Évaluer un Système d'IA : Audit, Tests et Preuves

Trois questions différentes, trois évaluations différentes#

Quand un client, un régulateur ou un comité de direction demande « votre IA a-t-elle été auditée ? », la question peut recouvrir trois réalités :

Confondre ces exercices conduit à des malentendus coûteux. Un certificat ISO/IEC 42001 ne dit rien de l'exactitude d'un modèle de notation ; un excellent score de précision ne dit rien de la manière dont l'organisation surveille ce modèle dans le temps.

L'audit du système de management : ISO/IEC 42001 et 42006#

La norme ISO/IEC 42001:2023 décrit un système de management de l'IA : politiques, rôles, évaluation des risques et des impacts, contrôles, suivi et amélioration. L'audit vérifie que ce système existe, qu'il est appliqué et qu'il s'améliore. Il ne teste pas les algorithmes.

Depuis juillet 2025, la norme ISO/IEC 42006 fixe les exigences propres à l'IA pour les organismes qui auditent et certifient selon ISO/IEC 42001, en complément d'ISO/IEC 17021-1 : compétence des auditeurs, durée des audits, contenu des certificats. Seuls les organismes accrédités par un organisme national d'accréditation peuvent délivrer une certification reconnue ; leur accréditation se vérifie sur le registre public de l'accréditeur. Notre guide sur la certification ISO 42001 détaille la démarche.

L'évaluation technique : biais, robustesse, exactitude#

L'évaluation technique porte sur un système précis, dans son usage prévu. Deux documents ISO l'encadrent :

• ISO/IEC TR 24027:2021 traite des biais dans les systèmes d'IA et dans les décisions assistées par l'IA. Publié en novembre 2021, il reste en vigueur.
• ISO/IEC TS 12791:2024, publiée en octobre 2024, traite des biais indésirables dans les tâches d'apprentissage automatique de classification et de régression.

Une évaluation technique utile couvre au minimum :

1. Les données : représentativité de la population servie, qualité, biais possibles. L'article 10 de l'AI Act exige, pour les systèmes à haut risque, des données d'entraînement, de validation et de test pertinentes, représentatives et examinées au regard des biais possibles.
2. L'exactitude : métriques adaptées à l'usage, mesurées par sous-groupe et non seulement en moyenne. L'article 15 exige des niveaux appropriés d'exactitude, de robustesse et de cybersécurité, avec des métriques déclarées dans la notice d'utilisation.
3. La robustesse : comportement face à des entrées inhabituelles, des fautes de frappe, des mélanges de langues (arabe, darija, français), des tentatives de manipulation.
4. Le comportement en situation réelle : écarts entre les tests et la production, dérive dans le temps.

Pour un chatbot de service client, cela signifie tester les réponses sur des questions réelles, dans les langues réelles des clients, et vérifier les cas où il doit passer la main (voir notre guide sur l'IA dans le traitement des réclamations).

L'étude d'impact : ISO/IEC 42005 et l'article 27#

Publiée en mai 2025, ISO/IEC 42005 donne des lignes directrices pour évaluer les impacts potentiels d'un système d'IA sur les personnes, les groupes et la société, et pour documenter cette évaluation. Ce n'est pas une norme d'exigences certifiable : elle complète ISO/IEC 42001.

Dans l'AI Act, l'article 27 impose une analyse d'impact sur les droits fondamentaux avant la première utilisation d'un système à haut risque par certains déployeurs : organismes publics, entités privées fournissant des services publics, et déployeurs de systèmes d'évaluation de la solvabilité ou de tarification en assurance vie et santé (annexe III, points 5(b) et 5(c)). L'article 27 a été modifié par le règlement 2026/1744 ; le détail de la modification doit être lu sur le texte consolidé avant toute décision.

Lorsque le système traite des données personnelles, l'étude d'impact rejoint les principes et formalités de la loi 09-08 et, pour les données européennes, l'analyse d'impact du RGPD. Notre guide privacy by design montre comment intégrer ces questions dès la conception.

Ce que l'AI Act exigera des systèmes à haut risque#

Le règlement 2026/1744, en vigueur depuis le 27 juillet 2026, a repoussé les dates : 2 décembre 2027 pour les systèmes autonomes de l'annexe III, 2 août 2028 pour ceux de l'annexe I.

Les articles 27, 43 et 72 ont été modifiés par l'Omnibus, et le service d'assistance de la Commission n'affichait pas encore le texte modifié à la date de vérification. Les articles 9 à 17 structurent aussi notre guide sur le cycle de vie d'un système d'IA.

Le cadre NIST, utile hors de l'Union#

Le NIST AI Risk Management Framework 1.0, publié le 26 janvier 2023, organise la gestion des risques en quatre fonctions : gouverner, cartographier, mesurer, gérer. Son profil pour l'IA générative (NIST AI 600-1), publié le 26 juillet 2024, décline ces fonctions pour les risques propres aux modèles génératifs. Volontaire, ce cadre est souvent demandé par des clients nord-américains et fournit une grille de lecture compatible avec ISO/IEC 42001.

L'angle marocain#

Le cadre marocain propre à l'IA est encore en construction (voir notre guide sur le cadre juridique de l'IA au Maroc). En revanche, la loi 09-08 s'applique dès que le système traite des données personnelles, et son article 11 encadre les décisions fondées sur un traitement automatisé. Un établissement qui note des demandes de crédit, trie des candidatures ou priorise des réclamations doit donc évaluer son système au regard de cette règle, avec la CNDP comme autorité. Les fournisseurs d'IA eux-mêmes doivent être évalués comme des tiers (voir notre guide sur la gestion du risque tiers).

Plan d'évaluation et dossier de preuves#

1. Délimiter le système, son usage prévu, les personnes concernées et votre rôle (fournisseur ou déployeur).
2. Qualifier le niveau de risque au sens de l'AI Act et de la loi 09-08.
3. Mener l'étude d'impact selon ISO/IEC 42005, avec les métiers et le délégué à la protection des données.
4. Tester les données, l'exactitude par sous-groupe, la robustesse et les cas de bascule vers l'humain.
5. Vérifier la gouvernance : rôles, validation, journalisation, surveillance, gestion des incidents.
6. Documenter les résultats, les limites connues et les mesures correctrices.
7. Planifier la réévaluation à chaque modification substantielle et au moins une fois par an.

Le dossier de preuves réunit la fiche du système, l'étude d'impact, les rapports de tests datés, les décisions de validation, les journaux de surveillance et le registre des incidents. Il sert aussi à répondre aux questionnaires de conformité des clients européens.