Un dossier pour chaque acteur de votre conformité — AIPD et registre Art. 30 pour votre DPO, FRIA et fiche Article 50 pour votre avocat, dossier hygiène pour votre RSSI, dossier de diligence pour votre assureur, Agent Trust Profile pour les clients de vos agents IA, cartographie socle transverse. Pré-remplis de façon déterministe, sans LLM, à faire valider par votre DPO ou votre avocat.
Dernière mise à jour :
POSITRONIA ne se contente pas de vous dire ce qui ne va pas. À partir de la carte de votre système IA, il vous aide à produire et structurer les documents que la réglementation attend — sans les inventer à votre place et sans jamais prétendre les valider lui-même.
Chaque livrable est pré-rempli de façon déterministe (sans LLM), avec des marqueurs clairs là où une décision vous revient ou relève d'un professionnel. Vous le complétez, puis un relecteur — votre DPO ou votre avocat — le revoit, l'atteste et le co-signe, en engageant sa responsabilité. Voir Documenter ≠ certifier et Qui valide votre conformité ?.
Nos livrables ne parlent pas qu'aux codeurs : chaque document outille un acteur métier précis. À partir d'une seule carte de votre système IA, POSITRONIA génère le dossier attendu par chacun — votre DPO, votre avocat, votre RSSI, votre assureur, les clients de vos agents IA — chacun repart avec le sien, scellé et daté.
| Dossier | Pour quel acteur | Référence | Disponibilité |
|---|---|---|---|
| AIPD (réimportable dans le logiciel PIA de la CNIL) | 🛡️ votre DPO | RGPD Art. 35 | ✅ en ligne |
| Registre des traitements (CSV versionnable) | 🛡️ votre DPO | RGPD Art. 30 | ✅ en ligne |
| FRIA — impact sur les droits fondamentaux | ⚖️ votre avocat / juriste | AI Act Art. 27 | ✅ en ligne |
| Fiche Article 50 (transparence IA + Annexe IV) | ⚖️ votre avocat / dirigeant | AI Act Art. 50 | ✅ en ligne |
| Fiche violation 72 h | 🛡️⚖️ votre DPO / avocat | RGPD Art. 33-34 | ✅ en ligne |
| Dossier hygiène & sécurité (volet cyber) | 🔒 votre RSSI | RGPD Art. 32 | 🚧 raccordement à l'Espace Client en cours |
| Dossier de diligence — édition assureur | 📊 votre assureur | document volontaire de transparence | ✅ en ligne |
| Agent Trust Profile (« Know Your Agent ») | 🤖 les clients de vos agents IA | attestation, jamais un « certificat » | ✅ en ligne |
| Cartographie socle — le document dont tous les autres dérivent | 🗺️ transverse | RGPD Art. 28 / 30 / 44-49 | ✅ en ligne |
Tous ces dossiers sont pré-remplis sans LLM : le contenu est dérivé de façon déterministe de votre cartographie et de vos réponses déclarées. Sur tous les plans, sans exception — c'est ce qui rend ces pièces reproductibles, donc opposables. Si un jour une analyse venait à être assistée par un modèle de langage, la mention serait explicite, conformément à l'AI Act, Article 50 (EuTrustedIA étant fournisseur de POSITRONIA au sens des paragraphes 1 et 2).
« PIA » n'est pas un livrable de plus. C'est le format d'export de votre AIPD vers le logiciel PIA de la CNIL que votre DPO utilise déjà : votre AIPD n'est pas un PDF mort, mais une pièce réimportable dans son outil.
Dossier assureur = anticipation. Le marché de l'assurance IA se structure, mais les assureurs ne demandent pas encore ce dossier. Notre rôle est de vous faire prendre de l'avance — le jour où votre assureur vous le demandera, vous serez prêt — jamais de prétendre qu'il l'exige, ni de promettre un quelconque effet sur votre prime.
L'article 30 du RGPD n'impose pas un registre, il en décrit deux, au contenu différent :
Si vous éditez un produit IA, vous êtes souvent les deux à la fois : responsable pour vos propres données (prospects, clients, salariés), sous-traitant pour celles que vos clients vous confient. POSITRONIA dérive le registre correspondant à chaque rôle que votre cartographie déclare.
🔴 La dispense « moins de 250 employés » existe — et elle est plus étroite qu'il n'y paraît. L'article 30, paragraphe 5, écarte l'obligation pour une entreprise ou une organisation comptant moins de 250 employés, sauf si le traitement remplit l'une de ces conditions : il est susceptible de comporter un risque pour les droits et libertés des personnes concernées ; il n'est pas occasionnel ; il porte notamment sur des catégories particulières de données (Art. 9, paragraphe 1) ou sur des données relatives à des condamnations pénales et à des infractions (Art. 10). Ces conditions sont alternatives — une seule suffit à faire tomber la dispense. Et la deuxième est celle qui la vide en pratique : un traitement mené régulièrement dans le cadre d'une activité professionnelle n'est pas occasionnel.
Le registre se tient sous une forme écrite, y compris électronique (Art. 30, paragraphe 3), et se met à la disposition de l'autorité de contrôle sur demande (paragraphe 4) : il ne se dépose nulle part.
L'article 35 du RGPD ne fixe aucun seuil chiffré — ni nombre de personnes, ni volume de données, ni taille d'entreprise. Le critère est qualitatif : une analyse d'impact est due avant le traitement lorsque celui-ci, « en particulier par le recours à de nouvelles technologies », est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes physiques (paragraphe 1).
