Conformité
Des preuves qui répondent à l'obligation
Les référentiels ne demandent pas si vous avez acheté un contrôle. Ils demandent s'il fonctionne, et de plus en plus ils demandent de le démontrer. Voici comment des preuves exécutées se rattachent à ce que vous rapportez.
Rattachement aux référentiels
L'obligation, et ce qui y répond
Une liste de noms de référentiels ne prouve rien. Ce qui compte, c'est l'obligation précise que chacun crée et la preuve exécutée qui lui répond.
EU AI Act Regulation (EU) 2024/1689
European Union
L'obligation
Déployeurs et fournisseurs de systèmes d'IA doivent faire fonctionner une gestion des risques, une supervision humaine et une surveillance après mise sur le marché, et pouvoir le démontrer en fonctionnement.
Ce que la preuve Veync apporte
Un inventaire réconcilié de l'IA réellement en production, une cartographie reliant chaque clause de politique au mécanisme qui l'applique, et la preuve éprouvée que les points de validation et les contrôles avec humain dans la boucle ne peuvent être contournés.
NIS2 Directive (EU) 2022/2555
European Union
L'obligation
Les entités essentielles et importantes doivent gérer le risque cyber sur une base définie et notifier les incidents significatifs dans des délais stricts.
Ce que la preuve Veync apporte
Des verdicts par contrôle — bloqué, détecté, alerté ou manqué — avec des délais de détection et de réponse mesurés, c'est-à-dire la mesure même dont dépend un délai de notification.
DORA Regulation (EU) 2022/2554
European Union
L'obligation
Les entités financières doivent maintenir une résilience opérationnelle numérique, y compris des tests d'intrusion fondés sur la menace de leurs fonctions critiques.
Ce que la preuve Veync apporte
Une émulation d'adversaire continue sur toute la chaîne d'attaque et sur l'environnement réel, avec un journal complet des actions exécutées et un graphe de chemins pour chaque objectif atteint.
ISO/IEC 42001 2023
ISO/IEC
L'obligation
Un système de management de l'IA doit définir des mesures sur tout le cycle de vie et apporter la preuve qu'elles fonctionnent comme décrit.
Ce que la preuve Veync apporte
Un registre des écarts de gouvernance issu de tests exécutés plutôt que d'une auto-évaluation, chaque clause satisfaite étant reliée à l'action qui l'a démontrée.
NIST AI RMF 1.0
NIST
L'obligation
Le risque lié à l'IA doit être gouverné, cartographié, mesuré et traité, la mesure devant s'appuyer sur des preuves et non sur une intention.
Ce que la preuve Veync apporte
Des taux de résistance des garde-fous mesurés par classe d'attaque et une matrice d'autorité effective par agent, ce qui transforme la fonction « mesurer » en résultat plutôt qu'en questionnaire.
ISO/IEC 27001 2022
ISO/IEC
L'obligation
Les mesures de l'Annexe A doivent être mises en œuvre lorsqu'elles s'appliquent, et leur efficacité surveillée et revue.
Ce que la preuve Veync apporte
Des verdicts par catégorie de contrôle rattachés aux mesures pertinentes de l'Annexe A, avec les évolutions d'ingénierie de détection qui combleraient chaque écart trouvé.
SOC 2
AICPA
L'obligation
Les critères de services de confiance doivent s'appuyer sur des preuves qu'un auditeur indépendant peut examiner et sur lesquelles il peut se fonder.
Ce que la preuve Veync apporte
Un registre au niveau des exigences où chaque élément satisfait renvoie à une action exécutée, et où chaque élément non éprouvé est marqué non testé plutôt que supposé.
Règlement européen sur l'IA
Le calendrier d'application
Le règlement est entré en vigueur en août 2024 et s'applique par étapes. Les dates ci-dessous sont les échéances d'application telles que publiées au Journal officiel.
Entrée en vigueur
Le règlement entre en vigueur vingt jours après sa publication, ce qui déclenche le compte à rebours de toutes les obligations échelonnées qui suivent.
Application des pratiques interdites
Les interdictions visant les pratiques à risque inacceptable, ainsi que les obligations de culture de l'IA, deviennent applicables.
