À retenir
- AAIA™ ISACA (mai 2025) — première certification mondiale d'audit IA avancé : prérequis CISA/CIA/CPA, 459 $ membres · 599 $ non-membres
- COBIT 2019 reste le pivot — recommandé par ISACA comme socle structurant, complété par NIST AI RMF et ISO/IEC 42001:2023
- EU AI Act en vigueur depuis août 2024 — obligations d'audit contraignantes pour les systèmes IA à haut risque, sanctions jusqu'à 15 M€ ou 3 % du CA mondial
- LLMs génératifs = angle absent du SERP — aucun guide ISACA existant ne traite encore l'audit de ChatGPT Enterprise, Copilot ou Claude for Work en entreprise
Un responsable de l'audit interne dans un grand groupe industriel reçoit un message de sa direction : « Nous déployons Microsoft 365 Copilot sur 3 000 postes dès le trimestre prochain. Peux-tu nous dire si c'est auditable ? » Il consulte les white papers ISACA, les guidelines COBIT, la page EU AI Act — et tombe sur des frameworks théoriques solides, mais aucune réponse concrète à la question : par quelles étapes commence-t-on un audit IA, et comment le mène-t-on jusqu'au rapport ?
Ce guide comble exactement ce vide. Il s'appuie sur les sources primaires ISACA — le white paper « Auditing Artificial Intelligence », le white paper COBIT × IA de janvier 2025, et l'ebook « Auditing the Future » de juillet 2025 — pour proposer une méthode actionnable, pas un catalogue de frameworks.
En bref : Auditer l'IA selon ISACA, c'est évaluer la gouvernance et les contrôles d'un système IA — pas ses algorithmes — en suivant une méthode en 8 étapes s'appuyant sur COBIT 2019, le NIST AI RMF et les obligations de l'EU AI Act.
Points clés :
- 📊 72 % des organisations utilisaient l'IA pour au moins une fonction métier en 2024 (McKinsey)
- ⏱️ Mai 2025 : lancement de l'AAIA™, première certification mondiale d'audit IA avancé
- 💰 459 $ (membres) / 599 $ (non-membres) — coût de l'examen AAIA + 50 $ de frais de dossier
- ✅ 8 étapes actionnables avec livrables concrets pour mener un audit IA de bout en bout
Pourquoi auditer l'IA est devenu urgent en 2026
L'audit IA n'est plus un sujet de conférences spécialisées : en 2024, selon McKinsey (« The state of AI in early 2024 », mai 2024), 72 % des organisations utilisaient l'IA pour au moins une fonction métier — contre 58 % en 2019. Sur la même période, l'adoption de l'IA générative a presque doublé en un an, passant de 33 % à 65 % des organisations entre 2023 et 2024.
Pression réglementaire
Pression technologique
Pression organisationnelle
Pensez à l'audit IA comme à un permis de conduire sur une nouvelle catégorie de véhicule : vos compétences CISA ou CIA (le code de la route) restent valables, mais la route change — pentes plus raides, conditions moins prévisibles, et règles de circulation spécifiques que l'EU AI Act vient d'écrire. L'AAIA est ce nouveau permis.
Ce que l'audit IA signifie selon ISACA
L'auditeur IA n'a pas besoin d'auditer les algorithmes eux-mêmes — son rôle est d'auditer la gouvernance de l'IA et l'intégration des systèmes dans l'organisation. C'est une distinction fondamentale que le white paper ISACA (Tier 1) pose dès sa première page, et qui débloque immédiatement le sujet pour les auditeurs IT et internes.
L'audit IA diffère de l'audit IT classique sur deux points précis.
💡 Bon à savoir : L'auditeur IA n'a pas besoin d'être data scientist. Selon ISACA, son rôle est d'évaluer la gouvernance et les contrôles — pas de comprendre les mathématiques derrière les algorithmes. Vos compétences CISA ou CIA sont directement transférables avec une spécialisation ciblée.
