Audit IT à l'Ère de l'IA : Naviguer entre Efficacité et Pièges Cachés

Découvrez les risques cruciaux et les scénarios concrets que tout auditeur IT doit maîtriser lors de l'utilisation de l'intelligence artificielle.

Points Clés à Retenir

Intégrité des Données Cruciale : La fiabilité de l'IA dépend entièrement de la qualité, de la sécurité et de l'absence de biais des données utilisées, un point de vigilance majeur pour l'auditeur.
Risques Algorithmiques Complexes : Les biais inhérents et le manque de transparence ("boîte noire") des modèles d'IA peuvent fausser les résultats d'audit et poser des défis éthiques.
Vigilance Humaine Indispensable : L'IA est un outil puissant mais ne remplace pas le jugement professionnel, le scepticisme et la validation humaine rigoureuse des conclusions.

Introduction : L'IA en Audit IT, une Arme à Double Tranchant

L'intégration de l'intelligence artificielle (IA) dans les missions d'audit informatique (IT) promet une révolution : analyse accélérée de volumes massifs de données, détection affinée d'anomalies, optimisation des ressources... Cependant, cette puissance technologique s'accompagne d'un éventail de risques nouveaux et complexes. L'auditeur IT moderne doit impérativement comprendre et anticiper ces dangers pour garantir la fiabilité, la sécurité et la conformité de ses missions. Ignorer ces risques pourrait non seulement compromettre la qualité de l'audit, mais aussi exposer l'organisation auditée et le cabinet d'audit à des conséquences sévères.

Cette analyse vise à équiper l'auditeur IT des connaissances nécessaires pour naviguer dans ce paysage complexe, en détaillant les principaux domaines de risques et en illustrant leur impact potentiel à travers des scénarios concrets.

Illustration conceptuelle de l'intelligence artificielle et de la cybersécurité

L'IA transforme la cybersécurité et l'audit, introduisant de nouvelles capacités mais aussi de nouveaux vecteurs de risques.

Principaux Domaines de Risques pour l'Auditeur IT

L'utilisation de l'IA en audit IT soulève des préoccupations dans plusieurs domaines interconnectés. Une compréhension approfondie de chaque catégorie est essentielle.

Risques liés aux Données

Qualité et Intégrité des Données

L'efficacité d'un système d'IA est intrinsèquement liée à la qualité des données sur lesquelles il est entraîné et opère. Des données d'entrée biaisées, incomplètes, erronées ou obsolètes conduiront inévitablement à des analyses et conclusions d'audit faussées. Le risque d' "empoisonnement des données" (data poisoning), où des acteurs malveillants introduisent délibérément des données corrompues pour manipuler le comportement de l'IA, est également une menace réelle qui peut saboter la fiabilité des outils d'audit basés sur l'IA.

Sécurité et Confidentialité

Les systèmes d'IA, en particulier ceux basés sur le cloud ou les modèles d'IA générative, nécessitent souvent l'accès à de vastes ensembles de données, y compris des informations potentiellement sensibles ou confidentielles de l'entité auditée (logs système, données financières, informations personnelles). Cela crée des risques significatifs de :

Fuites de données : Vulnérabilités dans la plateforme IA, mauvaise configuration des accès, ou attaques ciblées peuvent exposer des données sensibles.
Violations de la confidentialité : L'utilisation d'outils d'IA générative peut entraîner l'incorporation involontaire d'informations confidentielles dans les modèles, les rendant potentiellement accessibles à d'autres utilisateurs.
Non-conformité réglementaire : Le traitement de données personnelles par l'IA doit respecter scrupuleusement les réglementations comme le RGPD. Un manquement expose l'auditeur et l'entreprise à de lourdes sanctions.

Salle de serveurs représentant l'infrastructure IT et les données à auditer

La sécurisation des données traitées par l'IA dans les infrastructures IT auditées est primordiale.

Risques Algorithmiques et Éthiques

Biais Algorithmique

Les modèles d'IA peuvent hériter et même amplifier les biais présents dans leurs données d'entraînement. Si les données historiques reflètent des pratiques discriminatoires passées ou un ciblage disproportionné de certains types de transactions ou départements, l'IA risque de perpétuer ces injustices. Cela peut conduire à un audit focalisé sur des zones à faible risque réel tout en négligeant des menaces critiques ailleurs, ou à des conclusions discriminatoires.

