AI Act · Protocole de contrôle
Une matrice utile ne récite pas le règlement. Elle relie une disposition applicable, un résultat attendu, un responsable, un contrôle observable, un test exécuté, une preuve datée et une décision.
La matrice est construite après la qualification du système et du rôle de chaque entité. Une ligne porte sur une seule assertion vérifiable et sur une version identifiée. Elle ne conclut jamais au-delà du périmètre réellement testé.
Chaque champ répond à une question différente. Les fusionner produit des dossiers impossibles à relire ; les relier permet à un second examinateur de reconstruire la conclusion.
Article, paragraphe, annexe, texte consolidé et date de consultation.
Fait déclencheur, rôle concerné, échéance et justification.
Assertion précise que le dispositif doit satisfaire.
Mécanisme technique ou organisationnel, propriétaire et fréquence.
Population, échantillon, procédure, seuil et critère d’échec définis avant l’exécution.
Entrées, résultats bruts, version, provenance, intégrité et limite.
Statut de la ligne, action, autorité de décision et condition de réouverture.
Pour un fournisseur, les exigences des articles 8 à 15 et les obligations associées ne se démontrent pas par un document unique. Chaque domaine reçoit ses propres assertions, essais, traces et décisions.
| Domaine | Base | Contrôle attendu | Test et preuve |
|---|---|---|---|
| Risques | Art. 9 | Processus continu relié aux dangers, usages prévus, mésusages prévisibles et risques résiduels | Rejouer un scénario, vérifier métriques et seuils, conserver résultats et acceptation |
| Données | Art. 10 | Gouvernance des jeux utilisés pour entraîner, valider ou tester, selon le cas | Contrôler lignage, critères de qualité, pertinence, représentativité et biais pertinents |
| Documentation | Art. 11 · annexe IV | Dossier technique cohérent avec le système présenté à l’examen | Rapprocher architecture, versions, performances, limites et pièces citées |
| Journaux | Art. 12 | Capacités d’enregistrement adaptées à la traçabilité du système | Déclencher les événements, vérifier intégrité, horodatage et restitution |
| Information | Art. 13 | Instructions exactes et utilisables par le déployeur | Faire exécuter une tâche, une limite et une conduite d’incident à partir des seules instructions |
| Supervision humaine | Art. 14 | Mesures conçues pour comprendre, surveiller, ignorer, interrompre ou arrêter selon le cas | Tester les droits, le temps de réaction, les modes dégradés et la trace de l’intervention |
| Performance et sécurité | Art. 15 | Niveaux déclarés d’exactitude, robustesse et cybersécurité maintenus | Exécuter les scénarios nominaux, limites, erreurs, attaques et dérives pertinents |
| Système qualité | Art. 16–21 · 72–73 | Responsabilités, changements, conservation, correction, surveillance et incidents organisés | Échantillonner une modification et un incident de bout en bout jusqu’à la décision |
Le déployeur ne reprend pas la matrice du fournisseur. Il doit démontrer ce qu’il maîtrise dans son organisation : configuration, personnes habilitées, données d’entrée, surveillance, suspension, journaux et information lorsque ces obligations s’appliquent.
| Objet | Base | Contrôle attendu | Test et preuve |
|---|---|---|---|
| Usage conforme | Art. 26(1) | Configuration et procédure alignées sur les instructions | Comparer paramètres actifs, procédure et version des instructions |
| Supervision | Art. 26(2) | Personnes compétentes, formées, autorisées et soutenues | Exercice par rôle, matrice d’accès, formation et journal de décision |
| Données d’entrée | Art. 26(4) | Pertinence et représentativité lorsque le déployeur les contrôle | Échantillonner la production, les exclusions et les sous-populations pertinentes |
| Surveillance et suspension | Art. 26(5) | Signal détecté, escalade nommée et arrêt réellement disponible | Simuler risque et incident ; mesurer détection, notification et suspension |
| Journaux | Art. 26(6) | Conservation des journaux sous contrôle pendant la durée applicable | Extraire une période, vérifier complétude, accès, intégrité et règle de conservation |
| Information | Art. 26(7) et (11) | Travailleurs ou personnes informés lorsque les conditions sont réunies | Contrôler contenu, destinataires, moment d’envoi et preuve de remise |
| Enregistrement et AIPD | Art. 26(8) et (9) | Obligations contextuelles instruites avant usage | Vérifier statut de l’entité, registre européen et articulation RGPD |
La preuve n’est pas choisie parce qu’elle est facile à obtenir. Le protocole part de l’assertion et annonce à l’avance ce qui permettra de conclure, d’échouer ou de limiter la portée du résultat.
