Pourquoi cette mesure ?
Un audit externe est indispensable pour éviter que les porteurs de projets soient seuls juges de leurs gains. La mesure 9.10 propose un audit annuel public de la Cour des comptes. Pour être réaliste, cette obligation doit porter sur la politique, les portefeuilles à risque et les projets significatifs, pas sur chaque expérimentation. La Cour peut contrôler la performance, la gouvernance, les achats, les coûts et la qualité des évaluations ; elle n’a pas vocation à devenir un laboratoire de certification de tous les modèles.
État des lieux en 2026 : partir de ce qui existe vraiment
La Cour des comptes a déjà développé une expertise sur l’intelligence artificielle. Elle a contrôlé la stratégie nationale pour l’IA et publié en janvier 2026 un rapport consacré à France Travail et l’IA. Cela fournit un précédent concret : l’audit peut examiner l’organisation, les usages, la gouvernance, les coûts et les résultats d’un opérateur. La mesure Delta-Sierra doit donc s’appuyer sur cette pratique plutôt que créer une compétence ex nihilo.
Source au point d’usage : Cour des comptes — France Travail et IA ↗
Concevoir, financer et sécuriser la mise en œuvre
Architecture, fonctionnement et conditions techniques
Le dossier annuel doit fournir à la Cour un registre des projets, leur budget, leurs métriques, les contrats, les évaluations de sécurité et de droits, ainsi que les incidents. La sélection d’un échantillon peut combiner taille budgétaire, risque juridique, nombre d’usagers et dépendance fournisseur. Les audits doivent pouvoir reproduire les calculs de gains à partir de données agrégées et examiner les méthodes d’évaluation. Les modèles propriétaires ne doivent pas empêcher l’audit des obligations contractuelles et des résultats.
Démonstration financière : séparer coût, capacité et économie
Le cœur financier consiste à vérifier que les économies déclarées correspondent à des dépenses réellement évitées et que les coûts complets ne sont pas fragmentés entre plusieurs programmes. La Cour peut rapprocher marchés, crédits, effectifs et gains annoncés. Les coûts de transition, de formation, de sécurité et de double exploitation doivent être inclus. Les gains de capacité non budgétaires doivent être présentés comme tels. Cette discipline empêche un projet de se déclarer rentable uniquement parce qu’il produit plus vite le même volume de tâches.
Droit applicable et limites à ne pas franchir
La Cour exerce ses missions dans un cadre constitutionnel et organique existant. Une obligation annuelle spécifique peut être prévue politiquement et budgétairement, mais le dispositif doit respecter son indépendance et sa programmation. Le Parlement ou le Gouvernement ne doit pas dicter les conclusions. Les secrets protégés peuvent conduire à des annexes non publiques, tandis que le rapport public conserve les constats nécessaires au débat démocratique.
Plans A, B et C : l’objectif survit au blocage d’une voie
chapitre annuel transversal de la Cour sur l’IA publique avec échantillon renouvelé.
si un rapport annuel complet est trop lourd, alterner audit global et audits sectoriels Justice, fiscalité, santé, emploi.
intégrer systématiquement une grille IA aux contrôles numériques existants de la Cour. L’objectif est l’examen externe périodique ; la forme peut évoluer selon la charge et la maturité des projets.
Risques, objections et garde-fous
Un audit annuel peut devenir superficiel si son périmètre est trop large. À l’inverse, choisir seulement les grands projets peut laisser échapper des usages diffus à risque. La méthode doit donc combiner données globales et échantillonnage. Autre risque : les administrations optimisent les indicateurs juste avant l’audit. L’accès aux historiques et aux données trimestrielles limite ce comportement. Enfin, la Cour doit pouvoir signaler l’absence de preuve sans être contrainte de produire elle-même le chiffrage qui manque au porteur.
Indicateurs, audit et preuve de réussite
Indicateurs : nombre de projets audités ; recommandations ; taux de mise en œuvre ; écarts entre gains annoncés et gains vérifiés ; coûts non initialement déclarés ; dépendances critiques ; incidents ; qualité des évaluations ; projets arrêtés ou corrigés après audit. Le site doit publier un tableau de suivi des recommandations sans assimiler une recommandation acceptée à une économie déjà réalisée.
Ce que la Cour des comptes peut auditer sans devenir responsable du système
La Cour peut examiner la régularité, le coût, la gouvernance, la performance et l’évaluation des politiques d’IA, comme elle l’a déjà fait sur la stratégie nationale et sur l’usage de l’IA à France Travail. Elle ne doit pas devenir l’autorité qui autorise chaque modèle ou assume la responsabilité opérationnelle. Son indépendance suppose qu’elle intervienne après ou pendant l’exécution avec une capacité d’enquête suffisante.
