La preuve, pas la promesse : constituer un dossier AI Act opposable
Un contrôle ne commence jamais par « êtes-vous conforme ? ». Il commence par « montrez-moi ». La différence entre les deux se prépare à l'avance.
Ce qui fait preuve, et ce qui n’en fait pas
Une politique signée prouve que vous avez écrit une politique. Elle ne prouve pas qu'elle est appliquée. Ce qui fait preuve, c'est la trace d'une décision : qui a évalué quoi, à quelle date, sur quels éléments, et ce qui a été décidé.
D'où l'importance de l'horodatage et de l'immuabilité. Un document modifiable sans trace vaut peu face à quelqu'un dont le métier est d'évaluer la sincérité d'un dossier.
Les pièces à réunir
Le socle est stable : la liste des systèmes exploités et leur classification, le raisonnement qui fonde cette classification, les analyses d'impact quand elles sont requises, les engagements contractuels des fournisseurs, la description de la supervision humaine, les informations délivrées aux personnes, et l'historique des revues.
Ce qui coûte cher n'est pas de produire ces pièces, c'est de les reconstituer après coup, quand les personnes ont changé de poste et que personne ne retrouve pourquoi telle décision avait été prise.
Tenir le dossier vivant
Un dossier de conformité constitué une fois puis abandonné vieillit vite : nouveaux outils, nouvelles versions, nouveaux usages. La question posée en contrôle ne sera pas seulement « avez-vous documenté ? » mais « à quand remonte votre dernière revue ? ».
Une cadence de revue, même trimestrielle et légère, vaut mieux qu'un audit annuel exhaustif que personne n'a le temps de mener.
Questions fréquentes
Un export PDF suffit-il comme preuve ?
Il vaut ce que vaut sa traçabilité. Un export horodaté, dont l'intégrité est vérifiable et qui référence les éléments sur lesquels il s'appuie, est nettement plus solide qu'un document sorti d'un tableur la veille du contrôle.
Faut-il tout documenter avec le même niveau de détail ?
Non. L'effort doit être proportionné au niveau de risque : un usage à risque minimal ne justifie pas la documentation d'un système annexe III.
Que faire des systèmes arrêtés ?
Les conserver dans l'historique plutôt que les supprimer. Un contrôle peut porter sur une période passée, et l'absence de trace d'un système retiré est plus difficile à expliquer que sa présence.
Le jour du contrôle, vous imprimez. Vous ne reconstituez pas.
Voyez un Evidence Pack complet dans la démo, sans créer de compte.
Dans le même silo
Voir aussi : Évaluer votre maturité AI Act · Checklist AI Act · AIPD et intelligence artificielle · Comparatif AI Act / ISO 42001