Manque d'Interprétabilité (Effet "Boîte Noire")

De nombreux modèles d'IA, notamment les réseaux neuronaux profonds, fonctionnent comme des "boîtes noires". Il est difficile, voire impossible, de comprendre précisément comment ils arrivent à une conclusion spécifique. Ce manque de transparence pose un défi majeur à l'auditeur, qui doit pouvoir :

Valider la pertinence et la logique des résultats de l'IA.
Expliquer les conclusions de l'audit aux parties prenantes (direction, régulateurs).
Justifier les constats en cas de litige.

L'incapacité à expliquer le raisonnement de l'IA sape la confiance dans les résultats et la crédibilité de l'audit.

Implications Éthiques

Au-delà des biais, l'utilisation de l'IA soulève des questions éthiques sur la responsabilité en cas d'erreur, l'équité des décisions automatisées, et la surveillance potentielle des employés. L'auditeur doit être conscient de ces dimensions et s'assurer que l'utilisation de l'IA respecte les principes éthiques fondamentaux.

Risques de Sécurité liés à l'IA

Vulnérabilités des Systèmes d'IA

Les systèmes d'IA eux-mêmes peuvent être la cible d'attaques spécifiques :

Attaques Adversariales : Introduction de données subtilement modifiées (imperceptibles pour un humain) pour tromper le modèle et lui faire produire des résultats erronés.
Injection de Prompts (Prompt Injection) : Manipulation des instructions données à une IA (surtout générative) pour lui faire outrepasser ses restrictions de sécurité, divulguer des informations sensibles, ou exécuter des actions malveillantes.

Utilisation Malveillante de l'IA par des Tiers

Les attaquants peuvent utiliser l'IA pour développer des malwares plus sophistiqués, créer des campagnes de phishing personnalisées et plus crédibles, ou identifier et exploiter des vulnérabilités dans les systèmes IT audités.

Risques Opérationnels et Humains

Intégration et Compétences

L'intégration réussie de l'IA dans les processus d'audit existants nécessite une adaptation significative des méthodes de travail, des systèmes informatiques, et surtout, des compétences des auditeurs. Un manque de formation adéquate sur les capacités, les limites et l'utilisation appropriée des outils d'IA peut conduire à des erreurs d'interprétation ou à une application inefficace.

Dépendance Excessive

Une confiance excessive ou aveugle dans les outils d'IA peut éroder le scepticisme professionnel et le jugement critique de l'auditeur. Cela peut conduire à négliger des anomalies subtiles non détectées par l'IA ou à accepter des faux positifs/négatifs sans vérification suffisante.

Obsolescence Technologique

Le domaine de l'IA évolue à une vitesse fulgurante. Les outils et techniques peuvent rapidement devenir obsolètes ou de nouvelles vulnérabilités peuvent être découvertes. Une veille technologique constante et des mises à jour régulières sont nécessaires pour éviter d'utiliser des outils inefficaces ou dangereux.

Risques Réglementaires et de Conformité

Non-conformité

L'utilisation de l'IA doit se conformer aux normes d'audit professionnelles (ex: ISACA, IIA) et aux réglementations en vigueur (ex: RGPD, AI Act européen). L'AI Act, par exemple, classifie certaines applications d'IA comme étant à "haut risque", imposant des exigences strictes en matière de gestion des risques, de qualité des données, de transparence, de surveillance humaine et de robustesse.

Manque de Traçabilité et Auditabilité

Il est essentiel de pouvoir tracer et documenter comment l'IA a été utilisée dans l'audit et comment ses résultats ont influencé les conclusions. Un manque de traçabilité rend difficile la revue qualité de l'audit et la défense des conclusions en cas de besoin.

Risques Juridiques et Réputationnels

Responsabilité en cas d'erreur

Si un audit basé sur l'IA échoue à détecter une fraude majeure ou une vulnérabilité critique en raison d'une défaillance de l'outil ou d'une mauvaise utilisation, la responsabilité juridique de l'auditeur et du cabinet peut être engagée.

Perte de confiance

Des erreurs significatives ou des manquements éthiques liés à l'utilisation de l'IA peuvent gravement nuire à la réputation de l'auditeur et de l'entreprise auditée, entraînant une perte de confiance des clients, des investisseurs et du public.

