Quatre thèmes
Où les principes sont appliqués : des agents sans dérive, des contrôles stricts, la conformité comme automatisation, et des données dans des limites.
Faire fonctionner des agents sans dérive
Répartir des agents de code autonomes en quatre boucles distinctes, chacune avec des règles de progression mesurables.
- Le travail est livré branche par branche : relecture indépendante, analyse automatique qui bloque les données d'organisation, fusion approuvée par le responsable.
- Les relecteurs sont liés au commit exact ; les tâches lourdes s'exécutent une à la fois.
- Un dépôt noyau partagé avec des instances par organisation.
Les contrôles stricts d'abord
Le bac à sable, l'isolation et les identifiants limités protègent davantage que des prompts ou des fichiers d'instructions.
- Gouvernez les agents IA comme des opérateurs capables mais faillibles.
- La conception d'un petit agent d'hôte sans modèle : il n'exécuterait que des commandes de la liste d'autorisation, via git, avec des messages signés et sans port entrant.
La conformité comme automatisation
Les opérations SMSI, les registres de risques et les tâches de sécurité peuvent fonctionner en automatisation plutôt que dans des tableurs.
- Programmes ISO 27001 et SOC 2 : audits et analyse des écarts.
- Un référentiel GRC hiérarchique fondé sur la CSA Cloud Controls Matrix, avec correspondance automatisée des contrôles et flux de tâches pour les audits SMSI.
- Préparation au Cyber Resilience Act de l'UE et à l'AI Act.
Parcours de mise en œuvre : SOC 2 et ISO 27001 → Travailler avec moi →
Des données dans des limites
Récupérer, par une session de navigateur authentifiée, des données qu'un utilisateur peut déjà voir lorsque les API ou les exports officiels ne suffisent pas, avec les limites juridiques, contractuelles et de sécurité énoncées.
- Analyse et présentation visuelle en SQL, Python et BI pour le reporting des contrôles et des risques.
Web sémantique et graphes de connaissances
Les connaissances, les exigences et les preuves se conservent au mieux sous la forme d’un graphe d’énoncés liés, où chaque lien indique son degré de fiabilité.
- Les énoncés sont des nœuds et les étapes qui les relient sont des arêtes ; la confiance augmente quand des chemins indépendants concordent, pas quand une seule source est répétée.
- Relier deux modèles sans imposer un vocabulaire commun : chaque modèle se décrit lui-même, et chaque lien revendiqué avec un autre modèle est un objet explicite et vérifiable.
- Décomposer une définition en quelques relations de base, afin de voir que « président » et « directeur de l’entreprise » partagent une même structure.
Lire : La conformité comme graphe, pas comme tableur Projets associés →
Lignage des données et confiance
Un chiffre de tableau de bord est le bout d’une chaîne d’étapes ; il mérite donc les mêmes contrôles de preuve qu’une affirmation de conformité.
- Chaque colonne ou indicateur dérivé est traité comme une affirmation, avec un score de confiance calculé à partir de ce dont il découle.
- Les définitions et les traductions entre modèles portent une date indiquée, de sorte qu’une définition modifiée impose une revue au lieu d’être héritée en silence.
- Une manière d’intégrer un système inconnu, comme une API ou un autre agent : partir d’un modèle générique, le compléter par des requêtes et le modifier avec un suivi des changements.
Il s’agit de spécifications et d’exemples détaillés, non de résultats validés.