Hub de recherche indépendant documentant les cadres de conformité algorithmique, la gouvernance de l'IA et les métriques d'IA souveraine.
Independent research initiative on EU AI Act frameworks, ISO standards and sovereign AI metrics.
WASA Confidence est un hub de recherche à but non lucratif qui documente la manière dont les organisations démontrent leur conformité à l'EU AI Act et préparent une certification ISO/IEC 42001. Le règlement européen sur l'intelligence artificielle est entré en vigueur en août 2024 ; les obligations applicables aux systèmes à haut risque s'échelonnent jusqu'en août 2026. La plupart des opérateurs découvrent tardivement que la difficulté n'est pas technique mais probatoire : ce qu'il faut écrire, tester, conserver, et pouvoir montrer à un auditeur.
Nos travaux couvrent les quatre questions que posent le plus souvent les équipes conformité. Quels systèmes relèvent réellement du haut risque ? L'annexe III énumère des cas d'usage précis — évaluation de la solvabilité des personnes physiques, identification biométrique, emploi et gestion des travailleurs, accès aux services essentiels, éducation, répression, infrastructures critiques. Un système situé hors de ces catégories n'est pas à haut risque au seul motif qu'il est puissant. Que recouvre concrètement la supervision humaine de l'article 14 ? Non pas une personne qui regarde un tableau de bord, mais une capacité documentée à interpréter la sortie, à s'en écarter et à interrompre le système. À quoi ressemble un système de management de l'IA ? La norme ISO/IEC 42001 en fixe la structure : politique, inventaire des systèmes, analyse d'impact, documentation des jeux de données, gestion des incidents et amélioration continue. Enfin, que prouve réellement un certificat ? Qu'une organisation applique un processus documenté — jamais qu'un modèle donné est exact, non biaisé ou adapté à vos données.
En complément du volet réglementaire, nous publions un index d'exposition des métiers à l'IA cartographiant la pression d'automatisation par secteur, des notes de recherche sur l'IA explicable (XAI) et l'interprétabilité ante-hoc, ainsi que la documentation de la série de conférences Analysis of Algorithms. L'ensemble est libre d'accès, non commercial et référencé.
Travaux de fond sur la classification des systèmes d'IA à haut risque au titre de l'annexe III, l'évaluation de la conformité, les obligations de documentation technique, et l'héritage des réformes financières de 2008 dans les exigences actuelles d'équité algorithmique.
Comment l'annexe III définit les systèmes d'IA à haut risque, quelle documentation technique impose l'article 11, et quel parcours d'évaluation de la conformité s'applique aux fournisseurs et aux déployeurs.
Lire l'étude EU AI Act →Étude en cours cartographiant l'exposition des professions à l'automatisation, analysée par composition de tâches plutôt que par intitulé de poste.
Voir l'index d'exposition →Documentation des séries Analysis of Algorithms et Workshop on Analytic Algorithmics, de leurs protocoles d'analyse et du réseau institutionnel qui les a portées.
Consulter la documentation →Comment les réformes financières post-2008 ont façonné les tests d'équité appliqués aujourd'hui aux modèles de scoring de crédit, classés à haut risque par le règlement européen.
Voir la recherche équité →Notes analytiques courtes sur des problèmes de conformité précis : architecture d'interprétabilité, provenance algorithmique et détection de contrefaçons sur les marchés d'actifs.
Pourquoi les modèles interprétables par construction disposent d'un avantage structurel sur les méthodes d'explication post-hoc lorsque la transparence doit être prouvée à un régulateur.
Lire la note XAI →Recherche sur la provenance algorithmique, la détection de deepfakes et de faux, et l'application de la gouvernance ISO 42001 au marché de l'art et au patrimoine culturel.
Lire la note patrimoine →Quatre normes ISO/IEC constituent l'ossature pratique d'un programme de conformité auditable : 42001 pour le management, 27001 pour la sécurité de l'information et la souveraineté des données, 23894 pour le risque, 5259 pour la qualité des données d'entraînement. Aucune n'est juridiquement obligatoire — toutes les quatre sont désormais réclamées par les auditeurs, les assureurs et les acheteurs publics.
La norme de gouvernance de l'IA : politique, inventaire des systèmes, analyse d'impact, documentation des jeux de données et supervision humaine de l'article 14 qu'elle opérationnalise. Ce que la certification couvre — et ce qu'elle ne couvre pas.
Exigences ISO 42001 →Management de la sécurité appliqué aux données d'entraînement et aux artefacts de modèles : contrôle d'accès, chiffrement au repos et défense contre l'empoisonnement de la chaîne d'entraînement.
ISO 27001 appliquée à l'IA →Lignes directrices de gestion des risques : tests de résistance adverses, analyse des modes de défaillance et surveillance continue de la dérive algorithmique une fois le modèle en production.