Visualisation des Domaines de Risques

Pour mieux appréhender l'importance relative et l'interconnexion de ces risques, le diagramme radar suivant offre une visualisation synthétique. Il représente une évaluation subjective de la fréquence et de l'impact potentiels de chaque catégorie de risque dans le contexte d'un audit IT utilisant l'IA. Les scores (sur une échelle de 2 à 10, où 10 représente le maximum) sont indicatifs et peuvent varier selon le contexte spécifique de la mission d'audit et les outils IA utilisés.

Ce radar met en évidence que si la fréquence perçue de certains risques comme les attaques spécifiques à l'IA peut être plus faible, leur impact potentiel, tout comme celui des problèmes de sécurité des données, peut être extrêmement élevé. La dépendance excessive et les problèmes de qualité des données sont perçus comme fréquents.

Cartographie des Interconnexions de Risques

Les risques liés à l'utilisation de l'IA en audit IT ne sont pas isolés ; ils sont souvent interconnectés. Par exemple, une mauvaise qualité des données peut entraîner des biais algorithmiques, qui à leur tour rendent l'interprétation difficile et peuvent mener à des conclusions d'audit erronées, augmentant le risque juridique. La mindmap ci-dessous illustre ces relations complexes.

mindmap root["Risques de l'IA
en Audit IT"] id1["Risques Données"] id1a["Qualité (biais, erreurs)"] id1b["Sécurité (fuites, accès)"] id1c["Confidentialité (RGPD)"] id1d["Empoisonnement"] id2["Risques Algorithmiques"] id2a["Biais Hérité"] id2b["Manque Interprétabilité (Boîte Noire)"] id2c["Éthique (discrimination)"] id3["Risques Sécurité IA"] id3a["Attaques Adversariales"] id3b["Injection de Prompts"] id3c["Vulnérabilités Générées"] id4["Risques Opérationnels"] id4a["Compétences / Formation"] id4b["Dépendance Excessive"] id4c["Intégration Systèmes"] id4d["Obsolescence"] id5["Risques Réglementaires"] id5a["Non-conformité Normes Audit"] id5b["Non-respect Lois (IA Act, RGPD)"] id5c["Manque Traçabilité"] id6["Risques Humains"] id6a["Perte Scepticisme"] id6b["Mauvaise Interprétation"] id7["Risques Juridiques / Réputation"] id7a["Responsabilité"] id7b["Perte Confiance"]

Cette cartographie aide à visualiser comment un problème dans un domaine (par exemple, les données) peut avoir des répercussions sur plusieurs autres aspects de l'audit et de la gestion des risques.

Scénarios de Risque Complets et Détaillés

Pour illustrer concrètement ces risques, voici des scénarios détaillés qu'un auditeur IT pourrait rencontrer :

Scénario 1 : Compromission de la Qualité des Données

Déclencheur

Une IA est utilisée pour analyser les logs de transactions financières afin de détecter des anomalies. Les données d'entrée proviennent de systèmes hétérogènes, contiennent des erreurs de saisie non corrigées, des formats incohérents et des périodes manquantes.

Conséquences

Le modèle IA, entraîné ou opérant sur ces données de mauvaise qualité, génère un taux élevé de faux positifs (alertes sur des transactions normales) et de faux négatifs (manque la détection de fraudes réelles). L'auditeur, submergé par les fausses alertes ou se fiant à l'absence de détection, ne vérifie pas suffisamment l'intégrité des données sous-jacentes.

Impacts

Conclusions d'audit incorrectes, rapport non fiable, manquement à identifier des risques financiers significatifs, potentielle perte financière pour l'entreprise, atteinte à la crédibilité de l'audit.

Scénario 2 : Biais Algorithmique menant à des Conclusions Injustes

Déclencheur

Un outil IA évalue les risques de sécurité des postes de travail en se basant sur des données historiques d'incidents. Ces données montrent une surreprésentation des incidents dans un département spécifique (peut-être dû à des contrôles plus stricts ou à un historique particulier).

Conséquences

L'IA attribue systématiquement un score de risque plus élevé aux postes de ce département, indépendamment des configurations actuelles, tout en sous-évaluant potentiellement les risques dans d'autres départements moins scrutés historiquement. L'audit concentre ses efforts de remédiation de manière disproportionnée.

Impacts

Audit inefficace ou perçu comme injuste, focalisation excessive sur des zones peut-être moins critiques actuellement, négligence de risques réels ailleurs, problèmes éthiques, potentiels litiges internes.

