Pourquoi ça vous concerne

Quand vous construisez avec de l'IA, il n'existe aucun manuel de qualité. Pas de « clean code de l'agent ». Vous branchez une API, ça marche, vous passez à la suite.

Pourtant un texte dit, noir sur blanc : sachez quelles données vous traitez, où elles partent, ce que fait votre modèle, documentez-le, et soyez capable de le reprendre dans six mois. Ce texte, c'est le RGPD et l'AI Act.

C'est une spécification d'ingénierie. Elle a seulement le défaut d'être écrite par des juristes.

D'habitude, la réglementation protège les grands : elle fabrique de la paperasse, et ils ont des équipes pour ça. Sur l'IA, la mécanique s'inverse.

Un grand groupe met dix-huit mois à cadrer ses systèmes — comités, DSI, juridique, arbitrages, budget. Vous tenez le vôtre dans votre tête : vous pouvez le cadrer en une semaine.

C'est une fenêtre, et elle se referme à mesure que vos systèmes se multiplient.

Combien d'intelligences artificielles tournent en ce moment dans votre activité ? Votre assistant de rédaction, le chatbot du support, le tri automatique des mails, l'outil qui résume vos réunions, les agents branchés le mois dernier.

Si la réponse met plus de dix secondes à venir, le problème n'est pas d'abord réglementaire : il est opérationnel. Cette carte a de la valeur même si tous les textes disparaissaient demain.

Ce qui se demande, en pratique, ce n'est pas un état : c'est une capacité à montrer. Une carte de votre système IA, scorée RGPD et AI Act, chaque composant rattaché à un responsable, et scellée dans le temps.

Nous documentons votre conformité ; nous ne la certifions jamais. C'est votre DPO ou votre avocat qui revoit et qui signe. Et l'analyse tourne sur votre machine : votre code ne part nulle part.

La plupart des outils de conformité analysent votre code sur leurs serveurs. Avant même de vous aider, ils vous demandent donc de leur confier ce que vous avez de plus sensible. C'est un marché acceptable — mais c'en est un.

Le nôtre tourne sur votre machine. Votre code n'en sort pas, et ce n'est pas une promesse contractuelle : c'est une architecture. Elle va jusqu'au bout — notre licence fonctionne hors connexion, ce qui rend POSITRONIA utilisable sur un poste totalement coupé du réseau. Un service qui vit dans le cloud ne peut structurellement pas faire ça.

Sur l'étendue, ensuite. Marquer ce que votre IA produit relève de l'article 50 de l'AI Act — dont les alinéas 1 et 2 pèsent sur le FOURNISSEUR du système, quand le déployeur ne doit que les alinéas 3 et 4. Le même article ne vous demande donc pas la même chose selon le rôle que vous tenez : c'est précisément ce que la carte établit avant de conclure quoi que ce soit. Contrôler ce qui entre dans votre système, c'est l'article 15 de l'AI Act. L'analyse d'impact sur les droits fondamentaux, c'est l'article 27 de l'AI Act — celle dont presque personne n'outille encore la rédaction, là où l'analyse d'impact sur les données est banalisée depuis des années.

Nous ne prétendons pas être seuls : nous décrivons ce que nous faisons. Là où d'autres couvrent un maillon, nous tenons la chaîne — et vous pouvez le vérifier plutôt que nous croire.

Un audit rendu aujourd'hui décrit un état, et un état vieillit en quelques semaines. Une suite d'audits scellés, elle, ne décrit plus un état : elle décrit une conduite. Elle dit que vous avez su, que vous avez mesuré — et depuis quand.

C'est la seule chose qui ne se rattrape pas. Vous pouvez lancer un scan à n'importe quel moment ; vous ne pouvez pas lui donner une date antérieure. Chaque mois où votre carte est scellée constitue une antériorité que ni l'argent ni l'urgence ne reconstitueront.

C'est pour cette raison que ce n'est pas un achat, mais un abonnement. La valeur n'est pas dans le rapport du mois : elle est dans la chaîne qu'il continue. Le mécanisme est celui décrit plus haut — empreintes SHA-256 chaînées, signature Ed25519, horodatage — et il ne vaut que s'il tourne dans la durée.