Vos systèmes IA respectent vos règles d'accès, dès le premier jour

Le contrôle d'accès se met en place à plusieurs niveaux. Au niveau du stockage vectoriel, chaque chunk de document est tagué avec ses ACL d'origine. Au moment de la requête, le système filtre les résultats selon les permissions de l'utilisateur authentifié, récupérées depuis votre Active Directory ou votre IAM. Aucun document hors périmètre n'est passé au LLM dans le contexte. Cette approche est détaillée dans notre article sur les architectures de contrôle d'accès RAG.

Le Règlement (UE) 2024/1689 classe chaque système IA selon son niveau de risque. Les systèmes à risque élevé listés à l'Annexe III (emploi, scoring crédit, accès à des services essentiels, etc.) doivent respecter les Articles 9 à 15 : gestion des risques, gouvernance des données, documentation technique, journalisation, transparence, surveillance humaine, exactitude et cybersécurité. Les chatbots et systèmes génératifs ont une obligation de transparence au titre de l'Article 50. Le Digital Omnibus du 7 mai 2026 a reporté l'application des obligations Annexe III au 2 décembre 2027 (au lieu de 2 août 2026) pour permettre la finalisation des normes techniques. Les sanctions, prévues à l'Article 99, vont jusqu'à 35 millions d'euros ou 7% du chiffre d'affaires mondial pour les manquements à l'Article 5 (pratiques interdites), 15 millions d'euros ou 3% pour les autres obligations.

Estimation IgnitionAI fondée sur 8 missions conduites en 2024-2025 : dès lors qu'au moins deux systèmes IA sont déployés en production, un comité de pilotage est utile. Il réunit typiquement le DPO, le RSSI, un représentant de la direction des risques, un sponsor métier et un référent technique. La fréquence varie selon le nombre de systèmes : trimestrielle pour deux à trois systèmes, mensuelle au-delà de cinq. Le règlement européen n'impose pas explicitement un tel comité aux utilisateurs ; il devient en pratique nécessaire pour répondre aux obligations Article 14 (surveillance humaine) et Article 9 (gestion des risques).

Oui. L'Article 17 du Règlement (UE) 2016/679 (RGPD) prévoit le droit à l'effacement des données personnelles, applicable y compris quand ces données sont ingérées dans un vector store ou utilisées pour entraîner un modèle. Les architectures que nous concevons intègrent un mécanisme d'effacement ciblé qui supprime les vecteurs correspondants sans réindexation totale. Pour les modèles fine-tunés, la réponse dépend du type de donnée et du caractère identifiant des poids, et fait l'objet d'une analyse au cas par cas avec votre DPO.

La gouvernance IA s'appuie sur la gouvernance data en place. Le data catalog référence les datasets utilisés par les systèmes IA. Les politiques de classification (publique, interne, confidentielle, secrète) déterminent quels documents un système IA peut ingérer. Les processus de validation des accès s'étendent aux nouveaux canaux IA. Cette articulation est documentée dans une cartographie de gouvernance livrée avec chaque mission.

Estimation IgnitionAI fondée sur 8 missions 2024-2025 : un audit initial d'un système IA en production sans documentation de conformité dure deux à trois semaines et représente entre 12 000 et 25 000 euros selon la complexité. La mise en conformité elle-même varie de 15 000 euros pour une remise en ordre documentaire simple à 80 000 euros si une refonte de l'architecture d'accès est nécessaire. Ces fourchettes peuvent varier de ±30% selon votre contexte précis. Un devis ferme est établi après la phase d'audit.

La norme ISO/IEC 42001:2023 est la première norme internationale certifiable dédiée aux systèmes de management de l'IA. Pour une ETI qui exploite au moins deux systèmes IA en production, l'investissement est rentable à trois titres : elle couvre 80 à 85% des exigences de l'AI Act et facilite donc la conformité réglementaire à venir ; elle constitue un signal d'assurance pour vos clients et partenaires, particulièrement sur les marchés régulés ; elle structure votre gouvernance IA selon un cadre auditable indépendant. Estimation IgnitionAI : une démarche complète de certification dure entre 8 et 14 mois pour une ETI, avec un investissement total (audit, mise en conformité, certification par organisme accrédité) entre 40 000 et 120 000 euros selon la maturité initiale.

Ces référentiels ne s'opposent pas mais se renforcent mutuellement. L'AI Act apporte la classification par risque et les obligations de documentation technique. Le RGPD couvre la protection des données personnelles utilisées par les systèmes IA. DORA s'applique au secteur financier et impose la résilience opérationnelle. NIS2 cible la cybersécurité des entités essentielles et importantes. Pour les ETI multi-référentiel, l'approche recommandée consiste à construire une couche de gouvernance unifiée qui agrège les exigences communes (registre des systèmes, journalisation, surveillance, plan d'incident) et identifie les spécificités sectorielles. La certification ISO/IEC 42001 sert souvent de squelette opérationnel à cette approche intégrée.