Un client, un DPO ou un avocat vous demande de documenter votre système IA. Ce qu'il attend concrètement, comment le produire, et ce qu'aucun outil ne peut faire pour vous : rétablir un passé non documenté.
Dernière mise à jour :
Vous livrez de l'IA — une automatisation, un agent, un assistant branché sur des données réelles. Personne ne vous avait rien demandé. Puis quelqu'un a demandé : un gros client avant de signer, un délégué à la protection des données qui instruit un dossier, un avocat qui prépare un contrat.
La question est toujours la même : « documentez ce que fait votre système ».
Ce n'est ni une question piège ni une menace. C'est une question à laquelle il faut pouvoir répondre avec des pièces, pas avec un message rassurant.
Celui qui vous interroge n'a pas besoin d'être rassuré : il a besoin de verser quelque chose à un dossier. Un courriel ou une page de notes, si sincères soient-ils, ne se datent pas, ne se vérifient pas et ne se transmettent pas à un tiers. Ils ne l'aident pas — donc ils ne vous aident pas.
Selon ce que fait votre système, tout ou partie de ces documents vous sera demandé. Chacun répond à une question précise que se pose celui qui vous lit.
| La pièce | La question à laquelle elle répond |
|---|---|
| Cartographie du système IA | Qu'est-ce qui tourne réellement chez vous ? |
| Registre des traitements (RGPD art. 30) | Quelles données, pour quelle finalité, combien de temps ? |
| Analyse d'impact — AIPD (RGPD art. 35) | Ce traitement présente-t-il un risque élevé, et qu'avez-vous fait ? |
| Analyse d'impact sur les droits fondamentaux — FRIA (AI Act art. 27) | Votre déploiement touche-t-il des personnes, et comment ? |
| Fiche de transparence (AI Act art. 50) | Qui doit informer l'utilisateur — vous comme fournisseur, ou comme déployeur ? |
| Fiche de violation à 72 h (RGPD art. 33) | Si un incident survient, savez-vous quoi faire, et en combien de temps ? |
| Profil de confiance de l'agent | Que peut faire votre agent, avec quels outils, sous quelle surveillance ? |
Sur l'article 50, tout dépend de votre rôle — fournisseur ou déployeur — et de l'alinéa concerné : les obligations ne sont pas les mêmes. Une fiche qui ne nomme ni l'un ni l'autre ne dit rien d'utile.
Rien ne rétablit un passé non documenté. On documente à partir d'aujourd'hui.
La trace d'un examen est datée. Personne ne peut produire aujourd'hui la preuve qu'une vérification humaine a eu lieu il y a six mois — et quiconque vous le promet vous vend un faux.
Ce n'est pas non plus une certification, et cela ne remplace ni un DPO ni un avocat. Nous documentons des faits constatés ; l'appréciation juridique appartient à votre conseil, qui relit et signe. C'est d'ailleurs souvent lui qui vous aura orienté ici : il pourra travailler sur de la matière au lieu de la reconstituer avec vous par courriel.
Aucun délai de production n'est promis sur cette page. Le temps que prend un dossier dépend de ce que votre carte contient et de la rapidité avec laquelle vous répondez aux questions posées.
Ce n'est pas une image. Un document scellé, seul, prouve une chose et une seule : qu'il n'a pas été modifié. Il ne dit rien de ce qui l'a précédé, ni de ce qui a suivi. C'est le chaînage — chaque empreinte contenant la précédente — qui transforme une pièce isolée en histoire vérifiable.
Ce que vous produisez dans l'urgence est un maillon : il est vrai, il est daté, et il est seul. Ce qu'on vous redemandera la fois d'après, c'est la chaîne. Douze mois d'affilée, ce n'est pas douze fois un mois — et c'est la seule chose qui ne se rattrape pas après coup.
Un abonnement interrompu ne casse rien : les sceaux restent valides et vérifiables. C'est votre historique qui a un trou, et un trou daté se voit.
Vous n'êtes alors pas celui à qui on demande des comptes : vous êtes celui qui les demande. Une page vous est destinée, écrite de votre côté de la table — ce que vous recevrez d'un prestataire, sous quelle forme, et ce que cela vous coûte (rien : c'est le prestataire qui s'abonne).
Un point qui vous concerne directement, et que nous préférons dire avant qu'on nous le demande : nous ne versons jamais de commission à un avocat ni à un délégué à la protection des données, sur aucun plan, quel que soit le nombre de clients qui nous rejoignent par vous. Le Règlement Intérieur National l'interdit aux avocats ; l'article 38.6 du RGPD protège l'indépendance du DPO. Ce qui vous est proposé est une place d'expert et un tarif réservé aux professions réglementées — jamais un revenu sur ce que vous recommandez.