Conformité IA
Les entreprises d'IA sont confrontées à une version spécifique de la directive UE sur les lanceurs d'alerte : équipes de recherche mondiales, personnel multilingue, enjeux de réputation plus élevés que dans la plupart des secteurs. Nous vous proposons un canal qui respecte la directive 2019/1937, s'adapte au fonctionnement réel des équipes IA et réussit un vrai questionnaire de diligence raisonnable d'achat.
10 min
De l'inscription à un canal d'alerte opérationnel.
17
Langues pour les équipes de recherche mondiales. Saisie vocale, pas de site séparé par langue.
0
Enregistrements audio stockés. L'audio est transcrit dans le navigateur, puis supprimé. Nous ne le voyons jamais.
E2E
Chiffrement de bout en bout. Le lanceur d'alerte détient la clé. Nous ne pouvons pas lire le contenu.
Aperçu
La directive européenne sur les lanceurs d'alerte 2019/1937 s'applique à toute entité juridique de 50 salariés ou plus exerçant dans l'UE, quel que soit le secteur. Les entreprises d'IA franchissent ce seuil tôt — souvent dès la série A — et dès qu'elles vendent à des clients grands comptes, l'exigence est renforcée par des questionnaires de due diligence qui réclament un canal de signalement interne documenté. L'AI Act (règlement (UE) 2024/1689) n'impose pas lui-même de canal de signalement, mais il exige des fournisseurs d'IA à usage général qu'ils disposent de mécanismes internes de réclamation pour les questions de droits fondamentaux. Un seul canal couvre les deux obligations, sans double travail opérationnel.
Ce qui s'applique à vous
La plupart des entreprises d'IA avec lesquelles nous travaillons naviguent dans deux régimes de conformité parallèles. Voici ce que la loi exige réellement — et où notre canal s'y rattache.
Canaux de signalement internes pour les entités juridiques de 50 salariés ou plus. Accusé de réception sous sept jours, retour sous trois mois, aucune représaille. Les lois nationales (par ex. HinSchG en Allemagne, loi Sapin II en France) ajoutent des spécificités locales.
Les fournisseurs d'IA à usage général doivent permettre les réclamations relatives aux droits fondamentaux. Notre canal interne les oriente vers la bonne équipe sans modifier le flux de données.
Les clients grands comptes incluent systématiquement une question du type « décrivez votre canal de signalement interne » dans leurs questionnaires de sécurité fournisseurs. Répondre « écrivez-nous un e-mail » n'est plus une réponse recevable en 2026.
Les obligations anti-représailles s'appliquent à l'entreprise d'IA dès qu'un signalement est déposé. Une réception documentée + l'historique des cas constituent la meilleure défense de l'employeur en cas de litige ultérieur.
Les entreprises d'IA qui visent ces certifications ont besoin d'un processus d'acquisition et de gestion de cas documenté et auditable. Notre journal d'événements par cas avec horodatages et utilisateurs actifs est la piste d'audit qui soutient ces exigences — ce n'est pas tout l'audit, mais c'est la partie la plus testée.
Pourquoi Ashio pour l'IA
La raison pour laquelle la plupart des entreprises d'IA nous choisissent plutôt qu'un outil de ticketing générique ou un contournement via Slack.
Les chercheurs en IA et les responsables sûreté travaillent souvent dans des équipes multilingues. Les signalants peuvent dicter leur signalement dans l'une des 17 langues. Le serveur ne voit que le texte.
Chaque dossier dispose d'une URL unique permettant au signalant de donner suite anonymement. Pas de connexion, pas de compte, aucune friction. Le même modèle que Linear et Notion pour partager des tickets.
Le lanceur d'alerte chiffre le signalement dans le navigateur avec une clé qu'il est le seul à détenir. Votre responsable sécurité déchiffre. Nous ne pouvons pas lire le contenu.
Même sous le seuil de 50 employés de la directive, un canal d'alerte interne documenté vous aide à réussir les questionnaires de diligence des acheteurs. Beaucoup de nos clients de moins de 50 personnes le déploient avant la Series A pour l'audit SOC 2, ou parce que leur premier client entreprise l'a demandé dans le questionnaire de sécurité fournisseur.
Les signalements peuvent être attribués automatiquement à votre responsable sûreté, votre DPO ou votre responsable conformité selon la catégorie. Aucun tri manuel nécessaire.
