Deux entreprises peuvent annoncer « 200 utilisateurs IA ». Dans la première, les équipes reformulent des e-mails sans mesure. Dans la seconde, cinquante collaborateurs réduisent le délai de traitement de 30 %, avec un jeu de tests, des règles de confidentialité et un propriétaire produit.
Le compteur favorise la première. La capacité reproductible favorise la seconde.
L’audit sert à distinguer curiosité, usage, capacité et avantage. Il ne cherche pas à sanctionner les expérimentations. Il indique où l’organisation peut accélérer, où elle doit sécuriser et quels investissements seraient prématurés.
1. Les chiffres qui justifient un diagnostic rigoureux
Eurostat estime que 20 % des entreprises de l’Union européenne d’au moins dix personnes utilisaient une technologie d’IA en 2025, contre 13,5 % en 2024. L’usage variait fortement selon la taille : 17 % dans les petites entreprises, 30,36 % dans les moyennes et 55,03 % dans les grandes.
En France, l’Insee mesurait 10 % d’entreprises utilisatrices en 2024 : 9 % des petites, 15 % des moyennes et 33 % des grandes. Parmi les entreprises utilisant l’IA, 69 % s’appuyaient sur des logiciels disponibles dans le commerce. L’audit doit donc examiner la maîtrise des fournisseurs autant que les développements internes.
Le Baromètre France Num 2025 relève un taux plus élevé dans les TPE-PME interrogées : 26 % déclaraient un usage de l’IA, dont 22 % pour l’IA générative, 14 % pour les chatbots, 6 % pour les documents, 5 % pour l’automatisation et 5 % pour l’analyse de données. Les périmètres et méthodologies diffèrent de ceux d’Eurostat ; il ne faut pas fusionner les chiffres. Leur contraste montre justement pourquoi un audit doit définir ce qu’il appelle « utiliser l’IA ».
La valeur est également hétérogène. Une étude NBER menée auprès de 5 179 agents de support a observé une hausse moyenne de productivité de 14 %, atteignant 34 % chez les travailleurs novices ou moins performants. Une expérimentation de Harvard Business School avec Boston Consulting Group sur 758 consultants a mesuré, pour les tâches situées à l’intérieur de la frontière de capacité étudiée, plus de 25 % de vitesse et plus de 40 % de qualité. Hors de cette frontière, les résultats pouvaient se dégrader. L’audit doit donc mesurer les tâches, pas extrapoler un gain global.
Enfin, l’OIT estime en 2025 qu’un emploi sur quatre dans le monde est potentiellement exposé à l’IA générative, et 34 % dans les pays à revenu élevé. L’organisation parle davantage de transformation des tâches que de remplacement uniforme. La maturité inclut la capacité à redessiner le travail et à accompagner les personnes.
2. Ce que l’audit doit décider
Avant les entretiens, le commanditaire formule les décisions attendues. Exemples :
- faut-il créer une plateforme IA commune ?
- quels trois cas d’usage financer au prochain semestre ?
- quels outils non maîtrisés doivent être remplacés ?
- l’organisation peut-elle déployer des agents avec écriture ?
- quelles compétences sont absentes ?
- quelles données empêchent l’industrialisation ?
- quelle gouvernance mettre en place avant août 2026 ?
Sans décisions, l’audit produit un panorama et une note. Avec elles, il devient un instrument d’allocation.
Le périmètre précise pays, entités, métiers, outils, applications et fournisseurs. Examiner le siège ne représente pas automatiquement les agences. Les usages informels sont recherchés explicitement.
3. La matrice de maturité en huit axes
Logiks évalue huit axes, chacun sur cinq niveaux. Le score global est moins important que le profil : une excellente technologie avec une gouvernance faible constitue un déséquilibre, pas une maturité élevée.
3.1. Axe 1 — Stratégie et portefeuille
Niveau 1, opportuniste. Les projets viennent d’initiatives isolées. Aucun résultat ni propriétaire n’est défini.
Niveau 2, exploratoire. Une liste de cas existe, surtout guidée par la faisabilité ou la visibilité.