Scénario 3 : Violation de la Confidentialité via IA Générative

Déclencheur

Un auditeur utilise un outil d'IA générative basé sur le cloud pour résumer de longs rapports d'incidents de sécurité ou pour générer des scripts de test. Il copie-colle des extraits de rapports contenant des détails techniques sensibles et des noms d'employés dans l'interface de l'outil.

Conséquences

Les informations sensibles fournies sont utilisées par le fournisseur de l'IA pour entraîner ou affiner ses modèles globaux. Ces données confidentielles pourraient être involontairement divulguées dans les réponses fournies à d'autres utilisateurs de l'outil, ou être compromises si la plateforme du fournisseur est attaquée.

Impacts

Fuite de données confidentielles, violation du RGPD, perte de confiance du client audité, sanctions financières et réglementaires, dommages à la réputation du cabinet d'audit.

Scénario 4 : Manque d'Interprétabilité Obscurcissant les Résultats

Déclencheur

Une IA de type "deep learning" identifie un schéma complexe dans les logs d'accès réseau comme étant potentiellement indicatif d'une intrusion sophistiquée (APT). Cependant, le modèle est une "boîte noire".

Conséquences

L'auditeur ne peut pas expliquer pourquoi l'IA a signalé ce schéma spécifique. Il peine à valider si l'alerte est un vrai positif pertinent ou une corrélation fallacieuse. Il a des difficultés à communiquer la nature exacte du risque à la direction de l'entreprise auditée et à recommander des actions correctives précises.

Impacts

Difficulté à valider les conclusions d'audit, manque de confiance dans les résultats de l'IA, incapacité à fournir des explications claires et actionnables, remise en question de la fiabilité de l'audit, risque de ne pas traiter une menace réelle.

Scénario 5 : Dépendance Excessive et Manquement à la Vigilance

Déclencheur

Une équipe d'audit s'appuie fortement sur un outil IA pour l'échantillonnage des transactions et l'identification des contrôles clés à tester. L'outil est performant pour les schémas connus mais moins pour les anomalies nouvelles ou subtiles.

Conséquences

L'équipe réduit son propre jugement professionnel et ses procédures manuelles de revue analytique. Une fraude interne utilisant une méthode nouvelle ou un contournement de contrôle non modélisé par l'IA n'est pas détectée car elle ne correspond pas aux patterns appris par l'outil et n'est pas sélectionnée dans l'échantillon.

Impacts

Manquement à identifier des risques ou fraudes importants, diminution de la qualité et de la profondeur de l'audit, affaiblissement des compétences critiques de l'auditeur.

Scénario 6 : Attaque de Cybersécurité contre l'Outil d'IA

Déclencheur

Un acteur malveillant interne ou externe parvient à réaliser une attaque adversariale contre l'outil IA utilisé pour détecter les malwares dans les pièces jointes des emails. De légères modifications sont apportées à un malware pour qu'il ne soit pas détecté par l'IA.

Conséquences

Le malware modifié passe les défenses basées sur l'IA et infecte le réseau de l'entreprise auditée. L'audit, qui s'appuyait sur les rapports de l'outil IA pour évaluer l'efficacité des contrôles anti-malware, conclut à tort que les contrôles sont efficaces.

Impacts

Compromission de la sécurité de l'entreprise auditée, non-détection d'une vulnérabilité critique, conclusions d'audit erronées, responsabilité potentielle de l'auditeur.

Scénario 7 : Non-Conformité Réglementaire

Déclencheur

Une banque utilise un système d'IA classé "haut risque" selon l'AI Act européen pour évaluer la solvabilité de clients pour des prêts (ce qui a un impact sur l'audit des systèmes de crédit). L'outil IA utilisé par l'auditeur pour vérifier ce système n'est pas lui-même pleinement conforme aux exigences de l'AI Act en termes de documentation, de transparence ou de gestion des risques.

Conséquences

L'audit lui-même utilise un outil non conforme pour évaluer un système critique. La documentation de l'audit sur la validation du système de la banque est insuffisante au regard des exigences réglementaires.

Impacts

Invalidation potentielle des conclusions de l'audit concernant le système de crédit, risque de sanctions pour la banque et potentiellement pour le cabinet d'audit s'il est prouvé qu'il n'a pas exercé une diligence raisonnable conformément aux nouvelles réglementations.

