Audits portant sur l'ensemble du système d'IA et sur la gestion qui s'y rapporte.

La classification « à haut risque » est définie par l’annexe III du règlement. Les principales catégories sont les suivantes : identification biométrique, infrastructures critiques, éducation, emploi (recrutement, suivi, licenciement), accès aux services essentiels (évaluation de la solvabilité, assurance, prestations sociales), application de la loi, migration et administration de la justice. Les systèmes d’IA utilisés comme composants de sécurité dans les produits relevant de la législation européenne sur la sécurité des produits (dispositifs médicaux, véhicules, machines) sont également considérés comme présentant un risque élevé. Nous procédons à une classification formelle de votre système dès le début de chaque mission — et cette classification constitue en soi un élément de preuve que les autorités de régulation peuvent vous demander.

La norme ISO/IEC 42001 porte sur l'audit de votre système de gestion, c'est-à-dire la gouvernance, les politiques et les processus liés à l'IA au sein de votre organisation. L'évaluation de la conformité à la loi européenne sur l'IA consiste à vérifier qu'un système d'IA spécifique à haut risque respecte les exigences techniques et documentaires du règlement (articles 9 à 17). Ces deux approches sont complémentaires : un système de gestion ISO 42001 bien rodé facilite considérablement la démonstration de la conformité à la loi européenne sur l'IA. Nous proposons ces deux services, soit séparément, soit dans le cadre d'une mission intégrée.

Oui — les grands modèles de langage (LLM) et l’IA générative constituent désormais la majeure partie de nos missions d’audit en matière d’IA. Nos spécialistes de la « red team » effectuent des tests en s’appuyant sur le classement OWASP LLM Top 10 (édition 2025), la taxonomie adversaire MITRE ATLAS, ainsi que sur les modes de défaillance spécifiques aux protocoles pour les systèmes RAG, les workflows agentiques et les modèles multimodaux. Nous couvrons l’injection de prompts (directe et indirecte), le « jailbreaking », l’extraction de données d’entraînement, l’utilisation abusive des limites d’utilisation des outils, les vulnérabilités liées au traitement des résultats, ainsi que les risques liés à la boucle agentique et à l’excès d’autonomie propres aux agents IA.

Pour les travaux de mise en conformité avec la loi européenne sur l'IA (EU AI Act), le dossier de documentation technique de l'annexe IV : description du système, usage prévu, documentation relative aux données d'entraînement, résultats d'évaluation, documentation sur la gestion des risques, plan de surveillance post-commercialisation. Pour les travaux relatifs à la norme ISO 42001, votre politique en matière d'IA, la déclaration d'applicabilité, le registre des risques et la documentation des processus. Pour les exercices techniques de « red teaming », l'accès au modèle (API ou poids), les invites du système et toute mesure de protection liée au déploiement. Nous vous envoyons une liste de contrôle personnalisée après l’entretien de cadrage — la plupart des clients disposent déjà de 60 à 70 % des éléments nécessaires et nous identifions rapidement les lacunes.

Six à seize semaines au total, selon l’étendue du projet. Une mission ciblée de type « red team » utilisant un modèle de langage grand (LLM) sur un seul système déployé peut être menée à bien en 4 à 6 semaines. Un audit interne complet selon la norme ISO/IEC 42001 à l’échelle d’une organisation dure généralement entre 8 et 12 semaines. Une évaluation de conformité à la loi européenne sur l’IA pour un seul système à haut risque, y compris les cycles de mise en conformité, dure entre 10 et 16 semaines. Nous nous engageons à respecter un délai précis dans la lettre de mission.

La tarification dépend de trois facteurs : la complexité du système d’IA (modèle unique, pipeline multimodèle ou système agentique), le niveau de détail de l’audit requis (dimension ciblée ou STARED complet) et le nombre de jours-auditeur nécessaires pour l’ensemble des spécialistes concernés. Devis à prix fixe fourni dans les 24 heures suivant la définition du périmètre. Les missions adaptées aux PME commencent à partir de quelques dizaines de milliers ; les évaluations complètes de conformité à la loi européenne sur l’IA pour les grandes entreprises s’élèvent à des montants supérieurs. Contactez-nous à l’adresse hello@auditone.io pour obtenir une fourchette indicative.

Non. La plupart des systèmes d’IA à haut risque (annexe III) suivent la voie de l’auto-évaluation prévue à l’article 43, dans le cadre de laquelle le fournisseur procède à l’évaluation de la conformité à l’aide de procédures internes. Notre rôle consiste à réaliser l’évaluation de conformité en tant que tiers indépendant, en produisant une documentation qui satisfait aux exigences sans nécessiter l’intervention d’un organisme notifié. Pour la catégorie restreinte de produits à haut risque qui nécessitent l’intervention d’un organisme notifié (certains systèmes d’identification biométrique), nous travaillons en collaboration avec des organismes notifiés accrédités — y compris des partenaires de notre réseau d’organismes de certification — et produisons les éléments de preuve dont ils ont besoin.

STARED est notre cadre d'audit de l'IA à cinq dimensions : sécurité, évaluation technique, conformité réglementaire, éthiqueet gouvernance des données. Il a été spécialement conçu car les cadres existants en matière de sécurité ou de conformité ne couvrent pas les aspects qui rendent les systèmes d'IA difficiles à auditer : la traçabilité des données d'entraînement, le comportement des modèles dans des conditions adverses, la dérive et le risque d'agentivité. La méthodologie complète, les grilles d'évaluation et des exemples concrets sont disponibles dans le « litepaper » STARED.

Ces deux fonctions sont strictement séparées. Nous ne rédigeons pas vos politiques, ne mettons pas en place votre gouvernance en matière d’IA et ne déployons pas vos contrôles — cela compromettrait l’indépendance nécessaire à l’audit lui-même. Ce que nous proposons, c’est une évaluation préliminaire des lacunes (plus légère, à caractère consultatif), suivie de l’audit formel (indépendant, fondé sur des preuves). L’évaluation des lacunes vous indique ce qu’il faut corriger ; l’audit vérifie que vous l’avez bien fait. Le périmètre et les livrables sont différents.