Gouvernance & conformité

Auditabilité : définition, exemples et différence avec la traçabilité

L'auditabilité est la qualité de ce qui peut être vérifié par un tiers, preuves à l'appui. Définition, exemples, différence avec la traçabilité et lien avec le RGPD et l'AI Act.

Research Lab NoolyaPublié le 13 octobre 20268 min

Couverture : les quatre conditions de l'auditabilité, journaux, versions, documentation et accès de l'auditeur, opposées à la simple traçabilité.

L'auditabilité est la qualité de ce qui peut faire l'objet d'un audit, d'une vérification ou d'un contrôle : un système, un processus ou une information est auditable lorsqu'un tiers indépendant peut établir, preuves à l'appui, ce qui a été fait, par qui, quand et selon quelles règles, sans avoir à croire l'organisation sur parole. Elle repose sur quatre éléments : des journaux, des versions, une documentation et un accès de l'auditeur. La traçabilité n'en est qu'une composante : elle permet de remonter à la source d'un fait, l'auditabilité permet de vérifier que ce fait était conforme.

Qu'est-ce que l'auditabilité ?

Le mot vient de la comptabilité. Le Grand dictionnaire terminologique de l'Office québécois de la langue française le classe dans ce domaine et le définit comme la « qualité de ce qui peut faire l'objet d'un audit, d'une vérification ou d'un contrôle ». Il lui donne pour synonymes vérifiabilité et caractère vérifiable.

L'auditabilité est donc une propriété préalable à l'audit, et elle se juge du point de vue de l'examinateur, pas de celui de l'équipe. Un système que seul son concepteur sait expliquer est documenté pour lui-même ; il n'est pas auditable.

Le plan comptable général (règlement ANC n° 2014-03, version consolidée au 1er janvier 2026) exige :

une documentation des procédures et de l'organisation comptables, « en vue de permettre la compréhension et le contrôle du système de traitement » (art. 1011-2) ;
une organisation qui permet de reconstituer les comptes à partir des pièces justificatives, et inversement de retrouver les pièces à partir des comptes (art. 1011-3) ;
pour une comptabilité informatisée, l'accès à la documentation des traitements afin de procéder aux tests nécessaires à la vérification (art. 1011-4) ;
une procédure de validation qui interdit toute modification ou suppression de l'enregistrement (art. 1031-3).

Rédigées pour des écritures comptables, ces exigences décrivent ce qu'on attend aujourd'hui d'un système d'IA.

Quelle différence entre auditabilité, traçabilité, transparence, explicabilité et reproductibilité ?

Les confondre conduit à répondre à la mauvaise exigence : on active des journaux quand on vous demandait une preuve de conformité.

Notion	Question à laquelle elle répond	Preuve typique	Ce qui manque pour auditer
Traçabilité	D'où vient ce fait, par où est-il passé ?	Journaux horodatés, références de pièces	La règle à laquelle comparer le fait
Transparence	Quelles informations sur le système sont disponibles ?	Notice d'utilisation, fiche descriptive, information des personnes	La preuve que le système fonctionne comme annoncé
Explicabilité	Comment ce résultat a-t-il été produit ?	Facteurs déterminants, méthode d'explication	La trace de ce qui s'est passé ce jour-là
Reproductibilité	Obtient-on le même résultat en rejouant ?	Mêmes entrées, même version, même configuration	La vérification de la conformité du résultat
Auditabilité	Un tiers peut-il vérifier, sans nous croire sur parole ?	Journaux + versions + documentation + accès	Rien : elle englobe les autres

Le cadre de gestion des risques de l'IA du NIST (AI RMF) propose une distinction utile : la transparence répond à la question « que s'est-il passé ? », l'explicabilité à « comment ? », l'interprétabilité à « pourquoi ? ». L'auditabilité ajoute une quatrième question, celle de l'auditeur : « est-ce que c'était conforme, et pouvez-vous le prouver ? »

La différence entre auditabilité et traçabilité est la plus souvent mal comprise. Le même dictionnaire définit la traçabilité comme le caractère d'un fait ou d'une opération dont on peut remonter à la source. C'est une condition nécessaire de l'auditabilité, jamais une condition suffisante : des journaux complets mais illisibles, modifiables ou inaccessibles à l'auditeur donnent une trace, pas une preuve.

Quels exemples concrets d'auditabilité ?

Une écriture comptable. Le plan comptable général impose que tout enregistrement précise « l'origine, le contenu et l'imputation de chaque donnée », ainsi que les références de la pièce justificative qui l'appuie (art. 1032-1). L'écriture est auditable parce qu'un commissaire aux comptes peut partir du bilan, descendre jusqu'à la facture, et vérifier que l'écriture n'a pas été modifiée après validation. Sans pièce, ou modifiable, elle devient invérifiable.

Un traitement de données personnelles. Dans sa recommandation sur la journalisation (délibération n° 2021-122), la CNIL recommande d'enregistrer les opérations de création, consultation, modification et suppression avec l'auteur individuellement identifié, l'horodatage, la nature de l'opération et la référence des données concernées. Elle recommande de conserver ces journaux à part du système principal, si possible accessibles uniquement en écriture et sans écrasement, de les horodater et de les signer dès leur création, et de les garder entre six mois et un an dans le cas général.