Le mandat annuel doit donc porter sur un échantillon représentatif, les données transversales et quelques projets à risque. Les administrations conservent leurs contrôles internes, la CNIL ses compétences et l’ANSSI les siennes. L’audit externe vient tester si les affirmations de performance et de conformité résistent à une vérification indépendante.
Auditer les économies annoncées jusqu’à la comptabilité réelle
Chaque économie attribuée à l’IA doit pouvoir être suivie depuis l’hypothèse jusqu’au budget. La Cour doit distinguer temps d’agent libéré, poste non remplacé, marché supprimé, recette encaissée et simple gain qualitatif. Un gain de 10 000 heures ne devient pas automatiquement une économie en euros si les agents utilisent ce temps pour une autre mission.
De même, un montant détecté par un contrôle fiscal n’est pas une recette tant qu’il n’est pas recouvré. L’audit peut sélectionner des gains importants et reconstruire le calcul : base, formule, coût de transition, double compte et réalisation. Cette traçabilité est essentielle pour le Plan de Rupture, dont la crédibilité dépend précisément de la distinction entre potentiel et économie budgétaire réellement constatée.
Tester la conformité sur des dossiers et non seulement sur des politiques écrites
Une charte peut affirmer qu’un humain valide toutes les décisions et être contredite par le fonctionnement réel. L’audit doit donc examiner un échantillon de dossiers, journaux, droits d’accès, contrats et incidents. Il vérifie si l’agent dispose effectivement du temps et de l’information nécessaires pour contredire la machine, si les données sensibles sont traitées dans les environnements autorisés et si les versions des modèles sont traçables.
Les résultats peuvent être anonymisés dans le rapport public. Cette approche transforme la conformité en preuve de fonctionnement. Elle peut aussi révéler des écarts bénéfiques : une pratique locale plus sûre ou plus efficace que le cadre central peut devenir une recommandation pour les autres administrations.
Organiser le suivi des recommandations
Chaque recommandation importante reçoit une réponse de l’administration, un responsable, un calendrier et un statut. Le rapport suivant indique les recommandations mises en œuvre, en cours, refusées ou devenues sans objet. Lorsqu’une recommandation est refusée, l’argument est public sauf information protégée.
Cette méthode permet au contrôle de produire des effets au-delà de la publication annuelle. Les recommandations transversales — réversibilité, données, évaluation — sont intégrées dans les référentiels communs ; les recommandations métiers restent au ministère concerné. Le tableau de suivi évite de redécouvrir chaque année les mêmes faiblesses et permet de mesurer si l’État apprend réellement de ses audits. Il fournit aussi une matière au contrôle parlementaire trimestriel prévu par 9.09.
Choisir un programme d’audit fondé sur le risque
Auditer intégralement tous les systèmes chaque année serait irréaliste. Le programme doit croiser plusieurs critères : impact sur les droits, coût, nombre d’usagers, sensibilité des données, nouveauté, dépendance fournisseur, incidents et taille des gains revendiqués. Un projet très coûteux mais purement interne peut être prioritaire financièrement ; un petit outil influençant une décision défavorable peut être prioritaire juridiquement.
Une part de l’échantillon peut rester aléatoire afin d’éviter que seuls les projets déjà identifiés comme risqués soient examinés. Le périmètre et la méthode de sélection sont publiés. Cette stratégie concentre les capacités d’audit là où une erreur aurait le plus d’effet tout en maintenant une pression de conformité sur l’ensemble du portefeuille.
Approfondissement opérationnel et conditions de réussite
Donner aux auditeurs l’accès aux données nécessaires sans dépendre du fournisseur
Un audit sérieux exige davantage qu’une présentation du projet. Les contrats doivent garantir l’accès aux journaux, versions de modèles, dépenses, incidents, résultats d’évaluation et éléments nécessaires pour retracer les décisions relevant du périmètre audité, dans le respect des secrets protégés. L’administration doit pouvoir fournir ces éléments elle-même : si seul le fournisseur est capable de reconstruire l’historique, le contrôle devient dépendant de l’entité contrôlée. Les audits sélectionnent aussi des dossiers ou périodes de manière indépendante afin d’éviter un échantillon préparé. Cette capacité d’accès doit être prévue dès l’achat, car elle est beaucoup plus difficile à négocier une fois le système déployé.
Auditer aussi les projets arrêtés et les économies non réalisées
Les bilans publics ont tendance à mettre en avant les projets réussis. Or les projets abandonnés, les pilotes sans suite et les économies annoncées mais non matérialisées fournissent une information essentielle. L’audit annuel tient donc un registre des arrêts, de leurs coûts, de leurs causes et des enseignements. Une économie prévue mais non visible dans l’exécution budgétaire est classée comme non réalisée ; elle n’est pas reportée indéfiniment comme promesse. Les recommandations suivent leur état de mise en œuvre. Cette approche protège la Cour des comptes d’un rôle de simple certificateur d’innovations et fait de l’audit un outil d’apprentissage institutionnel autant qu’un contrôle de régularité et de performance.
