Un audit IA cybersecurite PME sert à décider si un usage d’IA est exploitable sans exposer les identifiants, les données clients ou les outils connectés à des tiers. Il s’applique aux PME qui testent un assistant, branchent un plugin, relient un connecteur ou autorisent un agent à lire des fichiers et des messages. Le résultat attendu n’est pas un rapport théorique : c’est un registre des risques, des contrôles priorisés et une décision claire sur ce qu’il faut garder, couper ou encadrer.

Risque principal : l’accès non maîtrisé aux données

Le premier point n’est pas le modèle, mais ce qui lui est donné : credentials, plugins, connecteurs et permissions sur les applications métiers. Dans un audit IA PME, le risque principal est souvent la fuite par excès d’accès plutôt qu’une faille “spectaculaire”.

Propriétaire : responsable IT ou DSI externalisée, avec validation du dirigeant pour tout accès aux données sensibles.

Évidence à inspecter : liste des comptes de service, jetons API, autorisations OAuth, journaux d’accès, intégrations actives, stockage des prompts et historique des exports.

Seuil de décision : si l’outil peut lire, copier ou transmettre des données clients sans journalisation exploitable, l’usage doit être suspendu jusqu’à correction.

L’ENISA rappelle que les systèmes d’IA introduisent des risques cyber spécifiques autour de l’intégrité, de la confidentialité et de la disponibilité, notamment via les chaînes d’intégration et d’accès. Source : https://www.enisa.europa.eu/topics/artificial-intelligence. La CNIL insiste aussi sur la maîtrise des données injectées dans les systèmes d’IA et sur la documentation des traitements. Source : https://www.cnil.fr/fr/intelligence-artificielle.

Surface d’exposition : où les fuites se produisent vraiment

La surface d’exposition d’une PME s’élargit dès qu’un outil IA touche à la messagerie, au CRM, au stockage documentaire ou au support client. Le sujet n’est pas seulement “l’IA” : c’est l’ensemble des chemins par lesquels une donnée peut sortir.

Repérez quatre zones :

  1. Entrée : formulaires, uploads, copier-coller, mails transférés.
  2. Traitement : prompts, mémoire, agents, appels API.
  3. Sortie : réponses, résumés, exports, automatisations.
  4. Partage : plugins, webhooks, connecteurs, synchronisations.

Propriétaire : responsable applicatif ou administrateur des outils collaboratifs.

Évidence à inspecter : matrice des flux de données, paramétrage des intégrations, politique de conservation, contrats éditeurs, liste des sous-traitants.

Next action : dresser la carte “outil → donnée → destination → durée de conservation” sur une page unique. Si une destination n’est pas connue, elle est considérée comme non validée.

Registre des risques : l’asset qui transforme l’avis en décision

Le livrable utile d’un diagnostic IA entreprise est un registre des risques, pas une opinion générale. Utilisez ce format simple : probabilité, impact, responsable, mesure de réduction.

Risque Probabilité Impact Responsable Mesure de réduction
Jeton API exposé dans un plugin Moyenne Élevé IT Rotation immédiate, coffre de secrets, revue des permissions
Connecteur CRM qui synchronise trop large Élevée Élevé Métier + IT Réduction des champs, journalisation, test de moindre privilège
Prompt contenant des données sensibles Moyenne Élevé Référent métier Masquage, guide d’usage, blocage des catégories sensibles
Export automatique vers un tiers Faible à moyenne Élevé DSI Validation contractuelle, désactivation par défaut

Seuil de décision : toute ligne “impact élevé” sans responsable nommé et sans mesure testable doit rester en statut bloqué.

L’EU AI Act ne remplace pas l’analyse interne, mais il renforce l’exigence de gouvernance, de documentation et de maîtrise des usages selon les cas d’usage et les rôles de l’organisation. Texte officiel : https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:32024R1689.

Contrôles : ce qu’une PME peut vérifier avant de trancher

Les contrôles doivent être proportionnés. Une PME n’a pas besoin d’un programme lourd pour obtenir une vraie réduction du risque. Elle doit vérifier ce qui change la décision.

Propriétaire : IT pour la technique, direction pour l’arbitrage, métier pour l’usage réel.

Évidence à inspecter :

Décision threshold : si un contrôle ne peut pas être testé en moins de 48 heures avec une preuve simple, il doit être reclassé comme “à confirmer” et non comme “en place”.

Pour une PME qui hésite sur l’AI Act PME, la vraie question n’est pas la conformité abstraite, mais la capacité à démontrer qui accède à quoi, pourquoi, et avec quelle trace.

Signaux d’alerte : quand la décision doit basculer

Certains signaux doivent faire passer l’évaluation du simple cadrage à la remise en cause du déploiement.

Propriétaire : direction informatique, avec arbitrage du dirigeant.

Évidence à inspecter : logs, configuration des permissions, fiche éditeur, contrat, procédure d’incident.

Next action : si deux signaux d’alerte ou plus sont confirmés, suspendre le cas d’usage jusqu’à réduction documentée des risques IA.

Exemple hypothétique : assistant commercial connecté au CRM

Une PME de services souhaite brancher un assistant IA sur son CRM pour résumer les opportunités et rédiger des relances. L’outil demande accès aux fiches clients, à l’historique des échanges et à la boîte mail partagée.

Décision : oui, mais seulement avec restriction.

Propriétaire : responsable commercial avec IT.

Évidence à inspecter : droits CRM, liste des champs, exports autorisés, journaux d’activité, politique de conservation.

Mesure de réduction : limiter l’accès aux seuls champs nom, société, statut et prochaine action ; exclure les pièces jointes et les notes libres ; tester l’export sur 10 dossiers.

Seuil : si l’assistant peut proposer un résumé contenant des données sensibles issues des notes ou pièces jointes, l’accès doit être réduit avant production.

Comment mesurer la valeur après 30 jours

Au bout de 30 jours, la valeur se mesure par la qualité de décision, pas par l’effet de nouveauté.

Indicateurs simples :

Propriétaire : direction + pilote métier.

Evidence to inspect : registre initial, journal des changements, tickets de correction, preuves de test.

Seuil : si aucune réduction claire des accès ou des flux n’a été obtenue en 30 jours, l’outil n’est pas encore prêt pour un usage élargi.

FAQ

Quel résultat concret une PME doit-elle obtenir ?

Un registre des risques exploitable, des contrôles testés et une décision documentée sur les usages IA autorisés, restreints ou bloqués.

Quelles preuves faut-il vérifier avant de décider ?

Les permissions réelles, les journaux d’accès, les connecteurs actifs, les durées de conservation et les clauses sur les sous-traitants.

Comment mesurer la valeur après 30 jours ?

Par la réduction des accès inutiles, la baisse des flux non maîtrisés et la présence de preuves de contrôle faciles à relire.

Pour aller plus loin, consultez la page d’accueil : https://artificialintelligence-audit.com/fr, les articles : https://artificialintelligence-audit.com/fr/blog, et ce guide de contexte : https://artificialintelligence-audit.com/fr/blog/audit-ia-avant-chatgpt-enterprise-2026-06-22. Si vous voulez cadrer rapidement un périmètre d’évaluation, la page de commande est ici : https://buy.stripe.com/eVqdR9bE91R5fZt2EK7AI01?locale=fr.