Gouvernance des décisions automatisées
Créez et gérez vos décisions de crédit automatisées dans Decisimo. Les versions des règles et les tests sont consignés au fil du travail, pour les examiner au regard de DORA et de l’AI Act.
Les règles applicables et leurs dates
Trois règles précisent ce qu’un prêteur doit pouvoir montrer. DORA et l’article 22 du RGPD s’appliquent déjà.
DORA depuis le 17 janvier 2025
DORA s’applique aux entités financières de l’UE et à leurs prestataires TIC depuis le 17 janvier 2025. Le texte demande une gestion des risques TIC, des dispositifs documentés, des tests de résilience et un plan de sortie pour les prestataires TIC critiques.
Article 22 du RGPD, aujourd’hui
Lorsqu’une décision est prise uniquement par un traitement automatisé et produit des effets juridiques ou des effets similaires importants, la personne concernée peut demander une intervention humaine et une explication pertinente. Ce principe est établi pour le scoring de crédit.
AI Act : 2 décembre 2027
L’évaluation de la solvabilité d’une personne et la tarification du risque en assurance vie et santé sont des usages à haut risque au sens de l’annexe III. Les règles s’appliquent à l’organisme qui déploie le système à partir du 2 décembre 2027.
Les éléments à présenter dans Decisimo
Ces éléments font partie du travail courant, les dossiers sont donc prêts à être examinés au fil de l’eau.
| Ce qu’il faut présenter | Où Decisimo le conserve |
|---|---|
| Documentation des règles | Chaque version de la logique de décision conserve son historique de révision. Les versions sont des instantanés accompagnés de notes générées, et les documents de règles renvoient aux exigences qu’ils ont fait émerger. |
| Dossiers de décision | Les traces d’exécution sont écrites sur une infrastructure contrôlée par le prêteur. Le journal d’audit de Decisimo indique qui a effectué chaque action dans le portail, à quelle date et depuis quelle adresse IP. |
| Validation humaine | Un point d’accès API peut porter une séquence de validation, et Decisimo calcule les écarts entre versions. Une personne valide chaque proposition de l’IA, modification par modification, à partir d’un diff visible. |
| Expliquer une décision | La trace détaille les règles déclenchées et les données utilisées, selon la version de la logique active à la date de la décision. Elle reste consultable dans le portail des mois plus tard, sans développeur. |
| Tester les règles | Les tests unitaires et les suites de régression issues d’exécutions réelles côtoient l’analyse d’impact. Il est possible de comparer un champion et un challenger, puis de vérifier les chevauchements et les lacunes d’une table de décision. |
| Contrôle des accès | Les accès par rôle, l’authentification unique, l’authentification à deux facteurs et les restrictions par IP sont inclus dans toutes les formules. Les identifiants sont conservés dans un coffre chiffré. Voir les contrôles de sécurité |
Départ et plan de sortie DORA
DORA demande un plan de sortie pour les prestataires critiques. Ces quatre éléments permettent de le préparer simplement.
- Les résultats des décisions sont écrits dans votre base Postgres. L’historique est déjà chez vous.
- La logique de décision s’exporte en fichier Markdown, dans une structure lisible.
- L’exécution a lieu sur des points d’accès API régionaux ou, sur demande, sur un nœud de votre infrastructure.
- REST et JSON transportent les données à l’aller comme au retour. Les identifiants des bureaux renvoient à vos propres contrats.
Questions fréquentes
Qui répond du respect de DORA et de l’AI Act avec Decisimo ?
Le respect des règles reste de la responsabilité du prêteur. Decisimo conserve les versions des règles, les résultats des tests, les validations et les enregistrements d’audit du portail.
Qui est le déployeur au sens de l’AI Act, le prêteur ou Decisimo ?
Le prêteur est généralement le déployeur. Il définit les règles, les seuils et les modèles, puis met la décision en service pour ses clients.
Puis-je expliquer une décision prise il y a des mois sans développeur ?
La trace indique quelles règles se sont déclenchées, les valeurs utilisées et la version exacte de la logique active à l’époque. Cette version reste consultable dans le portail.
Decisimo entraîne-t-il des modèles avec nos données ?
Les données des clients ne servent jamais à entraîner les modèles. Les données transmises pour une décision servent à la produire, puis ne sont pas conservées.
Quelle norme suit Decisimo, et existe-t-il une certification AI Act pour les fournisseurs ?
La sécurité de l’information de Decisimo est gérée selon la norme internationale ISO 27001. Il n’existe pas de certification AI Act à détenir pour un fournisseur. Voir la sécurité
Testez vos règles dans Decisimo
Créez vos règles et retrouvez leurs versions, leurs tests et leurs validations au fil du travail.
Cette page présente ce que produit la plateforme. Elle ne constitue pas un avis juridique et n’affirme pas que l’utilisation de Decisimo satisfait aux exigences d’une réglementation. Il vous revient d’évaluer votre conformité.