Charte IA et transparence
BoardAct aide les entreprises à gouverner leurs usages de l’IA. Il serait incohérent de ne pas appliquer à nous-mêmes ce que nous recommandons : cette charte dit où il y a de l’IA chez BoardAct, où il n’y en a pas, et ce que nous nous interdisons.
En bref. BoardAct ne fait pas fonctionner son registre, ses scores ou ses priorités avec un modèle d’IA. Nous n’entraînons aucun modèle sur vos données et ne transmettons aucune donnée de vos Espaces à un fournisseur d’IA. Dans sa configuration hébergée pour les clients, BoardAct n’active aucun modèle d’IA ; la fonction du logiciel qui peut faire appel à un modèle de langage est facultative et désactivée par défaut. Pour notre propre fonctionnement, nous utilisons des agents d’IA uniquement sur des espaces internes, jamais sur les Espaces des clients.
1. Où il y a de l’IA, où il n’y en a pas
| Fonction | Fonctionnement | IA ? |
|---|---|---|
| Registre des usages, fiches, journal | Saisie et consultation de données par vos équipes | Non |
| Priorisation, scores, calculateur | Règles et formules explicites, documentées, définies par des humains | Non |
| Lecture de la description de votre identité visuelle | Lexique fixe de mots-clés (français, anglais, italien, espagnol), sans réseau | Non |
| Conseil d’identité visuelle par modèle de langage (facultatif) | Si l’exploitant l’active, la description (500 caractères au plus) et la liste des couleurs candidates sont envoyées à un modèle compatible OpenAI choisi par l’exploitant. Jamais d’image ni d’autre donnée de l’Espace. Le modèle ne peut que choisir parmi des valeurs fermées ; BoardAct calcule les couleurs et vérifie la lisibilité. | Oui, si activée. Désactivée par défaut et dans les Espaces hébergés par BoardAct. |
| Agents d’IA internes de BoardAct | Agents orchestrés par Paperclip, avec des modèles d’OpenAI (dont Codex), utilisés pour le fonctionnement de BoardAct | Oui, uniquement sur des espaces internes de BoardAct, jamais sur les Espaces des clients. Une option d’agents d’IA pour les clients, non commercialisée à ce jour, aura ses propres conditions et sera ajoutée à la liste des sous-traitants avant toute activation. |
Quand la fonction facultative est utilisée, sa réponse est affichée avec la mention « Proposition de l’IA », et la lecture par mots-clés avec la mention « Lecture par mots-clés (sans IA) ». En cas d’échec du modèle, la lecture par mots-clés prend le relais. La décision d’appliquer une proposition reste toujours celle d’un administrateur, et peut être annulée.
2. Notre position au regard du règlement européen sur l’IA
Analyse de BoardAct au regard du règlement (UE) 2024/1689 (« AI Act »), à la date de cette version :
- Selon notre analyse, le logiciel BoardAct, dans sa configuration par défaut, n’est pas un système d’IA au sens de l’article 3, point 1 : il applique des règles définies par des humains et n’infère pas lui-même ses résultats à partir des données.
- Il ne relève pas des usages à haut risque de l’annexe III (il ne sert pas, par exemple, au recrutement, à l’évaluation des salariés, à l’accès au crédit ou aux services essentiels) et n’est pas un composant de sécurité d’un produit réglementé. Il ne doit pas être détourné vers ces usages, par exemple pour noter individuellement des salariés.
- La fonction facultative de suggestion visuelle. Dans sa configuration hébergée pour les clients, BoardAct n’active aucun modèle d’IA. Une fonction facultative de suggestion visuelle existe dans le logiciel auto-hébergé ; sa qualification et les obligations de chaque acteur dépendent de ses modalités d’activation et de mise à disposition. Nous informons l’utilisateur lorsqu’il interagit avec cette fonction et réexaminons les obligations de l’article 50 avant toute activation commerciale.