Niveau 3, priorisé. Les cas sont comparés par valeur, risque, données, délai et adoption. Des critères go/stop sont utilisés.
Niveau 4, piloté. Le portefeuille équilibre gains rapides, actifs communs et paris stratégiques. Les bénéfices sont suivis.
Niveau 5, adaptatif. L’entreprise réalloue régulièrement selon preuves, changements de modèles et stratégie.
Preuves : thèses d’investissement, backlog, business cases, décisions d’arrêt, budget et résultats.
3.2. Axe 2 — Usages et expérience
Le premier niveau correspond à des outils génériques sans processus. Le deuxième à des pilotes volontaires. Le troisième à des flux intégrés, avec contrôle humain et support. Le quatrième mesure adoption, corrections et effets. Le cinquième recompose continuellement le travail autour des capacités humaines et machines.
Preuves : cartes de processus, parcours, taux d’usage actif, tâches terminées, retours et temps gagné observé.
Une licence attribuée n’est pas un usage. Une ouverture mensuelle n’est pas une adoption. L’audit demande ce qui change dans la décision.
3.3. Axe 3 — Données et connaissances
Niveau 1. Documents dispersés, droits inconnus, définitions contradictoires.
Niveau 2. Corpus pilote et nettoyage manuel.
Niveau 3. sources versionnées, propriétaires, qualité, métadonnées et accès.
Niveau 4. produits de données, lignée, évaluation continue et boucles de correction.
Niveau 5. actifs de connaissance différenciants, réutilisables et gouvernés à l’échelle.
Preuves : catalogue, contrats de données, taux de fraîcheur, golden sets, provenance et procédures de suppression.
3.4. Axe 4 — Modèles, architecture et opérations
La maturité progresse d’appels directs non suivis vers une passerelle, un registre, des évaluations, du routage, des déploiements progressifs, des SLO et une réversibilité testée. Le niveau 5 ne signifie pas « tout construire » ; il signifie pouvoir remplacer un composant sans perdre le système.
Preuves : diagrammes, registre de modèles, versions de prompts, traces, coût par tâche, fallback et exercice de migration.
3.5. Axe 5 — Évaluation et valeur
Au premier stade, la qualité est jugée par quelques démos. Le deuxième conduit l’équipe à noter des exemples choisis. Dès le troisième, un jeu de test représentatif, des seuils et une baseline existent. Le quatrième relie les métriques métier aux expériences d’impact. Au stade le plus avancé, l’organisation gère un portefeuille d’évaluations, y compris adversariales et par segment.
Preuves : jeux masqués, résultats de versions, matrices de coûts, groupes témoins, erreurs critiques et bénéfices nets.
3.6. Axe 6 — Sécurité, conformité et éthique
Le premier stade repose sur des consignes informelles. Le deuxième met en place une liste d’outils et une charte. Au troisième stade, un inventaire classe les risques et limite données et permissions. Le niveau 4 teste les attaques, surveille les incidents et constitue les dossiers de preuve. Le niveau 5 intègre sécurité et conformité dans les pipelines et contrats.
Preuves : registre, analyses RGPD, qualification AI Act, red team, accès, incidents et clauses fournisseur.
3.7. Axe 7 — Compétences et changement
La progression va d’une formation générique à des parcours par rôle, des champions, du temps d’apprentissage, une refonte des objectifs et une mesure de compétence appliquée. Une organisation mature sait aussi accompagner les métiers dont les tâches changent.
Preuves : cartographie de compétences, exercices, communautés, support, taux de correction et enquêtes de confiance.
L’OCDE observe que, dans les données étudiées pour plusieurs pays, moins de 30 % des PME avaient proposé des formations liées à l’IA, avec 11,3 % au Japon et 29,4 % au Canada. Le besoin ne se réduit pas à acheter un assistant.
3.8. Axe 8 — Gouvernance et responsabilité
Au premier niveau, personne ne peut arrêter un système. Au deuxième, un sponsor et un comité existent. Au niveau 3, les rôles, seuils et exceptions sont datés. Au niveau 4, le comité reçoit des indicateurs de valeur et de risque. Au niveau 5, la gouvernance est distribuée, outillée et auditée.
