Modèle 14 : questionnaire d'auto-évaluation
Couvre : clauses 4 à 10 et les 38 mesures de l'annexe A, en 40 questions. Rempli par le client seul, avant le diagnostic ; ne remplace ni la grille d'audit (annexe-a-grille-audit.md) ni un audit interne (9.2).
Pour qui référent IA, direction, DSI, juridique et DPO, RH, métier, équipe data ;
aucune connaissance de la norme
Durée 1 h 30
Résultat score par rubrique, 5 écarts prioritaires, liste des modèles à ouvrir
Limite une auto-évaluation surestime : un niveau 3 ou plus sans preuve compte 2
Mode d'emploi
Échelle, la même que le diagnostic :
0 absent rien n'existe
1 informel ça se fait, de tête, selon les personnes
2 documenté en partie écrit pour une partie des systèmes ou des équipes
3 défini et appliqué écrit, approuvé, suivi partout dans le périmètre
4 mesuré un indicateur dit si ça marche
5 amélioré en continu les résultats font changer la pratique
Règles :
preuve ce que vous pourriez montrer demain à un auditeur (document, registre,
compte rendu) ; « tout le monde le sait » n'est pas une preuve
niveau retenu niveau déclaré ; ramené à 2 s'il vaut 3 ou plus sans preuve
non applicable questions de l'annexe A seulement, avec la raison (alimente le modèle 6) ;
les clauses 4 à 10 sont toutes exigées
score moyenne des niveaux retenus de la rubrique, une décimale
rôles chaque rôle de la ligne « pour » répond ; la question garde le niveau
retenu le plus bas ; un écart de 2 niveaux ou plus entre rôles est à
discuter avant le diagnostic
5 écarts les niveaux retenus les plus bas ; à égalité, clauses 4 à 10 d'abord,
puis ordre des questions
Modèle vide
Organisation
Rempli par (nom, fonction)
Date
Systèmes IA concernés
Rôle principal développe / fournit / utilise (modèle 1)
Chaque question se remplit ainsi :
Qnn question
vise clauses ou mesures comble modèle à ouvrir
pour rôles qui répondent
niveau déclaré retenu preuve
Clause 4 : contexte
Q01 Savez-vous pourquoi vous utilisez l'IA et ce qui pèse sur ce choix (loi, clients,
concurrence, climat) ?
vise 4.1 comble modèle 1
pour direction, référent
Q02 Avez-vous la liste de ceux qui attendent quelque chose de votre usage de l'IA
(clients, salariés, régulateur), et de ce qu'ils attendent ?
vise 4.2 comble modèle 1
pour référent, juridique
Q03 Savez-vous, pour chaque système, si vous le développez, le fournissez ou l'utilisez ?
vise 4.1 (rôles) comble modèle 1
pour référent, DSI
Q04 Le périmètre est-il écrit : quels systèmes, quels sites, quelles exclusions ?
vise 4.3, 4.4 comble modèle 1
pour référent
Q05 Avez-vous la liste de tous les outils et systèmes d'IA utilisés, y compris ceux que
les équipes ont adoptés sans passer par la DSI ?
vise 4.3, A.4.2, IA fantôme comble modèle 5
pour DSI, métier
Clause 5 : direction
Q06 La direction a-t-elle signé une politique IA, et lui donne-t-elle des moyens ?
vise 5.1, 5.2, A.2.2 comble modèle 2
pour direction
Q07 Chaque rôle a-t-il un nom : référent IA, propriétaire de chaque système, qui valide ?
vise 5.3, A.3.2 comble modèle 1
pour direction, référent
Clause 6 : planification
Q08 Avez-vous une méthode écrite pour juger les risques de l'IA (échelles, seuil
d'acceptation) ?
vise 6.1.1, 6.1.2 comble modèle 3
pour référent, DSI
Q09 Chaque risque important a-t-il une mesure, un responsable, et un risque restant
accepté par la direction ?
vise 6.1.3 comble modèle 3
pour référent, direction
Q10 Avez-vous décidé, mesure par mesure de l'annexe A, ce que vous appliquez et pourquoi ?
vise 6.1.3 (DdA) comble modèle 6
pour référent
Q11 Évaluez-vous l'effet d'un système sur les personnes concernées avant sa mise en
service ?
vise 6.1.4 comble modèle 4
pour métier, juridique
Q12 Avez-vous des objectifs IA chiffrés, avec une échéance et un responsable ?
vise 6.2 comble modèle 7
pour direction, référent
Q13 Un changement (nouveau modèle, nouveau fournisseur, nouvel usage) passe-t-il par une
décision avant d'être fait ?