La liste des dossiers filtre par catégorie — biais de modèle, confidentialité des données, intégrité d'évaluation, etc. Chaque rapport porte sa catégorie dès la soumission, pour que votre responsable sécurité ne voie que les cas pertinents.
Liste de contrôle de conformité
Une liste de préparation pour les entreprises d'IA sur le point de signer un contrat exigeant un canal de signalement documenté.
La plupart des questionnaires d'achat l'exigent comme prérequis strict. Une URL active avec un lien d'accès unique par dossier est la réponse standard.
La directive exige un retour au signalant dans les sept jours. Nous l'imposons via une échéance par dossier, visible par chaque administrateur dès le premier jour.
La directive exige aussi un retour sur le traitement du signalement dans les trois mois. Notre statut de dossier le prend en charge nativement.
La directive interdit les représailles contre le signalant. Vos dossiers de recrutement, de rémunération et d'affectation doivent être défendables. Le journal des dossiers en est la source de vérité.
Si vous avez du personnel dans plusieurs pays de l'UE, la transposition locale peut ajouter des exigences supplémentaires. Notre système de locales associe chaque pays à sa loi spécifique.
FAQ
Non, pas directement. L'AI Act (règlement 2024/1689) exige des fournisseurs d'IA à usage général qu'ils permettent les réclamations relatives aux droits fondamentaux au titre de l'article 86. Un canal de signalement est exigé par la directive distincte 2019/1937, qui s'applique aux entités juridiques de 50 salariés ou plus. La plupart des entreprises d'IA avec lesquelles nous travaillons exploitent le canal interne unique qui satisfait les deux — les obligations juridiques sont complémentaires, non redondantes.
Pas pour la conformité à la directive européenne 2019/1937. Mais si vous vendez à des clients grands comptes, les questionnaires SOC 2 / ISO 27001 utilisés par la plupart des grands acheteurs demanderont « disposez-vous d'un canal de signalement interne ? ». Répondre « non » est de plus en plus éliminatoire. Le coût d'un essai gratuit de 14 jours est bien inférieur à la perte d'un contrat à cause de cette question.
Oui. La réception est une URL publique — les signalants peuvent déposer depuis n'importe quel navigateur, n'importe quel pays et dans l'une des 17 langues. Le tableau de bord est une application web classique. Rien à installer sur l'appareil du signalant ni dans votre infrastructure.
Notre rôle couvre la réception et le journal des dossiers. La protection réelle contre les représailles (droit du travail, enquêtes RH) relève de votre responsabilité. Ce que nous fournissons, c'est un enregistrement défendable : chaque dossier dispose d'un journal d'événements complet avec horodatages et utilisateur agissant, ce qui permet de recouper toute allégation de représailles ultérieure avec la chronologie du dossier.
Oui. Vous pouvez définir un destinataire par défaut par catégorie de dossier, afin que les signalements sur les biais de modèle, la confidentialité des données ou l'intégrité des évaluations arrivent directement à la bonne personne. La revue en plusieurs étapes (tri initial, puis escalade) est également prise en charge.
Oui. La directive européenne sur les lanceurs d'alerte (Article 10(2)(b)) énumère explicitement les « outils de conversion voix en texte » comme canal conforme. Notre saisie vocale transcrit dans le navigateur du lanceur d'alerte, puis supprime l'audio. Le serveur ne voit jamais que la transcription textuelle résultante.
Dans les 7 jours suivant la réception. La directive UE 2019/1937 (Article 7) exige un accusé de réception sous 7 jours et un retour d'information sur le résultat sous 3 mois. Notre plateforme applique les deux délais sous forme de minuteurs visibles par dossier.
La plupart des audits SOC 2 recherchent trois choses : (1) une acquisition documentée avec une URL accessible, (2) un SLA d'accusé de réception avec horodatages, et (3) un journal infalsifiable de qui a traité le dossier. Nous avons les trois dans le produit standard.
Pour le secteur privé, la directive s'applique aux entités juridiques de 50+ travailleurs. Pour le secteur public, elle s'applique à toutes les entités avec 10+ travailleurs municipaux et à tous les organismes gouvernementaux quelle que soit leur taille.
Pour aller plus loin
Lancez un essai gratuit de 14 jours. La conformité est incluse, le journal d'audit est inclus, le chiffrement est inclus.