections et les exceptions en parallèle du processus manuel. Si les utilisateurs ne se sont pas exercés au workflow, formez-les avant de commencer, même si le total est suffisant.

Aux jours 61-90, décidez de poursuivre, modifier ou arrêter l’essai. Refaites l’évaluation lorsque vous changez de tâche, de source de données, d’outil ou de périmètre d’autorisation. Progresser, c’est réduire les lacunes non résolues et disposer de meilleures preuves, pas simplement ajouter des utilisateurs.

22-30 : mener un pilote et mesurer ses résultats

À faire en premier : examiner les critères impératifs et la note du domaine le plus faible. Un bon total permet d’envisager un essai encadré ; il ne justifie ni l’envoi automatique, ni les accès sans restriction, ni un déploiement dans toute l’entreprise.

Aux jours 1-30, convenez des critères d’acceptation et lancez un petit essai si les critères impératifs sont remplis et si les participants savent réaliser la tâche. La personne chargée de la vérification reste responsable de chaque résultat utilisé dans les opérations. À ce stade, testez l’utilité du workflow complet, en comptant aussi le travail humain autour de l’IA.

Aux jours 31-60, examinez les résultats chaque semaine. Élargissez la variété des exemples avant d’augmenter le nombre d’utilisateurs. Un système qui traite correctement des notes courantes peut encore échouer face à un point d’avancement ambigu, à des sources manquantes ou à une consigne client modifiée.

Aux jours 61-90, n’élargissez le périmètre que si le workflow respecte les critères écrits pendant deux périodes de revue consécutives, qu’aucun critère impératif ne reste en suspens et que chaque domaine atteint au moins 3/6. C’est une règle de fonctionnement proposée pour ce petit essai, pas une preuve statistique de fiabilité. Si la vérification prend autant de temps que l’exécution manuelle, simplifiez la tâche ou arrêtez.

Exemple complet : une société de services de 40 personnes

Une société de services fictive de 40 personnes obtient 18/30. Sa première étape consiste donc à réunir les conditions nécessaires à un pilote. Elle n’est pas encore prête à utiliser des informations de projet réelles.

La tâche envisagée consiste à rédiger un brouillon interne de point d’avancement à partir de notes de projet approuvées. Un chef de projet vérifierait chaque affirmation factuelle avant d’envoyer le message final. L’essai ne prévoirait ni envoi automatique de messages, ni modification des dossiers, ni prise d’engagements auprès des clients.

Les preuves et les notes ci-dessous servent uniquement d’illustration. Il ne s’agit ni de résultats clients, ni d’un test produit, ni d’une affirmation selon laquelle un assistant donné saurait réaliser cette tâche.

Les sous-totaux sont les suivants : tâche 4/6, données 4/6, outils 4/6, personnes 3/6 et risques 3/6. Le calcul donne 4 + 4 + 4 + 3 + 3 = 18/30. B2 est le seul critère impératif déjà rempli.

Le directeur des opérations décide de préparer l’essai, en excluant les données de projet réelles tant que les autres critères impératifs ne sont pas remplis. L’administrateur vérifie B3 et C2. Le chef de projet fait la démonstration de D2. Le directeur des opérations explique les limites écrites pour E1 et répète avec les participants la validation, le signalement d’incident, l’arrêt et le retour au processus manuel pour E3.

Si ces cinq points passent chacun de 1 à 2, le score atteint 23/30. Ce calcul ne règle pas D3 : les utilisateurs doivent encore s’entraîner. Une fois cet entraînement réalisé et D3 passé de 0 à 2, le total atteint 25/30, avec des notes par domaine de 4, 5, 5, 6 et 5. Dans ce scénario hypothétique, tous les critères impératifs sont alors remplis.

Avant son premier brouillon sur des données réelles, l’entreprise doit finaliser la mesure de référence, les exemples d’acceptation et la vérification C3 du passage des éléments d’entrée au résultat. Elle ne revoit ces notes que lorsque les preuves le justifient. Si l’outil ne permet pas le workflow prévu, il faut choisir une autre tâche. L’entreprise n’a toujours aucune preuve d’un gain de temps ; elle doit le mesurer, en incluant le temps de vérification et de correction du brouillon.

