Modèle gratuit · Sécurité AI

Audit de sécurité de l'AI
Checklist

Un audit structuré de votre posture de sécurité AI couvrant 7 domaines de contrôle : infrastructure, données, modèle, accès, journalisation, chaîne d'approvisionnement et gouvernance.

Télécharger le modèle Réserver une démo

7 domaines

couverture de sécurité complète

85+ contrôles

points de vérification auditables

3 cadres

NIST, ISO 42001, EU AI Act

Gratuit

à utiliser et personnaliser

Pourquoi un audit de sécurité AI est différent

Les audits de sécurité applicative traditionnels passent à côté des surfaces d'attaque que les systèmes AI introduisent : injection de prompt, empoisonnement des données d'entraînement, extraction de modèle et fuite de données via les prompts. Un rapport SOC 2 standard ne vous dit presque rien sur la capacité d'un endpoint LLM à divulguer les données de vos clients lorsqu'il est sollicité de manière adverse. Un audit spécifique à l'AI comble cette lacune.

85+

contrôles répartis sur 7 domaines spécifiques à l'AI

Couvre l'infrastructure, les données, le modèle, les accès, la journalisation, la chaîne d'approvisionnement et la gouvernance, avec des vérifications de résilience adverse que les audits traditionnels n'incluent pas.

35 M€

amende maximale au titre de l'EU AI Act

Les systèmes AI à haut risque ne respectant pas les exigences de cybersécurité de l'article 15 s'exposent à des sanctions substantielles ; l'audit produit les preuves que le régulateur attend.

août 2026

échéance haut risque de l'EU AI Act

Les obligations relatives aux systèmes à haut risque deviennent applicables en août 2026. Les organisations doivent disposer d'audits de sécurité documentés avant cette date.

Continue

la surveillance complète l'audit

Un audit ponctuel constitue une référence ; les systèmes à haut risque exigent une surveillance continue après commercialisation conformément à l'article 61 de l'EU AI Act.

La checklist d'audit

Parcourez chaque domaine de manière systématique. Marquez les contrôles Conforme / Non conforme / N/A avec les preuves à l'appui. Consignez le niveau de risque pour chaque contrôle non conforme.

Évaluez la couche réseau, de calcul et cloud qui héberge les charges de travail AI. Les lacunes d'infrastructure sont le constat le plus fréquent dans les audits AI d'entreprise.

Segmentation réseau en place

Les systèmes AI sont isolés des réseaux d'entreprise généraux ; le trafic d'entraînement et d'inférence transite par des segments dédiés régis par des règles de pare-feu explicites.

Passerelle API et WAF déployés

Tous les endpoints d'inférence AI se trouvent derrière une passerelle API authentifiée avec protection WAF, limitation de débit et atténuation des attaques DDoS.

Environnement de calcul durci

Les instances GPU/TPU suivent une configuration durcie de référence ; les images de conteneur sont analysées à la compilation ; le RBAC Kubernetes est appliqué ; aucun identifiant codé en dur.

Gestion des secrets appliquée

Les poids des modèles, les clés API et les identifiants d'entraînement sont stockés dans un KMS ou un coffre à secrets, jamais dans le code, les couches de conteneur ou les fichiers d'environnement versionnés dans le contrôle de source.

L'IAM cloud respecte le moindre privilège

Les rôles cloud attribués aux charges de travail AI sont limités aux permissions minimales requises ; les buckets de données d'entraînement sont privés ; la surveillance CSPM est active.

Télécharger la checklist complète

Comment mener l'audit

Cinq étapes pour produire un audit qui résiste à l'examen du régulateur et de l'audit interne, et non un artefact de checklist rangé dans un tiroir.

Définir le périmètre et le déclencheur de l'audit

Identifiez les systèmes AI concernés (modèles de production, services AI de fournisseurs, pipelines d'entraînement) et consignez le déclencheur de l'audit : initial, annuel, avant déploiement, motivé par un incident ou par le régulateur.

Collecter les preuves avant la notation

Réunissez les exports de configuration, les revues d'accès, les rapports de tests d'intrusion, les journaux d'incidents, les fiches de modèle et les DPIA. Noter de mémoire produit des faux positifs qui érodent la crédibilité de l'audit auprès des parties prenantes.

