Traduction automatique : pas encore relue par un traducteur professionnel. (Machine translation — not yet professionally reviewed)
Cytra Guide de conformité
Comment nous mettons en œuvre les catégories standard de NIST AI RMF, ISO/IEC 42001 et l’EU AI Act.
Les cinq piliers de CARGO — Control, Assessment, Records, Guardrails et Oversight — organisent les catégories de contrôle standard de ces cadres en vingt domaines objectifs. Nous n’avons pas inventé ces catégories et nous ne le prétendons pas ; CARGO est la grille qui les cartographie une fois, afin de les démontrer partout. Cytra vous garde aligné et prêt pour un audit, pas certifié.
CARGO — Cytra AI Regulatory and Governance Objectives — est le cadre ouvert que Cytra a élaboré et publie. Les mêmes cinq lettres nomment ses cinq piliers : Control, Assessment, Records, Guardrails et Oversight. La grille est la nôtre et elle est publiée ouvertement ; « CARGO » est simplement notre convention de nommage interne. Les objectifs de contrôle eux-mêmes ne sont pas nouveaux et ne sont pas une invention de Cytra — ce sont les exigences standard de NIST AI RMF et d’ISO/IEC 42001:2023, alignées sur l’EU AI Act. Les normes font le travail.
La conformité comme registre
Le guide n’est pas un classeur — il est alimenté par ce qui s’exécute.
Cytra Gateway, notre passerelle gérée pour les appels d’outils des agents d’IA, traite chaque appel gouverné comme un enregistrement structuré et signé. Ces enregistrements se regroupent dans les cinq piliers que décrit le guide, de sorte que la preuve d’un contrôle est une télémétrie d’exécution continue — rattachée aux objectifs de contrôle de NIST AI RMF, d’ISO/IEC 42001 et de l’EU AI Act — plutôt qu’un document assemblé après coup.
Pour être précis sur la posture : Cytra est aligné, pas certifié. Nous rattachons les preuves à ces cadres ; nous n’affirmons pas qu’une certification a été accordée, et Cytra Gateway est actuellement en bêta privée.
Cinq piliers, vingt domaines objectifs
Les cinq piliers de CARGO — et les catégories standard que chacun porte.
Contrôle et responsabilité
NIST AI RMF Govern · ISO/IEC 42001:2023 §5 · EU AI Act Art. 4
L’ossature de gouvernance — qui porte le risque lié à l’IA, et la politique et les personnes qui rendent le reste opposable.
- Structure de gouvernance et responsabilité — responsables nommés et un comité transverse du risque IA.
- Politique, normes et appétit pour le risque.
- Rôles, compétence et culture de l’IA (EU AI Act Art. 4).
- Gouvernance des tiers et de la chaîne d’approvisionnement — fournisseurs de modèles, vendeurs de données, outils d’agents.
Évaluation et risque
NIST AI RMF Map · Measure · ISO/IEC 42001:2023 §6 · EU AI Act Art. 6, 9, 10, 27
Savoir quelle IA vous exécutez, la classer par le risque et évaluer son impact sur un cycle de vie continu.
- Inventaire d’IA et classification du système (EU AI Act Art. 6 / Annex III).
- Évaluation du risque et de l’impact, y compris l’analyse d’impact sur les droits fondamentaux (Art. 27).
- Cycle de vie continu de gestion du risque (Art. 9).
- Gouvernance et qualité des données (Art. 10).
Registres et preuves
NIST AI RMF Measure · ISO/IEC 42001:2023 §7.5, §9.2 · EU AI Act Art. 11, 12 · Annex IV
La couche de preuve — le pilier le plus difficile à satisfaire avec des documents seuls, car il exige la preuve de ce que l’IA a fait.
- Documentation technique (EU AI Act Art. 11 / Annex IV).
- Journalisation automatique et tenue des registres (Art. 12).
- Preuve infalsifiable et conservation — un registre hash-chain / WORM par locataire.
- Préparation à la conformité et à l’audit (Art. 43).
Garde-fous et opérations
NIST AI RMF Manage · ISO/IEC 42001:2023 §8 · EU AI Act Art. 14, 15
Des contrôles qui agissent là où l’IA s’exécute, avant qu’une action se termine — y compris chaque appel d’outil d’un agent.
- Garde-fous opérationnels et politique d’exécution — portes d’approbation, plafonds de budget, un arrêt d’urgence opérateur.
- Sécurité, robustesse et résilience (Art. 15).
- Suivi du biais, de l’équité et de la performance — mesure planifiée sur des jeux d’évaluation configurés, avec des événements d’écart auditables.
- Gouvernance des agents et des identités non humaines (NHI).
Surveillance et amélioration
NIST AI RMF Manage · Govern · ISO/IEC 42001:2023 §9, §10 · EU AI Act Art. 13, 14, 50, 72, 73
Garder les personnes aux commandes et fermer la boucle à mesure que les risques et les règles évoluent.
- Surveillance et intervention humaines (Art. 14) — Understand, Monitor, Intervene, Stop.
- Transparence et communication (Art. 13, Art. 50).
- Surveillance après mise sur le marché et réponse aux incidents (Art. 72, Art. 73).
- Revue, audit interne et amélioration continue.
Instantané du cadre
- Piliers
- 05
- Domaines objectifs
- 20
- Posture
- Aligné
Aligné et prêt pour l’audit, pas certifié.
Cadre ouvert CC BY 4.0
Prenez le cadre. Il est à vous.
Le cadre CARGO est publié gratuitement sous Creative Commons Attribution 4.0 (CC BY 4.0) — adoptez-le, adaptez-le et appuyez-vous dessus, avec attribution. Les noms et logos « CARGO » et « Cytra » restent les nôtres ; les objectifs de contrôle sont ceux de NIST AI RMF, d’ISO/IEC 42001 et de l’EU AI Act, donc le cadre appartient à tout le monde. La v0.1 est en relecture publique finale — laissez votre e-mail et nous enverrons le PDF complet au moment où le projet public s’ouvre.
Étape suivante mettre le guide en opération
Faites des normes un registre de la façon dont votre IA s’exécute.
Cytra cartographie vos contrôles une fois et transforme l’exécution de votre IA en preuves continues sur les cinq piliers — afin de démontrer l’alignement avec NIST AI RMF, ISO/IEC 42001 et l’EU AI Act sans dupliquer l’effort. La passerelle gérée qui produit les preuves est en bêta privée ; parlez-nous de votre IA et nous cadrerons un accès anticipé.