Le cadre COBIT 2019 pour l'audit IA
COBIT 2019 est le socle recommandé par ISACA pour structurer un audit IA — seul framework positionné pour adresser les défis distincts introduits par les systèmes IA. Le white paper COBIT × IA de janvier 2025 (Tier 1) confirme son rôle de colonne vertébrale.
COBIT ne travaille pas seul. La pratique converge vers trois frameworks complémentaires :
- 🏛️ COBIT 2019 (ISACA) — gouvernance IT et mapping des objectifs de contrôle
- 🔬 NIST AI RMF 1.0 (publié janvier 2023) — gestion des risques IA avec 4 fonctions (Govern / Map / Measure / Manage)
- 📋 ISO/IEC 42001:2023 — système de management IA certifiable, pour lequel des organismes de certification en France (dont AFNOR) proposent des parcours d'audit
En France, des certifications d'auditeur basées sur ISO/IEC 42001 sont disponibles comme alternative ou complément à l'AAIA pour les auditeurs souhaitant se positionner sur le référentiel ISO de gestion de l'IA.
Auditer les LLMs génératifs en entreprise : l'angle absent de tous les concurrents
ChatGPT Enterprise, Microsoft 365 Copilot et Claude for Work sont désormais les systèmes IA les plus déployés en entreprise — et leur audit obéit à des règles partiellement différentes des systèmes IA prédictifs classiques. C'est l'angle que tous les guides ISACA publiés avant 2025 omettent, et que l'ebook ISACA « Auditing the Future » (juillet 2025, Tier 1) comble en identifiant les risques prioritaires pour un audit LLM.
Biais algorithmiques et équité
Confidentialité des données
Hallucinations et fiabilité
Sécurité modèles (prompt injection)
Explicabilité (XAI)
Gouvernance des tiers
Pour aller plus loin sur les risques liés à ces outils en entreprise, consultez notre guide complet sur ChatGPT Enterprise en entreprise et notre comparatif Claude vs ChatGPT vs Copilot.
L'EU AI Act et les obligations d'audit pour les auditeurs européens
L'EU AI Act (Règlement UE 2024/1689), entré en vigueur le 1er août 2024, crée des obligations que les frameworks ISACA seuls ne couvrent pas encore complètement. Pour les auditeurs en France et en Europe, voici les six articles clés qui structurent le travail de l'auditeur pour les systèmes à haut risque — banque/crédit, santé, RH, justice, infrastructures critiques.
Système de gestion des risques IA
Le fournisseur doit établir, documenter et maintenir un système de gestion des risques couvrant tout le cycle de vie du système IA. L'auditeur vérifie l'existence, la mise à jour et la complétude de ce système. Correspond à COBIT APO12 (gestion des risques).
Gouvernance des données d'entraînement
Les données d'entraînement, de validation et de test doivent respecter des pratiques de gouvernance strictes : pertinence, absence de biais statistiques, conformité RGPD, traçabilité complète. La CNIL a publié des recommandations complémentaires sur ce point.
Documentation technique
Chaque système IA à haut risque doit disposer d'une documentation technique complète et actualisée permettant d'évaluer sa conformité. L'auditeur la demande en premier lors du scoping.
Journaux d'audit automatiques (logs)
Obligation de générer et conserver des journaux permettant de suivre le fonctionnement du système IA. Correspond directement à l'objectif COBIT DSS06 sur la traçabilité et l'accountability.
Contrôle humain
Les systèmes IA à haut risque doivent permettre une supervision humaine effective. L'auditeur vérifie les mécanismes d'intervention et de surveillance. Correspond à COBIT MEA02.
Monitoring post-marché
Le fournisseur doit mettre en place un système de surveillance post-déploiement. Correspond au domaine MEA de COBIT. C'est l'étape 8 de la méthode ci-dessous.
