Aller au contenu
FREN
Connexion
Assureur · Juriste · DPO

Ce qu'ELYSÉA peut prouver — et ce qu'elle ne peut pas prouver

Fiche technique à destination des assureurs, juristes et DPO qui conseillent des intégrateurs utilisant le pipeline Guardian ELYSÉA. Ce document distingue ce qui est démontrable aujourd'hui, ce qui ne l'est pas encore, et les angles morts déclarés.

Ce document est une fiche technique, pas un avis juridique. Toute appréciation de conformité réglementaire ou de couverture assurantielle reste de la compétence de l'assureur, du juriste ou du DPO. À valider par un juriste avant tout usage contractuel ou réglementaire.

1. Ce qu'ELYSÉA peut produire — et l'état réel de chaque pièce

Journal Guardian signé (HMAC-SHA256)

SUR DEMANDE

Contenu : Horodatage UTC de chaque appel pipeline, posture Guardian activée, plancher de sécurité appliqué, attestation d'exécution (HMAC-SHA256 côté Core). Pas de contenu conversationnel — seules les métadonnées de pipeline.

Format : Extrait horodaté sur la période demandée, avec sa signature HMAC-SHA256.

Délai : Sur demande écrite, sous 48 h ouvrées (contact). L'accès en libre-service viendra avec l'ouverture du portail constructeur.

Rétention : 6 mois minimum (durée indiquée dans la politique de confidentialité).

Ce que ce journal prouve : que l'appel a transité par le pipeline Guardian ELYSÉA. Ce qu'il ne prouve pas : que le contenu de la conversation est conforme — le contenu ne figure pas dans ce journal.

Rapport de conformité AI Act exportable (PDF)

À VENIR

Pas encore accessible : le rapport sera généré dans le tableau de bord à l’ouverture du portail constructeur. Généré à la demande dans le tableau de bord, depuis les données que le cerveau renvoie (alertes, journal déclaré par l’application) ; le journal écrit par le cerveau à chaque échange se lit à part, dans le portail. Conçu pour servir de pièce jointe à un dossier de conformité AI Act, article 12 (traçabilité des systèmes à haut risque).

Ce rapport documente le comportement du pipeline sur la période, pas la conformité réglementaire de l'application intégrée. La conformité globale de l'application relève de l'intégrateur et de son conseil juridique.

Confirmation de transit pipeline sur une requête identifiée

SUR DEMANDE

Sur fourniture d'un identifiant de session ou de requête, ELYSÉA peut confirmer que l'appel a transité par le pipeline Guardian. Délai : sous 48 h ouvrées sur demande à contact@elysea.app.

Sans identifiant de session : impossible. La vérification nécessite un lien technique.

Historique public des versions de comportement

DISPONIBLE

Tableau public des versions actives par date, avec SHA de code et description des changements. Inclut l'épisode 27–28 août 2026 (dérive de comportement sans changement de code).

Voir l'historique des versions →

2. Pièces liées au cerveau — état lu dans la source des outils

Journal de conformité écrit par le cerveau à chaque échange

À VENIR

Le cerveau déployé écrit une entrée par échange (métadonnées de décision, aucun contenu), gardée 183 jours ; lecture par le constructeur dans le portail (liste par curseur et décomptes). Accessible à l’ouverture du portail constructeur.

Empreinte signée de la version du cerveau

À VENIR

À venir : le point de santé publie une empreinte auto-déclarée, non signée ; la signature est spécifiée, pas encore construite dans le cerveau déployé.

Sonde continue du comportement (côté serveur)

À VENIR

À venir : la sonde existe dans le cerveau mais est désactivée par défaut et ne sonde pas le chemin SDK ; activation et extension spécifiées.

3. Ce qu'ELYSÉA ne peut pas produire — limites structurelles

Transcription complète des échanges

Le journal de conformité ne contient que des métadonnées de pipeline (posture, plancher, attestation), pas le contenu des échanges. Il ne permet donc pas de fournir une transcription. Le contenu conversationnel de l'application relève de l'intégrateur.

Identité ou données personnelles des utilisateurs finaux

ELYSÉA ne dispose d'aucun identifiant utilisateur côté Core. L'identification des personnes relève exclusivement de l'infrastructure de l'intégrateur.

Adresses IP des utilisateurs finaux

Non conservées par ELYSÉA. Disponibles uniquement dans les logs réseau de l'intégrateur.

