Demandez au dirigeant d'un petit cabinet d'expertise comptable si son équipe utilise des outils d'IA, et la plupart répondront « un peu, de façon informelle ». Demandez s'ils disposent d'une politique IA écrite, et la pièce devient généralement silencieuse. Cet écart est plus important qu'il n'y paraît. Les données sectorielles récentes situent l'adoption de l'IA dans les cabinets comptables et d'expertise comptable à 73 %, soit une hausse de 340 % par rapport aux niveaux de 2022 — pourtant, selon le rapport Karbon sur l'état de l'IA en comptabilité, seulement 37 % des cabinets ont investi dans une quelconque formation IA formelle. La majeure partie de cette croissance s'est produite sans aucune couche de gouvernance en dessous.
Ce décalage est exactement ce que l'article de juillet 2026 du Journal of Accountancy sur la rédaction d'une politique IA cherche à combler. Il s'adresse largement aux cabinets d'expertise comptable de toutes tailles, mais ses conseils touchent le plus durement les cabinets petits et moyens — ceux qui ont le moins de chances d'avoir un service de conformité, et le plus de chances d'avoir un praticien solo ou une équipe de deux personnes expérimentant discrètement avec ChatGPT entre deux appels clients.
Le vrai risque n'est pas l'IA, c'est le silence
Voici la partie inconfortable : votre cabinet n'a pas besoin d'avoir « adopté l'IA » pour avoir un problème de risque lié à l'IA. Si ne serait-ce qu'un seul membre du personnel a déjà collé la balance de vérification d'un client dans un chatbot pour obtenir un second avis sur une écriture comptable, vous avez déjà une exposition — qu'il existe ou non une politique en place.
C'est ce qu'on appelle souvent l'« IA fantôme » (shadow AI) : une utilisation d'outils qui se produit en dehors de toute liste approuvée, en dehors de tout contrat, et en dehors de la connaissance de quiconque. Ce n'est pas hypothétique. Une étude de sécurité récente a révélé qu'environ 34,8 % des invites (prompts) ChatGPT des employés contiennent désormais des données d'entreprise sensibles, contre seulement 11 % en 2023. Dans le domaine comptable en particulier, cela signifie que des chiffres de revenus clients, des états de flux de trésorerie et des documents fiscaux se retrouvent dans un système tiers que le cabinet n'a jamais évalué, avec lequel il n'a jamais contracté, et qu'il ne peut pas auditer.
L'exposition juridique n'est pas non plus abstraite. Lorsqu'un employé saisit des données financières d'un client dans un compte IA personnel, ces données sont transmises à un tiers et stockées par lui, en dehors de tout accord client existant — ce qui peut répondre à la définition juridique d'une violation de données et déclencher des obligations de notification en vertu de la loi de l'État. Pour un cabinet lié par la règle de l'AICPA sur les informations confidentielles des clients (section 1.700.001 du Code de conduite professionnelle), ce n'est pas un détail mineur. C'est la même règle qui régit la question de savoir si vous pouvez discuter des finances d'un client avec quelqu'un en dehors de la mission — et elle s'applique aux outils IA exactement de la même façon qu'à une conversation bavarde lors d'un événement de réseautage.
Ce que couvre réellement une véritable politique IA
Les recommandations du Journal of Accountancy découpent une politique utilisable en huit blocs de construction : portée et objectif, structure de gouvernance, confidentialité des données, contrôles de qualité et de précision, protocoles de documentation, évaluation des biais, transparence envers les clients et règles d'utilisation acceptable. C'est beaucoup à traiter d'un coup pour un cabinet de cinq personnes, il vaut donc la peine de se concentrer sur les trois qui offrent la plus grande protection.
1. Documentez le prompt, le résultat, et qui l'a vérifié
Les recommandations sont directes à ce sujet : « Si ce n'est pas documenté, ça ne s'est pas produit. » Ce n'est pas une nouvelle norme pour les experts-comptables — c'est la même logique qui régit les feuilles de travail et les dossiers de mission — mais elle doit désormais s'étendre à l'IA. Lorsqu'un membre du personnel utilise un outil IA pour rédiger une note client, rechercher une question technique ou résumer un document, le cabinet doit pouvoir démontrer :
- Quel prompt a été utilisé
- Ce que l'outil a renvoyé
- Qui a vérifié le résultat, et comment
Cet enregistrement doit figurer dans le dossier client, aux côtés de toute autre documentation d'outil tiers — pas dans un fil de discussion Slack qui disparaît après 90 jours.
