Mark Emelianov
Présentation · AI World
Beaucoup d’agents IA, beaucoup d’hôtes, beaucoup de personnes : l’ensemble ne tient que si chaque action importante passe par une porte, est isolée et laisse une preuve.
Comment un tel monde est construit pour fonctionner, et comment les mêmes briques répondent à ce que demandent ISO 27001, l'EU AI Act et des référentiels semblables.
01
Le tableau d’ensemble
Chaque couche suppose que l’agent placé au-dessus peut se tromper, et limite ce qu’une erreur peut atteindre.
02
Le faire fonctionner
Un noyau partagé ; chaque organisation reçoit sa propre instance. Le travail arrive branche par branche.
La relecture est liée au commit exact, une analyse bloque les données d'organisation, et le responsable approuve la fusion.
Une conception écrite, non réalisée et non utilisée : sans modèle, uniquement des commandes de la liste d'autorisation, messages signés via git, aucun port entrant.
Des boucles séparées, avec des règles de progression mesurables, maintiennent le cap d’un long travail autonome.
Une carte par zones des agents, des hôtes et des plateformes. En cours de développement.
Sérialiser le travail coûteux rend les ressources partagées prévisibles.
Sujet : faire tourner des agents sans dérive → Sujet : les contrôles stricts →
03
Le rendre conforme
La conformité n’est pas un second système : les portes et les enregistrements qui font fonctionner le monde sont ce que les auditeurs demandent à voir.
| Brique | Ce qu’elle prouve | Points d’ancrage du référentiel |
|---|---|---|
| Merge approuvé par le propriétaire | Une personne décide avant qu’un changement n’entre en service | Gestion des changements ISO 27001 ; un schéma de supervision comparable à la supervision humaine de l’EU AI Act (systèmes à haut risque) ; NIST AI RMF Govern |
| Relecture indépendante liée à un commit | Séparation des tâches ; ce qui a été relu est ce qui a été livré | Développement sécurisé ISO 27001 ; gestion des changements SOC 2 |
| Isolation et listes d’autorisation | Moindre privilège ; périmètre d’impact limité | Contrôle d’accès et gestion de la configuration ISO 27001 ; accès logique SOC 2 |
| Messages signés et journaux | Traçabilité de qui a fait quoi, et quand | Journalisation ISO 27001 ; comparable à la tenue de registres de l’EU AI Act (systèmes à haut risque) |
| Registre des risques et suivi des tâches | Les risques connus ont des responsables et des échéances | Traitement des risques ISO 27001 ; système de management de l’IA ISO/IEC 42001 ; NIST AI RMF Map et Manage |
| Suivi de l’état de préparation | Les écarts par rapport à l’EU AI Act et au Cyber Resilience Act sont visibles tôt | EU AI Act ; EU Cyber Resilience Act |
Les repères sont indicatifs ; ils ne constituent ni une affirmation de certification ni un avis juridique. Vérifiez les numéros de clause et les dates d'application dans les textes en vigueur avant de vous y fier.
04
Par où commencer
Listez chaque agent, hôte et plateforme, et ce que chacun peut toucher. On ne peut pas gouverner ce que l'on ne voit pas.
Identifiants limités, sandboxes, listes d’autorisation. Partez du principe que tout agent peut se tromper ou être manipulé.
Une relecture indépendante et l’approbation du propriétaire avant que quoi que ce soit ne quitte le sandbox.
Faites de la preuve un sous-produit : messages signés, relectures liées au commit, historique des tâches.
Reliez chaque contrôle à l’attente à laquelle il répond, suivez l’état de préparation et revoyez le tout à un rythme régulier.
Lire les articles → Qui est derrière ce site → Travailler avec moi →