Une société de données et d'IA a deux sortes de risques à contrôler. Les classiques, comme la facturation, les achats ou les rapprochements, et ceux qui viennent de son métier : des accès aux données des clients restés ouverts après un projet, des jeux de données jamais supprimés, des factures de calcul qui ne correspondent à aucun projet. Le contrôle comptable croise ici les engagements contractuels.

Ce qu'il fait chaque jour chez vous

Contrôler la facturation des jours saisisIl tire chaque mois un échantillon de projets et vérifie que les jours de conception saisis ont bien été facturés au taux prévu par le contrat ou l'avenant, y compris pour les missions sous obligation de moyens arrêtées en cours de route.
Vérifier la suppression des données en fin de projetPour les projets clos, il réclame l'attestation de suppression ou de restitution des données prévue au contrat de traitement, et consigne celles qui manquent.
Échantillonner les factures de calculIl prend des factures de calcul au hasard et suit chacune jusqu'au projet qui l'a consommée, pour mesurer la part qui n'a aucun rattachement.
Tester les droits d'accès aux plateformesIl compare la liste des comptes ouverts sur les plateformes de données aux personnes encore affectées aux projets, et relève les accès de consultants partis.
Suivre les écarts jusqu'à leur correctionChaque anomalie relevée part au responsable avec une date de correction, et il revient vérifier la correction au contrôle suivant au lieu de la croire sur parole.
Mesurer le taux d'anomalie par processusIl calcule chaque trimestre la part d'éléments en anomalie par point de contrôle et montre à la direction quels processus se dégradent.

Sur le terrain

Un projet clos dont les données dorment encore

Le contrôle de fin de trimestre porte sur cinq projets terminés. Pour l'un d'eux, une analyse de parcours patients, aucune attestation de suppression n'existe et le jeu de données d'entraînement est toujours sur l'espace de stockage. L'agent consigne l'écart, l'envoie au chef de projet et au délégué à la protection des données avec la clause du contrat concernée, et fixe une date de vérification à quinze jours.

Des données à peine masquées

En testant un échantillon de livrables, l'agent trouve un extrait de données client remis à un sous-traitant d'annotation avec une simple pseudonymisation, alors que le contrat exigeait des données anonymisées. Il ne qualifie pas la gravité lui-même : il documente l'extrait, la clause et la date de l'envoi, transmet le tout au délégué à la protection des données et au responsable du projet, et inscrit l'écart au plan de suivi.

Les mots qu'il emploie chaque jour

Pseudonymisation: Elle remplace les identifiants mais laisse des données personnelles ; seule une anonymisation véritable est irréversible.
Jeu de données d'entraînement: Les données qui servent à fabriquer le modèle : leur origine et leurs droits conditionnent tout ce qu'on pourra en faire.
Obligation de moyens: Un projet d'analyse promet rarement un résultat chiffré : ce qui s'engage est une démarche, des livrables et des critères d'évaluation.

Son métier de départ : Contrôleur comptable. Toute l'activité : Données et intelligence artificielle.