💡 Bon à savoir : L'EU AI Act s'applique non seulement aux fournisseurs de systèmes IA, mais aussi aux organisations qui les déploient en entreprise (« utilisateurs » au sens du règlement). Un responsable audit interne doit donc vérifier la conformité de son organisation, même lorsqu'elle utilise des outils tiers comme Microsoft 365 Copilot ou ChatGPT Enterprise.
Le rôle de l'IIA dans l'audit IA : ce que les standards internes ajoutent
L'IIA (Institute of Internal Auditors) a co-animé avec ISACA un webinaire « Auditing Artificial Intelligence » en 2025, confirmant la convergence des deux référentiels. Les standards IIA cadrent le rôle de l'auditeur interne sur l'IA selon trois axes :
Planification de l'audit IA
Test des contrôles IA
Conseil à la direction
Réaliser un audit IA en 8 étapes : la méthode ISACA/COBIT
La méthode ISACA/COBIT pour auditer un système IA se déroule en 8 étapes séquentielles, du scoping initial au monitoring continu — chacune avec des livrables concrets, pas seulement des principes. Elle est dérivée du white paper ISACA et du NIST AI RMF 1.0.
Scoping : cartographier les systèmes IA
Identifier tous les systèmes IA en production ou en développement, leur niveau de risque EU AI Act (inacceptable / élevé / limité / minimal), et leur criticité métier. Livrable : matrice IA × risque × criticité.
Identifier les risques IA spécifiques
Appliquer la fonction MAP du NIST AI RMF pour recenser les risques propres à chaque système (biais, sécurité, conformité, opérationnels). Ne pas copier la liste de risques IT classique : les LLMs ajoutent des risques non couverts par les frameworks pré-2020. Livrable : registre des risques IA.
Évaluer la gouvernance IA
Auditer selon COBIT APO : existe-t-il une politique IA formalisée, un responsable IA (AI Officer ou équivalent), un comité de gouvernance ? L'organisation a-t-elle adopté ISO/IEC 42001 ? Livrable : rapport de gouvernance IA.
Auditer les données d'entraînement
Conformément à l'Article 10 EU AI Act et au NIST AI RMF (fonction MEASURE), vérifier la qualité, la traçabilité et la gouvernance des données. Pour les LLMs, inclure la politique de rétention des prompts et les clauses contractuelles fournisseur. Livrable : rapport qualité données.
Tester les algorithmes et évaluer les biais
Utiliser des outils XAI (SHAP values, LIME) et de détection de biais (AI Fairness 360, What-If Tool). Vérifier les métriques de performance et d'équité définies par l'équipe IA. Livrable : rapport de performance et équité algorithmique.
Évaluer les contrôles opérationnels
Auditer selon COBIT DSS06 : traçabilité des décisions, logs automatiques (Article 12 EU AI Act), mécanismes de contrôle humain (Article 14), cybersécurité des modèles (résistance au prompt injection). Livrable : rapport contrôles opérationnels.
Rédiger le rapport d'audit IA
Structure recommandée : executive summary (2 pages max, langue direction), constatations détaillées (risques résiduels + preuves), recommandations priorisées (impact × effort), plan d'action avec responsables et délais. Ne jamais livrer sans executive summary : la direction lit rarement au-delà.
Monitoring continu
Mettre en place un dispositif de surveillance post-déploiement conforme à l'Article 61 EU AI Act. Définir des KPIs IA, des seuils d'alerte et un calendrier de revue périodique. L'audit IA n'est pas un événement ponctuel : les modèles évoluent, les risques aussi.
💡 Bon à savoir : La majorité des auditeurs IA expérimentés recommandent de commencer par le scoping (étape 1) même pour un périmètre limité — cartographier d'abord les systèmes IA existants révèle souvent des déploiements « shadow IA » dont la direction n'a pas connaissance, et qui peuvent être classés haut risque EU AI Act sans le savoir.
