Audit des usages de l'IA, des données et du reporting (AI Act Règlement européen sur l'intelligence artificielle)

Nous auditons, sous l'angle du thème AI Act Règlement européen sur l'intelligence artificielle, ce qui existe réellement dans votre structure : outils d'IA générative utilisés par les équipes support, y compris hors de tout cadre validé, tableaux de bord et fichiers de suivi d'activité, sources de données, droits d'accès, circulation des informations entre établissements et siège. Nous travaillons sur vos documents, vos paramétrages et des entretiens avec les juristes, jamais sur des données de personnes accompagnées.

Le rapport décrit chaque usage, la nature des données qu'il touche, le risque associé et la décision attendue de la direction : autoriser, encadrer ou arrêter. Il distingue ce qui relève du RGPD (règlement général sur la protection des données), du secret professionnel et, selon le cas d'usage, du règlement européen sur l'IA, que nous signalons à votre délégué à la protection des données ou à votre conseil juridique sans nous substituer à eux. Il se termine par un plan d'actions présentable à votre conseil d'administration.

Déroulé de la prestation

1. Cadrage

   Nous fixons avec vous le périmètre, le référentiel applicable et les interlocuteurs, et nous convenons des règles de confidentialité et d'accès au site.

2. Lecture documentaire

   Nous lisons les procédures, enregistrements et comptes rendus relatifs au thème AI Act Règlement européen sur l'intelligence artificielle, avant toute rencontre, pour arriver sur le terrain avec des questions précises.

3. Entretiens et observation

   Nous rencontrons les responsables et les intervenants, et nous observons les pratiques sur le terrain lorsque l'accès est possible.

4. Analyse des écarts

   Chaque constat est rattaché à une exigence identifiée, classé par gravité et par urgence, et associé à une action corrective, un responsable et un délai.

5. Restitution

   Nous présentons le rapport à votre direction, répondons aux objections et, si vous le souhaitez, préparons avec vous le plan d'actions.

Livrables, format et conditions

Au terme de la prestation, vous disposez des éléments suivants, rédigés pour être présentés à votre direction, à votre gouvernance, à votre financeur ou à l'autorité de contrôle.

• Cartographie des usages d'IA, des tableaux de bord et des flux de données de la structure
• Rapport d'audit avec niveau de risque par usage et décision attendue (autoriser, encadrer, arrêter)
• Plan d'actions priorisé, présenté à la direction et au délégué à la protection des données

Format et charge : forfait, 5 à 10 jours. Idéal pour : directeur général d'association gestionnaire, directeur d'établissement, délégué à la protection des données ou responsable du pilotage de l'activité. Prérequis de votre côté : liste des outils utilisés et des tableaux de bord produits, accès aux documents de cadrage (registre des traitements, charte informatique, CPOM) et entretiens avec les responsables des fonctions support.

Exemples d'usage

Deux situations d'exemple dans lesquelles cette prestation a du sens. Ce sont des exemples construits à partir de situations courantes du secteur, pas des références clients ; les chiffres sont indicatifs et dépendent du site et du périmètre.