Le paragraphe 3 cite trois cas où elle est « en particulier » requise — évaluation systématique et approfondie fondée sur un traitement automatisé et produisant des effets juridiques ou significatifs ; traitement à grande échelle de catégories particulières de données ou de données pénales ; surveillance systématique à grande échelle d'une zone accessible au public. Ces cas illustrent le critère du paragraphe 1, ils ne l'épuisent pas : n'en relever d'aucun ne dispense de rien.
À cela s'ajoute une source nationale : l'autorité de contrôle publie sa propre liste des types de traitements pour lesquels une analyse d'impact est requise (paragraphe 4), et peut en publier une seconde de ceux qui n'en demandent pas (paragraphe 5). En France, ce sont les listes de la CNIL — à consulter en plus du règlement, jamais à sa place.
Une AIPD n'est pas un document qu'on classe. L'article 35, paragraphe 11, demande au responsable du traitement de procéder à un examen « au moins quand il se produit une modification du risque présenté par les opérations de traitement ». C'est exactement ce que la régularité de vos évaluations documente : non pas une pièce datée d'il y a deux ans, mais une trace continue de votre travail d'adaptation.
Le contenu minimal est fixé par le paragraphe 7 : description systématique des opérations envisagées et des finalités, évaluation de la nécessité et de la proportionnalité, évaluation des risques pour les droits et libertés, et mesures envisagées pour y faire face. C'est la trame que POSITRONIA pré-remplit — et que votre DPO revoit, le paragraphe 2 prévoyant que son conseil soit demandé lorsqu'un délégué a été désigné.
Le FRIA — Fundamental Rights Impact Assessment, analyse d'impact sur les droits fondamentaux — est introduit par l'article 27 de l'AI Act. C'est une obligation du déployeur (et non du fournisseur) d'un système IA haut-risque : avant la mise en service, évaluer l'impact du système sur les droits fondamentaux des personnes concernées, dans le contexte concret d'utilisation.
Le FRIA (Art. 27) concerne les déployeurs d'un système IA haut-risque au sens de l'Annexe III qui sont :
🔴 Une exception que beaucoup manquent, et qui est dans le texte. L'article 27 de l'AI Act, paragraphe 1, écarte expressément les systèmes « destinés à être utilisés dans le domaine visé à l'annexe III, point 2 » — c'est-à-dire les infrastructures critiques. Un déployeur d'IA dans ce domaine relève bien du haut-risque, mais ne doit pas de FRIA au titre de l'article 27 de l'AI Act. Le point 2 figure dans la liste des huit domaines ci-dessous : il y est pour la qualification haut-risque, pas pour l'obligation de FRIA.
La FRIA ne remplace pas l'AIPD, elle la complète. L'article 27 de l'AI Act, paragraphe 4, le dit : lorsqu'une obligation est déjà remplie par l'analyse d'impact relative à la protection des données (RGPD article 35), la FRIA complète ladite analyse. Les deux dossiers coexistent donc — c'est pourquoi POSITRONIA les produit séparément, et non l'un à la place de l'autre.
Cette qualification se confirme avec un avocat. POSITRONIA structure le questionnaire et restitue vos réponses déclarées ; il ne statue jamais à votre place sur le caractère haut-risque ni sur l'obligation de FRIA. La conclusion porte un marqueur explicite invitant à la faire trancher par un professionnel.
Un système est présumé haut-risque (Art. 6(2)) s'il relève de l'un des huit domaines de l'Annexe III :
Un système relevant de l'Annexe III peut ne pas être considéré comme haut-risque s'il ne présente pas de risque important de préjudice et relève d'au moins un cas : (i) tâche procédurale étroite ; (ii) amélioration du résultat d'une activité humaine déjà réalisée ; (iii) détection de schémas décisionnels sans remplacer ni influencer l'évaluation humaine ; (iv) tâche préparatoire. Cette exception ne s'applique jamais si le système réalise un profilage de personnes physiques.
Comme la qualification, cette exception est à faire trancher par un avocat : POSITRONIA recueille la déclaration, il ne décide pas.
Lorsqu'il est requis, le FRIA documente (Art. 27(1), points (a) à (f)) :
Une fois le FRIA réalisé, le déployeur notifie son résultat à l'autorité de surveillance de marché (Art. 27(3)), via le modèle prévu par l'AI Office. POSITRONIA signale cette étape comme un point à documenter ; il ne procède pas à la notification à votre place.
Le FRIA porte sur le système IA déployé et son usage réel — pas sur le seul code source. C'est pourquoi POSITRONIA le rend générable selon deux voies, à partir de la même cartographie :
POSITRONIA vous aide à produire et structurer ces livrables. Il ne vous met pas en conformité, ne certifie rien et ne garantit aucun résultat juridique : la certification au sens RGPD (Art. 42-43) et AI Act (Art. 43) est réservée aux organismes accrédités ou notifiés.
Le bénéfice est ailleurs : une preuve de diligence auto-vérifiable. Chaque livrable est horodaté et son intégrité est scellée cryptographiquement (audit-trail). La régularité de vos évaluations devient elle-même une preuve de diligence — vous démontrez votre travail continu d'adaptation à l'évolution réglementaire, présentable à votre DPO, à votre avocat ou à une autorité de contrôle.
Note Temps 1. Contenu d'aide à la compréhension et à la documentation, rédigé en interne (DIY) : il ne remplace pas un avocat. Les références juridiques (RGPD et AI Act) sont reconfirmées sur EUR-Lex au GATE final avant publication, et les points réservés à un avocat y sont levés. EuTrustedIA ne certifie jamais la conformité (interdit RGPD Art. 42-43 / AI Act Art. 43).