Meilleur audit algorithme public : normes 2026 et conformité

1. Cadre légal 2026 : EU AI Act et droit français

Le règlement (UE) 2024/1689 (EU AI Act) est pleinement applicable depuis août 2025. En 2026, les algorithmes publics sont classés comme « à haut risque » lorsqu’ils affectent l’accès aux services essentiels (prestations sociales, éducation, justice, police). L’audit obligatoire doit être réalisé par un organisme notifié ou un service interne accrédité.

L’audit algorithmique public n’est pas une simple formalité. Il engage la responsabilité de la personne publique. Tout défaut de conformité expose à des sanctions pécuniaires pouvant atteindre 3 % du budget annuel de l’entité.

La loi française n°2024-420 du 14 mars 2024 renforce le contrôle : tout algorithme utilisé par une administration doit être inscrit au registre national des algorithmes publics. En 2026, ce registre est interconnecté avec la base européenne EU AI Act.

2. Normes techniques : NF EN 17007-IA & ISO/IEC 42001

La norme NF EN 17007-IA (2025) est le référentiel français pour l’audit des systèmes d’IA dans le secteur public. Elle couvre la gouvernance, la gestion des risques, la traçabilité et l’équité. L’ISO/IEC 42001:2025 est le standard international pour les systèmes de management de l’IA.

2.1 Exigences clés de la NF EN 17007-IA

Cette norme impose une évaluation indépendante des données d’entraînement, des métriques de performance par sous-groupes de population, et un test de résistance aux attaques adversariales. L’auditeur doit vérifier la documentation technique (fiche modèle, analyse d’impact relative à la protection des données – AIPD).

En 2026, tout algorithme public sans certification NF EN 17007-IA sera présumé non conforme. Les tribunaux administratifs s’appuient déjà sur cette norme pour évaluer la diligence des collectivités.

3. Processus d’audit algorithmique public

Le meilleur audit algorithme public repose sur une méthodologie structurée en 5 phases :

3.1 Phase de cadrage

Définition du périmètre : algorithme, version, finalité, données utilisées, impact potentiel. Le responsable de traitement désigne un auditeur (interne ou externe) et fixe le calendrier.

3.2 Analyse documentaire

Vérification du registre, de l’AIPD, du rapport d’impact algorithmique (RIA) et des spécifications fonctionnelles. L’auditeur examine la conformité avec le RGPD et l’EU AI Act.

3.3 Tests techniques

Mesure de la performance globale et par sous-groupe (équité), analyse de biais, robustesse, explicabilité. Des outils comme Fairlearn ou AI Fairness 360 sont recommandés par l’ANSSI.

3.4 Rapport d’audit

Le rapport doit contenir les résultats, les non-conformités, les recommandations et un plan d’action. Il est transmis à la CNIL et publié (version non confidentielle) sur le site de l’administration.

L’absence de publication du rapport d’audit peut être contestée devant le juge administratif. Le Conseil d’État a rappelé en 2025 que la transparence est un principe général du droit de l’Union.

4. Conformité RGPD et biais algorithmiques

Le RGPD impose que tout traitement algorithmique soit loyal, transparent et non discriminatoire. L’audit 2026 doit vérifier l’absence de biais indirects (genre, origine, code postal). La CNIL a publié en janvier 2026 une recommandation sur les « tests de discrimination ».

4.1 Mesure de l’équité

Utilisation de métriques comme la « parité démographique » ou l’« égalité des chances ». L’auditeur doit justifier le choix de la métrique et démontrer que l’algorithme ne crée pas de désavantage disproportionné.

Un algorithme public qui refuse un droit (ex. bourse scolaire) sur la base d’un score opaque est contraire au droit à un recours effectif. L’audit doit garantir l’explicabilité individuelle.

5. Documentation obligatoire et registre

L’article 11 de l’EU AI Act impose une documentation technique complète. En France, le décret 2025-891 exige :

• Fiche d’identité de l’algorithme (nom, version, date de mise en service)
• Description des données d’apprentissage (source, volume, biais potentiels)
• Rapport d’analyse d’impact relative à la protection des données (AIPD)
• Procédure de mise à jour et de réévaluation

Le registre national des algorithmes publics est accessible en ligne. En 2026, plus de 1 200 algorithmes y sont répertoriés. Chaque entrée doit être mise à jour dans les 30 jours suivant une modification.

Le défaut d’enregistrement est désormais une infraction passible d’une amende administrative de 75 000 € pour les personnes morales (art. L. 232-3 du code des relations entre le public et l’administration).

6. Sanctions, contrôles et jurisprudence 2026

La CNIL et l’ARCOM (pour les algorithmes de recommandation) peuvent mener des contrôles inopinés. En 2026, les sanctions financières ont été alourdies : jusqu’à 4 % du budget annuel ou 20 millions d’euros. Plusieurs décisions de justice ont déjà fait jurisprudence.

6.1 Décision marquante : TA Paris, 15 mars 2026

Le tribunal a annulé une décision de refus de logement social basée sur un algorithme non audité depuis 2024. Le juge a considéré que l’administration n’avait pas respecté son obligation de transparence et de mise à jour.

Cette décision rappelle que l’audit n’est pas un événement unique. Un algorithme public doit être audité au moins tous les 18 mois, ou à chaque modification substantielle.

7. Recommandations pour un audit réussi

Pour obtenir le meilleur audit algorithme public et une conformité durable, suivez ces étapes :

1. Anticiper : intégrez l’audit dès la conception (privacy by design).
2. Documenter : tenez un registre vivant et une AIPD à jour.
3. Tester : utilisez des jeux de données de test représentatifs de la diversité des usagers.
4. Corriger : mettez en œuvre un plan d’action en cas de non-conformité.
5. Publier : diffusez le rapport d’audit (version publique) pour renforcer la confiance.

Un audit bien mené est un atout juridique et démocratique. Il protège l’administration des recours et améliore la qualité du service public.