2. Exigez une relecture humaine avant que quoi que ce soit n'atteigne un client
Voici la ligne qui devrait être affichée au-dessus de chaque poste de travail : l'IA ne doit pas être utilisée pour prendre, finaliser ou appuyer des décisions liées aux services clients sans une relecture humaine approfondie, conformément aux politiques de supervision existantes du cabinet. En pratique, cela signifie que les recherches, explications techniques ou citations générées par l'IA doivent être vérifiées directement par rapport aux sources primaires — le Code des impôts fédéral, les règlements du Trésor, les normes FASB — et non acceptées parce que la réponse semblait sûre d'elle. Les outils d'IA générative sont bien connus pour produire des citations plausibles qui n'existent en réalité pas ; un membre du personnel qui ne confirme pas indépendamment une section de code citée avant qu'elle ne figure dans une lettre au client a manqué tout l'intérêt du jugement professionnel.
3. Sachez exactement ce qu'il advient des données que vous saisissez
Avant que tout outil ne traite des informations clients, quelqu'un au sein du cabinet doit répondre à quatre questions à ce sujet : Où les données sont-elles stockées ? Qui peut y accéder ? Sont-elles anonymisées ? Servent-elles à entraîner le modèle ? Si la réponse à l'une de ces questions n'est pas claire — et pour la plupart des outils IA grand public, elle ne le sera pas — la politique devrait tout simplement interdire de saisir des informations personnelles, confidentielles ou propriétaires dans cet outil. Les cabinets qui gèrent bien cela ne cherchent pas à surveiller chaque interaction individuelle ; ils maintiennent une liste d'outils approuvés et un processus léger permettant au personnel de demander des ajouts, traitant la gouvernance de l'IA comme une décision à l'échelle du cabinet plutôt qu'individuelle.
Les erreurs que les cabinets continuent de commettre
Quelques schémas reviennent sans cesse dans la façon dont les petits cabinets tombent dans le risque lié à l'IA, et aucun d'entre eux ne nécessite d'intention malveillante — seulement l'absence d'une politique.
Considérer « nous n'avons pas déployé l'IA » comme une protection. Un cabinet peut avoir zéro outil IA dans sa pile technologique officielle et pourtant avoir chaque membre du personnel utilisant un compte ChatGPT personnel sur son téléphone pendant les heures de travail. Les lacunes de politique n'attendent pas l'adoption officielle ; elles existent dès l'instant où un membre du personnel a accès à Internet et une échéance à respecter.
Supposer que les niveaux gratuit et payant se comportent de la même façon. De nombreux outils IA grand public utilisent par défaut les conversations du niveau gratuit pour entraîner leurs modèles sous-jacents, tandis que les niveaux payants ou entreprise incluent souvent des protections contractuelles des données. Un membre du personnel qui s'inscrit à un compte gratuit pour gagner du temps place fréquemment les données clients du cabinet dans un pipeline d'entraînement sans s'en rendre compte. C'est exactement pourquoi les quatre questions de traitement des données ci-dessus — stockage, accès, anonymisation, usage d'entraînement — doivent trouver une réponse par outil, et non être supposées une fois pour toutes puis oubliées.
Laisser « ça sonnait juste » remplacer la vérification. Les citations fiscales, les références à des sections de code et les résumés techniques générés par l'IA peuvent être parfaitement fluides et complètement faux. Un membre du personnel sous pression d'échéance est la personne la plus susceptible de sauter l'étape de vérification — c'est précisément pourquoi la politique doit énoncer l'exigence de relecture humaine comme une règle, et non comme une suggestion laissée au jugement individuel.
Aucune trace de ce qui a été demandé ou vérifié. Même les cabinets qui font bien les choses sur le fond négligent souvent la documentation. Si un client ou un régulateur demande plus tard comment un chiffre ou une recommandation particulière a été produit, « nous avons utilisé l'IA pour nous aider » n'est pas une réponse sans un enregistrement du prompt, du résultat, et de qui a donné son aval.