Parcourir les plus de 85 contrôles

Marquez chaque contrôle Conforme / Non conforme / N/A avec les preuves à l'appui. Lorsqu'un contrôle échoue, consignez le niveau de risque (Critique / Élevé / Modéré / Faible) afin que les constats puissent être priorisés en aval.

Agréger les scores et appliquer la notation de risque

Calculez les scores par section et un pourcentage global. Reportez-le sur la grille de notation de risque : 90–100 % Faible, 75–89 % Modéré, 60–74 % Élevé, en deçà de 60 % Critique. Les constats critiques peuvent justifier la suspension du système AI jusqu'à la remédiation.

Affecter la remédiation et réauditer à la clôture

Chaque Non conforme reçoit un responsable, une gravité, une échéance et un statut. Réauditez chaque contrôle non conforme une fois la remédiation effectuée, n'attendez pas le prochain audit annuel pour confirmer la clôture.

FAQ

Questions fréquentes

Que couvre un audit de sécurité AI ?

Un audit de sécurité AI évalue la posture de sécurité des systèmes AI à travers l'infrastructure (réseau, calcul, cloud), les données (au repos, en transit, cycle de vie), l'intégrité du modèle et la résilience adverse, le contrôle des accès, la journalisation et la surveillance, la chaîne d'approvisionnement (modèles tiers, jeux de données, bibliothèques) et la conformité/gouvernance. Contrairement aux audits de sécurité applicative traditionnels, les audits spécifiques à l'AI doivent couvrir la résistance à l'injection de prompt, l'intégrité des données d'entraînement, les défenses contre l'extraction de modèle et la fuite de données via les prompts.

À quelle fréquence un audit de sécurité AI doit-il être mené ?

Réalisez un audit de sécurité AI complet au moins une fois par an, plus un audit avant déploiement pour chaque nouveau système AI de production. Déclenchez un audit intermédiaire après toute mise à niveau de modèle, tout changement de données significatif, tout incident de sécurité ou tout changement réglementaire. Pour les systèmes à haut risque relevant de l'EU AI Act, une surveillance continue est attendue en complément de la cadence d'audit formelle.

Qui doit piloter un audit de sécurité AI ?

L'audit doit être piloté par un ingénieur sécurité senior ou un auditeur de sécurité AI dédié, avec validation du RSSI, du propriétaire du système AI et du responsable de la gouvernance AI. Les sections de tests d'intrusion et de résilience adverse bénéficient d'une expertise spécialisée, qu'il s'agisse d'une red team AI interne ou d'un prestataire externe qualifié.

Comment cette checklist s'aligne-t-elle sur des cadres comme NIST AI RMF ou ISO 42001 ?

Les domaines de contrôle s'alignent directement sur les fonctions Measure et Manage du NIST AI RMF et sur les contrôles de l'annexe A de l'ISO/IEC 42001, en particulier A.6 (cycle de vie des systèmes AI), A.7 (données pour les systèmes AI) et A.10 (relations avec les tiers). Elle facilite également la collecte de preuves pour les articles 9 (gestion des risques), 15 (cybersécurité) et 12 (tenue de registres) de l'EU AI Act.

Télécharger la checklist d'audit de sécurité de l'AI

Checklist gratuite au format .docx avec plus de 85 contrôles répartis sur 7 domaines. Personnalisez-la à votre organisation et commencez à auditer.

Télécharger le DOCX

Obtenez les 39 modèles dans un seul ZIP. Politiques, registres, listes de contrôle et plans de déploiement.

Commencer

De l'instantané d'audit à la sécurité AI continue

Un audit ponctuel repère les lacunes que vous connaissez aujourd'hui. Aona découvre en continu le shadow AI, détecte les données sensibles qui transitent vers les outils AI et maintient vos preuves d'audit à jour, de sorte que le prochain audit devienne une revue, et non une expédition archéologique.

Réserver une démo

Ressources associées

Shadow AI Risk Assessment Tool (free, 2-minute score)Plateforme Aona AI Cadre de gouvernance de l'AI Checklist d'évaluation des risques AI Questionnaire de sécurité des fournisseurs AI Évaluation des risques AI liés aux tiers Tous les modèles