Qu'est-ce qu'un Constat d'exposition IA ?

Un Constat d'exposition IA est un document daté et signé par un docteur en droit qui établit ce qui tourne réellement dans une organisation — systèmes d'IA, agents, fonctions IA intégrées, sous-traitants — en le lisant directement dans ses plateformes, et en donne la lecture juridique. La déclaration n'en est jamais la source : la liste déclarée sert à mesurer l'écart, jamais à fonder le registre.

Ce qu'il contient

L'attestation d'exposition IA — une à deux pages, signée, avec un numéro de référence et un contact de vérification. Périmètre, méthode, dates, verdict, et sa date de validité : elle établit ce qui existait à sa date ; sa réutilisation ne l'actualise pas. Document externe : celui que vous remettez à votre assureur, votre board, votre commissaire aux comptes. Chaque constat signé a sa page de preuve publique, accessible par son numéro de référence — date, périmètre en termes génériques, empreinte, aucune donnée client : un tiers vérifie le document sans nous écrire.
Le rapport de constat — (~10 pages) — en tête, le verdict « exposition immédiate » : ce qui est sanctionnable aujourd'hui. Puis trois à cinq expositions démontrées — chaîne complète (source de données → système d'IA → modèle ou destination), preuve horodatée, sévérité, correctif précis, effort. Le mesuré face au déclaré, par type et par canal de découverte. Le tableau de maîtrise — compteurs et ratios, chacun avec son assiette. Le compteur « reste à qualifier ». La trajectoire vers décembre 2027. Un plan chiffré vers le Registre.
La note à la direction — une page : le chiffre, le verdict, trois actions, la décision demandée.
Le constat de remédiation à J+30 — une seconde attestation, signée, qui décrit ce qui a été corrigé. Un constat sans suite peut se retourner contre vous ; celui-ci ferme la boucle.
La cartographie de souveraineté IA — par service : où sont les données, sous quelle juridiction, quels sous-traitants de modèles, réutilisation ou non pour l'entraînement.
Le journal de preuve — la traçabilité de la collecte : qui a lu quoi, quand, sur quel périmètre, par quel accès. Annexé à chaque constat.
Votre dossier de preuve — un espace en ligne, connexion sans mot de passe, où vos pièces restent accessibles douze mois et se partagent par lien daté.

Le risque s'attache à l'usage, pas à l'outil.

Un même assistant peut porter trois usages à trois niveaux de risque : rédiger une annonce, pré-trier des candidatures, appuyer une décision client. Le règlement ne qualifie pas l'outil — il qualifie l'usage. C'est pourquoi lister vos outils ne suffit pas.

Ce qu'il n'est pas

Ce n'est pas un document de conformité : il établit un fait à une date, sous une signature, et en donne la lecture juridique ; il ne prétend pas à la conformité de l'organisation. Ce n'est ni un questionnaire, ni un atelier, ni un outil que vos équipes doivent alimenter. Ce n'est pas un audit complet : la qualification signée de l'ensemble du périmètre, les entretiens métier et la cartographie des droits relèvent du Registre IA qualifié — chaque système qualifié, opposable à n'importe quel tiers.

Comment il est établi

Avant l'ouverture des accès Vous nous remettez la liste des systèmes d'IA connus de votre DSI. Elle est scellée (empreinte et horodatage) : c'est la base du « mesuré face au déclaré » — elle sert à mesurer l'écart, elle n'est jamais la source du registre. Votre administrateur ouvre deux accès en lecture seule : votre annuaire (Entra ID ou Okta) et la console de votre plateforme principale (Copilot Studio, Salesforce, ServiceNow…). Deux entretiens de 30 minutes sont calés : DSI/RSSI d'abord, DPO/juridique ensuite.
Extraction et croisement Nous lisons directement vos plateformes : applications et consentements OAuth, agents et compétences, comptes de service, licences. Le registre d'agents de votre éditeur est lu comme une source parmi d'autres et confronté à ce que nous mesurons.
Qualification, preuves, verdict Chaque système trouvé est relevé et compté ; ce qui est déjà applicable — art. 4, 5 et 50 — est qualifié, l'art. 4 s'évaluant au niveau de l'organisation, sur la base des éléments déclarés par l'organisation, non vérifiés par extraction. Le compteur « reste à qualifier » dit précisément ce que le Registre qualifiera. Trois à cinq expositions sont documentées avec leur preuve, et votre tableau de maîtrise est établi : compteurs et ratios — déclarés face à constatés, sans propriétaire, usages non qualifiés — chacun avec son assiette. La restitution d'une heure est une réunion de décision : DPO, DSI et sponsor budget dans la même pièce.