Atténuation et Bonnes Pratiques

Face à ces risques, une approche proactive et structurée est indispensable. L'auditeur IT doit intégrer des mesures d'atténuation tout au long du cycle de vie de l'audit impliquant l'IA. Le tableau suivant résume les principales stratégies :

Catégorie de Risque	Risque Spécifique	Stratégies d'Atténuation
Données	Qualité (biais, erreurs, incomplétude)	Validation rigoureuse et nettoyage des données avant utilisation ; Audit des sources de données ; Tests d'exhaustivité et de fiabilité ; Documentation de la lignée des données.
Données	Sécurité et Confidentialité	Évaluation de la sécurité des outils IA (fournisseurs) ; Chiffrement des données (en transit et au repos) ; Contrôles d'accès stricts ; Anonymisation ou pseudonymisation si possible ; Conformité RGPD ; Éviter l'entrée de données sensibles dans les IA génératives publiques.
Données	Empoisonnement des données	Sécurisation des pipelines de données ; Surveillance des anomalies dans les données d'entraînement ; Contrôles d'intégrité.
Algorithmique	Biais	Analyse des données d'entraînement pour détecter les biais ; Utilisation de techniques de mitigation des biais (pré-, in-, post-processing) ; Revue humaine critique et diversifiée des résultats ; Comparaison avec d'autres sources.
Algorithmique	Manque d'Interprétabilité	Privilégier les modèles intrinsèquement interprétables si possible ; Utiliser des techniques d'explicabilité de l'IA (XAI) comme LIME ou SHAP ; Validation croisée avec des méthodes d'audit traditionnelles ; Documentation détaillée du fonctionnement du modèle et de ses limites.
Sécurité IA	Attaques (Adversariales, Injection)	Tests de robustesse et de résistance des modèles IA ; Surveillance continue des entrées et sorties ; Mécanismes de détection d'attaques spécifiques ; Sécurisation des API et interfaces d'accès à l'IA.
Opérationnel	Dépendance Excessive / Perte Scepticisme	Considérer l'IA comme un outil d'assistance, non un substitut ; Maintenir un esprit critique fort ; Remettre en question les résultats de l'IA ; Combiner systématiquement l'IA avec le jugement professionnel et d'autres procédures d'audit.
Opérationnel	Compétences / Formation	Investir dans la formation continue des auditeurs sur l'IA (fonctionnement, risques, éthique) ; Développer une compréhension des capacités et limites des outils spécifiques utilisés.
Opérationnel	Obsolescence	Assurer une veille technologique constante ; Évaluer régulièrement la pertinence et la sécurité des outils IA utilisés ; Planifier les mises à jour.
Réglementaire	Non-conformité	Veille réglementaire active (IA Act, RGPD, normes sectorielles) ; S'assurer que les outils IA utilisés respectent les exigences applicables (ex: marquage CE pour IA haut risque en UE) ; Documenter la conformité.
Réglementaire	Manque de Traçabilité	Mettre en place une journalisation détaillée de l'utilisation de l'IA et de ses résultats ; Documenter comment l'IA a été intégrée dans le processus d'audit et comment ses sorties ont été utilisées.

Audit et Contrôle de l'IA : Perspectives Vidéo

Pour approfondir la compréhension des défis liés au contrôle et à l'audit des systèmes d'intelligence artificielle, la vidéo suivante (en français) issue de la chaîne "Audit Risques et Soft skills" offre des perspectives pertinentes sur ce sujet complexe. Elle aborde les enjeux spécifiques du contrôle de l'IA dans un contexte organisationnel.

Cette ressource peut aider les auditeurs IT à mieux cerner les approches pratiques et les points d'attention lors de l'évaluation des systèmes d'IA ou de leur utilisation dans le cadre de leurs propres missions.

Foire Aux Questions (FAQ)

▶ Qu'est-ce que le risque de "boîte noire" en IA et pourquoi est-ce un problème pour l'audit IT ?

L'effet "boîte noire" désigne le manque de transparence de certains modèles d'IA complexes (comme les réseaux neuronaux profonds). Il signifie qu'il est très difficile, voire impossible, de comprendre précisément comment l'IA parvient à une décision ou à un résultat spécifique. Pour un auditeur IT, c'est un problème majeur car :

Il est difficile de valider la logique et la fiabilité des conclusions de l'IA.
Il est compliqué d'expliquer les résultats de l'audit aux parties prenantes (direction, régulateurs).
Il devient ardu de détecter si des erreurs ou des biais sont présents dans le raisonnement de l'IA.
Cela entrave la traçabilité et l'auditabilité du processus décisionnel, ce qui peut être contraire aux normes d'audit.

