Les référentiels de conformité, une page chacun
Une page pour chaque référentiel pour lequel le moteur AiSSAY livre une table d'exigences. Chaque page est générée à partir de cette table : l'exigence, le mécanisme, l'obligation ou la lacune que le moteur enregistre en regard, et son type. Les mêmes tables construisent les dossiers de preuves et le PDF de couverture, de sorte que les trois ne peuvent pas dire des choses différentes.
Mise en correspondance à titre informatif, établie par les propres outils de l'opérateur. Ce n'est ni un avis juridique, ni une certification, ni un substitut au conseil d'un avocat. Elle organise les enregistrements de l'opérateur au regard des exigences citées ; la question de savoir si ces enregistrements satisfont aux exigences relève de l'appréciation de l'opérateur, de son conseil juridique et du contrôleur.
Services financiers
Pour les courtiers en valeurs mobilières, les desks de trading, les banques et les fonctions chargées du risque de modèle : des enregistrements qui ne peuvent pas être modifiés après coup, une supervision attestée par écrit, et une documentation des modèles qu'un examinateur indépendant peut contester.
- SEC Rule 17a-4 — livres et registres (dispositif de stockage électronique)
- Règles FINRA appliquées à l'IA générative et aux agents d'IA — courtiers en valeurs mobilières (broker-dealers)
- Lignes directrices bancaires américaines sur le risque de modèle — SR 26-2, qui a remplacé SR 11-7 le 17 avril 2026 — preuves relatives au risque de modèle
Droit
Pour les cabinets dont les avocats utilisent l'IA sur des dossiers clients : les Model Rules telles que les applique l'ABA Formal Opinion 512, et le dossier client.
Comptabilité et audit
Pour les cabinets d'audit : une documentation qui montre qui a fait le travail et qui l'a revu, conservée pendant la durée requise et jamais modifiée en silence après son achèvement.
Santé
Pour les entités couvertes (covered entities) et leurs partenaires commerciaux (business associates) : les mesures de protection techniques de la HIPAA Security Rule appliquées aux systèmes qui contiennent des ePHI.
Éducation
Pour les établissements scolaires et les prestataires auxquels ils font appel : les conditions que FERPA impose aux responsables scolaires (school officials) et son registre des divulgations.
IA réglementée par l'UE et IA à haut risque
Les articles 12 et 14 font peser leurs obligations principalement sur le fournisseur d'un système d'IA à haut risque : une capacité de journalisation intégrée, des mesures de contrôle intégrées. Les déployeurs ont leurs propres obligations au titre de l'article 26 — conserver les journaux que le système produit, confier le contrôle à des personnes compétentes. Ces tables mettent en correspondance ce que les enregistrements étayent, quel que soit le rôle qui porte l'obligation.
- Règlement (UE) 2024/1689 sur l'IA, article 12 — enregistrement pour les systèmes d'IA à haut risque
- Règlement (UE) 2024/1689 sur l'IA, article 14 — contrôle humain des systèmes d'IA à haut risque
Sécurité et audit
Pour les programmes SOC 2 et ISO/IEC 27001 : intégrité, responsabilité des accès, garde des clés et hygiène des dépendances, les clauses organisationnelles étant désignées comme organisationnelles.
- SOC 2 Trust Services — Security (Common Criteria) : vue de l'état de préparation
- ISO/IEC 27001:2022, annexe A — vue de l'état de préparation des mesures
Gouvernance de l'IA
Pour les programmes de gestion des risques liés à l'IA et de système de management : la mise en correspondance des enregistrements d'AiSSAY avec le NIST AI RMF et ISO/IEC 42001, là où un stockage de preuves peut parler et là où seule la direction le peut.