Cabinet de gouvernance des systèmes d'IA — le Constat d'exposition IA, signé par un docteur en droit.
Vos équipes n'ont rien à remplir.
Ojja extrait ce qui existe — et le prouve.
Le Constat d'exposition IA : ce qui tourne réellement dans votre organisation — agents, applications, sous-traitants — établi dans la semaine et signé par un docteur en droit. 2 900 € HT, prix fixe.
Attestation d'exposition IA — exemple
5 obligations non couvertes · 2 accès jamais revus
Réf. OJJA-2026-0000 · Dr Yassine Bouaïcha
Quand Ojja intervient.
Le même constat, quelle que soit la situation qui vous amène : ce qui existe, ce qui était déclaré, l'écart, et sa lecture juridique.
- Avant votre renouvellement d'assurance — Votre assureur couvre le risque IA. Votre réponse à son questionnaire doit être exacte.
- Quand le CSE demande — La liste des outils IA, y compris en test. Avant le déploiement, pas après.
- Quand un client vous pose la question — La liste de vos sous-traitants IA, sous garantie contractuelle.
- Avant une cession ou une acquisition — Le passif IA de la cible n'est pas dans la data room.
- Avant de renouveler ou de généraliser Copilot — Combien de sièges, pour qui, et ce que vous devez au CSE et à la CNIL avant de signer.
L'écart entre le déclaré et le réel est votre exposition.
Le chiffre surprend rarement la DSI ; il surprend le juriste. Des systèmes que vos équipes connaissent très bien sont des systèmes d'IA au sens de l'AI Act : le scoring de votre SIRH, l'IA embarquée dans vos SaaS, le chatbot de votre site qui ne dit pas qu'il en est un, les assistants autorisés par un consentement OAuth un mardi soir, les agents créés par les métiers, les comptes de service que personne n'a revus. Chaque éditeur a construit sa tour de contrôle ; aucune ne voit les autres.
Les démarches classiques vous font remplir un registre — questionnaires, ateliers, tableurs. Or ni le régulateur, ni votre assureur, ni votre CSE ne contrôleront vos déclarations. Ils regarderont ce qui tourne. C'est le renversement que nous opérons : la déclaration n'est jamais la source de vérité. Votre registre se construit depuis l'extraction ; les entretiens le complètent et le contextualisent, ils ne le fondent jamais.
Le nombre ouvre la porte. Ce qui compte, c'est l'exposition : parmi ce qui tourne, ce qui porte des obligations que personne ne couvre, et ce dont les accès n'ont jamais été validés. La question qui condense tout : qui signerait votre registre actuel ?
Notre métier tient en une phrase : constater votre exposition réelle en lisant directement vos plateformes, l'attester, et maintenir cette preuve dans le temps.
Dans la semaine, vous savez ce qui vous expose aujourd'hui — et vous pouvez le prouver à qui vous le demande.
Ce que vous pouvez faire lundi :
- Répondre à votre assureur — la section gouvernance de l'IA de son questionnaire, avec un document à l'appui.
- Présenter au comité de direction — le chiffre, le verdict, trois actions, en une page.
- Corriger ce qui est sanctionnable aujourd'hui — à commencer par le chatbot, avec le texte de mention validé.
- Décider de la suite en connaissance de cause — et à J+30, prouver que c'est corrigé.
Les preuves qui le permettent :
L'attestation d'exposition IA — une à deux pages, signée, numérotée, vérifiable par un tiers. C'est le document que vous remettez.
Le rapport de constat — ce qui est sanctionnable aujourd'hui, trois à cinq expositions démontrées avec leur preuve horodatée et leur correctif, le mesuré face au déclaré, votre tableau de maîtrise — compteurs et ratios, chacun avec son assiette.
La note d'une page pour votre direction — le chiffre, le verdict, trois actions, la décision demandée.
Le constat de remédiation à J+30 — la preuve, signée, que ce qui devait être corrigé l'a été.
Votre effort total : deux accès en lecture seule, deux heures de votre temps.
Sanctionnable, pas encore sanctionné.