Votre effort : deux heures. Une liste de vos systèmes d'IA connus, un kickoff de 30 minutes, l'ouverture de deux accès en lecture seule, une restitution d'une heure. Deux accès, pas quinze.

Chaque ligne se vérifie deux fois.

D'où vient le fait : chaque système relevé renvoie à son acte de collecte — quelle source, quelle extraction, quelle date. D'où vient l'obligation : chaque obligation cite sa référence précise et renvoie au texte officiel. Votre DPO, votre auditeur ou un tiers peut remonter chaque affirmation à sa source — sans nous croire sur parole.

Qui le signe

Dr Yassine Bouaïcha — Docteur en droit des affaires, architecte de plateformes d'entreprise (ServiceNow, écosystème Microsoft) — plus de vingt ans dans les systèmes d'information, dont huit sur ServiceNow. La personne qui lit vos consentements OAuth et vos comptes de service est la même qui qualifie vos systèmes au sens de l'AI Act — et qui signe.

Chaque attestation est signée. Chaque qualification est motivée, article par article. Chaque affirmation juridique est sourcée.

À quoi il sert

Avant votre renouvellement d'assurance — Votre assureur couvre le risque IA. Votre réponse à son questionnaire doit être exacte.
Quand le CSE demande — La liste des outils IA, y compris en test. Avant le déploiement, pas après.
Quand un client vous pose la question — La liste de vos sous-traitants IA, sous garantie contractuelle.
Avant une cession ou une acquisition — Le passif IA de la cible n'est pas dans la data room.
Avant de renouveler ou de généraliser Copilot — Combien de sièges, pour qui, et ce que vous devez au CSE et à la CNIL avant de signer.

Prix — 2 900 € HT, prix fixe, dans la semaine ; votre devis de Registre, dérivé du Constat, est verrouillé 90 jours, à périmètre constant.

Questions fréquentes

Est-ce un document de conformité ?

Non. Le constat établit un fait — ce qui existe, à une date, sous une signature — et en donne la lecture juridique. Il ne prétend pas à la conformité de votre organisation ; il vous dit où vous en êtes, avec quoi le prouver.

Que signifie « exposition » ?

Parmi ce qui tourne, ce qui porte des obligations que personne ne couvre, et ce dont les accès n'ont jamais été validés. Le nombre ouvre la porte ; l'exposition est ce qui compte.

Qui peut le demander ?

Le dirigeant, la DSI, le DPO, le RSSI ; ou le conseil qui en a besoin : avocat, courtier, DPO externalisé.

Qu'est-ce que l'attestation d'exposition IA ?

La pièce d'une à deux pages, signée, numérotée, vérifiable par un tiers, que vous remettez à votre assureur, votre CSE, votre acquéreur ou votre client. Elle porte sa formule de périmètre : « consultation limitée au périmètre constaté ; qualification préliminaire, à confirmer en audit ». Elle porte aussi sa date de validité : elle établit ce qui existait à cette date, et ne dit rien de ce qui a été mis en service depuis. Et chaque constat signé a sa page de preuve publique, accessible par son numéro de référence — date, périmètre en termes génériques, empreinte, aucune donnée client — qu'un tiers peut vérifier sans nous écrire.

Mis à jour le 13 septembre 2026

Réserver un échange de 30 min