Réaliser votre diagnostic IA en une semaine de travail

Consacrez cette semaine à prendre une décision documentée, sans promettre une mise en œuvre achevée. Le travail consiste à recueillir des preuves auprès des personnes qui connaissent déjà la tâche.

1. 1

   Lundi : choisir la tâche et réunir des exemples

   Le dirigeant ou le directeur des opérations désigne la tâche, son responsable et la décision à prendre vendredi. Demandez à la personne qui fait ce travail dix exemples récents, y compris des cas difficiles. Relevez la fréquence, le temps passé et les corrections courantes. C’est un échantillon de départ pratique, pas la preuve que toutes les exceptions ont été couvertes.

2. 2

   Mardi : contrôler les données et les accès réels

   Le responsable informatique et le responsable des données examinent cinq documents sources représentatifs. Confirmez l’autorisation pour l’usage envisagé et vérifiez les accès depuis le compte d’un utilisateur ordinaire du pilote. Repérez les versions obsolètes, les dossiers mélangeant plusieurs clients, les données personnelles et les éléments soumis à des restrictions d’utilisation. L’existence d’un dossier ne signifie pas qu’il soit pertinent de le connecter.

3. 3

   Mercredi : recenser les outils et les usages actuels

   Vérifiez les abonnements déjà détenus par l’entreprise, les types exacts de comptes et les personnes qui peuvent les administrer. Demandez aux équipes quels assistants, extensions de navigateur ou outils de réunion elles utilisent déjà au travail. Cherchez à établir les faits : une liste de factures ne suffit pas à évaluer les usages cachés. Le guide du shadow AI, c’est-à-dire des usages professionnels de l’IA en dehors du cadre de supervision approuvé, aide à structurer cet échange.

4. 4

   Jeudi : mettre en pratique les contrôles humains et les règles

   Prévoyez une heure pour que les futurs utilisateurs et le relecteur s’exercent sur des éléments synthétiques dans un environnement approuvé. Comparez un brouillon à sa source, rejetez une affirmation non étayée, signalez un problème et revenez au processus manuel. Notez les comportements démontrés ; la simple présence ne rapporte aucun point.

5. 5

   Vendredi : noter, décider et répartir les corrections

   Le dirigeant ou le directeur des opérations, le responsable informatique et le responsable de la tâche confrontent les preuves, tranchent les désaccords et calculent le total de la grille. Consignez la tranche obtenue, les critères impératifs non remplis, la première action, son responsable et son échéance. Fixez une date de réexamen et conservez cette version pour que les scores ultérieurs montrent ce qui a changé.

Quel outil utiliser pour ce diagnostic IA ?

Un document et un tableur suffisent pour cette première décision. Gardez ensemble l’identifiant de la question, la note, la référence à la preuve et la prochaine action. Une explication traçable pour chaque réponse compte davantage qu’un tableau de bord sophistiqué.

Pour les « outils déjà payés », évaluez leur adéquation vérifiée, pas le nombre d’abonnements. Une fonctionnalité incluse peut être inaccessible aux utilisateurs concernés, désactivée par l’administrateur ou inadaptée aux données en jeu. Vérifiez le compte et le workflow réels avant de prévoir un nouvel achat.

Consultez les outils d’IA pour les petites entreprises une fois la tâche et les contraintes clarifiées. Si votre sélection comprend Claude d’Anthropic, le guide des workflows Claude pour les petites entreprises propose des pistes à évaluer. Aucun de ces guides ne dispense de vérifier votre propre compte, vos autorisations et le résultat attendu.

Maturité IA : quelle place pour les cadres de référence ?