Geler le système, la configuration, les données et la période examinées.
Écrire un résultat observable, sans verbes vagues comme « gérer » ou « assurer » seuls.
Définir les cas couverts, les exclusions et la stratégie d’échantillonnage.
Décrire les actions, outils, entrées et règles de calcul pour permettre la réexécution.
Fixer seuil de réussite, tolérance, criticité et conduite attendue avant le résultat.
Conserver sorties brutes, anomalies, écarts au protocole, conclusion et signataire.
Une capture d’écran ou une politique non exercée peut établir un fait limité ; elle ne démontre pas à elle seule l’efficacité opérationnelle. Le dossier conserve la pièce et le contexte qui autorise — ou interdit — son extrapolation.
Le statut qualifie une assertion précise. Il ne transforme pas une ligne réussie en déclaration générale de conformité du système.
| Statut | Condition | Conséquence |
|---|---|---|
| Effectif | Procédure exécutée, critère atteint et preuve suffisante | Conclusion valable pour la version et la portée testées |
| Défaillant | Critère non atteint ou mécanisme indisponible | Constat, criticité, responsable, échéance et test de clôture |
| Non démontré | Preuve absente, procédure non exécutée ou résultat non reproductible | Limitation ou constat ; aucune conformité supposée |
| Non applicable | Condition d’applicabilité testée et justification conservée | Exclusion validée avec déclencheur de réexamen |
| À arbitrer | Interprétation, fait ou seuil contesté | Question isolée, autorité nommée et décision attendue |
Exemple entièrement synthétique : un système à haut risque assiste une décision de recrutement. La documentation affirme que le responsable métier peut ignorer la recommandation et suspendre l’usage.
| Champ | Inscription dans le registre |
|---|---|
| Base | Articles 14 et 26(2), sous réserve de la qualification et du rôle retenus |
| Assertion | Le superviseur comprend la sortie, peut la contester et suspendre le système pendant le service |
| Procédure | Exercice sur la version en production avec profils métier et administrateur, cas nominal, limite et incident |
| Observation | La recommandation peut être ignorée ; la suspension reste réservée au profil administrateur |
| Preuves | Export des droits, enregistrement de l’exercice, journaux horodatés et résultats bruts |
| Conclusion | Contrôle défaillant pour la suspension ; correction nommée puis nouveau test avant clôture |
Le registre reste rattaché à la configuration en service. Il distingue qui opère le contrôle, qui produit la preuve, qui l’examine et qui accepte le risque résiduel.
Sources primaires
Dernière revue documentaire : 5 septembre 2026.
Rôles, exigences, surveillance après déploiement et calendrier en vigueur.
Texte officiel fixant notamment les échéances du 2 décembre 2027 pour l’annexe III et du 2 août 2028 pour l’annexe I.
Obligations du fournisseur d’un système à haut risque avant et après sa mise sur le marché.
Instructions d’utilisation, supervision humaine, données d’entrée, surveillance, journaux et information.
Avant de nous écrire
Elle prouve qu’une règle est formulée, pas qu’elle fonctionne. La conclusion dépend aussi du mécanisme, de son responsable, de la procédure exécutée, du résultat et de la version du système testée.
Non. La structure peut être commune, mais les dispositions, responsabilités et preuves sont attribuées au rôle qualifié. Les exigences du système à haut risque et les devoirs d’exploitation ne doivent pas être confondus.
Le registre indique la pièce manquante, la raison, les alternatives examinées et l’effet sur la conclusion. Une absence importante devient une limite ou un constat, jamais une conformité supposée.
Non. Elle soutient une assertion pour la version, la population et la période testées. La conclusion globale dépend de l’ensemble des exigences applicables, des limites, des écarts et de la procédure d’évaluation de conformité lorsqu’elle est requise.
Registre de preuve AI Act
Nous partons de la qualification, de la version en service et des responsabilités réelles pour construire puis éprouver la chaîne de preuve.
Présenter le système