Comment répondre à un questionnaire d'audit sur l'usage de l'IA ?

Introduction

Les questionnaires d’audit comportent désormais une section dédiée. Y répondre avec des pièces plutôt qu’avec des affirmations détermine la manière dont la réponse sera restituée.

Les questions posées

Des outils d’assistance au développement sont-ils utilisés, lesquels, et sous quelles offres.

Quelle proportion du code a été produite avec assistance.

Les conditions applicables attribuent-elles à la société les droits sur les productions.

Les saisies sont-elles réutilisées pour l’entraînement des modèles.

Des données personnelles ou du code de clients ont-ils été soumis à ces outils.

Quelles mesures de vérification sont mises en œuvre : détection de similarité, inventaire des composants, revue humaine.

Une politique interne encadre-t-elle l’usage, et selon quelles formalités a-t-elle été adoptée.

L’apport humain est-il documenté.

Quelles protections ont été constituées indépendamment du droit d’auteur.

Des réclamations de tiers ont-elles été reçues.

Les pièces à préparer

Les conditions applicables aux offres souscrites, avec leur date.

La charte interne, avec la preuve de son adoption et de sa diffusion.

L’inventaire des composants tiers et de leurs licences, produit automatiquement.

Les rapports des outils de détection de similarité et d’analyse des dépendances.

La documentation d’architecture et les notes de choix.

Les dépôts de marque et de dessins et modèles.

Les actes de cession des contributeurs.

Les contrats clients comportant des stipulations relatives à ces outils.

Ces pièces se réunissent en quelques jours si elles existent, et en quelques mois sinon.

La formulation des réponses

Répondre à la question posée, sans développer au-delà.

Étayer chaque affirmation par une pièce.

Distinguer ce qui est documenté de ce qui relève d’une pratique non tracée.

Éviter les formulations absolues invérifiables : aucun code généré n’a été intégré sans revue, aucune reproduction d’élément protégé n’existe.

Préférer des formulations exactes : une revue humaine est organisée selon la procédure jointe, des contrôles de similarité sont exécutés selon la fréquence indiquée.

La question de la proportion

Elle est fréquemment posée et rarement bien traitée.

Un chiffre communiqué sans méthode sera contredit par l’audit technique, qui dispose d’outils d’analyse.

La réponse adaptée expose la méthode de développement et, si un ordre de grandeur est donné, la manière dont il a été établi et ses limites.

Les erreurs qui transforment une réponse en réserve

Minimiser l’usage, ce que l’audit technique contredira.

Affirmer une politique interne inexistante ou non diffusée.

Prétendre à des vérifications non tracées.

Ignorer la question des données personnelles et du code de clients.

Répondre oralement sans confirmation écrite.

Chacune de ces erreurs transforme un sujet gérable en réserve, et affecte la crédibilité de l’ensemble des réponses.

Les lacunes assumées

Toutes les organisations ne disposent pas de l’ensemble des éléments.

Une lacune identifiée, assumée et assortie d’un plan de traitement daté pèse nettement moins qu’une réponse approximative contredite ensuite.

Elle peut se traduire par une condition de régularisation préalable, ce qui est préférable à une réserve non traitée ou à une découverte tardive.

L’audit technique

Il complète le questionnaire.

Il examine la qualité du code, la couverture de tests, la dette technique, la sécurité, les dépendances et leurs licences.

Il peut détecter des similarités avec du code public et des motifs caractéristiques d’une production assistée.

Les réponses au questionnaire doivent donc être cohérentes avec ce que l’audit technique révélera.

La cohérence des réponses

Les réponses au questionnaire, les déclarations du protocole et l’annexe de divulgation doivent concorder.

Une divergence entre ces documents est immédiatement relevée et fragilise la position.

Une relecture croisée avant remise est indispensable.

Répondre avec des pièces, pas des affirmations

Ce qui n’est pas documenté sera reformulé par l’auditeur. Notre expertise en fusions-acquisitions prépare ces réponses.

En résumé

• Les questionnaires comportent désormais une section dédiée, aux questions standardisées.
• Étayer chaque réponse par une pièce, et éviter les formulations absolues invérifiables.
• Un chiffre de proportion sans méthode sera contredit par l’audit technique.
• Une lacune assumée et calendrée pèse moins qu’une réponse approximative.
• Questionnaire, déclarations et annexe de divulgation doivent concorder.