Preuves : décisions, RACI, propriétaires, tableau de bord, revues et procédures d’arrêt.
4. La méthode de score : éviter la maturité déclarative
Chaque axe reçoit une note de 1 à 5 uniquement si les critères du niveau sont démontrés. Une présentation ne vaut pas une preuve d’exploitation. Un processus écrit mais non utilisé reçoit le niveau inférieur.
L’audit échantillonne au moins trois cas contrastés : un assistant individuel, un workflow intégré et le cas le plus risqué. Pour chacun, il suit une requête réelle : identité, données, modèle, résultat, action, trace et correction.
Le score est pondéré selon la stratégie. Une banque donne plus de poids au risque et à la traçabilité. Une agence créative peut privilégier portefeuille, adoption et propriété des contenus, sans négliger la confidentialité.
Une règle de plafonnement évite les incohérences. Par exemple, si aucun inventaire de systèmes n’existe, la gouvernance ne peut dépasser le niveau 2. Si aucun jeu d’évaluation n’existe, l’axe modèle ne peut être considéré industrialisé.
Le rapport affiche la confiance dans la note : forte, moyenne ou faible selon la couverture des preuves. Une note précise au dixième avec peu d’entretiens donne une fausse objectivité.
5. Les travaux de terrain
5.1. Revue documentaire
L’équipe demande stratégie, budgets, contrats, architecture, inventaires, évaluations, procédures, supports de formation, incidents et tableaux de bord. L’absence de document est une information, pas automatiquement une faute.
5.2. Entretiens
Les entretiens couvrent direction, métiers, DSI, data, sécurité, DPO, RH, achats et utilisateurs. Ils partent d’un événement : « Montrez la dernière fois où le système s’est trompé. » Cette question révèle davantage que « Avez-vous confiance ? »
5.3. Observation
L’auditeur regarde un utilisateur accomplir la tâche avec et sans outil. Il mesure les vérifications, copier-coller, contournements et temps d’attente. L’usage réel diffère souvent de la procédure.
5.4. Tests
Selon l’autorisation, l’audit teste des cas connus, des données ambiguës, les droits, la suppression, l’indisponibilité fournisseur et des attaques contrôlées. Un audit de maturité n’est pas un pentest complet, mais il vérifie que les contrôles existent.
5.5. Analyse économique
Les coûts couvrent licences, intégration, données, supervision, formation et reprise. Les gains sont ramenés à une tâche ou décision. Le temps « gagné » n’est compté que s’il est réutilisé ou améliore un résultat.
6. Exemple de scorecard
Une ETI obtient le profil suivant : stratégie 3, usages 2, données 2, architecture 3, évaluation 1, risques 2, compétences 2, gouvernance 2.
La moyenne simple est 2,1. Elle ne dit pas quoi faire. Le diagnostic montre plutôt une plateforme correcte alimentant des cas mal évalués et peu adoptés. Ajouter un modèle plus puissant ne corrigerait rien.
Trois décisions en sortent :
- geler les nouveaux pilotes pendant six semaines ;
- construire un jeu d’évaluation pour deux workflows existants ;
- créer un produit de connaissances avec propriétaire et droits.
Le quatrième chantier forme les managers à redessiner les tâches. Le comité ne finance un nouvel agent qu’après démonstration de la qualité et du contrôle sur un cas existant.
7. Identifier les quatre dettes
L’audit classe les écarts en quatre dettes.
Dette de valeur. Cas sans décision, baseline ni bénéfice démontré.
Dette de données. Sources non possédées, labels faibles, droits flous ou connaissances obsolètes.
Dette d’exploitation. Prototypes sans versions, monitoring, coût attribué ni fallback.
Dette de confiance. Risques inconnus, utilisateurs non formés, incidents cachés ou décisions inexplicables.
Chaque dette possèd'un montant ou une exposition estimée, un propriétaire et une action. Cette lecture évite une feuille de route uniquement technique.