- Pour ses propres usages, BoardAct est déployeur de systèmes d’IA : des assistants de programmation et des agents d’IA (orchestrés par Paperclip, avec des modèles d’OpenAI dont Codex). Ces agents sont utilisés uniquement dans des espaces internes, sans accès autorisé au contenu des Espaces des clients. BoardAct assure la maîtrise de l’IA par les personnes concernées (article 4) et fait passer chaque changement de code produit avec leur aide par une demande de fusion relue par le fondateur, avec contrôles automatisés (tests, analyse de secrets), avant fusion.
- Pour ses clients, BoardAct est un outil de documentation et de pilotage. Il les aide à recenser leurs systèmes, à qualifier leur niveau de risque et à suivre leurs obligations, mais ne certifie pas leur conformité : chaque entreprise reste responsable de ses obligations de fournisseur ou de déployeur.
3. Nos engagements
- Aucun entraînement sur vos données. Ni BoardAct, ni ses sous-traitants n’utilisent le contenu de vos Espaces, vos e-mails ou vos documents pour entraîner, ajuster ou évaluer un modèle d’IA.
- Aucune donnée d’un Espace hébergé envoyée à un fournisseur d’IA. Si cela changeait, la fonction serait désactivée par défaut, vous en seriez informés au moins 30 jours avant, le fournisseur serait ajouté à la liste des sous-traitants et devrait s’engager contractuellement à ne pas entraîner de modèle sur vos données et à ne pas les conserver au-delà de la requête.
- Transparence à l’écran. Toute production d’un modèle est signalée comme telle.
- Contrôle humain. Aucune décision n’est appliquée automatiquement sur la base d’une proposition d’un modèle.
- Sorties encadrées. Un modèle ne peut produire que des valeurs fermées, vérifiées avant usage : aucun texte libre d’un modèle n’est exécuté ni injecté dans l’interface autrement que comme texte simple.
- Sobriété des journaux. Les échecs d’appel à un modèle sont journalisés sans la clé d’accès, sans la description envoyée et sans la réponse.
- Pas de décision automatisée sur les personnes. BoardAct ne profile pas les utilisateurs et ne produit aucune évaluation individuelle de salarié.
4. Correspondance indicative avec ISO/IEC 42001
ISO/IEC 42001:2023 décrit un système de management de l’IA. BoardAct n’est pas certifié ISO/IEC 42001. Le tableau ci-dessous présente une correspondance indicative entre des pratiques déclarées en place et certains objectifs de contrôle de son annexe A ; il ne constitue ni une déclaration de conformité à la norme ni un rapport d’audit.
| ISO/IEC 42001, annexe A | Ce que fait BoardAct |
|---|---|
| A.2 Politiques relatives à l’IA | La présente charte, publique, revue au moins une fois par an. |
| A.3 Organisation interne | Un responsable unique identifié (le fondateur) pour l’IA, la sécurité et les données ; signalement à [email protected]. |
| A.4 Ressources | Inventaire des modèles et outils d’IA utilisés, tenu dans BoardAct lui-même. |
| A.5 Évaluation des impacts | Évaluation documentée avant toute nouvelle fonction d’IA (données envoyées, effets sur les personnes, mesures) ; celle du conseil d’identité visuelle a conduit à le désactiver par défaut. |
| A.6 Cycle de vie | Exigences écrites, tests automatisés, relecture par le fondateur, solution de repli sans IA, activation explicite par configuration. |
| A.7 Données | Minimisation (500 caractères, aucune image), aucune donnée client pour l’entraînement. |
| A.8 Information des parties intéressées | Mentions à l’écran, documentation publique de la fonction, la présente charte. |
| A.9 Usage responsable | Contrôle humain, usages interdits (notation individuelle des salariés), quotas d’appels. |
| A.10 Relations avec les tiers | Exigence contractuelle de non-entraînement et de non-conservation pour tout fournisseur d’IA, liste publique des sous-traitants. |
5. Signaler un problème
Une question ou une inquiétude sur l’usage de l’IA par BoardAct : [email protected]. Une faille de sécurité : [email protected].