Gestion du risque ISO 23894 →Exigences de qualité des données d'analyse et d'apprentissage : représentativité, exactitude de l'annotation, complétude et mesure des biais attendue des jeux d'entraînement.
Qualité des données ISO 5259 →Réponses courtes aux questions qui amènent le plus de lecteurs sur ce hub. Chacune renvoie à la recherche complète.
Non. La norme ISO/IEC 42001 est volontaire ; l'EU AI Act est une loi contraignante. L'une ne se substitue pas à l'autre. Ce qu'apporte la 42001, c'est une structure permettant de produire les preuves que le règlement exige : gestion des risques, documentation technique, journalisation, supervision humaine et surveillance après mise sur le marché.
Une organisation peut être conforme au règlement sans être certifiée, et peut être certifiée tout en manquant à une obligation précise du règlement. En pratique, la certification est de plus en plus demandée par les acheteurs, les assureurs et les prêteurs comme indice de maturité.
L'annexe III énumère les catégories : identification et catégorisation biométriques ; composants de sécurité des infrastructures critiques ; accès à l'éducation et à la formation professionnelle ; emploi, gestion des travailleurs et accès à l'activité indépendante ; accès aux services privés et publics essentiels — c'est là que se situe l'évaluation de la solvabilité des personnes physiques ; répression ; migration et contrôle aux frontières ; administration de la justice.
Deux erreurs de lecture reviennent. D'abord, un système n'est pas à haut risque parce qu'il est volumineux ou génératif : le critère est l'usage, pas la capacité. Ensuite, la proximité avec un cas listé peut suffire à faire basculer le régime : un modèle qui se borne à valoriser un actif est hors annexe III, mais si sa sortie alimente directement une décision de crédit concernant une personne, la chaîne compte. Étude complète sur la classification →
L'article 14 impose que les systèmes à haut risque soient conçus de façon à pouvoir être effectivement supervisés par des personnes physiques pendant leur utilisation. « Effectivement » est le mot décisif. La personne doit pouvoir comprendre les capacités et les limites du système, rester consciente du biais d'automatisation, interpréter correctement la sortie, décider de ne pas l'utiliser dans un cas donné, et intervenir ou interrompre le fonctionnement.
Un validateur qui approuve quatre cents décisions par jour sans visibilité sur le raisonnement du modèle, ou sans autorité organisationnelle pour le contredire, ne constitue pas une supervision — quoi qu'en dise le logigramme du processus. Comment ISO 42001 l'opérationnalise →
Le règlement est entré en vigueur en août 2024. Les pratiques interdites et les obligations de littératie en IA se sont appliquées en premier, à partir de février 2025. Les obligations relatives aux modèles d'IA à usage général ont suivi en août 2025. L'essentiel des obligations applicables aux systèmes à haut risque de l'annexe III s'applique à compter d'août 2026, avec un délai plus long pour l'IA à haut risque intégrée à des produits déjà couverts par la législation européenne de sécurité des produits.
Ces échéances et les lignes directrices associées ont déjà évolué : pour toute décision de conformité, vérifier le texte officiel en vigueur.
ISO/IEC 27001 régit la sécurité de l'information : confidentialité, intégrité et disponibilité, y compris pour les données d'entraînement et les artefacts de modèles. ISO/IEC 42001 régit le système d'IA lui-même : inventaire des modèles, analyse d'impact, surveillance de la dérive et maintien du contrôle humain.
Les deux se recouvrent sur la gouvernance des données et sont conçues pour être exploitées comme systèmes de management intégrés. Aucune ne remplace l'autre : la 27001 empêche l'empoisonnement de votre chaîne d'entraînement, la 42001 empêche votre modèle de discriminer silencieusement. ISO 27001 appliquée à l'IA →
Non, et c'est le malentendu le plus lourd de conséquences sur ce marché. La certification atteste d'un système de management, pas d'un résultat. Une organisation certifiée a démontré qu'elle dispose d'un processus documenté pour se demander si un modèle est biaisé et pour consigner la réponse. Elle n'a pas démontré qu'un modèle donné est exact, équitable, ni adapté à votre jeu de données.
Trois questions séparent un certificat utile d'un certificat décoratif : quel périmètre exact couvre-t-il, quel organisme accrédité l'a délivré, et quelles non-conformités ont été relevées au dernier audit de surveillance. Un fournisseur incapable de répondre aux trois possède un logo, pas un dispositif.
Index des domaines couverts par ce hub.
WASA Confidence préserve l'héritage académique d'Analysis of Algorithms (AOFA), série de conférences co-fondée par Philippe Flajolet, dont les travaux sur la combinatoire analytique fondent une large part de l'analyse d'algorithmes moderne. Notre page d'archive documente l'édition 2007 tenue à Juan-les-Pins et le réseau institutionnel qui l'entourait — INRIA, Purdue, École Polytechnique, Carleton, Hokkaido, Victoria, UPC Barcelone et Concordia notamment.
Consulter les archives AOFA 2007 →