Chaque année, VivaTech offre une photographie particulièrement intéressante de la maturité digitale des organisations. Au-delà des annonces technologiques, ce salon constitue un observatoire privilégié des préoccupations des dirigeants, des priorités d’investissement et des défis auxquels sont confrontées les entreprises qui accélèrent leur transformation autour du digital.
En tant qu’auditrice interne, formatrice, certificatrice Ifaci et spécialiste des risques data et IA, j’aborde donc chaque édition avec une grille de lecture assez simple : Quels sont les sujets qui reviennent dans les échanges entre dirigeants ? Quels nouveaux risques émergents ? Quelles pratiques commencent à se diffuser chez les organisations les plus avancées ? Et surtout, quelles conséquences pour les fonctions chargées d’apporter une assurance sur la maîtrise de ces transformations ?
Les discussions de cette 10 ème édition étaient centrées sur une question stratégique: comment déployer ces innovations à grande échelle tout en conservant la maîtrise des risques, des coûts, des dépendances et de la création de valeur ?
Voici les principaux enseignements que je retiens de cette édition pour les risk manager, les auditeurs internes et les contrôleurs internes.
La confiance devient un véritable enjeu de gouvernance
Le mot qui est revenu le plus souvent dans les conférences est sans doute Trust.
Avec le développement des agents IA autonomes capables d’interagir avec plusieurs applications, d’orchestrer des tâches complexes ou de prendre certaines décisions, la question n’est plus uniquement de savoir si une IA est performante. Les organisations cherchent désormais à démontrer qu’elle reste maîtrisée dans le temps.
Les discussions ont largement porté sur la supervision humaine, la transparence, les preuves de fonctionnement, le monitoring continu ou encore l’observabilité, c’est-à-dire la capacité à suivre en permanence le comportement des systèmes en production.
Pour les fonctions Audit et Contrôle interne, cette évolution est majeure. Les approches fondées sur des contrôles ponctuels devront progressivement être complétées par davantage d’audit continu, d’indicateurs en temps réel et de preuves automatisées.
La souveraineté technologique devient un sujet stratégique
Autre thème très présent cette année : la souveraineté numérique.
Les tensions géopolitiques récentes rappellent que le choix d’un fournisseur technologique n’est plus seulement une décision informatique ; il devient un choix stratégique. Les débats ont porté sur la dépendance à certains acteurs, l’hébergement des données, les alternatives européennes ou encore l’importance de conserver une capacité de réversibilité.
Les entreprises cherchent désormais à diversifier leurs partenaires, à mieux maîtriser leurs dépendances et à préserver leur autonomie stratégique. Ces sujets concernent directement les dispositifs de gestion des risques (dont la revue de l’appétence aux risques, les critères de sélection des tiers et les politiques qui en découlent) et méritent une attention croissante des auditeurs internes au-delà des enjeux de continuité d’activité et de résilience classiques.
L’innovation passe par des fondations solides – quand la data se rappelle à vous
Un autre constat m’a particulièrement interpellée : de nombreuses organisations reconnaissent avoir lancé des projets d’IA avant d’avoir consolidé leurs fondations data.
La qualité des données, leur gouvernance, les référentiels ou encore l’architecture des systèmes d’information reviennent ainsi au premier plan. Les agents autonomes amplifient encore davantage cette problématique : une donnée erronée peut désormais se propager à plusieurs processus et produire des effets en cascade.
Le message est clair : il n’y aura pas d’IA fiable sans données fiables. C’est un sujet qui doit figurer sur les plans d’audit des organisations car il concerne aussi la fiabilité du reporting et des prises de décisions.
Le défi n’est plus d’expérimenter mais de passer à l’échelle
Les entreprises déjà engagées dans leur transformation ne parlent plus de quelques pilotes ou de preuves de concept. Elles présentent désormais des centaines de cas d’usage en production, des milliers d’utilisateurs et des programmes de transformation à grande échelle.
Cette industrialisation soulève de nouvelles questions : comment mesurer la valeur créée ? Comment accompagner les métiers ? Comment maintenir un niveau de contrôle suffisant tout en accélérant les déploiements ?
L’EU AI Act constitue un socle réglementaire indispensable, mais il doit être complété par d’autres cadres de référence. Un retour d’expérience de Microsoft sur leur gouvernance de l’IA, soulignait qu’aucun référentiel ne répondait à lui seul à ces enjeux et qu’il fallait en combiner plusieurs afin de couvrir tous les enjeux (gestion des risques IA, gouvernance, sécurité, cadre de développement d’IA de confiance). L’enjeu pour les métiers GRC est donc d’accompagner dans la construction d’un référentiel adapté à l’organisation.
De nouveaux risques émergent
Cette accélération technologique fait apparaître de nouveaux risques qui dépassent largement la seule conformité réglementaire autour du digital (RGPD, EU AI Act, NIST, DORA etc.).
Le Shadow AI progresse rapidement, avec des usages parfois invisibles pour les fonctions de contrôle. Les risques cyber évoluent également : l’IA devient à la fois un outil pour les attaquants et un levier de défense pour les organisations. Les premiers travaux autour de l’informatique quantique rappellent enfin que certaines menaces devront être anticipées dès aujourd’hui.
D’autres enjeux commencent également à émerger, comme l’empreinte énergétique des systèmes d’IA ou encore le risque de perte progressive de certaines compétences lorsque les collaborateurs délèguent une part croissante de leurs activités à des assistants intelligents.
Quels enseignements pour l’audit interne ?
Les fonctions Risques, Contrôle interne, Compliance et Audit ont tout intérêt à intervenir dès maintenant, sans attendre que les roadmaps et dispositifs soient totalement stabilisés.
Comme pour le RGPD ou DORA, attendre que les organisations aient atteint leur maturité pour auditer le sujet reviendrait à manquer une partie du rôle de “business partner”. Les nouvelles Normes IIA 2024 encouragent d’ailleurs les auditeurs à intervenir plus en amont des transformations.
Les prochaines missions devront porter autant sur les dispositifs de gouvernance que sur les technologies elles-mêmes : les nouvelles chaînes de décision, la qualité des données, les dépendances technologiques, l’évolution des métiers, la création de valeur ou encore la capacité de l’organisation à accompagner le changement.
Les thèmes de VivaTech 2026 traduisent une prise de conscience plus profonde des organisations au-delà de la conformité : à mesure que les technologies passent à l’échelle, les enjeux deviennent avant tout des enjeux de gouvernance, de maîtrise des risques, de souveraineté et de transformation des organisations. Autant de sujets qui dépassent largement le seul cadre de la Direction des SI et qui concernent directement les fonctions Audit, Risques et Contrôle interne. C’est précisément sur ces sujets que l’audit interne et le contrôle interne peuvent apporter une valeur différenciante.
Par Alice Boisson