La certification AAIA ISACA : tout ce que vous devez savoir
L'AAIA™ (Advanced in AI Audit) coûte 459 $ pour les membres ISACA et 599 $ pour les non-membres — auxquels s'ajoutent 50 $ de frais de dossier. Lancée en mai 2025 et élargie mi-2025 pour inclure davantage de certifications comptables internationales, c'est la première certification mondiale spécialisée en audit IA avancé.
Quels sont les prérequis pour obtenir l'AAIA ISACA ?
Pour passer l'examen, vous devez détenir l'une des certifications actives reconnues par ISACA. La CISA ouvre l'accès directement. Depuis l'élargissement mi-2025, la liste s'est étendue à environ quinze qualifications internationales, dont la CIA (IIA), le CPA américain (AICPA), les CPA comptables provinciaux canadiens, le CPA Australia, le CPA japonais, l'ACCA/FCCA, l'ACA/FCA (ICAEW) et plusieurs équivalents d'autres pays. Consultez la page officielle ISACA pour la liste complète et à jour.
Comment est structuré l'examen AAIA ?
L'examen couvre trois domaines — la pondération révèle la priorité ISACA : le Domaine 2 (AI Operations) représente 46 % des questions. L'opérationnel prime sur la théorie.
Domaine 1 — Gouvernance et risque IA (33 %)
Domaine 2 — Opérations IA (46 %)
Domaine 3 — Outils et techniques d'audit IA (21 %)
Pour approfondir vos compétences pratiques sur les outils IA que vous serez amené à auditer, découvrez notre guide complet sur l'audit IA et notre formation IA en entreprise ainsi que notre formation intelligence artificielle pour maîtriser les outils que vous serez amené à auditer.
Découvrez nos formations IA
Sources et références
- ISACA — AAIA™ Certification (2025) — Prérequis, coût et structure de la certification d'audit IA avancé
- ISACA — Get AAIA Certified (2025) — Étapes, CPE et processus d'inscription à l'AAIA
- ISACA White Paper — Auditing Artificial Intelligence (2025) — Document fondateur de la méthodologie ISACA
- ISACA White Paper — Leveraging COBIT for Effective AI System Governance (janvier 2025) — COBIT 2019 mappé à la gouvernance IA
- ISACA eBook — Auditing the Future (juillet 2025) — Risques LLMs génératifs pour les auditeurs
- AI Act Service Desk (Commission Européenne) (2024) — Obligations fournisseurs systèmes IA haut risque
- EU AI Act — Article 99 (sanctions) (2024) — Amendes et sanctions pour non-conformité
- NIST — AI Risk Management Framework (2023) — Framework de référence 4 fonctions (Govern/Map/Measure/Manage)
- McKinsey — The state of AI in early 2024 (mai 2024) — Taux d'adoption de l'IA et de l'IA générative
FAQ — Vos questions sur l'audit IA et ISACA
Combien coûte la certification AAIA ISACA et comment s'y inscrire ?
L'examen AAIA coûte 459 $ pour les membres ISACA et 599 $ pour les non-membres, auxquels s'ajoutent 50 $ de frais de dossier de certification. Une maintenance annuelle est requise, incluant des heures de formation continue (CPE) dans le domaine IA — les modalités exactes sont disponibles sur le portail MyISACA. L'inscription se fait sur le portail MyISACA. Pour les professionnels en France sans adhésion ISACA, le coût total (examen + dossier + adhésion) tourne autour de 700 $ en première année.
Faut-il être CISA pour passer l'AAIA ISACA ?
Non, depuis l'élargissement des prérequis mi-2025. La CISA reste la voie la plus directe, mais la CIA (IIA), la CPA (AICPA), l'ACCA/FCCA, et plusieurs CPA nationaux (Canada, Australie, Japon) ouvrent désormais l'accès à l'AAIA. Si vous êtes auditeur interne certifié CIA sans CISA, vous pouvez directement vous inscrire à l'AAIA.
Quelle est la différence entre l'audit IA selon ISACA et selon l'IIA ?
