Les contrôles, documents et responsabilités que votre équipe doit évaluer.

En un coup d’œil

Chaque ligne, avec le type de statut qui lui convient.

Chaque ligne ci-dessous est soit un document de cette page, soit un lien, soit une déclaration que nous répéterons par écrit sur demande. Le mot d’état suit le type de chose qu’il décrit, parce qu’un seul mot ne peut pas porter six types de faits : une société est vérifiée dans un registre public, un contrôle technique est mis en œuvre, un contrat est à l’état de projet, en revue par le conseil juridique ou contractuel, un modèle est disponible ou ne l’est pas, un produit est en tests contrôlés, et une certification est détenue ou ne l’est pas.

Les statuts des produits sont lus dans le même registre que les pages produit, et chacun porte la date de sa dernière vérification.

Périmètre technique

Voice d’abord : ce que fait chaque produit aujourd’hui, et quand cela a été vérifié.

Governed Voice AI est le premier produit, et celui qui est proposé aujourd’hui. Governed Chat et Governed Email sont en tests contrôlés sur la même couche de contrôle ; Business-action Control est en développement. La matrice complète des capacités, avec chaque partie, son responsable, le fondement de son statut et ce que ce statut n’établit pas, figure dans le dossier d’évaluation.

Sociétés

Deux sociétés, chacune avec un seul rôle.

• AUDACT AI LIMITED — Irlande, CRO 822514 — est la société d’exploitation. La société Audact qui est partie à votre contrat est fixée dans le bon de commande que vous signez ; le DPA, section 1, énonce la position.
• Un accord signé auparavant avec la société britannique est cédé à la société irlandaise par notification écrite, avec effet à la date de cette notification. Cette page n’affirme pas que chaque accord existant a déjà été cédé. Pour la position sur un contrat existant, écrivez à legal@audact.ai.
• Brevets en instance : stack d’encadrement en attente de brevet (UK IPO). Ce sont des demandes déposées. Aucune n’a été délivrée, et aucune n’a fait l’objet d’une recherche ni d’un examen. Rien sur cette page ne constitue une revendication de blocage à l’encontre d’une société.
• La documentation détaillée sur la propriété intellectuelle est disponible pour les clients et leurs conseils juridiques sur demande.

Rôles en matière de protection des données

Qui est responsable du traitement, qui est sous-traitant, et où c’est consigné.

Audact est sous-traitant ou sous-traitant ultérieur. Le client est responsable du traitement, ou lui-même sous-traitant à l’égard de son propre client final. Le rôle découle de la manière dont un déploiement est configuré ; il est donc consigné par déploiement dans l’accord de traitement des données (RGPD, art. 28).

L’AI Act et les règles sur la responsabilité du fait des produits attribuent chacun leurs propres rôles. Qui est fournisseur et qui est déployeur dépend du déploiement, et le contrat consigne quelle obligation de l’article 50 incombe à qui ; savoir si une agence en marque blanche est traitée comme un fabricant relève de l’appréciation de votre conseil juridique.

Article 50

La transparence de l’IA est un socle. Le contrôle métier est le sujet plus vaste.

L’article 50 du règlement européen sur l’IA s’applique depuis le 2 août 2026. C’est une obligation de transparence, pas une interdiction, et elle n’oblige personne à acheter une couche d’encadrement. L’obligation qui pèse sur vous, sur votre agence ou sur Audact dépend de qui est fournisseur et de qui est déployeur dans un déploiement, et le contrat le consigne.

Ce qu’une IA peut dire ou promettre en votre nom est fixé par vos propres règles, et non par l’article 50. Les deux obligations sont distinctes :

Hébergement et transferts

Où la plateforme fonctionne, et quelles données quittent l’EEE.

Hébergement principal de l’application : Francfort (AWS eu-central-1).

Plusieurs sous-traitants ultérieurs sont constitués aux États-Unis, et CloudFront et Route 53 sont des services mondiaux avec des points de présence hors de l’UE. Les transferts hors de l’EEE reposent sur clauses contractuelles types. Chaque partie est listée ci-dessous avec son pays et sa base de transfert, et les clients sont prévenus 30 jours avant l’ajout d’une nouvelle.

DPA et registre des traitements

L’accord de l’article 28, et le résumé de l’article 30.

Les conditions de l’article 28 sont publiées sous forme de projet, en revue par le conseil juridique. Elles couvrent le périmètre du traitement, la chaîne de sous-traitants ultérieurs, la résidence des données, les mesures de l’article 32, la notification des violations et le crypto-shredding comme mécanisme d’effacement. Le PDF final, avec la rédaction revue par le conseil juridique, est remis pendant l’onboarding ; écrivez à legal@audact.ai si les achats en ont besoin plus tôt.

Ci-dessous figure un résumé public du registre des activités de traitement. Il n’existe pas encore de registre par client ; le premier est établi avec le premier déploiement payant.

• Catégories de traitement : appels d’agents IA vocaux entrants et sortants, attestation de la chaîne de preuves, validation de l’encadrement de marque, facturation.
• Personnes concernées : les clients finaux et les appelants des clients agences d’Audact.
• Conservation : l’audio des appels n’est pas conservé. L’enregistrement est prévu, pas livré ; lorsqu’il le sera, la conservation sera de 90 jours au plus et fixée par contrat. Les enregistrements de la chaîne de preuves sont conservés pendant la durée du contrat, puis seulement aussi longtemps que la règle applicable au client l’exige.
• Base légale : exécution du contrat (art. 6, par. 1, point b)) pour la relation entre Audact et l’agence. L’agence est responsable de la base légale à l’égard de l’appelant final.