Obligations pour l'IA à usage général
Les obligations des fournisseurs de modèles d'IA à usage général, ainsi que les dispositions de gouvernance et de sanctions, deviennent applicables.
Application générale
L'essentiel du règlement s'applique, y compris les exigences à haut risque pour les systèmes couverts par l'annexe III.
Systèmes à haut risque de l'annexe I
L'échéance étendue pour les systèmes d'IA à haut risque intégrés à des produits déjà régis par la législation de l'Union.
Ces dates sont consignées telles que publiées. Des propositions de modification pourraient déplacer certaines obligations à haut risque : vérifiez au Journal officiel avant de vous y fier pour un plan de conformité.
Résidence des données
Où vivent les preuves
Les preuves de validation sont une cartographie détaillée des endroits où vos défenses cèdent, ce qui fait de la résidence et des accès une question de conformité en soi.
- Traitées et stockées en UE
- Preuves, télémétrie et enregistrements de campagne restent dans des régions de l'UE, sans réplication hors de l'Union pour des raisons de commodité.
- Accès nominatifs uniquement
- L'accès est limité aux personnes nommées sur votre engagement, journalisé, et révoqué à son terme.
- Une conservation que vous fixez
- La durée de conservation est contractuelle et non imposée par défaut, avec suppression sur demande et certificat de destruction.
- Sous-traitants déclarés
- La liste des sous-traitants fait partie du contrat et ses évolutions sont notifiées, non découvertes.
Une limite importante
Veync n'est pas un organisme de certification
Veync produit des preuves. Veync ne délivre ni certification, ni attestation, ni évaluation de conformité, ni marque d'aucune sorte, et n'est pas accrédité pour le faire. Rien de ce que fournit Veync n'est un certificat, et aucun livrable Veync ne doit être présenté comme tel à un régulateur ou à un client.
Ce que la preuve fait, c'est appuyer le travail de ceux qui sont accrédités. Un auditeur, un organisme notifié ou une fonction d'assurance interne peut reprendre un registre d'écarts adossé à des preuves et vérifier chaque affirmation jusqu'à l'action exécutée qui l'a produite, ce qui constitue un point de départ nettement plus solide qu'un questionnaire rempli.
Le dire clairement ne coûte rien et évite un véritable malentendu. Un fournisseur qui laisse un acheteur croire que son rapport est un certificat a créé un problème de conformité plutôt que de l'avoir résolu.
Questions
Ce que demandent les équipes conformité
Pouvons-nous utiliser ces preuves en audit ?
Oui, et c'est le format visé. Chaque clause satisfaite renvoie à l'action exécutée qui l'a démontrée : un auditeur peut vérifier l'affirmation plutôt que l'accepter. Veync n'est pas un organisme de certification et ne délivre aucun certificat ; la preuve appuie le travail de la partie accréditée.
Cela satisfait-il l'exigence de tests fondés sur la menace de DORA ?
Une émulation d'adversaire continue sur l'environnement réel, avec un journal complet des actions exécutées, correspond au fond de cette exigence. Savoir si un programme donné satisfait un superviseur donné relève de votre appréciation et de la sienne, et nous ne prétendrons pas le contraire.
Et si une exigence n'a aucune preuve ?
Elle est marquée non testée, et non supposée satisfaite. Un registre honnête avec des trous connus est plus utile qu'un registre d'apparence complète bâti sur l'optimisme, et les éléments non testés sont généralement le résultat le plus instructif d'un premier engagement.
Comment traitez-vous les échéances échelonnées du règlement IA ?
Le calendrier ci-dessus consigne les dates telles que publiées au Journal officiel. Parce que des propositions de modification pourraient déplacer certaines obligations à haut risque, nous traitons ces dates comme à vérifier plutôt qu'à affirmer, et la liste de contrôle avant lancement de ce site porte explicitement cette obligation.
Rattachez vos obligations à des preuves
Une session de validation part des référentiels sur lesquels vous rendez compte et remonte au périmètre qui produirait une preuve défendable pour chacun.
Veync produit des preuves et n'est pas un organisme de certification.