Les référentiels publics permettent d’approfondir les contrôles une fois les lacunes identifiées. L’AI Risk Management Framework, ou NIST AI RMF, du National Institute of Standards and Technology, propose des recommandations d’application volontaire pour gérer les risques de l’IA. Son Playbook regroupe les actions suggérées sous Govern, Map, Measure et Manage, et précise qu’il ne s’agit pas d’une checklist à remplir intégralement. Utilisez-le pour examiner plus finement les responsabilités, le contexte, l’évaluation et les réponses à apporter. ISO/IEC 42001 définit les exigences pour établir et améliorer en continu un système de management de l’IA, c’est-à-dire les politiques, les responsabilités et les processus de l’organisation en matière d’IA. Cette norme est pertinente lorsque vous avez besoin de ce cadre organisationnel formel. Ces pages publiques ont été vérifiées le 23 octobre 2026. La présente grille est un outil de planification original : elle ne constitue ni une évaluation NIST, ni une évaluation de conformité ISO, ni une preuve de certification. Utilisez le cadre de gouvernance de l’IA pour les petites entreprises pour traduire ses conclusions en responsabilités nominatives et en règles de décision.

Quelles promesses d’un audit IA faut-il relativiser ?

Un score d’apparence précise peut masquer une réponse floue. Un 18/30 appuyé sur des preuves est plus utile qu’un 28/30 affirmé avec assurance mais fondé sur des suppositions. Les tranches servent à organiser le travail ; elles ne mesurent pas une propriété universelle de votre entreprise. Ne convertissez pas le total en pourcentage pour déclarer que l’entreprise est « prête à ce pourcentage ».

Multiplier les outils ne clarifie pas une tâche mal définie. Sans accord sur ce qu’est un bon résultat, une tâche reste difficile à évaluer après l’achat d’un nouvel abonnement. Il en va de même quand les sources se contredisent. Parfois, le premier progrès consiste à standardiser le formulaire de collecte des informations ou à clarifier le circuit de validation.

Réussir l’évaluation ne prouve pas le bénéfice. L’évaluation vérifie que les conditions d’un essai pertinent sont réunies. L’essai vérifie que le workflow améliore le travail. Mesurez la préparation, la relecture, la correction et le traitement des exceptions, en plus du temps de génération. Un brouillon produit rapidement mais plus long à vérifier peut rester un mauvais choix.

Le score n’autorise pas l’autonomie. Passer de « préparer un brouillon pour une personne » à « envoyer sans validation » modifie le workflow et ses conséquences. Réévaluez-le. Il en va de même si vous donnez au même assistant accès aux fichiers d’un autre service. Même 30/30 ne permet pas de considérer comme acquises, pour une nouvelle autorisation ou un nouvel usage, des preuves qui n’ont jamais été réunies.

Questions fréquentes

Qu’est-ce qu’une évaluation de préparation à l’IA ?

Une évaluation de préparation confronte les preuves disponibles aux conditions nécessaires pour franchir une prochaine étape précise. Pour l’IA, cela consiste à examiner la tâche, les données, les outils, les personnes et les règles de fonctionnement, puis à consigner ce qui peut avancer et ce qui doit être corrigé. Le résultat utile est une décision assortie de responsables, pas seulement un score.

Comment obtenir cette grille d’audit IA en PDF ?

Copiez la grille d’une page dans votre éditeur de documents, puis exportez-la ou imprimez-la au format PDF. Conservez les notes justificatives à part et gardez une copie modifiable pour refaire l’évaluation. Toutes les questions et les règles de notation figurent sur cette page ; aucun formulaire à remplir ni aucune adresse e-mail à fournir ne sont nécessaires.

Par quoi commencer lundi ?

Planifiez l’évaluation avec le responsable d’une tâche récurrente et la personne qui administre ses données et ses outils. Demandez des exemples récents avant la réunion. D’ici vendredi, complétez cette phrase : « Nous pouvons tester ce workflow dans ces limites, une fois ces lacunes précises comblées. » Si vous n’y arrivez pas, faites de la collecte des preuves manquantes votre prochaine action.

Pour recevoir des guides pratiques sur le choix et la mise en œuvre de workflows d’IA, abonnez-vous à la newsletter.