8. Prioriser avec la matrice valeur–préparation–risque
Chaque cas reçoit trois notes séparées.
La valeur estime volume, gain unitaire, différenciation et urgence. La préparation couvre données, processus, sponsor, intégration et compétence. Le risque couvre impact sur les personnes, autonomie, sensibilité et réversibilité.
La combinaison forte valeur–forte préparation devient pilote prioritaire. Un cas à forte valeur mais données faibles devient chantier de fond. Un cas à risque élevé et faible valeur est arrêté. Un cas simple à valeur modeste peut servir d’apprentissage s’il crée un composant commun.
La matrice affiche les dépendances. Un assistant commercial, un moteur de réponse support et un outil juridique peuvent tous dépendre du même corpus client. Construire ce socle passe avant trois interfaces.
9. Les fausses preuves de maturité
- nombre de comptes provisionnés ;
- volume de tokens consommés ;
- participation à une formation sans exercice ;
- prototype impressionnant sur dix exemples ;
- charte sans contrôle technique ;
- comité sans décisions d’arrêt ;
- ROI calculé uniquement à partir de minutes déclarées ;
- modèle propriétaire sans actifs de données exportables ;
- taux de satisfaction sans mesure d’erreur ;
- absence d’incident dans un système non surveillé.
Ces signaux peuvent compléter le diagnostic. Aucun ne suffit.
10. Livrables attendus
Un audit utile remet :
- inventaire qualifié des usages et systèmes ;
- scorecard avec preuves, limites et confiance ;
- carte des risques et dettes ;
- portefeuille priorisé avec critères go/stop ;
- architecture cible minimale ;
- plan de compétences par rôle ;
- feuille de route à 30, 90 et 365 jours ;
- indicateurs et propriétaires ;
- liste des décisions exécutives à prendre.
Chaque recommandation indique effort, impact, dépendance et preuve de réussite. « Mettre en place une gouvernance » devient par exemple : « nommer les propriétaires des quinze systèmes, classer leurs risques et obtenir une procédure d’arrêt testée sous 60 jours ».
11. Quand refaire l’audit ?
Une revue légère peut être trimestrielle. L’audit complet est relancé après douze à dix-huit mois, un changement important de réglementation, une acquisition, un incident ou le passage à des agents autonomes.
Les scores ne doivent pas augmenter mécaniquement. L’exigence progresse avec l’impact. Une équipe qui passe d’un assistant à un système décisionnel peut voir sa maturité apparente baisser parce que le niveau de contrôle requis augmente.
Le suivi mesure les preuves : systèmes inventoriés, évaluations récentes, valeur validée, incidents, formation appliquée et exercices de sortie.
12. Questions fréquentes
12.1. Combien de temps dure un audit de maturité IA ?
Entre quatre et huit semaines pour une organisation moyenne, selon le nombre d’entités et de cas. Un diagnostic express peut prioriser, mais il ne doit pas prétendre couvrir les usages informels et les contrôles en profondeur.
12.2. Faut-il attendre d’avoir beaucoup de projets ?
Non. Un audit léger avant les premiers déploiements évite la fragmentation. Avec peu de cas, il porte davantage sur stratégie, données, fournisseurs et garde-fous.
12.3. Qui doit le sponsoriser ?
Un dirigeant capable d’arbitrer métiers, technologie, risques et ressources. La DSI seule ne peut décider de la valeur ; le métier seul ne peut porter l’architecture et la conformité.
12.4. La conformité à l’AI Act donne-t-elle un bon score ?
Elle contribue à l’axe risque. La maturité couvre aussi valeur, adoption, données et opérations. Un système documenté mais inutile reste immature économiquement.
12.5. Peut-on se comparer à d’autres entreprises ?
Avec prudence. La taille, le secteur, le risque et la stratégie changent l’exigence. La meilleure comparaison suit la progression de preuves internes et les capacités nécessaires aux objectifs.