« L'AI Act, ce n'est pas pour décembre 2027 ? » Si. Et ce n'est pas la raison de faire un constat aujourd'hui. Ce qui déclenche une mise en cause maintenant, dans l'ordre où nous le voyons arriver :
- Votre assureur. Votre garantie cyber couvre le risque IA sans le nommer, et la gouvernance IA entre dans l'évaluation à la souscription. Le Code des assurances vous oblige à répondre exactement ; une déclaration inexacte, même sans intention, réduit l'indemnité au jour du sinistre.
- Vos clients et vos acquéreurs. Les questionnaires des grands comptes et les checklists de due diligence intègrent vos systèmes d'IA et vos sous-traitants IA — sous clause d'audit et de garantie.
- La CNIL. Un outil IA branché sur des données RH ou clients est d'abord un sous-traitant au sens du RGPD : un contrat art. 28, une ligne au registre art. 30 — et cela, c'est contrôlé depuis huit ans.
- Votre CSE. Un système d'IA déployé sans consultation préalable, c'est un référé possible : en janvier 2026, le tribunal judiciaire de Nanterre a suspendu deux logiciels RH sous astreinte, et en mai la cour d'appel de Paris a jugé qu'encadrer ChatGPT par une charte, c'est déjà l'introduire. Chaque système non déclaré est un système sur lequel le CSE n'a pas été consulté.
- L'AI Act lui-même. Les obligations de transparence sont applicables et sanctionnables depuis le 2 août 2026 ; les interdictions s'appliquent et une nouvelle s'ajoute le 2 décembre 2026 ; l'obligation de maîtrise de l'IA a été réécrite en juillet 2026. Le calendrier des systèmes à haut risque — décembre 2027, août 2028 — est une fenêtre de cartographie, pas une dispense.
Le parallèle est connu : au RGPD, les organisations qui ont gagné sont celles qui ont structuré leur conformité avant la vague — pas celles qui ont attendu le premier contrôle. Et le but n'est pas de freiner vos déploiements : c'est de les accélérer sans vous mettre en danger.
Trois services, un registre.
Vrai à une date, vrai et complet, reste vrai : chaque service répond à un horizon, chacun s'ouvre directement, et le registre est le même — rien ne se refait deux fois.
| Constat d'exposition IAce qui tourne, constaté à une date | Registre IA qualifiéchaque système qualifié, opposable à n'importe quel tiers | Bureau de gouvernance IAvotre registre reste vrai, re-signé à chaque échéance | |
|---|---|---|---|
| Durée | Dans la semaine | 3 semaines | En continu |
| Prix | 2 900 € HT, prix fixe | Sur devis — verrouillé 90 jours après un Constat, à périmètre constant | Sur devis, engagement 12 mois |
Le Constat prouve à une date, le Registre qualifie tout, le Bureau maintient.
Voir l'offre en détailLe Constat coûte moins qu'une journée de conseil d'un grand cabinet — pour un document que vous gardez et transmettez. Le Bureau, c'est un DPO externalisé pour vos agents IA.
Nous lisons, nous prescrivons, nous prouvons. Nous ne touchons jamais vos systèmes.
Lecture seule sur vos plateformes. Extraction directe, traçable : l'audité ne choisit pas la preuve. Le registre se construit depuis l'extraction, jamais depuis des questionnaires. Prescriptions précises — quoi, où, critères d'acceptation — exécutées par vos équipes. Re-vérification et preuve signée à chaque étape. Vos données restent sous souveraineté européenne, isolées, purgées avec attestation. Indépendants des éditeurs : nous lisons leurs outils, nous n'en vendons aucun.
Le technique et le droit, dans la même signature.
Dr Yassine Bouaïcha — Docteur en droit des affaires, architecte de plateformes d'entreprise (ServiceNow, écosystème Microsoft) — plus de vingt ans dans les systèmes d'information, dont huit sur ServiceNow. La personne qui lit vos consentements OAuth et vos comptes de service est la même qui qualifie vos systèmes au sens de l'AI Act — et qui signe.
Chaque attestation est signée. Chaque qualification est motivée, article par article. Chaque affirmation juridique est sourcée.
Commencez par constater.
Dans la semaine, la liste des systèmes d'IA qui tournent chez vous — y compris ceux que personne n'a déclarés — et un document signé pour le prouver.