Auto-audit vs audit externalisé pour l'IA Act européen : quand choisir l'un ou l'autre

# Auto-audit vs audit externalisé pour l'IA Act européen : quand choisir l'un ou l'autre

Je propose un audit payant. Je publie également une checklist gratuite. Je suis donc la mauvaise personne pour être objectif sur ce sujet — sauf que le mauvais choix vous coûte de l'argent réel ou du temps réel, et je préfère que vous fassiez le bon.

Cet article présente la décision telle que je la présente aux prospects qui me la posent. Environ un tiers d'entre eux finissent par réaliser l'auto-audit et ne me paient jamais. Les deux tiers restants paient pour l'audit. Les deux réponses sont correctes pour des équipes différentes.

Les deux voies en termes simples

Auto-audit. Vous lisez le Règlement (UE) 2024/1689 ou notre checklist open source, vous classifiez vous-même vos fonctionnalités d'IA, vous rédigez vous-même les divulgations, vous produisez votre propre piste d'audit et vous le déposez. Coût : uniquement du temps. Risque : vous commettez une erreur de classification que personne ne détecte avant qu'un régulateur ne le fasse.

Audit externalisé. Une personne dotée d'une expertise réglementaire examine votre produit, classifie chaque fonctionnalité par rapport à l'Annexe III, rédige la documentation, livre le code de divulgation et vous remet un rapport PDF portant son nom. Coût : généralement entre 800 et 30 000 euros selon le cabinet. Risque : vous dépensez de l'argent inutilement si votre situation était plus simple que vous ne le pensiez.

Quand l'auto-audit est le bon choix

Vous devriez réaliser un auto-audit si quatre conditions sont réunies :

1. Vous n'avez que des IA à risque minimal. Autocomplétion, détection de spam, classement dans les résultats de recherche, widgets de recommandation sans impact significatif sur la vie d'un utilisateur. Aucun critère déclencheur de l'Annexe III. Aucun chatbot à enjeux élevés. Le règlement vous laisse majoritairement tranquille.
2. Vous avez du temps. Un auto-audit demande à un fondateur ou à un responsable technique concentré environ 8 à 16 heures, du début au dossier finalisé. Si vous disposez de ce temps avant votre échéance, vous pouvez le faire.
3. Vous êtes à l'aise avec la lecture des textes réglementaires. L'IA Act est dense mais lisible. Si « transparence au titre de l'Article 50 » et « Annexe III(4) emploi » ne vous font pas peur, vous pouvez vous y retrouver. Si c'est le cas, consultez la section suivante.
4. Vous n'avez pas besoin de présenter le dossier à un client ou à un investisseur. Un auto-audit est défendable devant un régulateur. Il est parfois plus difficile à défendre face à un client entreprise sophistiqué qui souhaite consulter un dossier de conformité signé par un tiers dans le cadre de son processus d'achat.

Si ces quatre conditions sont réunies, notre checklist open source gratuite est tout ce dont vous avez besoin. Utilisez-la. Soumettez une pull request si vous constatez un manque.

Quand un audit externalisé est le bon choix

Vous devriez payer pour un audit si l'une de ces conditions est vraie :

1. Vous disposez d'une fonctionnalité relevant de l'Annexe III. La classification à haut risque déclenche une évaluation de la conformité, un dossier technique au titre de l'Article 11, une surveillance humaine au titre de l'Article 14, une surveillance post-commercialisation et l'enregistrement dans la base de données de l'UE. Ce n'est pas 16 heures de travail. Même si vous pouvez le faire vous-même, vous ne le devriez probablement pas. Les erreurs dans ce domaine représentent 3 à 7 % du chiffre d'affaires.
2. Vous vendez à des entreprises qui demandent une preuve de conformité. Un auto-audit que vous avez signé vous-même est plus difficile à défendre lors d'un appel d'offres qu'un audit signé par une partie indépendante. Certains prospects poseront la question. Vous voulez pouvoir répondre par l'affirmative.
3. Vous manquez de temps. Si vous avez 30 jours ou moins avant votre échéance et que vous n'avez pas commencé, un auditeur expérimenté vous fait gagner du calendrier. Un audit livré en 5 jours vous donne 25 jours de marge.
4. Vous souhaitez disposer d'une piste de décision défendable. Si vous faites un jour face à un régulateur, à une question d'investisseur, à un examen du conseil d'administration ou à un litige client concernant la conformité au règlement sur l'IA, un rapport d'audit externe est bien plus facile à produire que votre propre documentation interne.
5. Vous souhaitez consacrer votre énergie à votre produit, et non à la réglementation. Le temps d'un fondateur est le temps le plus coûteux de l'entreprise. Si vous pouvez dépenser 997 euros pour récupérer 16 heures de votre propre temps, le calcul est évident.

Ce que 997 euros vous apportent

L'audit Disclos est à 997 euros, paiement unique, sans abonnement. En 5 jours ouvrés, vous recevez :

• Un rapport de conformité PDF référencé au Règlement (UE) 2024/1689, associant chaque fonctionnalité d'IA de votre produit à sa catégorie de risque
• Une présentation vidéo Loom expliquant chaque décision prise et les raisons de celle-ci
• Un code de divulgation au titre de l'Article 50 prêt à copier-coller, adapté aux surfaces de votre produit
• Des modèles de conformité internes (tenue de registres, déclaration d'incidents, politique de surveillance humaine, procédure de point de contact)
• Une garantie de remboursement : si votre SaaS n'est pas conforme au 2 août 2026 sur la base des travaux livrés, vous êtes intégralement remboursé

Nous pouvons le faire pour 997 euros car la méthodologie sous-jacente est standardisée. Nous ne réinventons pas une pratique de conformité pour chaque SaaS. Nous appliquons la même méthodologie éprouvée en 6 étapes, personnalisée pour votre produit.

Ce que 997 euros ne vous apportent pas

Cela ne vous apporte pas :

• Une évaluation complète de la conformité à haut risque au titre de l'Annexe III avec l'intervention d'un organisme notifié. Si vous disposez d'une fonctionnalité à haut risque nécessitant une évaluation de la conformité par un tiers (la plupart ne le requièrent pas, mais vérifiez l'Article 43), nous le signalerons et vous orienterons vers un organisme notifié. Ces travaux sont distincts et coûtent nettement plus.
• Une surveillance post-commercialisation continue. L'audit est réalisé à un instant T. La surveillance post-commercialisation est opérationnelle et continue. Nous pouvons conseiller sur la politique à adopter.
• Un avis juridique. Nous sommes un cabinet de conformité, pas un cabinet d'avocats. Pour un avis juridique contraignant sur des cas limites, il vous faut un avocat.

Si vous avez besoin de l'un de ces éléments, l'audit est une première étape utile, mais pas la seule.

La comparaison honnête

Si votre situation est simple, l'auto-audit est le bon choix. Le dépôt gratuit vous y amènera. Si votre situation est plus complexe ou si vous souhaitez en finir avec cela et revenir à la construction de votre produit, l'audit à 997 euros est le bon choix.

Le mauvais choix dans les deux cas représente essentiellement de l'argent gaspillé ou du temps gaspillé. Le bon choix dans les deux cas représente essentiellement un dossier réglementaire auquel vous n'avez plus à penser. Les deux valent mieux que la troisième option, qui consiste à espérer que l'échéance n'est pas vraiment contraignante.

Le 2 août 2026, elle l'est.

Last updated: 2026-06-04