Sécurité et conformité

Confiance et conformité chez AM8

AM8 applique à elle-même, en continu, l’audit qu’elle vend, et en remet les résultats à tout client ou auditeur qui en fait la demande.

Cadres de référence et posture de conformité

Les cadres de référence à l’aune desquels AM8 se mesure. AM8 ne détient encore aucune certification délivrée par un tiers.

RGPD

Protection des données dans l’UE : notre manière de traiter les données

Règlement européen sur l’IA (AI Act)

Règlement 2024/1689 : auto-évalué et surveillé en continu

Juridictions couvertes

Chaque obligation, échéance et document, pour chaque juridiction que nous couvrons, tenus à jour par des experts juridiques identifiés.

COUVERTE

Union européenne

Règlement européen sur l’IA (AI Act, dates après l’Omnibus) · points de contact avec le RGPD

COUVERTE

Émirats arabes unis

PDPL · Règlement 10 du DIFC · Charte de l’IA des Émirats arabes unis

Conformité des cookies

Art. 7 du RGPD + directive ePrivacy

Mécanisme de consentementBandeau de consentement propriétaire (aucune plateforme tierce de gestion du consentement).

Scripts tiersUn seul : Vercel Web Analytics, chargé uniquement si vous consentez à la mesure d’audience. Il n’utilise aucun cookie, est servi depuis ce domaine plutôt que depuis l’origine d’un traceur, et n’est jamais chargé si vous refusez. Aucun script publicitaire, marketing ou d’enregistrement de session, de quelque nature que ce soit.

Décisions de consentement enregistréesOui, chaque décision est journalisée avec sa preuve

Analyse réussie · 2026-09-10

Analyse automatisée de https://am8-ai-governance.tech le 2026-09-10 : rien n’est stocké dans votre navigateur avant que vous ne fassiez un choix, un refus ne laisse que les éléments strictement nécessaires nommés dans la politique relative aux cookies, et la mesure d’audience ne se charge qu’après votre acceptation.

Surveillance continue des contrôles

Dernière mesure le 19 octobre 2026

AM8 surveille ses propres systèmes d’IA avec la même surveillance continue des contrôles que celle qu’elle fournit à ses clients, en testant de nouveau chaque contrôle applicable à intervalles réguliers.

Contrôles surveillés

Cadres de référence

Règlement européen sur l’IA (AI Act) · RGPD · Émirats arabes unis (PDPL / DIFC / Charte de l’IA)

Les résultats détaillés, contrôle par contrôle, sont communiqués aux clients, aux prospects et aux auditeurs sur demande, sous accord de confidentialité (NDA). security@am8-ai-governance.tech

Intégrité des preuves

Vérifiable sans AM8

Chaque dossier de preuves exporté par AM8 est signé avec cette clé. Toute personne qui détient un dossier peut confirmer, hors ligne et sans contacter AM8, qu’il s’agit bien du dossier que nous avons produit et que rien n’y a été modifié depuis. Une signature prouve que le dossier n’a pas été altéré ; elle ne rend pas son contenu exact.

S’applique aux dossiers exportés à partir d’août 2026. Les exports antérieurs ne portent qu’une empreinte de contenu et ne peuvent pas être vérifiés de manière indépendante.

Pour vérifier un dossier, comparez cette clé à celle qu’il contient, puis exécutez le vérificateur.

Signature: Ed25519
Identifiant de clé: 9d3787bd05c60bea29772f1ccd90fef6
Clé publique (spki-der-base64): MCowBQYDK2VwAyEANNpyl8wJbIrEQeyV7eyS0J7hGNARvvZTYAXJSWSF10E=
Vérificateur: https://app.am8-ai-governance.tech/verify-audit-pack.mjs (fonctionne hors ligne, sans dépendance)

Accords de traitement des sous-traitants

Art. 28 du RGPD

Le statut de l’accord de traitement des données de chaque prestataire qui traite des données clients, y compris tout accord encore en attente. Aucun espace client n’est ouvert chez un sous-traitant dont l’accord n’est pas encore en vigueur.

Prestataire	Finalité	Région des données	Statut de l’accord
Mistral AI	Vérification indépendante des documents de conformité générés	UE	Signé
Anthropic	Traitement par IA (Claude) : génération de documents, détection, conseiller ARIA, aide à la saisie, rapports et synthèses, et commentaires sur l’usage de l’IA	États-Unis (clauses contractuelles types)	Signé
Supabase	Base de données, authentification et stockage de fichiers	UE (Francfort)	Signé
Vercel	Hébergement du site, diffusion de contenu et mesure d’audience sans cookie, chargée uniquement avec consentement	UE / États-Unis	En attente
Resend	Envoi d’e-mails transactionnels	États-Unis (clauses contractuelles types)	Signé
Stripe	Paiements et facturation	UE (Irlande)	Signé
Sentry	Suivi des erreurs, les données personnelles étant retirées avant l’envoi	Entité américaine, région de données dans l’UE	Signé
Railway	Hébergement du back-end (API et tâches d’arrière-plan)	UE (Amsterdam)	Signé

Voir la liste complète des sous-traitants (en anglais)

Contrôles de sécurité

Résidence des données

Les données clients sont stockées dans l’UE (Supabase, Francfort). Les requêtes d’IA sont adressées à Anthropic, un fournisseur américain, dans le cadre de clauses contractuelles types, via son service mondial, où l’inférence peut s’exécuter dans toute zone géographique mise à disposition par Anthropic ; le fournisseur n’entraîne pas ses modèles sur les données de l’API ; aucun traitement en région UE n’est actuellement disponible pour ce modèle. La vérification indépendante des documents générés s’exécute séparément chez Mistral AI, dans l’UE.

