Audit algorithme public comparatif : normes 2026 en France

1. Fondements juridiques de l’audit comparatif en 2026

L’obligation de réaliser un audit algorithme public comparatif repose sur plusieurs textes convergents. Le Règlement (UE) 2024/1689 (EU AI Act) impose, depuis le 1er janvier 2026, une évaluation périodique de la conformité pour les systèmes d’IA à haut risque utilisés par les autorités publiques (article 43, par. 4). En France, la loi n°2025-1278 du 20 décembre 2025 relative à la transparence des algorithmes publics a introduit un nouvel article L. 312-1-3-1 dans le Code des relations entre le public et l’administration (CRPA), qui rend obligatoire un audit comparatif tous les deux ans.

Le décret n°2025-1189 du 15 décembre 2025 précise les modalités : l’audit doit comparer les performances de l’algorithme avec au moins deux autres systèmes équivalents (publics ou open source) ou avec des seuils de référence fixés par la DINUM (Direction interministérielle du numérique). Le non-respect expose l’administration à une injonction sous astreinte de la CNIL, conformément à l’article 20 de la loi informatique et libertés modifiée.

« L’audit comparatif n’est pas une option technique, c’est une obligation de résultat juridique. En 2026, toute administration déployant un algorithme décisionnel doit démontrer, par une méthode contradictoire et reproductible, que son système n’introduit pas de discrimination prohibée. »

— Maître Camille Dufresne, avocate au barreau de Paris, spécialiste en droit du numérique.

2. Méthodologie standardisée de l’audit algorithme public comparatif

Le référentiel « Audit IA Public 2026 », publié par la CNIL en janvier 2026, définit une méthodologie en six phases : (1) cadrage et périmètre, (2) collecte des données d’entrée et de sortie, (3) sélection des comparateurs, (4) exécution des tests, (5) analyse des écarts, (6) rapport et plan d’action. L’audit doit être réalisé par un organisme tiers accrédité (COFRAC ou équivalent) ou par le service d’audit interne de l’administration, à condition que l’équipe soit indépendante de l’équipe de développement.

La phase de sélection des comparateurs est cruciale : l’administration doit choisir au moins deux algorithmes de référence, dont un issu du secteur public (ex : algorithme de scoring social d’une autre collectivité) et un modèle open source validé par la communauté scientifique. L’audit algorithme public comparatif impose de tester les mêmes jeux de données (datasets de validation fournis par la DINUM) pour garantir la comparabilité des résultats.

2.1. Critères de comparabilité

Les comparateurs doivent être choisis selon des critères objectifs : même finalité (ex : évaluation des droits sociaux), même type de données traitées, et même niveau de risque. La CNIL recommande d’utiliser la grille d’analyse publiée dans sa délibération n°2026-025 du 15 janvier 2026.

3. Indicateurs et métriques obligatoires

Le décret n°2025-1189 impose neuf indicateurs obligatoires pour tout audit algorithme public comparatif : précision globale, rappel, F1-score, disparité d’impact (taux d’erreur par catégorie protégée : sexe, âge, origine apparente), stabilité temporelle, robustesse aux attaques adversariales, explicabilité (score LIME ou SHAP), temps de réponse, et consommation énergétique. Chaque indicateur doit être présenté sous forme de tableau comparatif avec les valeurs de référence.

La CNIL a précisé que l’indicateur de disparité d’impact est prioritaire : si un écart supérieur à 5 % est constaté entre les sous-groupes, l’administration doit justifier cette différence par une nécessité objective et proportionnée, sous peine de violation de l’article 9 du RGPD (traitement de données sensibles).

« L’indicateur de disparité d’impact est devenu le critère discriminant devant les tribunaux. En 2026, le Conseil d’État a annulé une décision d’attribution de bourses fondée sur un algorithme présentant un écart de 7,8 % entre les candidats masculins et féminins, faute de justification valable. »

— Maître Thomas Lefèvre, docteur en droit public.

4. Rôle de la CNIL et du référentiel « Audit IA Public 2026 »

La CNIL est l’autorité compétente pour contrôler la conformité des audits algorithmiques dans le secteur public. Depuis le 1er mars 2026, elle dispose d’un pôle dédié « Algorithmes publics et équité » qui peut demander à tout moment la transmission du rapport d’audit comparatif (article 19 de la loi n°2025-1278). Le référentiel « Audit IA Public 2026 » (disponible sur IAOfficiel.fr) sert de base à l’évaluation.

