Réponse en bref
Le cas FT-06 applique un agent IA au processus « Audit interne, planification et collecte de preuve ». L’agent propose le périmètre d’audit, génère les demandes de preuve contextualisées, route, relance, identifie les changements réglementaires affectant les contrôles. Le corpus documente un déploiement chez Diligent AuditAI, client nommé Crown Castle et retient une autonomie cible N3, avec le contrôle suivant : l’auditeur garde les décisions clés ; l’opinion d’audit n’est jamais générée.
Ce qui est effectivement documenté
Le corpus classe ce cas comme déployé et chiffré. Cette qualification porte sur l’existence d’un déploiement public et d’un résultat quantifié dans la preuve recensée ; elle ne signifie pas que tous les paramètres économiques sont publics.
Séparation des faits : le statut décrit la preuve publique recensée. Les gains de coût et de délai ci-dessous sont des notations ordinales de l’étude Acadewie, pas des résultats financiers attribués à l’organisation citée.
Comment fonctionne l’agent
Le dispositif s’appuie sur documents internes, règles de contrôle, tickets, journaux techniques et référentiels de gouvernance. Son rôle doit être décrit par des actions vérifiables et non par une promesse générale d’autonomie.
Le processus « Audit interne, planification et collecte de preuve » dépend d’une collecte, d’une analyse et d’une coordination humaines qui allongent le délai et rendent les reprises difficiles à mesurer.
Propose le périmètre d’audit, génère les demandes de preuve contextualisées, route, relance, identifie les changements réglementaires affectant les contrôles.
L’auditeur garde les décisions clés ; l’opinion d’audit n’est jamais générée.
La règle de conception est de attribuer chaque agent à un propriétaire humain, un périmètre, des droits et des critères d’arrêt. Chaque action doit produire une trace exploitable : données consultées, règle appliquée, sortie proposée, validation et éventuelle correction.
Autonomie et contrôle humain
L’autonomie devient acceptable dans un périmètre fermé, avec seuils, droits limités, journalisation et retour automatique vers un humain.
Contrôle retenu pour ce cas : L’auditeur garde les décisions clés ; l’opinion d’audit n’est jamais générée. Ce contrôle doit être défini comme une opération réelle, avec un responsable, un délai et un pouvoir d’arrêt, pas comme une simple mention dans la gouvernance.
Conditions minimales de passage en production
- Limiter les droits de l’agent aux systèmes et opérations nécessaires au cas FT-06.
- Tester les exceptions, les données incomplètes et les tentatives d’action hors périmètre.
- Mesurer les corrections humaines et suspendre l’agent lorsque leur fréquence dépasse le seuil convenu.
- Conserver une piste d’audit reliant chaque sortie aux données et règles utilisées.
Valeur attendue et indicateurs
Le potentiel se situe à la fois dans la compression du délai et dans la réduction du travail répétitif. Le business case doit toutefois convertir le temps libéré en capacité réellement réaffectée.
Les quatre indicateurs à suivre pendant le pilote
- Temps de préparation d’audit
- Preuves reçues dans les délais
- Contrôles affectés correctement identifiés
- Constats modifiés par l’auditeur
Le calcul économique doit partir d’une unité de travail observable : un dossier, une alerte, un appel, un contrat ou une remise. Le volume, le temps humain avant et après, le coût d’erreur et la capacité réellement réaffectée permettent ensuite de construire un ROI défendable.
Risques et cadre réglementaire
Cadre identifié : Normes IIA ; troisième ligne de défense ; attentes de supervision sur l’auditabilité.
Le scénario d’échec à éviter est une action non autorisée, une preuve insuffisante ou une dérive silencieuse du périmètre. La maîtrise ne repose donc pas uniquement sur le modèle : elle combine qualité des données, limites d’outils, séparation des droits, tests de non-régression et supervision humaine.
- Documenter la finalité, le propriétaire et les données autorisées avant l’ouverture des accès.
- Vérifier que l’explication fournie permet réellement au contrôleur humain de contester la sortie.
- Prévoir un mode dégradé et une reprise manuelle lorsque la source, l’outil ou le modèle est indisponible.
- Réexaminer le classement réglementaire lorsque le périmètre ou l’autonomie augmente.
Passer du cas d’usage au pilote
La difficulté est intermédiaire. La technologie est accessible, mais les droits d’action, les exceptions et la preuve de contrôle doivent être conçus avant le pilote.
Lecture Acadewie
Ce cas mérite l’attention parce qu’il relie une tâche précise, un niveau d’autonomie et un contrôle humain vérifiable. Sa transférabilité dépend moins d’une démonstration spectaculaire que de la capacité à reproduire les mêmes droits, données, seuils et responsabilités dans une autre institution.
La décision de lancement doit donc répondre à trois questions : l’agent traite-t-il un volume suffisant, son erreur peut-elle être détectée avant de produire un effet irréversible, et le temps libéré sera-t-il réellement réaffecté ? Si l’une de ces réponses manque, le cas reste intéressant mais le business case n’est pas encore fermé.
Source et méthode
Fiche publiée le 8 septembre 2026 à partir du registre Acadewie arrêté au 11 août 2026. Rédaction et analyse : Mounir Fassouane. Cette page distingue les faits publics, les notations de l’étude et les recommandations de déploiement.