Faire auditer un site par une IA : ce qu’elle voit et ce qu’elle invente

Le site était prêt. Du moins c’est ce que je pensais ce matin du 3 août 2026. J’avais mis six articles en ligne et m’étais assuré que le socle technique était sain. Le positionnement était également clair. Mais par habitude, je fais vérifier mon travail par quelqu’un qui le découvre. J’ai donc demandé un audit de mon site à une IA avant d’ouvrir officiellement.

Le premier rapport m’a donné une note : 62/100. Le même rapport, relu et corrigé par la même IA, a abaissé la note à 55/100. Regardons un peu plus en détail ce qui s’est passé entre les deux notes.

Pourquoi j’ai demandé un audit avant d’ouvrir

Plusieurs raisons m’ont poussé à faire cet audit. La première est évidente : parler de cybersécurité et de conformité dans le monde de l’intelligence artificielle exige une certaine rigueur. Il me paraissait impensable d’ouvrir sans vérifier qu’il n’y avait pas de contradiction entre le discours et la réalité du site. Je cherchais également un regard extérieur, capable de lire vite tout en inspectant réellement le fond et la forme.

J’aurais pu demander à une autre personne de relire le site. L’IA présente toutefois un avantage : elle est disponible immédiatement, sa qualité d’analyse ne baisse pas à la dixième relecture, et elle peut répéter le même audit plusieurs fois en quelques minutes avec des consignes différentes. Cela ne remplace pas un regard humain, mais permet d’obtenir rapidement plusieurs lectures complémentaires.

Pour cela, j’ai donné trois consignes à l’IA :

• Adopter une posture d’auditeur externe missionné par un client
• Aucun intérêt à flatter
• Aucun intérêt à noircir

RÈGLE
Le meilleur résultat s’obtient lorsqu’on définit d’emblée un périmètre, une posture et un critère de décision.

Ce que l’audit a trouvé, et que je n’avais pas vu

L’audit a remonté plusieurs erreurs :

• Titre principal manquant. La balise H1 est le titre principal d’une page web, celui que les moteurs de recherche lisent comme le sujet de la page. Sur plusieurs articles, ce titre n’existait que gravé dans l’image de couverture. Pour un moteur de recherche comme pour un lecteur qui n’affiche pas les images, ces pages n’avaient pas de titre.
• Texte alternatif absent. L’attribut alt est la description textuelle associée à une image : elle s’affiche quand l’image ne se charge pas, et c’est elle que lit un logiciel pour malvoyant. Plusieurs images de couverture n’en avaient aucune. Sur ces articles, le titre n’existait donc sous aucune forme textuelle.
• Hiérarchie de titres incohérente. Une page web classe ses titres par niveaux, du plus important (H1) au plus secondaire (H6). Sur mes articles, des intertitres étaient déclarés en H5 alors qu’aucun niveau H2, H3 ou H4 ne les précédait. Un moteur de recherche ne peut alors plus reconstituer le plan de la page.
• Les mentions légales et la politique de confidentialité renvoyaient une erreur 404, c’est-à-dire une page introuvable.
• Une faille de sécurité sur la page de connexion.
• Absence de liens internes et de sources.

Aucune de ces erreurs n’était compliquée à résoudre. Pas même la faille de sécurité, importante mais corrigeable en quelques clics. Je ne les avais tout simplement pas vues, car je m’étais concentré sur le contenu et pas sur le contenant.

EN ENTREPRISE
Celui qui écrit les articles ne relit pas la structure. Celui qui installe et configure ne relit pas le texte. Personne ne relit l’ensemble.

Ce que l’IA a inventé

Le premier rapport annonçait 414 ms de chargement et 23 ko de page. Ces mesures avaient été faites sur un chargement déjà en cache, c’est-à-dire sur une page dont le navigateur avait gardé les éléments d’une visite précédente et n’avait donc pas eu à les retélécharger. En reprenant la mesure sans cache, en navigation privée, le temps de chargement bouge à peine : environ 400 ms. Le poids de la page, lui, passe de 23 ko à 445 ko, soit près de vingt fois plus. La conclusion restait bonne. L’ordre de grandeur était faux : le chiffre était flatteur parce qu’il avait été mesuré dans de mauvaises conditions.

Le rapport avançait aussi une affirmation invérifiée : « Aucun blog IA francophone grand public ne propose l’équivalent. » C’est flatteur, mais factuellement faux : je suis loin d’être le seul à parler d’IA sur le web.

Le rapport signalait par ailleurs une erreur qui n’existait pas. Selon lui, la liste d’articles de la page d’accueil était codée en dur, c’est-à-dire écrite manuellement dans le code et à reprendre à chaque publication. Ce n’est pas le cas : elle se met à jour seule.

La politique de confidentialité générée par IA était inexacte. Elle annonçait que le site utilise Matomo, un outil de mesure d’audience. Aucun outil de ce type n’est installé ni configuré. Le texte était bien rédigé et globalement conforme dans sa forme, mais faux sur ce qu’il décrivait.

Le document produit n’était pas véridique, il était plausible. Un modèle génère un texte cohérent avec ce qu’on lui demande, pas avec ce que le site fait réellement. Sur un texte juridique, cette différence devient un risque.

