L'AI Act impose de documenter, tracer et superviser les systèmes d'IA — en particulier ceux qui touchent au recrutement, au crédit, à la santé, à l'éducation ou à toute décision affectant des personnes. Nous fournissons les briques techniques et la documentation associée.
Les systèmes qui posent problème en audit ne sont pas les moins performants. Ce sont ceux qui ne peuvent pas s'expliquer.
Les journaux techniques existent, mais ils sont conçus pour du débogage, pas pour un contrôle. Reconstituer qui a demandé quoi, sur quelles données, avec quel résultat, prend des jours.
Le principe est écrit dans la procédure : un humain valide. En pratique, l'humain valide cent dossiers à la suite sans avoir les moyens de contester, ce qui n'est pas de la supervision.
Il a été estimé une fois, au lancement, sur un jeu de test favorable. Depuis, les données ont changé et personne ne sait où en est le système.
Des briques techniques, pas un avis juridique. La qualification finale de votre système relève de votre conseil.
Chaque demande, chaque source consultée, chaque action déclenchée, avec son auteur, son horodatage et son résultat. Consultable par une personne non technique.
Toute réponse renvoie aux documents et aux données qui l'ont produite. C'est ce qui permet de contester une décision plutôt que de la subir.
Les points de validation sont placés là où ils comptent, avec le contexte nécessaire pour trancher réellement — pas un bouton « approuver » en bas d'une liste.
L'écart entre le résultat du système et la vérité terrain est suivi dans le temps, pas figé au lancement. Une dérive se voit avant qu'elle ne se traduise en incident.
Description du système, des données utilisées, des limites connues, des cas d'usage exclus et des mesures de contrôle — le socle de ce que le règlement demande.
Registre des traitements, durées de conservation, gestion des données personnelles et contrat de sous-traitance traités dès le cadrage.
L'ordre compte : qualifier avant d'outiller évite d'instrumenter un système qui ne devrait pas exister sous cette forme.
Quels systèmes d'IA tournent réellement dans l'organisation, y compris ceux mis en place par une équipe sans passer par la DSI. Cette étape révèle presque toujours des usages non recensés — c'est son intérêt principal.
Chaque usage est situé sur la pyramide de risque du règlement, en fonction de ce qu'il décide et de qui il affecte. Nous instruisons le dossier technique ; la qualification juridique finale revient à votre conseil, et nous le disons clairement.
Ce que le règlement exige pour ce niveau de risque, ce qui est déjà en place, ce qui manque. Le résultat est une liste d'actions ordonnées par criticité, pas un rapport de cent pages.
Journalisation, traçabilité des sources, points de supervision humaine, mesure du taux d'erreur, documentation technique. Chaque brique est branchée sur le système réel, pas décrite dans une procédure.
Le système est suivi en production : dérive des performances, cas escaladés, incidents, évolution du périmètre d'usage. La conformité n'est pas un état atteint une fois, c'est un régime de fonctionnement.
Des documents et des dispositifs utilisables en contrôle, pas une attestation.
Un outil de tri de candidatures a été mis en place par l'équipe recrutement. Personne ne sait expliquer pourquoi une candidature est classée basse.
Qualification de l'usage, journalisation complète des décisions et des critères, point de supervision humaine avec accès au dossier complet, mesure de l'écart entre le tri automatique et le tri humain.
Chaque classement est explicable et contestable. L'usage est documenté avant qu'un candidat ou un contrôle ne le demande.
Un modèle assiste l'analyse de dossiers. Le taux d'erreur a été mesuré une fois, il y a dix-huit mois.
Mise en place d'une mesure continue contre la vérité terrain, alerte sur dérive, documentation des limites connues et des cas exclus.
La dérive se voit dans le mois où elle apparaît, avec les données qui permettent d'en analyser la cause.
Chaque filiale a lancé ses propres expérimentations d'IA. La direction n'a pas de vue d'ensemble.
Inventaire transverse, qualification homogène des usages, socle de journalisation commun et documentation harmonisée.
La direction sait ce qui tourne, sous quel niveau de risque, et où porter l'effort en priorité.
Ces produits sont déjà construits. Certains sont accessibles en ligne, les autres se montrent en démonstration sur demande.
Où se situe votre système sur la pyramide de risque ?
Décrivez votre usage de l'IA : l'essaim le décompose brique par brique, le place sur la pyramide du règlement (UE) 2024/1689 et sort vos obligations datées, sourcées vers le texte officiel. Article 4 déjà exigible, article 50 au 2 août 2026, annexe III au 2 décembre 2027.
Demander une démoProbablement, dès que l'IA touche au recrutement, au crédit, à la santé, à l'éducation, à l'accès à un service essentiel ou à toute décision ayant un effet sur des personnes. Le premier travail est l'inventaire : il révèle presque toujours des usages non recensés.
Non, et personne ne devrait le prétendre à ce stade. Nous fournissons les briques techniques, la documentation et l'analyse d'écart. La qualification juridique appartient à votre conseil.
Rarement en totalité. Le plus souvent, il manque la journalisation exploitable, la traçabilité des sources et la documentation — trois chantiers qui s'ajoutent au système existant.
Qu'un humain a les moyens réels de contester une décision : le contexte, les sources, le temps, et l'autorité pour dire non. Un bouton « approuver » sur une liste de cent lignes n'en est pas.
L'usage compte autant que l'outil. Un assistant généraliste utilisé pour préparer une décision RH entre dans le périmètre. C'est souvent la découverte la plus utile de l'inventaire.
Oui, et c'est ce que nous recommandons : le système le plus exposé d'abord. L'inventaire complet peut suivre.
Nous fournissons les briques techniques et la documentation associée. Nous ne délivrons pas d'attestation de conformité et nous ne remplaçons pas votre conseil juridique : la qualification finale de votre système au regard du règlement relève de lui. Méfiez-vous de tout prestataire technique qui vous promet le contraire — la conformité ne s'achète pas comme un logiciel.
La réponse est presque toujours supérieure à ce que la DSI recense. Trente minutes suffisent pour poser la question correctement.