Chiffrement au repos

AES-256 (géré par Supabase)

Chiffrement en transit

TLS 1.3 imposé

Authentification

Authentification par jeton, avec un contrôle d’accès propre à chaque client appliqué à chaque enregistrement

Sauvegardes

Sauvegardes chiffrées conservées dans deux emplacements distincts, avec une restauration testée le 26 août 2026. Le point de reprise correspond à l’âge de la dernière sauvegarde ; pas de restauration à un instant donné

Journalisation d’audit

Enregistrement de chaque action sensible, de chaque test de contrôle et de chaque élément de preuve collecté, que l’application ne peut ni modifier ni supprimer. Les corrections se substituent aux entrées antérieures ; l’historique n’est jamais réécrit par l’intermédiaire de l’application

Retrait des données personnelles

Les données personnelles sont retirées des rapports d’erreur avant qu’ils ne quittent nos systèmes

Contrôle d’accès

Accès fondé sur les rôles pour les propriétaires, les administrateurs et les membres

Transparence des systèmes d’IA

Règlement européen sur l’IA, article 13 + information au titre de l’article 50

Claude (Anthropic)

Risque limité

Utilisé pour

Génération de documents de conformité
Génération de rapports de direction hebdomadaires et mensuels
Génération d’évaluations d’alignement sur la Charte de l’IA des Émirats arabes unis
Accompagnement conversationnel en conformité dans ARIA, le conseiller intégré au produit
Commentaires dans les rapports de coût et de valeur

Garde-fous

Tous les documents de conformité générés par l’IA portent un filigrane DRAFT (brouillon) jusqu’à leur revue par une personne qualifiée
Aucun résultat de l’IA n’est soumis aux autorités sans validation humaine
Les résultats de l’IA sont validés avant d’être stockés, et tout résultat mal formé est rejeté
Lorsque la vérification indépendante est en vigueur, chaque document généré est vérifié avant la revue ; un document non vérifié est signalé comme tel et n’est jamais présenté comme vérifié

Claude (Anthropic) pour la détection au titre de l’article 5

Risque limité

Utilisé pour

Détection des pratiques interdites au titre de l’article 5 du règlement européen sur l’IA

Garde-fous

Aucun résultat de l’IA n’est soumis aux autorités sans validation humaine
Les résultats de l’IA sont validés avant d’être stockés, et tout résultat mal formé est rejeté

Information au titre de l’article 50 : Le contenu généré par Claude (Anthropic) est assisté par l’IA. ARIA, le conseiller intégré au produit, se présente comme un système d’IA sur chaque écran où il apparaît, avant qu’une personne puisse lui envoyer quoi que ce soit. Tous les documents de conformité générés par l’IA portent clairement la mention DRAFT (brouillon) jusqu’à leur revue par un professionnel qualifié de la conformité. AM8 ne présente pas les résultats de l’IA comme un conseil juridique certifié.

Établissement et autorité de contrôle

Article 3 du RGPD · établie dans l’UE

AM8 SASU est établie en France, au sein de l’UE. En tant que responsable du traitement établi dans l’UE, AM8 n’est pas tenue de désigner un représentant dans l’UE au titre de l’article 27. Les personnes concernées dans l’UE peuvent introduire une réclamation auprès de leur autorité de contrôle locale ou de la CNIL.

Protection des données : privacy@am8-ai-governance.tech

Autorité chef de file : CNIL (Commission nationale de l’informatique et des libertés) · cnil.fr

Personnes concernées britanniques

RGPD britannique (UK GDPR)

Si vous vous trouvez sur le territoire britannique, vous pouvez introduire une réclamation auprès de l’Information Commissioner’s Office (ICO), l’autorité britannique de protection des données.

Contact : privacy@am8-ai-governance.tech

ICO · ico.org.uk

Documents et contact sécurité

Présentation de la sécurité (une page)

Pour les vérifications préalables des entreprises · sur demande par e-mail · en anglais

Accord de traitement des données (DPA)

Article 28 du RGPD · en anglais

Politique de confidentialité

Art. 13/14 du RGPD · en anglais

Signaler une vulnérabilité : nous accueillons volontiers la divulgation responsable. Écrivez à notre équipe sécurité à security@am8-ai-governance.tech et nous accuserons réception de votre signalement sous deux jours ouvrés.

Pour toute question relative à la protection des données, contactez privacy@am8-ai-governance.tech. AM8 est un produit d’AM8 SASU, société immatriculée en France.