vise 6.3, 8.1 comble modèle 8
pour DSI, métier
Clause 7 : support
Q14 Savez-vous qui a les compétences pour concevoir, contrôler ou utiliser vos systèmes,
et qui doit être formé ?
vise 7.1, 7.2 comble aucun modèle ; plan de formation RH
pour RH
Q15 Tout le personnel connaît-il la politique IA, les outils permis et la façon de
signaler un problème ?
vise 7.3, 7.4 comble modèle 2
pour RH, métier
Q16 Les documents ont-ils un propriétaire, une version et un endroit où les trouver ?
vise 7.5 comble en-tête de chaque modèle
pour référent, DSI
Clause 8 : exploitation
Q17 Les appréciations de risques et d'impact sont-elles refaites à intervalles prévus et
à chaque changement important ?
vise 8.2, 8.3, 8.4 comble modèles 3, 4
pour référent
Clause 9 : évaluation
Q18 Quand un système d'IA se trompe, qui le voit, et comment ?
vise 9.1 comble modèle 7
pour métier, data
Q19 Un audit interne de l'IA est-il programmé, mené par quelqu'un qui n'audite pas son
propre travail ?
vise 9.2 comble modèle 12
pour référent
Q20 La direction revoit-elle les résultats à intervalles prévus, avec des décisions
écrites ?
vise 9.3 comble modèle 12
pour direction
Clause 10 : amélioration
Q21 Un écart constaté donne-t-il lieu à une correction, une recherche de cause et une
vérification que l'action a marché ?
vise 10.1, 10.2 comble modèle 13
pour référent
A.2 et A.3 : politique et organisation
Q22 La politique IA renvoie-t-elle aux politiques sécurité, données personnelles et achats,
et est-elle revue quand quelque chose change ?
vise A.2.3, A.2.4 comble modèle 2
pour référent, juridique
Q23 Un salarié qui doute d'un usage de l'IA sait-il à qui le dire, sans crainte ?
vise A.3.3 comble modèle 2 (§ 8)
pour RH
A.4 : ressources
Q24 Pour chaque système, savez-vous de quels données, outils, moyens de calcul et
compétences il dépend ?
vise A.4.2 à A.4.6 comble modèles 5, 8
pour DSI, data
A.5 : impacts
Q25 Avez-vous un processus écrit d'évaluation d'impact, et ses résultats sont-ils conservés ?
vise A.5.2, A.5.3 comble modèle 4
pour juridique, référent
Q26 Vérifiez-vous qu'un système ne traite pas moins bien un groupe de personnes ?
vise A.5.4 comble modèle 4
pour data, métier
Q27 Avez-vous regardé l'effet de vos systèmes au-delà des utilisateurs : emploi,
environnement, société ?
vise A.5.5 comble modèle 4
pour direction
A.6 : cycle de vie
Q28 Avez-vous des règles écrites pour concevoir un système de façon responsable (objectifs,
étapes, validations) ?
vise A.6.1.2, A.6.1.3 comble modèle 8
pour data
Q29 Les exigences d'un système (performance, équité, sécurité) sont-elles écrites avant le
développement ou l'achat ?
vise A.6.2.2 comble modèle 8
pour métier, data
Q30 Un système est-il testé contre des critères chiffrés avant sa mise en service ?
vise A.6.2.4, A.6.2.5 comble modèles 7, 8
pour data, DSI
Q31 En production, suivez-vous la dérive et conservez-vous les entrées et sorties du modèle ?
vise A.6.2.6, A.6.2.8 comble modèles 7, 8
pour data
Q32 La documentation de conception et la documentation technique sont-elles à jour ?
vise A.6.2.3, A.6.2.7 comble modèle 8
pour data
A.7 : données
Q33 Savez-vous d'où viennent vos données et sous quelle licence ?
vise A.7.3, A.7.5 comble modèle 9
pour data, juridique
Q34 La qualité et la préparation des données (nettoyage, annotation) suivent-elles des
règles écrites ?
vise A.7.2, A.7.4, A.7.6 comble modèle 9
pour data
A.8 : information des parties
Q35 Les utilisateurs savent-ils qu'ils ont affaire à une IA, et ce qu'elle sait ou ne sait
pas faire ?
vise A.8.2, A.8.5 comble modèle 8
pour métier
Q36 Un incident d'IA a-t-il une procédure (qui prévenir, en combien de temps), et
a-t-elle été testée ?
vise A.8.3, A.8.4 comble modèle 11
pour DSI, juridique
A.9 : utilisation
Q37 Avez-vous une liste des outils d'IA permis par niveau de données, et l'usage prévu de
chaque système ?
vise A.9.2, A.9.4 comble modèles 2, 8
pour DSI, référent
Q38 Avez-vous des objectifs d'usage responsable (contrôle humain, part des décisions
revues) ?