Ce manque d'interprétabilité réduit la confiance dans l'outil et peut masquer des risques non identifiés.

▶ Comment l'IA générative (comme ChatGPT) augmente-t-elle les risques spécifiques pour un audit IT ?

L'IA générative introduit plusieurs risques accrus :

Fuite de données confidentielles : Les informations sensibles saisies dans les prompts (instructions) peuvent être utilisées pour entraîner les modèles futurs du fournisseur et potentiellement être exposées à d'autres utilisateurs. C'est un risque majeur si l'auditeur y entre des données de l'entreprise auditée.
Injection de Prompts : Des attaquants peuvent créer des prompts malveillants pour manipuler l'IA afin qu'elle divulgue des informations, génère du code malveillant, ou contourne ses propres règles de sécurité.
Génération de contenu erroné ou biaisé : Les IA génératives peuvent "halluciner" (inventer des faits) ou produire des réponses qui reflètent les biais présents dans leurs vastes données d'entraînement, conduisant à des analyses ou rapports incorrects si utilisées sans vérification critique.
Propriété intellectuelle et plagiat : Le contenu généré peut involontairement enfreindre des droits d'auteur si l'IA a été entraînée sur du matériel protégé sans autorisation.

L'utilisation de ces outils nécessite donc une prudence extrême, notamment concernant les données qui leur sont fournies.

▶ Quelles compétences clés l'auditeur IT doit-il développer pour faire face aux risques de l'IA ?

Pour naviguer efficacement dans l'environnement de l'audit IT intégrant l'IA, l'auditeur doit développer :

Compréhension fondamentale de l'IA : Connaître les différents types d'IA (machine learning, deep learning, IA générative), leurs principes de fonctionnement, leurs forces et leurs faiblesses.
Analyse de données et statistiques : Être capable d'évaluer la qualité des données utilisées par l'IA et d'interpréter les résultats statistiques qu'elle produit.
Connaissance des risques spécifiques à l'IA : Maîtriser les concepts de biais algorithmique, d'interprétabilité, de sécurité de l'IA (attaques adversariales, etc.) et de conformité réglementaire (IA Act).
Esprit critique et scepticisme professionnel renforcés : Ne jamais accepter aveuglément les résultats de l'IA ; savoir quand et comment les remettre en question et les valider par d'autres moyens.
Compétences en éthique de l'IA : Comprendre les implications éthiques de l'utilisation de l'IA et savoir comment les intégrer dans l'évaluation des risques.
Veille technologique : Se tenir informé des évolutions rapides de l'IA et de leurs impacts sur l'audit.

▶ L'AI Act européen a-t-il un impact direct sur la manière dont un audit IT doit être mené ?

Oui, l'AI Act européen a un impact significatif, directement et indirectement :

Audit des systèmes IA "Haut Risque" : Si l'entité auditée utilise des systèmes d'IA classés comme "haut risque" par l'AI Act (ex: certains systèmes RH, évaluation de crédit, infrastructures critiques), l'auditeur IT devra vérifier la conformité de ces systèmes aux exigences strictes de la loi (qualité des données, documentation technique, traçabilité, transparence, surveillance humaine, robustesse, cybersécurité).
Utilisation d'outils IA par l'Auditeur : Si l'auditeur utilise lui-même des outils basés sur l'IA pour réaliser sa mission, il doit s'assurer que ces outils sont conformes, surtout s'ils traitent des données sensibles ou influencent significativement les conclusions de l'audit. Les outils IA qui pourraient être considérés comme "haut risque" devront porter le marquage CE et être enregistrés.
Gouvernance de l'IA : L'auditeur devra évaluer la gouvernance mise en place par l'entreprise auditée pour gérer les risques liés à l'IA, conformément aux attentes de l'AI Act.
Documentation et Preuves : L'AI Act renforce les exigences en matière de documentation et de traçabilité, ce que l'auditeur devra vérifier et également appliquer à ses propres processus s'il utilise l'IA.

L'auditeur IT doit donc se familiariser avec l'AI Act et intégrer ses exigences dans ses programmes de travail lorsque cela est pertinent.