Le faux débat "interne vs externe"
Le réflexe TPE-PME est souvent : "on va faire ça en interne, c'est gratuit". Faux. Faire en interne a un coût réel, juste invisible : jours hommes mobilisés sur autre chose, perte de productivité, risque de mauvaise interprétation, retravail. Voici comment décider sereinement.
Quand l'audit interne est faisable
L'audit AI Act en interne est possible si vous cumulez ces 4 conditions :
- Vous avez un DPO actif (interne ou mutualisé externe) qui a déjà fait le boulot RGPD et qui se forme à l'AI Act.
- Vous avez un référent technique IA dans l'entreprise qui comprend la stack (chatbots, n8n, agents, modèles utilisés). Souvent un dev ou un product manager curieux.
- Vous avez 5 à 15 jours hommes à mobiliser sur le sujet, étalés sur 2-3 mois. C'est le coût souvent oublié.
- Vous n'avez pas de système haut risque (Annex III). Si vous en avez, le DPIA technique exige une expertise plus pointue, mieux externalisée.
Si ces 4 conditions sont remplies, vous pouvez faire un audit AI Act interne tout à fait correct, en utilisant des ressources gratuites comme :
- Notre template de registre AI Act interactif.
- Notre calculateur de risque AI Act (10 questions).
- Notre checklist 35 points conformité IA Act.
- Le guide officiel de la Commission Européenne.
Quand l'externe est plus rentable
L'audit externe est presque toujours plus rentable si vous êtes dans au moins une de ces situations :
- Pas de DPO actif ou DPO uniquement juridique sans expertise technique.
- Au moins un système haut risque (RH automatisé, scoring crédit, biométrie). La DPIA technique exige une compétence rare en interne.
- Besoin défensif : préparation à un contrôle CNIL, demande client B2B de prouver la conformité, anticipation d'un contentieux RH.
- Pas de bande passante : votre équipe est mobilisée sur des projets prioritaires (commercial, dev produit). Ouvrir un chantier interne de 5-15 jours hommes va décaler ces projets.
- Maturité IA récente : vous venez de déployer ChatGPT à grande échelle, Copilot, des agents. Votre stack n'est pas encore stabilisée, un œil externe expérimenté évite des erreurs de débutant.
Le coût caché de l'interne
Faisons les comptes pour une PME 30 personnes qui décide de faire l'audit en interne :
- DPO mobilisé 5 jours : 5 × 600 € = 3 000 €.
- Référent technique mobilisé 6 jours : 6 × 600 € = 3 600 €.
- Entretiens 4 personnes-clés × 2h chacune = 8h équipe à 80 €/h = 640 €.
- Restitution CODIR 1h × 5 personnes = 5h à 100 €/h = 500 €.
- Outil SaaS de gestion (Saidot ou similaire) : 6 mois × 800 € = 4 800 € (souvent acheté "pour faire propre").
- Sous-total interne brut : ~12 500 € en jours hommes valorisés.
Plus les coûts cachés :
- Risque d'erreur de classification (mauvaise compréhension Annex III) : 5 à 15 jours de retravail si CNIL ou audit client détecte le problème.
- Délai allongé : 2-3 mois interne vs 3-5 semaines externe (donc retard sur la conformité, fenêtre de risque ouverte plus longtemps).
- Pas de "signature externe" : moins défensif en cas de contestation client B2B ("on a fait notre audit nous-même" vs "audit externe par un tiers indépendant").
Comparé à un Audit Standard externe à 6 000 € HT, l'interne coûte 2x plus cher en réalité tout en étant moins défensif.
La combinaison optimale
Pour beaucoup de PME, le meilleur ratio coût/efficacité est :
- Audit externe initial (1 500 à 10 500 € HT selon taille) : un cabinet technique fait l'inventaire, la classification, le plan d'action chiffré, les premiers livrables.
- Maintenance interne en cours d'année : votre référent met à jour le registre quand vous déployez de nouveaux systèmes, en suivant le plan d'action et les templates fournis.
- Renouvellement annuel léger (50 % du tarif initial) : le cabinet revient une fois par an valider les mises à jour et ajuster la classification.
Vous gardez le contrôle (l'expertise reste en interne après le premier audit) tout en bénéficiant d'un démarrage propre et d'une garantie de qualité externe.
Grille de décision rapide
| Votre situation | Recommandation |
|---|---|
| TPE 5-15 pers, peu d'IA, pas de DPO | Diagnostic Express externe (1 500 €). Trop léger pour mobiliser un projet interne. |
| PME 15-50 pers, DPO actif, pas de haut risque | Possible en interne avec nos templates gratuits. Si pas de bande passante : Audit Standard externe. |
| PME 15-50 pers, pas de DPO ou DPO juridique pur | Audit Standard externe (6 000 €). Trop coûteux à monter en compétence interne juste pour ça. |
| PME 50-100 pers + système haut risque (RH auto, scoring) | Audit Complet externe (10 500 €). DPIA technique trop spécifique pour faire en interne. |
| Anticipation contrôle CNIL ou demande client B2B | Toujours externe (signature tiers indépendant nécessaire pour défensibilité). |
Les 3 erreurs les plus fréquentes
- "On va faire en interne sans valoriser le temps". Vous oubliez que les jours hommes ont un coût d'opportunité (votre DPO ne fait pas son boulot RGPD pendant qu'il fait l'AI Act).
- "On va acheter un SaaS et c'est réglé". Les outils Saidot, Holistic AI, Comply.AI sont excellents pour automatiser, mais ils ne font pas l'audit pour vous. Vous devez quand même inventorier, classifier, rédiger.
- "On va prendre un avocat à 25 000 €". L'avocat fait du juridique pur, pas de l'inventaire technique. Pour la majorité des PME, vous payez 4x le prix pour quelque chose de moins opérationnel.
Notre page audit avec 3 forfaits publics détaille les options. Pour décider : audit gratuit 45 min qui qualifie votre besoin réel.