Vous livrez les modèles pour lesquels la première réglementation IA a été écrite.
Pour les startups natives de l'IA confrontées aux obligations techniques du règlement européen sur l'IA (journalisation, gouvernance des données) en plus des exigences SOC 2 et RGPD que chaque client impose déjà.
Les startups IA sont régulées de deux côtés à la fois. Les clients demandent les éléments familiers : des réponses SOC 2 et RGPD avant d'envoyer des données à vos modèles. Et si votre système entre dans le champ d'application à haut risque du règlement européen sur l'IA, celui-ci ajoute des obligations qui sont des artefacts techniques, et non des politiques : tenue de registres sur toute la durée de vie du système, gouvernance des données ayant servi à son entraînement. Ces deux types d'obligations évoluent dans les pull requests, souvent dans le code de pipeline en mutation rapide qu'une équipe IA refactorise chaque semaine.
Les obligations du règlement résident dans votre pipeline
Ce que le règlement sur l'IA exige d'un système à haut risque ressemble à une liste de contrôle de revue de code : conserver des journaux automatiques des événements du système (Art. 12), gérer les données utilisées pour l'entraînement (Art. 10). Ces propriétés s'érodent de la même manière que la couverture de test, une suppression pratique à la fois. heygrc est conçu pour lire chaque modification par rapport aux cadres que vous avez sélectionnés et citer l'article ou le contrôle concerné, afin que la traçabilité nécessaire pour une évaluation de conformité ne disparaisse pas discrètement dans une PR de nettoyage.
Il ne classe pas le niveau de risque de votre système ni ne réalise votre évaluation de conformité, et déterminer si le règlement s'applique à vous relève de votre propre évaluation. Il détecte les diffs qui érodent les registres dans tous les cas, ce que les lentilles SOC 2 et RGPD surveillent également.
Des modifications qui semblent être du code ordinaire.
Quelques-unes des modifications pertinentes pour les contrôles que heygrc est conçu à signaler pour ce cas, chacune citée avec la clause qu'elle touche.
Inference logging is removed from a decision system
EU AI Act Art. 12A training pipeline adds a data source with no governance record
EU AI Act Art. 10A user-deletion job skips the vector store
GDPR Art. 17
Les cadres qui comptent le plus ici.
Guide: Vérifications de conformité pour le code généré par IA
heygrc signale les modifications pertinentes pour les contrôles et cite la clause afin que le problème puisse être traité dans la pull request. Il ne vous certifie pas, ne réalise pas votre audit, ni ne remplace votre propre jugement.