Contrôles de sécurité

Les contrôles, décrits plutôt que certifiés.

Incident et contact sécurité

Comment joindre une personne.

Les signalements de sécurité vont à security@audact.ai selon la politique de divulgation coordonnée, avec un accusé de réception sous 48 heures ; ce même contact est publié à /.well-known/security.txt. Si Audact a connaissance d’une violation de données personnelles, il en informe le client dans les meilleurs délais ; le responsable du traitement porte le délai de l’article 33, paragraphe 1, à l’égard de l’autorité de contrôle.

Il n’existe pas encore de page d’état publique ; l’état du service est communiqué directement aux clients.

• security@audact.ai : divulgations de sécurité et politique de divulgation coordonnée.
• privacy@audact.ai : demandes d’accès aux données et questions relatives au RGPD.
• legal@audact.ai : questions contractuelles, et demandes du DPA au format PDF.
• regulators@audact.ai : autorités de contrôle, délégués à la protection des données et conseils juridiques.

Statut des certifications

Ce que nous détenons, et ce que nous ne détenons pas.

Audact ne détient aucune certification de sécurité ni de gestion de l’IA.

Pacte sur l’IA de l’UE

Un engagement volontaire, publiquement répertorié.

Audact AI Ltd figure dans la liste de la Commission européenne parmi les signataires des engagements volontaires du Pacte sur l’IA. La participation est volontaire ; ce n’est ni une certification de l’UE, ni une approbation, ni une preuve de conformité à l’AI Act.

Audact AI Ltd a déposé ses engagements du Pilier II le 10 juin 2026. L’entrée figure sur la page du Pacte sur l’IA de la Commission, sous « Signatories of the pledges » (vérifiée le 25 octobre 2026), si bien qu’un tiers peut la contrôler sans nous le demander. La Commission indique que les engagements ne sont pas juridiquement contraignants et n’imposent aucune obligation légale aux participants. Pour nous, c’est un engagement public volontaire — ni une certification, ni un audit, ni une approbation, et aucune présomption de conformité.

Preuves d’acceptation

Ce qui a été mesuré, et ce que l’acceptation d’un déploiement exige.

Governed Voice AI est en tests contrôlés : des appels sont exécutés, mais aucun déploiement payant n’est passé par là.

Un déploiement entre en exploitation seulement après que votre client final a examiné son comportement et ses enregistrements, et cette acceptation est convenue par déploiement. Les mesures qui fondent les autres statuts portent chacune leur date ; la matrice des capacités les recense toutes. Trois points sur lesquels une revue achats s’interroge habituellement :

• Production export of receipts — Testé à nouveau le 26 août 2026, après le déploiement, mesuré sur des appels par navigateur plutôt que sur une ligne téléphonique.
• Check for your own text agents — A satisfait aux cinq conditions QA sur staging le 20 octobre 2026 : blocage, modification, vérification de chaque réponse dans l’exécution de test, et enregistrement de chaque vérification.
• Public API host — Mesuré le 21 octobre 2026 : GET https://api.audact.ai/v1/health renvoie 200 ; les routes /v1 protégées renvoient 401 avec le corps d’erreur standard. La référence publique à /docs/api-reference liste chaque opération publique.

Limites des preuves

Ce que chaque élément de preuve établit, et où il s’arrête.

Un reçu établit que la trace est intacte : une modification ou une réorganisation ultérieure est détectable par recalcul par rapport à un commitment conservé. Il n’établit pas qui l’a émis, et si l’événement sous-jacent est avéré.

Le code d’authentification du reçu, les racines de Merkle publiées, l’enveloppe d’export signée (ECDSA-P256), l’horodatage RFC 3161 de freeTSA.org, le content credential C2PA émis sur demande et la confirmation d’un système externe établissent chacun quelque chose de différent. La page de preuves les présente ligne par ligne, avec ce que chacun ne montre pas.

Matrice des allégations marketing

Ce qu’une agence, et Audact, peuvent dire en public.

Audact Guarantee

Une couverture étroite, et ses limites.

Si le moteur encadré aurait dû arrêter un énoncé selon les règles actives et ne l’a pas fait, vous obtenez le dossier de preuves pour y répondre, ainsi que toute compensation financière que prévoit votre bon de commande signé. Elle est volontairement étroite, et la seconde liste est la partie qui mérite d’être lue deux fois.

• Couvert : les ratés du moteur d’encadrement d’Audact — les cas où le moteur aurait dû bloquer un énoncé selon les règles actives et ne l’a pas fait.
• Non couvert : le prompt engineering du client qui contourne l’intention d’une politique.
• Non couvert : le mésusage par le client final, y compris la désactivation des règles de conformité.
• Non couvert : les obligations hors des juridictions configurées.
• Non couvert : les déploiements qui exigeaient une analyse d’impact sur les droits fondamentaux que le client n’a pas réalisée.
• Non couvert : les changements réglementaires après le déploiement. Nous mettons à jour le jeu de règles ; l’obligation de migrer reste au client.
• Non couvert : les amendes réglementaires, et les dommages-intérêts réclamés par des tiers ou des clients finaux. Ce n’est pas une assurance.