L’AICPA, l’association professionnelle américaine des experts-comptables, a publié le 28 octobre 2026 un projet de Trust Services Criteria révisés. Ces critères constituent la base de tout rapport SOC 2. Le projet réorganise les critères et ajoute des points d’audit relatifs à l’intelligence artificielle. Les commentaires sont possibles jusqu’au 15 janvier 2027. S’ils sont adoptés, les critères s’appliqueront aux audits dont la période commence le 31 décembre 2027 ou après.
Qu’est-ce que SOC 2
Un rapport SOC 2 est le résultat d’un audit réalisé par un auditeur indépendant. Il atteste de la manière dont un prestataire garantit la sécurité et la disponibilité de ses systèmes ainsi que la confidentialité et l’intégrité des données traitées. Le type 1 évalue la conception des contrôles à une date donnée, le type 2 évalue en plus leur efficacité sur une période.
SOC 2 vient des États-Unis, mais il est depuis longtemps demandé en Europe aussi. Ce sont surtout les éditeurs de logiciels et les services cloud vendant à des entreprises américaines qui y sont confrontés dans les appels d’offres et les évaluations fournisseurs. Il n’existe pas de certificat au sens des normes ISO, mais un rapport que le client reçoit sous confidentialité.
Ce qui doit changer
Les critères actuels datent de 2017, les points d’audit explicatifs ont été révisés en 2022. Le nouveau projet conserve les cinq domaines connus : sécurité, disponibilité, intégrité du traitement, confidentialité et protection des données. Mais il les remanie nettement. Selon l’AICPA, les critères qui se recoupent sont fusionnés, certains critères supprimés, d’autres complétés pour clarification et les formulations existantes réécrites afin que leur objectif soit plus facile à saisir. Le but est de rendre les rapports SOC 2 plus compréhensibles et plus exploitables pour leurs lecteurs.
Si vous disposez aujourd’hui d’un rapport SOC 2, attendez-vous donc à ce que la correspondance entre vos contrôles et les critères change. Cela concerne surtout la documentation, pas nécessairement les mesures elles-mêmes.
Nouveaux points d’audit sur l’IA
Les points d’audit relatifs à l’intelligence artificielle et à d’autres technologies émergentes sont nouveaux. Le projet cite notamment :
- le pilotage et la responsabilité des systèmes d’IA dans l’entreprise,
- la surveillance continue des modèles,
- la protection contre les entrées manipulées,
- la protection contre les données d’entraînement empoisonnées,
- la traçabilité des résultats générés par une IA,
- la gestion des données d’entraînement,
- les risques liés aux décisions automatisées.
Les points d’audit ne sont pas des critères obligatoires supplémentaires. Ils aident les entreprises et les auditeurs à évaluer si un critère est rempli. Si vous utilisez l’IA dans votre produit ou vos processus internes, vous devrez toutefois expliquer ces sujets lors de l’audit.
Calendrier
| Étape | Date |
|---|---|
| Publication du projet | 28 octobre 2026 |
| Fin de la période de commentaires | 15 janvier 2027 |
| Application après adoption | Audits à partir du 31 décembre 2027 |
Le projet autorise une application anticipée des nouveaux critères. Jusqu’à leur adoption, les critères de 2017 avec les points d’audit de 2022 restent applicables. Il n’est pas certain que le contenu ou les dates changent après la consultation.
Lien avec ISO 42001 et l’EU AI Act
Les nouveaux points d’audit sur l’IA recoupent largement ce qu’exige ISO 42001 pour un système de management de l’intelligence artificielle : responsabilités, évaluation des risques, gestion des données et surveillance en exploitation. En mettant en place un système de management de l’IA selon ISO 42001 ou en vous préparant aux obligations de l’EU AI Act, vous produisez des preuves également utiles pour l’audit SOC 2. À l’inverse, un rapport SOC 2 ne remplace ni une certification ISO 42001 ni le respect des obligations légales.
Ce que cela signifie pour vous
Pour les audits SOC 2 en cours, rien ne change pour l’instant. Mais si vous planifiez votre période d’audit pour 2028, intégrez dès maintenant les nouveaux critères :
- Lisez le projet et comparez-le à votre correspondance actuelle entre contrôles et critères.
- Recensez où vous utilisez l’IA, dans votre produit comme dans vos processus internes, et qui en est responsable.
- Définissez comment vous surveillez les modèles et gérez les données d’entraînement, et documentez-le.
- Discutez tôt avec votre auditeur de l’intérêt d’une application anticipée.
- Profitez de la période de commentaires si certains points ne sont pas clairs pour votre modèle d’affaires.
Sightadel vous guide contrôle par contrôle à travers SOC 2 dans une évaluation guidée, consigne les tâches dans des plans d’action et range les preuves dans la Bibliothèque de preuves, à laquelle votre auditeur peut accéder en lecture. Pour en savoir plus, consultez la page SOC 2 et la page ISO 42001. Vous pouvez tester la plateforme gratuitement pendant 14 jours.
État : 5 novembre 2026 · Ceci n’est pas un conseil juridique. Seule la norme ou la loi dans sa version en vigueur fait foi.