Preuve de conformité réglementaire de l'application intégrée

Le pipeline ELYSÉA est conçu pour encadrer son propre comportement. La conformité de l'application finale (UI, notifications, relances, politique de données) relève de l'intégrateur et de son conseil juridique. ELYSÉA ne peut pas attester de ce qu'elle ne contrôle pas.

Preuve de transit sans identifiant de session

La vérification nécessite un identifiant de requête ou de session côté intégrateur. Sans ce lien, la vérification est impossible même avec accès au journal.

4. Angles morts déclarés — ce que le pipeline ne couvre pas

A-01

L'intégrateur peut appeler le modèle en dehors du pipeline

Le pipeline Guardian est conçu pour être non désactivable dans le chemin d'exécution conforme fourni par ELYSÉA. Mais un intégrateur peut techniquement construire un appel au modèle de génération en contournant ce chemin. ELYSÉA ne peut pas détecter ni empêcher cet usage — son périmètre est le SDK.

A-02

Détection probabiliste — faux négatifs possibles

La détection du signal de crise ou de violation est probabiliste (vote de modèle). Un faux négatif peut traverser le pipeline. La décision de blocage est appliquée par le code une fois le signal détecté. Campagne non tirée : aucun résultat publié. Le protocole sera préenregistré avant le premier tir. Campagne de mesure (conçue, non tirée) : français et anglais — France, États-Unis, Royaume-Uni, Irlande, Canada, Australie et Nouvelle-Zélande ; nombre de cas fixé par le plan préenregistré (à venir). La couverture réelle reste à établir.

A-03

Couche texte uniquement — pas notifications, interface, relances

Le pipeline agit sur le texte généré par le modèle. Il ne contrôle pas les notifications push, les relances par email, les paramètres de l'interface de l'application ou tout autre canal de communication de l'intégrateur. Une application peut engager un utilisateur de façon problématique sans que le pipeline le détecte, si cet engagement passe par ces canaux.

A-04

Aucune mesure publiée, aucune évaluation externe

Aucune mesure n'est publiée à ce jour : campagne non tirée. Panel prévu : 3 juges actifs, tous non-Anthropic. Aucune évaluation externe indépendante n'a été conduite à ce jour. La robustesse réelle sur des populations hors corpus reste inconnue.

A-05

Comportement peut diverger sans changement de code

L'épisode 27–28 août 2026 a montré que le comportement d'un pipeline peut changer sans que le SHA du code change (modification d'un modèle sous-jacent, dérive de contexte, paramètre d'inférence). Empreinte signée de la version du cerveau — À venir : le point de santé publie une empreinte auto-déclarée, non signée ; la signature est spécifiée, pas encore construite dans le cerveau déployé.

CHANTIER EN COURS — EMPREINTE DE COMPORTEMENT

Suite à l'épisode du 27–28 août 2026, un chantier a été ouvert côté Core pour produire :

  • Une empreinte de comportement SHA-256 (distincte du SHA du code) — vérifiable par un tiers sans accès à l'infrastructure
  • Un verrou au démarrage : le pipeline refuse de démarrer si l'empreinte actuelle ne correspond pas à l'empreinte attendue
  • Une sonde de comportement continue en production — signal automatique si le comportement dérive

Ces éléments seront documentés ici dès qu'ils sont disponibles. En attendant, la vérification de cohérence reste manuelle.

Voir l'épisode complet dans l'historique des versions →

RESSOURCES ASSOCIÉES

Procédure incident →Historique des versions →Rapport de conformité AI Act (portail) →Vérification publique d'une application →Transparence — limites complètes →

Contact : contact@elysea.app · Pour les incidents critiques : objet [URGENT SECURITE] · Pour les demandes documentaires urgentes : sous 48 h ouvrées.

Votre dossier

Dossier 03 — Assureurs (souscripteurs, courtiers, MGA)

  • Problème : exclusions IA générative depuis 01/2026, faute de visibilité [S-ASS-01].
  • ELYSÉA : correspondance AIUC-1 — C001-C004, C006, E015 couverts par pièces ; C010-C012 exigent un tiers ; E002/E003 restent à l'assuré.
  • Réserve : aucune source ne promet que trace + preuve suffisent à assurer — hypothèse à tester.
  • Prochain pas : atelier AIUC-1 après publication des résultats. → 03_ASSUREURS.md
Lire le dossier completTélécharger le PDFTous les dossiersRésumé (PDF, 1 page)Brochure (PDF, 2 pages)

Mesures (fichier de résultats de campagne)