Ce référentiel intègre les exigences de l’EU AI Act (articles 9, 10, 13, 14) et les lignes directrices du Comité européen de la protection des données (EDPB). Il prévoit notamment une grille de notation sur 100 points, avec un seuil de conformité fixé à 75 points. En dessous de ce seuil, l’administration doit présenter un plan de mise en conformité sous trois mois.

5. Jurisprudence 2026 : ce que le Conseil d’État impose

L’arrêt du Conseil d’État du 12 mars 2026 (n°475890, Association de défense des usagers du service public) est la première décision de justice à annuler une décision administrative fondée sur un algorithme non audité de manière comparative. Le juge a estimé que l’absence d’audit algorithme public comparatif constitue un vice de procédure substantiel, privant la décision de base légale. L’administration a été condamnée à verser 15 000 € de dommages et intérêts pour préjudice moral.

Une autre décision notable est celle du Tribunal administratif de Paris du 9 février 2026 (n°2512345), qui a suspendu le déploiement d’un algorithme de tri des demandes de logement social, faute de comparateurs valides. Le juge a ordonné la réalisation d’un audit comparatif dans un délai de six mois, sous astreinte de 500 € par jour de retard.

« La jurisprudence 2026 est claire : l’audit comparatif n’est pas une simple formalité. Les juges exigent une véritable mise en concurrence des modèles, avec des données ouvertes et des métriques transparentes. Toute approximation expose l’administration à des annulations en cascade. »

— Maître Sarah Benichou, avocate en contentieux public.

6. Sanctions et responsabilités des entités publiques

Le non-respect de l’obligation d’audit comparatif expose l’administration à des sanctions administratives et financières. La CNIL peut prononcer une amende allant jusqu’à 4 % du budget annuel de l’entité (article 83 du RGPD, combiné à l’article 24 de la loi Informatique et Libertés). En 2026, le plafond pour une collectivité territoriale est fixé à 2 millions d’euros par le décret n°2026-014.

En outre, les responsables publics (directeur général des services, DPO) peuvent engager leur responsabilité pénale en cas de manquement grave et répété (article 226-16 du code pénal, modifié par la loi n°2025-1278). La peine encourue est de deux ans d’emprisonnement et 75 000 € d’amende pour un traitement discriminatoire non corrigé.

7. Outils et standards techniques de référence

Plusieurs outils open source et standards internationaux sont reconnus par la CNIL pour réaliser un audit algorithme public comparatif conforme. Le standard ISO/IEC 42001:2025 (Systèmes de management de l’IA) fournit un cadre de gouvernance, tandis que la spécification AFNOR Spec 2400 (2026) détaille les protocoles de test comparatif.

Parmi les outils, on peut citer : FairLearn (évaluation de l’équité), AI Fairness 360 (IBM), What-If Tool (Google), et Audit-IA-Public (kit DINUM, disponible sur IAOfficiel.fr). Ces outils permettent d’automatiser le calcul des indicateurs obligatoires et de générer des rapports au format JSON-LD interopérable avec le référentiel CNIL.

8. Bonnes pratiques pour un rapport d’audit opposable

Pour qu’un rapport d’audit soit juridiquement opposable et accepté par la CNIL ou un juge, il doit respecter plusieurs critères : indépendance de l’auditeur, transparence des données, reproductibilité des tests, et publication en open data (sauf secrets protégés). Le rapport doit inclure une synthèse en langage clair destinée aux citoyens, conformément à l’article L. 312-1-3-1 du CRPA.

Nous recommandons d’utiliser le modèle de rapport fourni par la DINUM (format PDF et JSON-LD) et de le déposer sur la plateforme algorithmes-publics.data.gouv.fr. L’audit algorithme public comparatif doit être signé électroniquement par l’auditeur et le responsable de l’administration.

« Un rapport d’audit bien construit est une arme de défense juridique. En cas de contentieux, il permet de démontrer que l’administration a agi avec diligence et transparence. Ne négligez pas la phase de rédaction : chaque métrique doit être expliquée et justifiée. »

— Maître Claire Moulin, avocate associée, cabinet LexNum.