Une liste de contrôle de départ pour une politique de deux pages
Vous n'avez pas besoin d'un conseil juridique externe pour rédiger une première version. Une politique fonctionnelle pour un petit cabinet peut tenir sur une ou deux pages et couvrir :
- Une liste d'outils approuvés — nommez les produits IA spécifiques que le personnel peut utiliser pour le travail client, et un processus simple (même simplement « demander à l'associé ») pour en demander de nouveaux.
- Une règle de traitement des données — aucune information personnelle, confidentielle ou propriétaire d'un client ne doit être saisie dans un outil qui ne figure pas sur la liste approuvée.
- Une exigence de relecture humaine — aucun résultat d'IA n'est utilisé pour finaliser un travail client, un livrable ou un conseil sans relecture par un membre qualifié du personnel, consignée dans le dossier.
- Une règle de vérification des citations — toute référence générée par l'IA à une section de code, un règlement ou une norme doit être vérifiée par rapport à la source primaire avant d'être citée à un client ou utilisée dans un dépôt.
- Une habitude de documentation — où le personnel consigne le travail assisté par l'IA (un champ dans le système de gestion de cabinet, une note dans le dossier de mission — n'importe quoi de durable et de consultable).
- Une note de transparence envers le client — une ligne en langage clair dans les lettres de mission décrivant que le cabinet peut utiliser des outils IA dans le cadre de la prestation de services, sous réserve des garanties ci-dessus.
Rien de tout cela ne nécessite une refonte technologique. Cela nécessite de décider, par écrit, ce que le cabinet suppose déjà de manière informelle — et de s'assurer que chaque membre du personnel travaille à partir des mêmes hypothèses.
Les petits cabinets portent plus de ce risque, pas moins
Il est tentant de supposer que la gouvernance de l'IA est un « problème de grand cabinet » — quelque chose pour les cabinets nationaux dotés de responsables des risques dédiés. C'est plutôt le contraire qui est vrai. Les petits cabinets manquent généralement d'une fonction de conformité, s'appuient davantage sur des outils IA grand public à usage général plutôt que sur des produits d'entreprise vérifiés, et disposent de moins de redondance si le raccourci d'un membre du personnel se transforme en événement engageant leur responsabilité. Un cabinet de deux associés sans politique IA écrite s'en remet entièrement à des habitudes informelles pour protéger la confidentialité des clients — et les habitudes informelles ne tiennent pas bien lorsqu'un client demande, en cours de mission, exactement comment ses données ont été traitées.
La solution ne nécessite pas d'équipe juridique. Une politique d'une à deux pages qui nomme les outils approuvés, énonce l'exigence de relecture humaine en langage clair, et indique au personnel où consigner le travail assisté par l'IA couvre l'essentiel de l'exposition. Les éléments constitutifs ci-dessus forment une liste de contrôle de départ raisonnable ; ce qui compte le plus, c'est que quelque chose existe par écrit avant que le prochain membre du personnel ne se tourne vers un chatbot pour un dossier client.
Où la tenue des registres financiers s'inscrit dans tout cela
La gouvernance de l'IA et la tenue des registres financiers résolvent le même problème sous-jacent : s'assurer qu'il existe une piste claire et vérifiable derrière chaque chiffre et chaque décision. Un cabinet qui ne peut pas démontrer comment une réponse assistée par l'IA a été vérifiée a la même lacune qu'une entreprise qui ne peut pas démontrer comment une transaction a été catégorisée — tout se résume à savoir si la piste existe et si un humain l'a réellement examinée.
C'est le même principe qui sous-tend la comptabilité en texte brut. Beancount.io conserve vos registres financiers sous forme de texte lisible par l'humain et versionné, plutôt que sous forme d'entrées opaques dans une base de données — chaque modification a un historique visible, et rien ne se produit dans une boîte noire. Pour une profession de plus en plus préoccupée par l'explicabilité, ce type de transparence n'est pas un simple bonus. Commencez gratuitement et découvrez comment un grand livre entièrement auditable s'intègre dans un cabinet qui prend la documentation au sérieux.