Gouvernance IA
Easylab AI integre l'intelligence artificielle de maniere responsable, dans le strict respect des cadres reglementaires europeens.
Notre positionnement
Easylab AI est un integrateur de solutions d'intelligence artificielle, pas un producteur de modeles IA. Nous selectionnons, deployons et operons des services IA fonctionnels pour nos clients, dans le cadre de contrats structures couvrant DORA, le GDPR et l'AI Act.
Sous-traitant au sens du GDPR
Nous agissons en tant que sous-traitant (data processor) au sens de l'article 28 du GDPR. Les modalites de protection des donnees sont definies contractuellement selon les exigences de chaque projet.
Prestataire ICT au sens de DORA
Pour les entites financieres, nous sommes qualifies de prestataire tiers de services ICT. Nos contrats couvrent les exigences de l'article 30 de DORA.
Deployeur au sens de l'AI Act
Nous classifions chaque systeme IA deploye par niveau de risque et mettons en place la documentation, la transparence et la supervision humaine requises.
Cadres reglementaires
Les trois reglementations europeennes qui structurent nos contrats et nos pratiques.
Reglement (UE) 2024/1689 sur l'intelligence artificielle
Application progressive depuis aout 2025Premier cadre juridique complet au monde pour l'IA. Classifie les systemes par niveau de risque et impose des obligations proportionnelles de transparence, documentation et supervision.
- Classification des systemes IA par niveau de risque (Art. 6, Annexe III)
- Mention obligatoire d'assistance IA sur chaque livrable (Art. 50)
- Supervision humaine obligatoire avant diffusion
- Tracabilite : logs techniques conserves 2 ans minimum
- Veille sur la conformite des modeles GPAI utilises (Art. 51+)
Reglement (UE) 2022/2554 - Resilience operationnelle numerique
En vigueur depuis le 17 janvier 2025Cadre de resilience operationnelle pour le secteur financier. Encadre la gestion des risques ICT, les prestataires tiers et les obligations de notification d'incidents.
- Registre des sous-traitants ICT
- Plan de continuite (BCP) et plan de reprise (DRP)
- Notification des incidents majeurs sous 48h
- Droits d'audit et d'acces par le client et la CSSF
- Plan de sortie (Exit Plan) et portabilite des donnees
Reglement (UE) 2016/679 - Protection des donnees personnelles
En vigueur depuis mai 2018Fondement de toute integration IA responsable. Definit les obligations du responsable de traitement et du sous-traitant en matiere de protection des donnees personnelles.
- Clauses de protection des donnees adaptees a chaque contrat
- Traitement sur instructions documentees uniquement (Art. 28)
- Mesures techniques : chiffrement TLS 1.2+, AES-256
- Notification de violation de donnees sous 72h (Art. 33)
- Autorisation prealable pour tout sous-traitant ulterieur
Partenaires technologiques
Chaque fournisseur est evalue sur ses certifications et sa conformite avant integration.
Anthropic
ClaudeFournisseur principal de modeles LLM
OpenAI
GPTModeles LLM complementaires
Google Cloud
GCPInfrastructure cloud et Vertex AI
Amazon Web Services
AWSInfrastructure cloud et hebergement EU
Microsoft Azure
AzureInfrastructure cloud et Azure OpenAI
n8n
n8n CloudOrchestration de workflows IA
Engagements contractuels
Pratiques documentees et verifiables, integrees dans nos contrats de service.
Questions frequentes
Par defaut, nous privilegions les datacenters de l'Union Europeenne (Frankfurt, Dublin, Tallinn). Pour chaque projet, le choix d'hebergement est documente et valide avec le client.
Non. Les API de nos fournisseurs (Anthropic, OpenAI) n'utilisent pas les donnees transmises pour entrainer leurs modeles. C'est une propriete native de l'utilisation via API.
En tant que deployeur, nous classifions chaque systeme IA deploye selon les categories de risque de l'AI Act. Pour les systemes a risque limite, nous mettons en place les obligations de transparence (Art. 50) et de documentation. La supervision humaine est obligatoire avant toute diffusion de livrable.
Les clauses de protection des donnees conformes au GDPR sont integrees dans nos contrats de service selon les exigences du projet. Elles couvrent les obligations du sous-traitant, les mesures de securite techniques et organisationnelles applicables.
Nous appliquons une notification sous 48h (DORA) et 72h (GDPR). Chaque incident est documente avec : nature, perimetre, systemes et donnees concernes, mesures correctives et plan de remediation.
Nos contrats conferent au client, a ses mandataires et aux autorites de surveillance (CSSF, CNPD) des droits d'audit, d'inspection et d'acces aux locaux, systemes et logs, conformement aux exigences de DORA et du GDPR.