IA Act : la conformité par construction avec BrainDup

Depuis le 2 août 2026, l'essentiel du règlement européen sur l'intelligence artificielle est applicable. Passé l'échéance, une question devient très concrète pour toute entreprise qui a déployé de l'IA : êtes-vous capable de le prouver ?

Car c'est là que se joue l'IA Act. Le règlement ne demande pas de bonnes intentions ni des engagements de fournisseurs. Il demande des traces, de la documentation, des journaux, une supervision humaine démontrable. Autrement dit : des preuves matérielles, produites par le système lui-même.

Face à cette exigence, deux stratégies s'opposent. La première consiste à empiler une couche de conformité sur un outil cloud étranger : procédures, registres tenus à la main, captures d'écran, engagements contractuels. C'est coûteux, c'est fragile, et cela laisse une dépendance à un fournisseur que Bruxelles surveille de son côté. La seconde consiste à choisir une architecture dans laquelle ces obligations ne sont pas une surcouche, mais des propriétés du système.

C'est le pari de BrainDup. Voici, article par article, ce que cela signifie techniquement.

Article 10, gouvernance des données : la provenance est une contrainte, pas une métadonnée

Le règlement exige que les jeux de données soient pertinents, représentatifs, et que leur origine soit documentée et gouvernée. Dans BrainDup, la provenance n'est pas un champ que l'on remplit après coup :

l'empreinte cryptographique d'un document est calculée avant tout traitement, avant l'OCR, avant l'extraction ;
tout objet dérivé (chaque fragment de texte, chaque vecteur, chaque nœud du graphe de connaissances) porte l'identifiant de sa provenance, de son document, de sa source et de son lot d'ingestion ;
un document déjà présent ne peut pas être ré-ingéré silencieusement : le doublon est détecté par empreinte et refusé ;
les droits de diffusion sont portés par la donnée elle-même, avec un défaut fermé : ce qui n'a pas été explicitement ouvert reste interne.

Conséquence pratique : la question « d'où vient cette information ? » n'appelle pas une enquête. Elle appelle une requête.

Article 12, enregistrement des événements : des journaux que le logiciel lui-même ne peut pas réécrire

Le règlement impose une journalisation automatique permettant de retracer le fonctionnement du système. BrainDup tient sept journaux d'audit en insertion seule, protégés au niveau de la base de données par des déclencheurs qui interdisent physiquement la modification et l'effacement d'une ligne écrite. Ce n'est pas une convention de développement que l'on peut contourner : c'est une contrainte du moteur.

Sont journalisés, entre autres : chaque question posée et sa trace de raisonnement, chaque suppression de document, chaque décision humaine d'arbitrage, chaque accès, chaque évaluation de qualité.

Un détail qui compte : lorsqu'une suppression échoue partiellement (un magasin injoignable, par exemple), l'audit est écrit quand même, avec le compte exact de ce qui a été détruit dans chacune des bases. Un système qui n'écrit ses traces que lorsque tout se passe bien ne trace rien d'utile.

Article 13, transparence : le modèle rédige la réponse, jamais la référence

Chaque réponse cite ses sources, et ces citations ne sont pas écrites par le modèle de langage. Elles sont assemblées par le code depuis le catalogue documentaire : auteur, numéro, date, page, adresse. Le modèle n'a jamais la main sur une métadonnée.

Cette séparation est stricte, et sa conséquence est directe : une citation fausse est impossible par construction, non parce que le modèle serait fiable, mais parce qu'il n'écrit pas les références.

Corollaire, plus rare qu'on ne le croit dans l'industrie : quand le corpus ne contient pas la réponse, le système refuse de répondre. Il ne comble pas. Une affirmation sans source est traitée comme un défaut bloquant, au même titre que les autres invariants d'architecture du moteur.

Article 14, contrôle humain : l'humain arbitre là où la machine doute

Le règlement exige que des personnes puissent superviser le système, intervenir, et le cas échéant l'interrompre. BrainDup place l'humain aux points de doute plutôt que partout :

les fusions d'entités à faible confiance sont arbitrées par un curateur, jamais appliquées automatiquement ;
les faits contestés ou incertains partent dans une file d'arbitrage ;
les liens de causalité ne sont jamais déduits d'une simple cooccurrence : ils exigent un énoncé explicite ou une validation humaine ;
toute décision humaine est auditée et réversible.

Ce dernier point mérite d'être souligné. Une supervision humaine dont on ne garde pas la trace n'est pas une supervision : c'est une opinion oubliée.