POINT D’ATTENTION
Une politique de confidentialité générée décrit ce qu’un site pourrait faire, pas ce que le vôtre fait. Sa vérification par un humain est un travail nécessaire avant publication.

La complaisance, ennemie de l’IA

Après cette première note de 62/100, j’ai demandé une relecture critique du rapport, en nommant explicitement les biais que j’avais identifiés chez l’auditeur. La note a été révisée à 55/100. Rien n’avait été corrigé sur le site : j’avais seulement changé la consigne. Le second rapport ne contredisait pas le premier, il répondait à une demande différente. Formulée comme une demande de validation, elle produit une lecture indulgente. Formulée comme une demande de contradiction, elle produit une note plus basse.

J’ai donc appliqué une contre-mesure. À chaque audit, je suis reparti de zéro et j’ai demandé de distinguer ce qui était « corrigé et vérifié » de ce qui était seulement « corrigé et déclaré ». J’ai répété le même audit plusieurs fois en ne modifiant que les consignes.

Par prudence, j’ai aussi fait relire le rapport par une seconde IA. Sa lecture confirmait une partie des constats et contredisait plusieurs affirmations présentées comme certaines. Cette confrontation m’a rappelé qu’un rapport d’IA reste une hypothèse de travail. Lorsqu’un audit comporte des enjeux importants, croiser plusieurs analyses est plus fiable que de tenir le premier rapport pour une vérité établie.

LE DÉCLIC
J’ai cessé de demander « qu’est-ce qui ne va pas ? » pour demander « qu’as-tu affirmé sans l’avoir mesuré ? ». Les affirmations non mesurées ont disparu des rapports suivants.

L’effet secondaire : l’empilement des solutions

Si j’avais appliqué toutes les recommandations, j’aurais installé :

• 14 extensions WordPress, c’est-à-dire 14 modules ajoutés au site, chacun à maintenir et à mettre à jour
• 2 systèmes de cache concurrents, qui se seraient neutralisés
• 3 solutions anti-spam simultanées

Chaque recommandation était légitime, prise isolément. Empilées sans arbitrage, elles perdaient tout intérêt. Un modèle optimise le point qu’on lui soumet ; il ne tient ni le budget ni la charge de maintenance qui en découle. Personne ne le fera à votre place.

EN ENTREPRISE
Si vous consultez trois prestataires, chacun livrera une bonne solution pour le même système d’information. Vous en aurez trois. Le mécanisme est identique ici.

Mes arbitrages

Après plusieurs corrections, l’audit proposait encore une série d’améliorations. Je ne l’ai pas suivi et j’ai choisi de publier. C’est une règle que j’applique aussi dans mes projets informatiques : lorsqu’un produit est conforme à environ 80 %, il est souvent plus utile de le mettre entre les mains des utilisateurs que de chercher une perfection théorique. Les améliorations restantes se traitent au fil de l’eau, sans empêcher l’usage du produit.

Certaines recommandations étaient pertinentes, mais prématurées. Le rapport recommandait plusieurs fonctionnalités supplémentaires, dont un fil d’Ariane : la ligne de navigation qui indique au lecteur où il se trouve dans le site. Pour six articles publiés, cela aurait surtout compliqué l’interface. J’ai préféré conserver une navigation simple tant que le contenu reste limité. Une fonctionnalité n’a d’intérêt que si l’utilisateur en a une réelle nécessité. Ce n’était pas le cas au moment de la publication.

Toutes les recommandations ne méritent pas d’être appliquées immédiatement. Certaines apportent un gain mesurable ; d’autres compliquent inutilement un projet encore jeune. L’intérêt d’un audit n’est pas de tout exécuter, mais d’aider à prioriser. Un rapport ne met pas de date en face de chaque recommandation. C’est à vous de le faire.

J’ai également refusé de modifier certains choix éditoriaux. J’ai conservé une identité sobre, sans artifice marketing : pas de fenêtre surgissante, pas de bandeau insistant, pas de sollicitation visuelle. Je voulais que le site reste fidèle à la ligne éditoriale que je me suis fixée : informer avant de convaincre.

Les rapports suivants ont d’ailleurs retenu la même logique : certaines améliorations pouvaient attendre. Un site vivant n’est jamais terminé.

Conclusion

Le bilan de cet audit reste positif. J’ai gagné une à deux journées de travail et évité de publier le site avec des défauts gênants. Les corrections apportées ont nettement renforcé son fonctionnement et sa stabilité. En face, j’ai perdu une demi-journée à démonter ce qui avait été affirmé sans être mesuré.

Cet audit m’a rappelé une chose importante : la valeur d’une IA ne se mesure pas au nombre de recommandations qu’elle produit, mais à la qualité des décisions qu’elle permet de prendre. Le travail ne consiste donc pas à lui obéir, mais à savoir quand lui faire confiance et quand lui dire non.

Pour aller plus loin

Si ce sujet vous intéresse, j’aborde plus en détail ma méthode de travail avec l’IA dans ces articles du site :

Pourquoi j’utilise deux IA : https://laurent-ia.fr/utiliser-deux-ia/

Ma méthode IA: https://laurent-ia.fr/methode-ia/

6 mois d’IA: https://laurent-ia.fr/six-mois-ia-au-quotidien/