Publier un suivi des recommandations jusqu’à leur clôture
Chaque recommandation importante reçoit un responsable, une échéance et un état public : acceptée, en cours, mise en œuvre, rejetée ou devenue sans objet. Lorsque l’administration rejette une recommandation, elle en donne le motif. Lorsqu’elle la déclare mise en œuvre, l’audit suivant vérifie le résultat plutôt que la seule existence d’une procédure nouvelle. Ce suivi empêche qu’un rapport annuel s’empile sur le précédent sans mémoire institutionnelle. Il permet aussi de distinguer une divergence assumée d’une absence de réponse. Pour les recommandations financières, la clôture suppose de retrouver l’effet dans les comptes ou de documenter pourquoi l’effet annoncé ne s’est pas matérialisé.
Définir un univers d’audit fondé sur le registre complet des projets
La Cour des comptes ou les corps de contrôle ne peuvent pas auditer chaque système chaque année. Le registre national fournit donc l’univers de sélection. Les critères de risque incluent montant, impact sur les droits, sensibilité des données, nombre d’usagers, incidents, dépendance fournisseur, promesses d’économies et absence d’audit antérieur. Une partie des projets peut être sélectionnée aléatoirement pour éviter que seuls les systèmes déjà signalés soient contrôlés. La programmation d’audit est indépendante de la mission qui pilote les projets. Cette méthode crée une couverture progressive et empêche qu’un petit nombre de grands projets visibles concentre toute l’attention pendant que des usages risqués se diffusent ailleurs.
Échantillonner des dossiers et transactions plutôt que vérifier seulement les procédures écrites
Une charte de contrôle humain peut être parfaite sur le papier et ignorée en pratique. L’audit sélectionne donc des cas réels, dans les limites du droit, pour vérifier la présence des validations, la qualité des motifs, les délais et le traitement des erreurs. Les échantillons sont choisis selon une méthode documentée et peuvent surreprésenter les cas à risque sans être présentés comme représentatifs de toute l’activité. Les résultats distinguent défaut de procédure, incident isolé et problème systémique. Cette approche complète l’examen des contrats, politiques et tableaux de bord. Elle permet de mesurer ce que le système fait effectivement plutôt que ce que ses documents de conformité disent qu’il devrait faire.
Conserver les preuves techniques nécessaires à un audit plusieurs mois après les faits
L’audit annuel arrive souvent après les décisions techniques qui l’intéressent. Les systèmes conservent donc, pendant une durée proportionnée, versions, configurations pertinentes, journaux d’événements, indicateurs et principaux résultats d’évaluation. La politique de conservation respecte les règles applicables aux données personnelles et aux secrets ; elle ne signifie pas archiver indéfiniment toutes les requêtes. L’objectif est de pouvoir reconstituer un incident ou vérifier une économie revendiquée. Les changements majeurs de modèle ou fournisseur sont horodatés. Sans cette mémoire technique, un audit serait condamné à interroger les responsables sur un état du système qui n’existe déjà plus, ce qui affaiblirait considérablement la capacité de contrôle.
Suivre les recommandations dans le temps et distinguer mise en œuvre formelle et résultat
Une recommandation n’est pas close parce qu’un guide ou un comité a été créé. L’administration indique l’action prise et l’auditeur vérifie, lorsqu’il revient sur le sujet, si le risque ou l’inefficacité a réellement diminué. Les recommandations budgétaires sont rapprochées des dépenses et résultats ; les recommandations de sécurité des incidents et contrôles ; les recommandations sur les droits des recours et erreurs. Les refus motivés restent visibles au lieu d’être reclassés comme succès. Cette traçabilité donne au rapport annuel une profondeur cumulative. Elle évite de produire chaque année une photographie sans mémoire et fournit au Parlement une base objective pour suivre les points non résolus.
Sources primaires et institutionnelles
Les affirmations de droit ou d’état de l’art ci-dessus sont rattachées à des sources publiques. Les hypothèses propres au Plan Delta-Sierra sont signalées comme propositions et ne sont pas présentées comme des chiffres officiels.
- Cour des comptes — France Travail et IA ↗
- Cour des comptes — stratégie nationale IA ↗
- Plan IA de l’État 2026 ↗
Date de vérification : 12 août 2026. Le cadre de l’IA évolue rapidement ; les dates d’application du règlement européen sont vérifiées contre le règlement (UE) 2026/1744.