vise A.9.3 comble modèle 7
pour métier
A.10 : tiers et clients
Q39 Vos contrats avec les fournisseurs d'IA disent-ils qui répond de quoi (données,
incidents, versions) ?
vise A.10.2, A.10.3 comble modèle 10
pour juridique, DSI
Q40 Vos prestataires utilisent-ils l'IA sur vos données, et selon quelles règles ? Vos
clients savent-ils comment vous l'utilisez pour eux ?
vise A.10.3, A.10.4 comble modèle 10
pour juridique, métier
Résultat
Rubrique score Rubrique score
clause 4 A.2, A.3
clause 5 A.4
clause 6 A.5
clause 7 A.6
clause 8 A.7
clause 9 A.8
clause 10 A.9
A.10
Écarts prioritaires 5 questions, avec le modèle à ouvrir
Suite diagnostic : le consultant vérifie les preuves question par question
Exemple rempli : mutuelle fictive
Organisation mutuelle régionale, 1 200 salariés
Rempli par référent IA (direction des risques), avec le DSI
Date septembre 2026, un mois avant le diagnostic
Systèmes IA concernés tri des sinistres, chatbot adhérents, détection de fraude
Rôle principal développe (tri, fraude), utilise (chatbot)
Réponses (déclaré, retenu, preuve) :
Q01 2 2 note au comité de direction 2025 sur les usages de l'IA
Q02 1 1 aucune
Q03 2 2 tableau DSI : tri et fraude développés en interne, chatbot acheté
Q04 0 0 aucune
Q05 2 2 CMDB, sans les outils grand public
Q06 3 2 aucune à montrer : charte rédigée par la DSI, non signée
Q07 3 3 RACI des trois systèmes
Q08 1 1 grille de risques 27001, sans risque propre à l'IA
Q09 1 1 aucune
Q10 0 0 aucune
Q11 1 1 test de biais ponctuel sur le tri des sinistres
Q12 0 0 aucune
Q13 3 3 comité de mise en production, comptes rendus
Q14 1 1 aucune
Q15 3 2 aucune à montrer : « tout le monde connaît la charte »
Q16 2 2 espace documentaire DSI, versions non tenues
Q17 0 0 aucune
Q18 1 1 tableau de bord de performance de la fraude
Q19 0 0 aucune
Q20 1 1 point IA en comité de direction, sans compte rendu
Q21 2 2 registre des non-conformités 27001
Q22 1 1 aucune
Q23 1 1 canal éthique RH, l'IA n'y figure pas
Q24 2 2 CMDB, outils de l'équipe data suivis
Q25 0 0 aucune
Q26 1 1 test de biais 2025
Q27 0 0 aucune
Q28 3 3 cycle de développement sécurisé 27001 étendu à l'IA
Q29 2 2 spécifications fonctionnelles, sans exigence d'équité
Q30 3 3 comité de mise en production, tests de performance
Q31 3 2 aucune à montrer : « l'équipe data surveille »
Q32 2 2 fiche modèle pour 1 système sur 3
Q33 1 1 aucune
Q34 2 2 scripts de préparation versionnés
Q35 1 1 aucune ; le chatbot ne dit pas qu'il est une IA
Q36 2 2 réclamations IA qualifiées ; plan de crise cyber sans scénario IA
Q37 1 1 aucune
Q38 1 1 aucune
Q39 2 2 questionnaire fournisseurs 27001, sans volet IA
Q40 1 1 aucune
Résultat :
Rubrique score Rubrique score
clause 4 1,4 A.2, A.3 1,0
clause 5 2,5 A.4 2,0
clause 6 1,0 A.5 0,3
clause 7 1,7 A.6 2,4
clause 8 0,0 A.7 1,5
clause 9 0,7 A.8 1,5
clause 10 2,0 A.9 1,0
A.10 1,5
Écarts prioritaires (7 questions à 0, les 5 des clauses retenues) :
Q04 périmètre non écrit modèle 1
Q10 pas de déclaration d'applicabilité modèle 6
Q12 pas d'objectifs IA modèle 7
Q17 appréciations jamais refaites modèles 3, 4
Q19 pas d'audit interne programmé modèle 12
puis Q25, Q27 : évaluation d'impact absente modèle 4
Ce que le diagnostic a trouvé ensuite sur les trois réponses ramenées à 2 :
Q06 A.2.2 au niveau 1 : charte jamais validée par la direction
Q15 aucune session de sensibilisation tenue, aucun émargement
Q31 A.6.2.6 au niveau 1, A.6.2.8 au niveau 2 : aucun suivi de dérive
La règle « pas de preuve, niveau 2 au plus » a limité la surestimation sans la supprimer : le diagnostic reste nécessaire avant de chiffrer un plan d'action.