ISACA et l'IIA abordent l'audit IA depuis deux angles complémentaires. ISACA (via COBIT, AAIA) fournit les frameworks techniques et la certification spécialisée — il adresse principalement les auditeurs IT et les RSSI. L'IIA positionne l'auditeur interne comme acteur de gouvernance IA à part entière : évaluation des risques dans le plan d'audit annuel, test des contrôles, conseil à la direction. Les deux ont co-organisé un webinaire en 2025, signe de leur convergence croissante sur le sujet.
Comment auditer ChatGPT ou Microsoft Copilot déployé en entreprise ?
Un audit LLM GenAI suit la méthode en 8 étapes décrite plus haut, avec des points de contrôle spécifiques : (1) vérifier les clauses contractuelles fournisseur (localisation des données, conditions d'utilisation des prompts, SLA) ; (2) évaluer la politique interne d'usage ; (3) tester la résistance au prompt injection ; (4) vérifier l'existence d'une supervision humaine pour les décisions impactantes ; (5) contrôler la conformité RGPD des interactions. La classification EU AI Act est également à vérifier selon l'usage concret déployé.
Quelle est la différence entre l'AAIA et la CISA pour auditer l'IA ?
La CISA est une certification généraliste d'audit des systèmes d'information (tous périmètres IT, tous secteurs) — elle ne valide pas de compétences IA spécifiques. L'AAIA est une certification avancée construite au-dessus de la CISA (ou équivalent) : elle valide la capacité à auditer des systèmes IA complexes, incluant la gouvernance IA, les opérations ML/DL/GenAI et les outils d'audit IA. L'AAIA n'est pas une alternative à la CISA, c'est son extension spécialisée IA.
Quelles sont les obligations d'audit IA imposées par l'EU AI Act ?
Pour les systèmes IA à haut risque (RH, crédit, santé, infrastructures critiques, justice), l'EU AI Act impose depuis août 2024 : un système de gestion des risques documenté (Art. 9), une gouvernance des données d'entraînement conforme (Art. 10), une documentation technique actualisée (Art. 11), des journaux d'audit automatiques (Art. 12), des mécanismes de contrôle humain (Art. 14), et un monitoring post-marché (Art. 61). Les obligations sur les systèmes haut risque déployés par les utilisateurs en entreprise entrent en application progressive jusqu'en 2026.
Quels frameworks utiliser pour auditer un système d'IA selon les meilleures pratiques ?
Trois frameworks forment le socle recommandé : COBIT 2019 (ISACA) pour la gouvernance IT et le mapping des objectifs de contrôle, le NIST AI RMF 1.0 (fonctions Govern/Map/Measure/Manage) pour la gestion des risques IA, et ISO/IEC 42001:2023 pour le système de management certifiable. En France, la CNIL a également publié des recommandations complémentaires pour la conformité RGPD des systèmes IA. Ces quatre référentiels se complètent sans se redoubler.
Conclusion
L'audit IA selon ISACA n'est pas une discipline réservée aux spécialistes en machine learning. C'est une extension naturelle des compétences d'audit IT et interne — à condition de maîtriser les bons frameworks (COBIT 2019, NIST AI RMF, ISO/IEC 42001) et de comprendre les spécificités des systèmes IA à auditer, notamment les LLMs génératifs désormais omniprésents dans les organisations.
La certification AAIA, ouverte depuis mi-2025 aux CIA et CPA en plus des CISA, signale que l'audit IA devient une compétence transversale — pas une niche. Et l'EU AI Act transforme ce qui était une bonne pratique en obligation légale pour les systèmes IA à haut risque.
Un dernier point souvent sous-estimé : un auditeur qui n'a jamais utilisé les outils IA qu'il audite — ChatGPT Enterprise, Microsoft 365 Copilot, Claude for Work — audite à l'aveugle. The Intelligence Academy propose des formations pratiques sur ces outils, éligibles CPF, pour les professionnels qui veulent consolider ce prérequis terrain avant de se lancer dans une spécialisation AAIA ou ISO 42001.