13. Du niveau et de l’axe déclarés à ce que l’entreprise peut réellement reproduire
La restitution doit montrer une capacité en action. Pour chaque axe, l’auditeur choisit un cas et demande une démonstration : une équipe formule l’objectif, retrouve les données autorisées, exécute l’évaluation, traite un échec, explique la supervision et calcule un résultat. L’absence de preuve ne signifie pas automatiquement absence de travail ; elle limite le degré d’assurance.
Trois colonnes protègent la décision. Conçu indique qu’une politique, une architecture ou un processus existe. Déployé montre la part des équipes et cas couverts. Effectif vérifie que les contrôles et usages produisent le résultat attendu. Une organisation peut être avancée en conception et fragile en exploitation.
Le score final ne moyenne pas aveuglément. Une sécurité à 1/5 ne disparaît pas derrière cinq axes à 4/5. Des planchers sont appliqués pour les usages sensibles, et l’incertitude apparaît séparément. Lorsque les preuves divergent selon les filiales, le rapport présente la distribution plutôt qu’un faux chiffre groupe.
La feuille de route associe ensuite chaque capacité à un cas prioritaire. Par exemple, au lieu de « construire une plateforme IA », elle précise : journaliser 100 % des appels du copilote support, constituer 300 cas d’évaluation avec propriétaires métier, tester le retour arrière, réduire de 40 % les réponses non justifiées sur ce corpus et n’étendre le trafic qu’après quatre semaines sous les seuils de sécurité, de qualité et de charge humaine ; cette granularité transforme un niveau abstrait en séquence d’apprentissage finançable.
La révision à trois ou six mois contre-teste les éléments clôturés. Elle distingue livrable produit, comportement adopté et résultat métier. Si l’usage reste faible, le problème peut venir du flux de travail, de la confiance, du management ou d’une proposition peu utile ; acheter davantage de licences ne résout aucun de ces diagnostics.
Enfin, la maturité cible dépend du portefeuille. Une PME qui automatise trois processus stables n’a pas besoin du même dispositif qu’un éditeur qui expose des modèles à des milliers de clients. Le rapport recommande le niveau nécessaire, pas le maximum théorique.
Le dossier de décision conserve les preuves contradictoires et les zones non couvertes, puis explique pourquoi elles ne changent pas immédiatement la priorité, afin qu’un nouveau cas sensible, une acquisition, un incident fournisseur ou une évolution réglementaire permette de rouvrir rapidement le diagnostic sans recommencer les entretiens et inventaires depuis le début.
14. Ce que Logiks recommande
Auditez trois cas réels de bout en bout et exigez une preuve pour chaque niveau. Conservez les huit axes séparés, puis priorisez selon valeur, préparation et risque. Le bon résultat n’est pas une note flatteuse : c’est une décision claire sur ce qu’il faut accélérer, réparer ou arrêter.
15. Sources principales
- Eurostat, usage de l’IA dans les entreprises en 2025 : https://ec.europa.eu/eurostat/web/products-eurostat-news/w/ddn-20251211-2
- Insee, Utilisation de l’intelligence artificielle par les entreprises en 2024 : https://www.insee.fr/fr/statistiques/8616837
- France Num, Baromètre France Num 2025 : https://www.francenum.gouv.fr/guides-et-conseils/strategie-numerique/comprendre-le-numerique/barometre-france-num-2025-le
- NBER, Brynjolfsson, Li et Raymond, étude auprès de 5 179 agents : https://www.nber.org/papers/w31161
- Harvard Business School, étude BCG auprès de 758 consultants : https://aiinstitute.hbs.edu/navigating-the-jagged-technological-frontier/
- OIT, indice mondial 2025 de l’exposition à l’IA générative : https://www.ilo.org/resource/news/one-four-jobs-risk-being-transformed-genai-new-ilo%E2%80%93nask-global-index-shows
- OCDE, AI adoption by small and medium-sized enterprises : https://www.oecd.org/content/dam/oecd/en/publications/reports/2025/12/ai-adoption-by-small-and-medium-sized-enterprises_9c48eae6/426399c1-en.pdf
- NIST, AI Risk Management Framework : https://airc.nist.gov/airmf-resources/airmf/5-sec-core/