01
Obtenir le reçu
Le reçu identifie une interaction encadrée. Aujourd’hui, il s’obtient auprès du client dont le déploiement a passé ou reçu l’appel ; celui-ci peut l’exporter sans nous le demander.
Autorités et DPO
Ce qu’un reçu établit, et ce qu’il n’établit pas.
Cette page est écrite pour quelqu’un qui doit se forger un avis, non pour acheter quelque chose. Elle expose comment un reçu de conformité est contrôlé, quelles parties dépendent de la confiance accordée à Audact et lesquelles n’en dépendent pas, et à quoi nos contacts avec les autorités se résument réellement.
Rien sur cette page n’a été examiné, adopté ou approuvé par une autorité, et nous le disons là où cela compte plutôt qu’en bas de page.
Contrôler un reçu
Quatre étapes, dont aucune ne requiert de compte Audact.
Un reçu est un objet par interaction encadrée. Le calcul ci-dessous porte sur cet objet, avec le texte sur lequel il a été calculé ; les racines de Merkle sont publiées à api.audact.ai/v1/metachain.
- 02
Recalculer les empreintes
L’empreinte d’entrée, l’empreinte de sortie et l’empreinte de l’événement de preuve précédent se recalculent à partir du reçu, du texte sur lequel il a été calculé et de l’événement précédent de la chaîne. Un recalcul concorde ou ne concorde pas.
- 03
Contrôler l’inclusion dans la racine de Merkle
Le reçu porte `evidence_hash` ; la chaîne de preuves relie chaque événement au précédent. Parcourir la preuve d’inclusion (`merkle_proof`) du rapport de l’appel au titre de l’article 50 jusqu’à la racine établit que ce reçu figure dans ce lot et n’a pas été substitué à un autre. Les racines sont publiées à api.audact.ai/v1/metachain.
- 04Sur demande
Demander l’enregistrement environnant
La version de la politique est exportable par locataire, en JSON et sous une forme qu’un délégué à la protection des données peut lire.
Explorateur de reçus Parcourir une chaîne d’exemple champ par champ. Sans compte, sans clé d’API.
Exemple de reçu (JSON) La forme lisible par machine, avec des valeurs synthétiques.
Exemple de reçu (PDF) Le même enregistrement sous une forme qu’un DPO peut lire.
Périmètre
Quelles parties ne dépendent pas de la confiance que vous nous accordez, et lesquelles en dépendent.
C’est la partie du modèle de preuve qui mérite le plus votre temps. Elle est énoncée ici exactement comme sur la page de preuve, et elle ne devient pas plus forte pour ce public.
Contrôlable par quiconque
Trois valeurs, recalculables sans clé
L’empreinte d’entrée, l’empreinte de sortie et l’empreinte de l’événement de preuve précédent. Une quatrième, l’inclusion dans la racine de Merkle, se contrôle au regard de la racine publiée avec la preuve d’inclusion figurant dans le rapport de l’appel au titre de l’article 50. Pour les trois valeurs déjà en place, il n’y a ni clé, ni compte, ni accès à notre base de données : le calcul porte sur le reçu que vous avez en main, avec le texte sur lequel il a été calculé et l’événement précédent de la chaîne.
Clé nécessaire
À quoi sert la clé
Le code d’authentification est un HMAC-SHA256 calculé sur le reçu canonique, sous une clé symétrique détenue par Audact. Quiconque peut contrôler le code peut aussi le produire. Il atteste que l’enregistrement est intact, et non qui l’a écrit.
Ce qu’il consigne
Ce sur quoi porte un reçu, et ce sur quoi il ne porte pas
Un reçu est un enregistrement fidèle de ce que le système a reçu, décidé et émis. C’est ce qu’il établit — et non si le monde y correspondait. Si un appelant a donné un faux nom, le reçu enregistre fidèlement ce faux nom.
Un point de plus, parce que c’est celui que l’on suppose le plus souvent à l’envers. L’horodatage sur la racine est un horodatage RFC 3161 émis par freeTSA.org, un service public gratuit. Il fixe un ordre par rapport à notre propre chaîne ; freeTSA.org n’est pas un service de confiance qualifié au sens d’eIDAS, il ne s’agit donc pas d’un horodatage qualifié et nous ne le présentons pas comme tel.
Toute modification ou tout réordonnancement ultérieur de la chaîne est détectable par recalcul par rapport à un engagement conservé. C’est la propriété que nous revendiquons, et nous ne revendiquons rien de plus fort.
Contacts
Où en sont réellement nos contacts avec les autorités.
Chaque ligne dit ce qu’elle est et ce qu’elle n’est pas. Rien de tout cela ne confère un statut, et rien ne doit être lu comme une évaluation d’Audact par qui que ce soit.
État, août 2026
Bureau de l’IA de l’UE : réponse à la consultation sur l’article 50
3 juin 2026
Pacte de l’UE sur l’IA : engagements volontaires du pilier II
Répertorié
Bacs à sable réglementaires de l’article 57 (NL, DE)
Dialogue exploratoire
Non participant
Autorités nationales de contrôle
Recherche de dialogue
Aucune adoption
Service public de contrôle
Pas encore disponible
Aucune date arrêtée
L’accusé de réception d’une réponse à une consultation n’est pas un aval et ne confère aucun statut particulier. Le Pacte sur l’IA est un engagement public volontaire ; la Commission indique que les engagements ne sont pas juridiquement contraignants ; les signer ne constitue donc ni une certification, ni une approbation, et ne crée aucune présomption juridique de conformité d’un système au règlement sur l’IA. Aucune autorité n’a adopté ni approuvé cette page.
Le dossier élargi
Ce qui entoure un reçu.
Une interaction isolée est rarement toute la question. Les documents ci-dessous sont ceux qu’une autorité de contrôle ou un délégué à la protection des données demande normalement ensuite, et ils sont publics.
Centre de confiance Sous-traitants ultérieurs, hébergement, conservation, et ce pour quoi nous ne détenons aucune certification.
Architecture de sécurité et de conformité DPA, matrice des sous-traitants ultérieurs, répartition des responsabilités, et ce qu’une AIPD devrait couvrir (aucun modèle publié).
Accord de traitement des données Conditions de l’article 28, en intégralité.
Article 50, article par article Ce que la loi exige, avec les numéros d’article.
Notre contribution à la consultation sur l’article 50 Cinq positions, publiées sans modification.
Signaler une vulnérabilité Politique de divulgation coordonnée et safe harbour.
Posez la question directement
Un briefing technique, avec un ingénieur dans la salle.
Nous nous rendons disponibles une heure avec le personnel des autorités de contrôle, les délégués à la protection des données et les juristes. Apportez les questions auxquelles cette page n’a pas répondu ; celles sur ce que l’artefact n’établit pas sont les plus utiles.
- regulators@audact.ai
Merci d’indiquer votre fonction et votre organisation.
- security@audact.ai
Divulgations de sécurité et signalements coordonnés de vulnérabilités.