Governance capability experiment
Aide à la décision pour les workflows réglementaires
A regulatory-workflow backend prototype with inventory, retrieval, classification, evidence, remediation, audit, and report modules. It is a decision-support system under development, not legal advice or a conformity assessment.
Pont métier ↔ technologie · Governance capability experiment
Explores evidence-linked regulatory workflow without presenting generated guidance as legal authority.
Il s'agit d'une interprétation du portefeuille et des sources, et non d'une affirmation de client, déploiement, certification ou résultat.
System inventory, risk classification, evidence, remediation, and reporting are often fragmented across legal, compliance, product, and engineering teams.
Separate deterministic inventory and workflow state from retrieval-assisted interpretation, and preserve named human review points.
Inventory, retrieval, classification, evidence, remediation, audit, and report modules with migrations and selected mocked test seams.
Evidence gaps and classification uncertainty return to product scope, control design, accountable owners, and release planning.
Preuves issues du code source
A regulatory-workflow backend prototype with inventory, retrieval, classification, evidence, remediation, audit, and report modules. It is a decision-support system under development, not legal advice or a conformity assessment.
Le relevé technique détaillé est maintenu en anglais.
Les preuves du dépôt ne constituent pas des preuves client, de déploiement, de certification ou de résultats.
Architecture
Trois couches du code source : surveillance des flux réglementaires, extraction des obligations assistée par la recherche documentaire, et une chaîne d'audit à altération détectable. L'acceptation de tout enregistrement par un régulateur doit être évaluée séparément.
Carte des sources uniquement : une couche peut représenter du code implémenté, une frontière d'adaptateur ou une conception documentée. Elle n'affirme pas l'existence d'un service de production configuré.
Le code source représente trois flux ATOM EUR-Lex (EU AI Act, GDPR, AI General), l'analyse des nouveaux instruments par CELEX, l'extraction du niveau de sévérité (critique/élevé/faible) et une étape d'analyse d'impact Mistral sur l'inventaire des systèmes d'IA enregistrés. Aucune surveillance en conditions réelles n'est affirmée.
Le code source représente Mistral + RAG sur un corpus d'Articles, d'Annexes et de lignes directrices de l'EDPB : extraction des obligations, cartographie des chevauchements entre réglementations (AI Act ↔ GDPR ↔ NIS2), classification des risques et analyse des écarts, avec des scores de confiance et des citations au niveau des Articles. Les sorties nécessitent une revue par des experts.
Le code source modélise les enregistrements de classification, d'écart, de remédiation, d'horodatage et de réviseur dans une chaîne d'audit. La question de savoir si un enregistrement exporté satisfait à une exigence légale ou à celle d'un régulateur doit être évaluée séparément.
Le problème
Pourquoi la conformité réglementaire est défaillante
Le AI Act de l'UE à lui seul comprend plus de 180 pages, 113 articles et 13 annexes. Le croisement avec le GDPR, NIS2 et DORA multiplie la charge de manière exponentielle.
Les responsables conformité passent des semaines à extraire les obligations des textes réglementaires, à les associer aux unités métier et à créer la documentation de zéro.
Des tableurs pour le suivi, Word pour la documentation, l'e-mail pour la collaboration. Aucun système unifié ne relie les obligations aux preuves et aux pistes d'audit.
Les organisations découvrent les évolutions réglementaires après l'expiration des délais. Sans surveillance automatisée, la conformité a toujours un temps de retard.
Modules
8 modules de workflow représentés dans le code source du prototype
Périmètre source uniquement : une entrée peut décrire du code implémenté, un adaptateur documenté ou un workflow configuré. Elle n'indique pas qu'un service de production est actif.
01
Le code source représente une veille sur 3 flux ATOM EUR-Lex (EU AI Act, GDPR, IA général) : analyse des numéros CELEX, niveaux de gravité (critique/élevée/faible) et analyse d'impact Mistral sur les systèmes d'IA enregistrés. Aucune surveillance en conditions réelles n'est affirmée.
02
Le code source représente un inventaire des systèmes d'IA et une mise en correspondance, assistée par Mistral, avec les niveaux de risque de l'EU AI Act, assortie de scores de confiance, d'un raisonnement et de références aux articles. La classification juridique reste une décision humaine.
03
L'extraction des obligations assistée par la recherche documentaire et la cartographie inter-réglementaire sont représentées dans le code source. L'exhaustivité et l'interprétation juridique nécessitent une revue par des experts.
04
Les workflows d'ingestion des politiques et de comparaison assistée par la recherche documentaire sont représentés dans le code source. Le résultat est une file de revue, et non une décision de conformité.
05
Le code source représente la rédaction de brouillons pour 5 types de documents de conformité à partir des écarts identifiés : politiques, procédures, documentation technique, listes de contrôle et évaluations des risques — avec score de confiance et export PDF/CSV/Markdown. Les brouillons nécessitent une revue par un responsable identifié.