Une décision assistée par IA. Un assistant rédige une réponse à un usager à partir d'une base documentaire, et un agent la valide avant envoi. Pour que cette décision soit auditable, il faut pouvoir retrouver, des mois plus tard : la version exacte du modèle, la version du prompt système, les documents récupérés à cet instant, la sortie brute, la personne qui l'a validée et ce qu'elle a modifié. C'est le travail décrit dans les trois niveaux de contrôle d'une réponse générée par IA.

Ce troisième exemple éclaire une nuance importante. Un modèle génératif ne renvoie pas forcément la même réponse à deux requêtes identiques : la reproductibilité au mot près est souvent hors d'atteinte. L'auditabilité ne l'exige pas. Elle exige de pouvoir reconstituer ce qui a été produit et dans quelles conditions, ce qui suppose d'avoir conservé la sortie elle-même plutôt que de compter sur la possibilité de la régénérer.

Qu'est-ce qui rend un système auditable ?

Quatre conditions, cumulatives :

Des journaux exploitables. Automatiques, horodatés, protégés contre la modification, conservés assez longtemps, lisibles par un tiers.
Des versions identifiées. Le modèle, le prompt, les règles métier et les jeux de données sont référencés par une version datée, pas par un alias qui change sans que personne ne le décide.
Une documentation à jour. Finalité, fonctionnement, limites et procédures, rédigés pour quelqu'un qui n'a pas construit le système.
Un accès organisé pour l'auditeur. Qui peut consulter les journaux, sous quelle forme, dans quel délai, et avec quelles garanties de confidentialité.

L'erreur classique est d'oublier la dernière : un journal que personne n'a jamais tenté d'extraire est une hypothèse, pas une preuve. En production, ces éléments se rassemblent dans un dispositif dédié, que nous décrivons dans le registre de preuves des agents IA.

Cet article définit la notion. Pour la vérifier point par point sur un système réel, utilisez notre checklist d'auditabilité d'un système d'IA en 24 points, organisée en six dimensions.

Que disent le RGPD et l'AI Act sur l'auditabilité ?

Ni le RGPD ni l'AI Act n'emploient le mot, mais tous deux en organisent le contenu. Ce qui suit est une lecture des textes, pas un avis juridique : la qualification d'un traitement ou d'un système relève d'une analyse au cas par cas.

Texte	Article	Ce qu'il exige
RGPD	Art. 5.2	Le responsable du traitement « est en mesure de démontrer » le respect des principes (responsabilité)
RGPD	Art. 24.1	Des mesures techniques et organisationnelles pour s'assurer et être en mesure de démontrer la conformité
RGPD	Art. 28.3 h	Le sous-traitant permet la réalisation d'audits, y compris des inspections, par le responsable ou un auditeur mandaté
RGPD	Art. 30	Un registre des activités de traitement, mis à la disposition de l'autorité de contrôle sur demande
AI Act	Art. 11	Une documentation technique établie avant la mise sur le marché, tenue à jour, contenant au minimum les éléments de l'annexe IV
AI Act	Art. 12	L'enregistrement automatique des événements (journaux) tout au long de la durée de vie du système
AI Act	Art. 19 et 26.6	La conservation des journaux, au moins six mois, par le fournisseur et par le déployeur

Le RGPD pose le principe : il faut pouvoir démontrer sa conformité. L'article 30 en fournit l'outil de base, avec une exemption pour les organisations de moins de 250 personnes qui ne s'applique pas notamment si le traitement n'est pas occasionnel ou s'il porte sur des données sensibles.

L'AI Act traduit ce principe pour les systèmes à haut risque. L'article 12 parle explicitement de garantir « un degré de traçabilité du fonctionnement » adapté à la destination du système, et l'article 21 prévoit l'accès d'une autorité compétente aux journaux sur demande motivée. Côté calendrier, le règlement (UE) 2026/1744 a fixé l'application de ces exigences au 2 décembre 2027 pour les systèmes de l'annexe III et au 2 août 2028 pour ceux de l'annexe I, comme détaillé dans notre analyse du report de l'AI Act à décembre 2027. C'est l'un des axes de l'audit de conformité IA et AI Act.

Questions fréquentes

Quelle est la différence entre auditabilité et traçabilité ? La traçabilité permet de remonter à la source d'un fait : qui a fait quoi, quand, à partir de quoi. L'auditabilité permet à un tiers de vérifier que ce fait était conforme à une règle, ce qui exige en plus une documentation, des versions identifiées et un accès organisé aux preuves. Un système peut être tracé sans être auditable, l'inverse est impossible.

L'auditabilité est-elle une obligation légale ? Le mot ne figure ni dans le RGPD ni dans l'AI Act, mais son contenu y est. Le RGPD impose au responsable du traitement d'être en mesure de démontrer sa conformité, et l'AI Act impose documentation technique et journalisation aux systèmes à haut risque. En comptabilité, le plan comptable général l'organise depuis longtemps.

Un système d'IA générative peut-il être auditable s'il ne donne pas toujours la même réponse ? Oui, à condition de conserver la sortie réellement produite plutôt que de compter sur la régénérer. L'auditabilité demande de reconstituer une décision, pas de la reproduire à l'identique. Il faut donc journaliser l'entrée, la sortie, la version du modèle, le prompt et les documents mobilisés.

Comment savoir si un système est auditable ? Le test le plus fiable consiste à choisir une décision vieille de plusieurs mois et à demander à une personne extérieure à l'équipe de la reconstituer avec les seuls journaux et documents disponibles. Si elle y parvient sans aide, le système est auditable ; si elle doit interroger le développeur, il ne l'est pas encore.