Article 15, exactitude et robustesse : mesurée, et mesurée sans complaisance

Le règlement demande un niveau approprié d'exactitude, et surtout sa mesure. BrainDup s'appuie sur une évaluation empirique : un jeu de questions de référence, rejoué à chaque évolution du système, avec comparaison à la version précédente. Trois seuils explicites : 100 % de citations exactes, au moins 80 % de réponses correctes, zéro invention.

Le point technique important : cette évaluation est déterministe. Aucun modèle de langage ne juge un autre modèle de langage ; on ne mesure pas une IA avec une IA dont la fiabilité est le sujet même de la mesure.

Article 50 : signaler que l'on parle à une IA, sans ambiguïté entretenue

L'obligation est simple et BrainDup ne cherche pas à la contourner : l'interface annonce ce qu'elle est. Il n'y a ni faux conseiller humain, ni ambiguïté entretenue.

Articles 53 et suivants, modèles à usage général : le vrai point de bascule

C'est ici que l'écart entre les deux stratégies devient structurel.

Les fournisseurs de modèles généralistes sont soumis à leurs propres obligations, supervisées par la Commission européenne. Si votre système repose sur eux, une part de votre conformité dépend d'un tiers que vous ne contrôlez pas, dont les conditions d'usage, les versions et la disponibilité évoluent sans vous.

BrainDup fonctionne intégralement sur votre infrastructure. Les modèles sont ouverts et exécutés localement. Aucune donnée ne quitte l'entreprise, et ce n'est pas une promesse commerciale : c'est une propriété vérifiée automatiquement à chaque modification du code, par un contrôle bloquant qui refuse toute dépendance sortante non déclarée.

Cela change la nature du problème. Vous ne transférez plus vos documents à un tiers en espérant qu'il reste conforme. Il n'y a pas de transfert.

Article 26, obligations du déployeur : ce qui reste à faire, mais avec des outils

Le règlement impose au déployeur d'utiliser le système conformément à sa notice, d'assurer une supervision compétente, de conserver les journaux et de surveiller le fonctionnement. BrainDup fournit la matière : contrôle d'accès par rôles et permissions, journal complet de la vie du corpus, écran de gouvernance, statistiques d'usage et de coût. Ce qui doit être fait reste à faire, mais avec des outils, pas avec un tableur.

Ce que BrainDup ne fait pas à votre place

Un article honnête doit dire où s'arrête l'outil. Aucun logiciel ne rend une organisation conforme, et se méfier de qui le promet est une bonne habitude.

La conformité s'apprécie par système et par usage, pas par produit. Selon ce que vous en faites, votre déploiement peut relever du haut risque, auquel cas vous devrez conduire votre analyse de risques, produire votre documentation technique, désigner vos responsables et, le cas échéant, procéder aux formalités prévues. BrainDup vous donne les preuves techniques ; il ne rédige pas votre dossier et n'engage pas votre responsabilité.

De même, la sensibilisation de vos équipes relève de votre organisation. Le règlement l'exige depuis février 2025, et aucun outil ne s'en acquitte à votre place ; c'est précisément l'objet de nos formations.

Un mot enfin sur les sanctions, souvent citées de façon approximative. Le plafond de 35 millions d'euros ou 7 % du chiffre d'affaires mondial vise les pratiques interdites. Le manquement aux obligations des systèmes à haut risque relève d'un autre palier, de l'ordre de 15 millions d'euros ou 3 %. Cela reste considérable, et le raisonnement ne change pas : mieux vaut une architecture qui produit ses preuves qu'un dossier reconstitué après coup.

Le fond du sujet

Réguler sans stratégie industrielle revient à organiser sa dépendance. Sur ce constat, nous rejoignons ceux qui rappellent que l'open source demeure, pour les entreprises de taille intermédiaire, le levier de souveraineté le plus accessible.

Mais un constat ne suffit pas. L'IA Act ne récompensera pas les déclarations d'intention ; il demandera à voir les journaux, les traces, les sources, les décisions.

C'est pour cela que ces propriétés ne sont pas, chez nous, des fonctionnalités ajoutées après coup. Ce sont des invariants d'architecture : des règles que le code ne peut pas violer, vérifiées automatiquement, et sur lesquelles tout le reste est construit.

Nous étions d'accord avec le constat. Nous avons construit l'outil.

BrainDup est une plateforme d'IA documentaire souveraine : ingestion, graphe de connaissances et réponses sourcées, sur votre infrastructure. Pour en discuter, prenez rendez-vous ou écrivez-nous.

IA Act : comment BrainDup y répond, article par article