Le dossier de preuves : ce que reçoit votre auditeur

Un dossier de preuves complet pour l’agent de crédit d’une banque fictive, produit par le même logiciel qu’un vrai dossier. Son plan de test est réduit à douze obligations pour rester lisible. La mention SPÉCIMEN figure sur chaque page, et le dossier est signé avec une clé de spécimen, jamais avec notre clé de production.

Sa campagne de test compte un test échoué et un test à valider. La synthèse de la campagne liste les deux, chacun avec son taux et une réponse.

La banque, l’agent, ses réponses et les personnes citées sont fictifs. Tout le reste est celui du produit réel : les sections et leur ordre, le texte de loi cité mot pour mot, et le mode de signature.

1. 01

   Couverture

   L’agent, la décision, la version et l’empreinte du contenu. L’empreinte est reprise sur chaque page.

2. 02

   Synthèse

   La classification AI Act, l’article 5 et l’article 50, le nombre de tests et de documents qui fondent la décision, et la décision elle-même. Si la fiche d’enregistrement laisse le périmètre ouvert, un avertissement vient en premier, avant tout constat.

3. 03

   Fiche d’enregistrement

   Ce que fait l’agent, les données et les outils qu’il utilise, qui il sert et comment une personne le contrôle, tels que votre équipe les a déclarés.

4. 04

   Classification juridique

   La classification AI Act, déduite par règles de la fiche d’enregistrement, avec l’article qui fonde chaque motif. La priorité de revue, notre propre classement de l’attention que mérite chaque agent, n’y figure pas.

5. 05

   Évaluation des contrôles

   Chaque contrôle avec son résultat, et toute décision contraire du relecteur avec sa note. Chaque réglementation porte une mention qui indique la profondeur de la vérification.

6. 06

   Synthèse de la campagne de test

   Combien de tests ont été envoyés et leurs résultats, la façon dont l’agent a été joint, les tests échoués ou à valider avec leur taux et une réponse chacun, et tout appel à un outil que l’agent n’avait pas déclaré.

7. 07

   Couverture obligation par obligation

   Chaque obligation applicable citée d’après le texte et la raison pour laquelle elle s’applique, puis chaque test : le prompt, le comportement attendu, le constat sur l’ensemble des tentatives, et une réponse avec son numéro de tentative et le raisonnement de l’évaluateur. Les documents figurent avec les passages cités. Les obligations hors périmètre sont listées avec leur raison, et celles qui ne s’appliquent pas encore sont présentées à part.

8. 08

   Décision du relecteur

   Approuvé, Approuvé sous conditions ou Refusé, avec les notes et les conditions, et l’indication si le relecteur a aussi enregistré l’agent ou configuré sa connexion.

9. 09

   Piste d’audit

   Les événements qui mènent à la décision, dans l’ordre, avec la date et le résultat du dernier contrôle qui montre qu’aucun n’a été modifié ni supprimé.

10. 10

    Méthode

    Les versions qui ont produit les constats : les instructions de l’évaluateur, la bibliothèque de modèles de tests, le corpus d’obligations et les seuils de couverture.

Toutes les réponses, et pas seulement celle qui est imprimée, figurent dans le rapport de campagne et son export par tentative.

• Si votre fiche laisse le périmètre ouvert, la première page le dit avant tout constat.
• Chaque obligation écartée est listée, avec sa raison.
• Les tests qui ne touchent une obligation qu’indirectement sont signalés comme tels.

1. Calculez le condensat SHA-256 du PDF.
2. Prenez la signature et l’identifiant de clé dans la ligne du registre. Pour le spécimen, c’est specimen-signatures.json.
3. Vérifiez la signature Ed25519 du condensat hexadécimal avec la clé publique. Pour le spécimen, c’est specimen-signing-key.json.

Pour un vrai dossier de preuves, la ligne vient de l’export CSV de votre liste Dossiers de preuves, et les clés publiques sont publiées à l’adresse /.well-known/vidimus-signing-keys.json.

sha256sum vidimus-specimen-evidence-pack-fr.pdf
printf '%s' "$(sha256sum vidimus-specimen-evidence-pack-fr.pdf | cut -d' ' -f1)" > digest.txt
jq -r '.[] | select(.locale == "fr") | .signature_ed25519_hex' specimen-signatures.json | xxd -r -p > sig.bin
jq -r .public_key_pem specimen-signing-key.json > key.pem
openssl pkeyutl -verify -pubin -inkey key.pem -rawin -in digest.txt -sigfile sig.bin

const { createHash, createPublicKey, verify } = require('node:crypto');
const pdf = require('node:fs').readFileSync('vidimus-specimen-evidence-pack-fr.pdf');
const line = require('./specimen-signatures.json').find((e) => e.locale === 'fr');
const key = createPublicKey(require('./specimen-signing-key.json').public_key_pem);
const hex = createHash('sha256').update(pdf).digest('hex');
console.log(hex === line.sha256 && verify(null, Buffer.from(hex), key, Buffer.from(line.signature_ed25519_hex, 'hex')));

Sans compte, sans appel à Vidimus.

Dossier de classification

La classification AI Act, votre rôle (fournisseur ou déployeur), l’article 5, l’article 50 et toute dérogation de l’article 6, paragraphe 3, dans un document versionné dont le condensat SHA-256 figure en première page.

PDF

Attestation article 50

La première page du dossier de classification et sa section article 50 : les paragraphes qui s’appliquent, à qui incombe chaque obligation, et les preuves de test pour chaque paragraphe.

PDF

Rapport de campagne

Chaque test d’une campagne avec son résultat, et chaque réponse avec les tentatives qui l’ont donnée. Existe aussi en tableur, avec une ligne par test ou une ligne par tentative.

PDF, CSV

Registre d’informations DORA

Les lignes des modèles RT.05.01 et RT.07.01, par agent concerné. Les champs contractuels restent vides, pour que votre outil de gestion des contrats les remplisse.

CSV

Registre de maîtrise de l’IA (article 4)

Les réponses aux questions de la fiche d’enregistrement sur la maîtrise de l’IA, par agent.

CSV