À mesure que les systèmes techniques s'installent au cœur des opérations, la diffusion de l'intelligence artificielle dans tous les secteurs pose des questions pressées de gouvernance, de surveillance et de déploiement responsable. Cet article défend une thèse simple : l'audit interne occupe une position charnière pour garantir un usage maîtrisé de ces systèmes, et cette position est aussi ce qui assurera sa pertinence durable.
Où va l'audit interne, et à quoi sert-il aux organisations qui adoptent l'IA ? Depuis trois ans, cette adoption est exponentielle dans l'économie mondiale, et elle a produit autant d'opportunités que d'incertitudes. Voyons comment les auditeurs internes doivent se positionner en agents de transformation maîtrisée, face à un phénomène qui approche d'un point de bascule, la singularité, et dont l'imprévisibilité ne cesse de croître.
L'avenir de l'audit interne tient pour une large part à sa capacité à intégrer les outils d'IA, au bénéfice de l'efficacité opérationnelle comme de la rigueur analytique. Les algorithmes d'apprentissage automatique permettent de fluidifier les travaux, de détecter les anomalies et de faire apparaître des schémas émergents qui échapperaient à des tests manuels.
Parmi les capacités les plus déterminantes pour la fonction, le traitement automatique du langage naturel mérite une attention particulière. Il désigne l'aptitude d'un système à interpréter et à traiter le langage humain d'une manière qui s'approche de la compréhension humaine. Appliqué à l'audit, il permet d'analyser rapidement des volumes considérables de texte : états financiers, contrats, factures, déclarations réglementaires. L'IA en extrait l'information critique, repère les récurrences et signale les irrégularités. L'auditeur peut alors concentrer son attention sur les zones de risque élevé, ce qui améliore à la fois l'efficience et l'efficacité de la mission.
Ces mêmes outils aident à repérer les expositions au risque et les comportements frauduleux à partir de données textuelles non structurées. En reconnaissant des mots-clés, des tournures et des indices contextuels associés à la fraude ou à la non-conformité, ils orientent l'auditeur vers les domaines qui méritent un examen approfondi. L'intégration de ces technologies libère du temps pour ce qui relève vraiment du métier : l'analyse stratégique et la gestion anticipative des risques.
À mesure que les systèmes d'IA s'intègrent aux processus, de l'exploitation à la production, il revient aux auditeurs internes d'acquérir les compétences nécessaires pour en évaluer les risques et les contrôles. Trois d'entre elles sont centrales : savoir identifier un biais algorithmique, savoir apprécier la transparence d'un processus de décision, et savoir vérifier le respect des règles de protection des données.
La difficulté majeure tient au caractère de boîte noire de certains systèmes. On observe les entrées, on observe les sorties, mais le raisonnement qui conduit des unes aux autres demeure opaque, voire inintelligible pour un observateur humain. Cette opacité est particulièrement répandue dans les architectures d'apprentissage profond, où des réseaux de neurones traitent des volumes considérables de données pour produire des prédictions d'une grande justesse sans que la logique sous-jacente soit explicitable.
Cette opacité soulève plusieurs difficultés liées entre elles. En matière de responsabilité et de confiance d'abord : attribuer la faute devient singulièrement délicat lorsqu'un système produit un résultat erroné, refus d'un crédit immobilier, erreur de diagnostic médical, défaillance d'un véhicule autonome, car le mécanisme causal précis de l'erreur résiste le plus souvent à l'identification.
Vient ensuite la propagation de biais invisibles. Ces modèles tirant leur capacité prédictive de données historiques, ils absorbent et parfois amplifient des biais sociétaux préexistants, à l'insu même de leurs concepteurs. L'opacité pose enfin un problème de conformité : ces systèmes satisfont rarement aux exigences qui s'imposent désormais, au premier rang desquelles celles du règlement européen sur l'intelligence artificielle, qui impose la transparence algorithmique dans les domaines d'application sensibles.
Ce manque persistant de transparence complique la détection et la correction des biais, tandis que la dilution des responsabilités empêche de répondre des résultats lorsqu'ils s'avèrent discriminatoires. Réduire ces risques suppose une intervention délibérée : exigence sur la qualité et la sélection des données, diversité réelle au sein des équipes de conception, protocoles de test complets, transparence dans l'architecture des systèmes et surveillance continue des biais et de l'équité.
C'est ce qui a conduit chercheurs et praticiens à investir le champ de l'IA explicable. Ces approches visent à rendre les systèmes algorithmiques interprétables, en identifiant les données, les pondérations et les variables qui pèsent le plus lourd dans une prédiction donnée.
Ces avancées n'ont pourtant pas fait disparaître les hallucinations, la dérive des modèles et les inexactitudes. Ces erreurs sont souvent systémiques et peuvent passer inaperçues. Le risque est tel qu'il justifie un audit continu, conduit par les auditeurs les plus aguerris. Ce qui pose une question de fond : dans l'organisation d'aujourd'hui, quelle autre fonction que l'audit interne dispose d'une approche aussi méthodique et aussi solide techniquement pour valider des systèmes et des modèles construits par l'IA ?
La rencontre de l'audit interne et de l'IA ouvre des perspectives considérables pour les praticiens. À mesure que les organisations confient davantage de décisions à des systèmes automatisés, la demande croîtra pour des auditeurs capables d'en saisir les dimensions techniques et de gouvernance. C'est ce qui place la profession en position de partenaire indispensable de l'adaptation au numérique.
L'échange avec Jon Taber n'est qu'une première contribution à une réflexion plus large sur l'avenir de l'audit interne. Les implications de l'IA pour la profession méritent d'être suivies dans la durée, et d'autres analyses viendront traiter les tendances et les pratiques à mesure qu'elles se précisent. Les confrères que ce sujet intéresse sont invités à poursuivre le dialogue, afin que la profession se donne collectivement les moyens de cette période de transformation.
L'audit interne est la fonction la mieux placée pour valider les systèmes et les modèles d'IA : apprécier les biais algorithmiques, évaluer la transparence des décisions, vérifier le respect des règles de protection des données et assurer une surveillance continue des modèles à haut risque.
Il désigne les systèmes dont on observe les entrées et les sorties sans accéder au raisonnement interne. Répandu dans l'apprentissage profond, il soulève des difficultés de responsabilité, de biais invisibles et de conformité réglementaire.
Le traitement du langage naturel et l'apprentissage automatique permettent d'analyser rapidement de grands volumes de texte, états financiers, contrats, déclarations réglementaires, d'y détecter les anomalies et de concentrer l'attention sur les zones de risque les plus élevées.
Un ensemble de méthodes qui rendent les systèmes algorithmiques interprétables, en identifiant les données, les pondérations et les variables qui influencent le plus une prédiction donnée.
Parce qu'il impose la transparence algorithmique dans les domaines sensibles. Il relève ainsi un niveau d'exigence auquel les systèmes opaques satisfont rarement, et il élargit d'autant ce que l'auditeur doit tester et documenter.
Suivez GRC Careers sur LinkedIn
Nos nouveaux essais, les cadres réglementaires qui comptent vraiment, et les postes en gouvernance qu'il faut connaître. Écrit par des praticiens, publié au fil de l'eau.
Suivre sur LinkedIn →