06
Le code source modélise un espace de travail multi-utilisateurs avec contrôle d'accès par rôle : obligations attribuées aux départements, suivi de l'avancement des tâches et travaux de conformité visibles à l'échelle d'une équipe.
07
Le backend modélise des enregistrements d'audit hachés, des versions de preuves et un état de revue. L'immuabilité opérationnelle, la conservation et la chaîne de traçabilité dépendent des contrôles de déploiement.
08
Le code source représente trois types de rapports : rapports d'audit pour les régulateurs, rapports de direction pour les dirigeants et rapports d'avancement dans le temps, avec export PDF et envoi programmé. L'acceptation par un régulateur doit être évaluée séparément.
Couverture de l'EU AI Act
Le théâtre de la conformité est une liste d'articles dans un PDF. La pratique de la conformité consiste à mapper chaque article à un système d'IA spécifique, avec des preuves, un responsable et la date de la dernière revue. Ci-dessous : les articles que le prototype représente par système enregistré. Les obligations extraites nécessitent une revue par des experts.
Surface du dépôt uniquement : disponibilité, exhaustivité, performance et aptitude opérationnelle exigent une validation distincte.
ART. 4Le code source comprend des workflows de suivi de la littératie par rôle, de quiz et de génération d'enregistrements. Il ne certifie ni la compétence d'une personne ni la conformité d'une organisation à l'Article 4.
ART. 5Un workflow de règles et de recherche documentaire met en correspondance un système enregistré avec les catégories de pratiques interdites et les références. La classification juridique reste une décision humaine.
ART. 6Le code source représente une évaluation de la classe de risque de l'Annexe III avec un raisonnement généré par Mistral, un score de confiance et un arbre des obligations par Annexe. Elle est conçue pour être réexécutée lors d'événements du registre (changement de modèle, modification de portée, mise à jour des données d'entraînement).
ART. 9Identification, estimation, évaluation et traitement continus des risques. Le prototype est conçu pour lier chaque risque identifié à sa mesure d'atténuation et pour tirer des preuves d'un pipeline CI (succès/échec des tests, fiche de modèle, suite d'évaluation). Aucune intégration active n'est affirmée.
ART. 10Jeux de données d'entraînement, de validation et de test avec couverture représentative, détection des biais et traçabilité. Le prototype est conçu pour recouper un registre de jeux de données avec les exigences de documentation technique de l'Annexe IV.
ART. 11Fichier technique de l'Annexe IV : objectif du système, conception, méthodologie d'entraînement, métriques de performance. Le prototype est conçu pour générer le squelette du document, renseigner les preuves à partir du registre et signaler les sections manquantes selon l'Annexe IV.1–9. Les brouillons nécessitent une revue par un responsable identifié.
ART. 12Le prototype représente des vérifications de schéma d'événements et d'enregistrements d'audit pour les systèmes enregistrés. Il n'établit pas qu'un pipeline opérationnel externe émet des journaux complets ou juridiquement suffisants.
ART. 13Instructions d'utilisation, incluant l'objectif prévu, la précision, la robustesse, les mésusages prévisibles et les mesures de supervision humaine. Le prototype est conçu pour rédiger un brouillon de l'avis de transparence destiné au déployeur, au regard d'une checklist de l'Article 13.
ART. 14Mesures de supervision humaine efficaces intégrées dans la conception du système. Le prototype est conçu pour évaluer une conception de supervision par rapport à quatre capacités tirées de l'Article 14 (comprendre, surveiller, outrepasser, désactiver) et pour produire une analyse des écarts destinée à la revue.
ART. 15Métriques de performance, robustesse face aux erreurs, aux défaillances et aux incohérences ; cybersécurité contre les attaques adversariales. Le prototype est conçu pour rassembler les résultats de la suite d'évaluation, les rapports de red-team et un SBOM dans le bloc de preuves de l'Annexe IV. Aucune intégration active n'est affirmée.
Technologies
Les technologies citées identifient des dépendances ou des adaptateurs du dépôt ; elles n'affirment ni intégration active ni déploiement.
Code source
Le code source du prototype Aegis AI est disponible sur demande à des fins d'évaluation et de partenariat.
Pour accéder au code source, veuillez signer l'accord de non-divulgation. Il s'agit d'une formalité juridique standard.
Au-delà d'Aegis AI, je propose du conseil opérationnel pour vous aider à construire et sécuriser des systèmes d'IA.
Douze à vingt-quatre semaines pour classifier vos systèmes IA par risque, accompagner l'évaluation de conformité pilotée par le fournisseur et constituer les preuves, produire la documentation technique Annexe IV et mettre en place la surveillance post-commercialisation — avec une profondeur particulière sur les catégories à haut risque qui s'appliquent aux déploiements autonomes, industriels et robotiques
Partenariat
Pour les équipes qui explorent un workflow réglementaire se prêtant à la revue, avec des jalons explicites relevant du juridique et du responsable du système.
De la démo à une exploitation fiable. Abonnez-vous pour recevoir de nouvelles lectures sur la Physical AI.
Désabonnez-vous à tout moment. Pas de spam, jamais.